解説

システム監査基準（令和5年）では監査の視点をガバナンス・マネジメント・コントロールの3つに区分します。コントロールの視点とは「業務プロセス・情報システムに組み込まれた具体的な統制（コントロール）が適切に機能しているか」を検証する視点です。選択肢bの「異常なアクセスを検出した際に適時に対処・報告がなされているか」は、情報システムのアクセス管理コントロール（検出・対応の仕組み）が機能しているかを確認するコントロール視点の検証項目です。

なぜ他の選択肢は違うのか

選択肢 ア

「IT投資の結果が適切なリターンを生んでいるか」はガバナンスの視点からの検証項目です。経営層によるIT投資の意思決定・成果評価はガバナンスに該当します。

選択肢 ウ

「情報セキュリティ対策がPDCAサイクルに基づいて適切に管理されているか」はマネジメントの視点からの検証項目です。PDCAに基づく継続的改善の管理体制はマネジメントレベルの確認です。

選択肢 エ

「新技術・技術革新を経営戦略推進のために適時に利活用できているか」もガバナンスの視点からの検証項目です。経営戦略とITの整合性はガバナンスレベルの問題です。

解くときのポイント

3視点の区別：ガバナンス＝経営層・投資判断・戦略整合、マネジメント＝PDCA・管理体制・プロセス管理、コントロール＝現場の統制（アクセス管理・ログ監視・承認等）の機能確認。「具体的な統制の機能」→コントロール視点。