解説

システム監査基準（平成30年）におけるリスクアプローチ（リスクに基づく監査計画策定）で考慮すべき適切な事項は（d：正解）：「情報システムリスクは常に一定ではないことから、リスクの特性の変化及び変化がもたらす影響に留意する」。リスクアプローチの核心は、すべての監査対象に均等に資源を配分するのではなく、リスクが高い領域に監査資源を重点配分することで監査の効率性・有効性を高めること。システム環境・業務プロセス・技術的脅威は変化するため、前回の監査計画をそのまま流用するのではなく、リスクの変化（新技術導入・法規制変更・事業戦略変更等）を継続的にモニタリングして監査計画に反映させる必要がある。情報システムリスクはJIS Q 31000等のリスク管理フレームワークに基づいて多面的に評価する。

なぜ他の選択肢は違うのか

選択肢 ア

「監査対象の不備を見逃して監査の結論を誤る監査リスクを完全に回避する監査計画を策定する」は誤り。監査リスク（審査リスク）を「完全に回避」することは現実的に不可能であり、監査基準でも求めていない。リスクアプローチでは監査リスクを許容可能な水準に抑えることを目的として計画を立てる。

選択肢 イ

「情報システムリスクの大小にかかわらず全ての監査対象に一律に監査資源を配分する」はリスクアプローチに反する記述。リスクアプローチの本質はリスクの大きさに応じた重点配分であり、一律配分ではリスクの高い領域が十分に監査されない。

選択肢 ウ

「情報システムリスクは情報システムに係るリスクと情報の管理に係るリスクの二つに大別される」はリスクの分類についての説明として特定の根拠があいまいであり、システム監査基準が規定する考慮事項ではない。リスクアプローチで重視されるのはリスクの動的な変化への対応であり、単純な二分類ではなく多面的な評価が求められる。

解くときのポイント

システム監査のリスクアプローチ: ①リスクの高い領域に集中②リスクは変化するため継続的な評価が必要③監査リスク（固有リスク×統制リスク×発見リスク）を適切に管理。