解説

システム監査基準（令和5年改訂版）はリスクアプローチに基づく監査計画策定を求める。リスクアプローチとは、監査対象のリスクの大きさに応じて監査の重点と資源配分を決定するアプローチ。監査計画はリスクの変化に応じて柔軟に見直す必要があり、組織体内外の環境変化によってリスクが相当程度変化した場合には、監査計画の見直しを検討し必要に応じて変更することが求められる（正解d）。監査リスクは3種類：①固有リスク（Inherent Risk）：内部統制が存在しない場合に、財務諸表が重要な虚偽表示を含む可能性。②統制リスク（Control Risk）：内部統制が誤りを防止・発見できないリスク。③発見リスク（Detection Risk）：監査手続きで誤りを発見できないリスク。監査リスク＝固有リスク×統制リスク×発見リスク。「残存リスク」は固有リスクに対して内部統制を施した後に残るリスクであり、監査リスクの分類とは別概念。監査リスクを完全に回避することは不可能であり、合理的な保証の提供が目的。

なぜ他の選択肢は違うのか

選択肢 ア

監査リスクを「完全に回避する」ことは不可能であり、システム監査の目的でもない。監査はサンプリングや証拠収集の限界があり、全ての誤りを発見する絶対的な保証を提供することはできない（合理的保証の限界）。監査基準は「十分かつ適切な監査証拠に基づいて合理的な結論を形成する」ことを求めており、完全な回避ではなく適切なリスク管理の下での監査実施を求める。

選択肢 イ

リスクアプローチの本質は「リスクの高い領域に重点的に監査資源を配分する」こと。全ての監査対象に均等に資源を配分するのはリスクアプローチの否定であり、低リスク領域に無駄なリソースを投入し高リスク領域が手薄になる非効率な監査となる。均等配分はリスクアプローチ以前の「網羅的監査」の考え方に近く、現代のリスクベース監査とは対極の発想。

選択肢 ウ

監査対象に対するリスクが「統制リスクと残存リスクの二つ」という分類は誤り。監査リスクの3要素は固有リスク・統制リスク・発見リスクであり、残存リスクは固有リスクに内部統制効果を差し引いた後に残るリスクを指す別概念。監査リスクの構成要素（固有・統制・発見）と残存リスクは異なる文脈で使われる用語であり、混同しないよう整理する必要がある。

解くときのポイント

システム監査のリスクアプローチ3つのリスク: 固有リスク（統制なしの場合の重大性）、統制リスク（内部統制が誤りを防止できないリスク）、発見リスク（監査が誤りを発見できないリスク）。