解説

システム監査基準（令和5年）によれば、システム監査人は情報システムの「マネジメント」「コントロール」「ガバナンス」の3つを一定の基準に基づいて総合的に点検・評価します。旧来の監査基準は「マネジメント」と「コントロール」の評価に重点を置いていましたが、令和5年の改訂では「ITガバナンス」（経営層による情報システムの統制・方向付け・評価）が監査対象として明示的に追加されています。選択肢aの「ガバナンス」が正解です。

なぜ他の選択肢は違うのか

選択肢 イ

サイバーレジリエンスはサイバー攻撃・脅威に対する対応・回復力を指す概念です。重要な概念ですが、システム監査基準においてマネジメント・コントロールと並ぶ第三の監査対象として明示されているのはガバナンスです。

選択肢 ウ

コンプライアンスは法令遵守を意味し、監査において確認される要素の一つですが、システム監査基準における3つの評価対象の一つとしては規定されていません。

選択肢 エ

モニタリングは内部統制の構成要素（COSOフレームワーク）の一つで、継続的な監視活動を指しますが、システム監査基準における評価対象の柱としては定義されていません。

解くときのポイント

令和5年版システム監査基準のポイント：監査対象の3柱は「ガバナンス・マネジメント・コントロール」。旧基準からの改訂でガバナンス視点が強化。経営層のIT戦略・方向付けを監査することが現代の監査に求められている。