解説

システム監査人の行為の適切性を問う問題です。システム監査人の役割は、監査対象の実態を「調査・検証・評価」し、改善のための指摘や助言を行うことであり、監査対象の業務そのものを「実施・決定」することではありません。業務の実施や意思決定まで監査人が行ってしまうと、後にその業務を自分で監査する「自己監査」の状態になり、独立性・客観性が失われるからです。選択肢を見ると、イの「データに関するアクセス制御の管理規程を閲覧した」は、監査対象の統制状況を把握するための証拠収集（監査手続）であり、監査人の本来の行為として適切です。イが正解です。一方、管理台帳の作成・保管、方針の決定、運用手続の実施は、いずれもアクセス制御に関する業務の当事者（被監査側）が行うべき行為であり、監査人が行ってはなりません。「閲覧・査閲・インタビュー・観察・突合」など証拠を集める動詞は監査人の行為、「作成・決定・実施・承認」など業務を執行する動詞は被監査側の行為、という動詞での判別がこの種の問題の最速の解法です。

なぜ他の選択肢は違うのか

選択肢 ア

ソフトウェアに関するアクセス制御の管理台帳を作成し、保管する行為は、アクセス制御の運用業務そのものであり、被監査側（システム管理部門など）が行うべき仕事です。監査人がこれを行うと、自分が作成・保管した台帳の適切性を自分で監査することになり、独立性が損なわれます。監査人は台帳を「閲覧・検証」する立場に徹する必要があります。

選択肢 ウ

ネットワークに関するアクセス制御の方針を決定する行為は、組織の管理者・経営層が担うべき意思決定です。監査人が方針決定に関与すると、自らが決めた方針の妥当性を自らが評価する立場になってしまい、監査の客観性が成立しません。監査人にできるのは、決定された方針の妥当性を評価し、改善を「助言」することまでです。

選択肢 エ

ハードウェアに関するアクセス制御の運用手続を実施する行為は、日常の運用業務そのものであり、運用部門の担当者が行うべき仕事です。監査人が運用手続を自ら実施してしまうと被監査業務の当事者となり、独立した立場での検証ができなくなります。監査人の役割は、運用手続が規程に定められたとおりに実施されているかどうかを観察・検証し、不備があれば指摘・助言することに限定されます。

解くときのポイント

監査人の行為は動詞で判別: 「閲覧・査閲・観察・検証・助言」＝適切、「作成・決定・実施・承認・保管」＝被監査側の業務で不適切（自己監査になる）。