解説

システム監査人は，独立した立場で監査対象を点検・評価する役割であり，監査対象の業務そのものを実施したり，管理規程や方針を制定したりしてはなりません（それを行うと自らの行為を監査することになり，独立性が損なわれます）。アクセス制御の監査において，監査人がデータに関するアクセス制御の管理規程を『閲覧する』ことは，整備状況を確認する適切な監査行為です。したがって正解はb『データに関するアクセス制御の管理規程を閲覧した』です。選択肢aの管理台帳を作成・保管する，cの管理方針を制定する，dの運用手続を実施するは，いずれも監査人が監査対象の業務そのものを行うことになり，独立性を損なうため不適切です。『監査人は点検・評価するが，業務の実施・規程の制定はしない』という独立性の原則が要点です。

なぜ他の選択肢は違うのか

選択肢 ア

アクセス制御の管理台帳を作成し保管するのは，監査対象部門が行う業務です。監査人が自ら作成・保管すると，自らの成果物を監査することになり独立性を損ないます。

選択肢 ウ

アクセス制御の管理方針を制定するのは，管理する立場（被監査側）の行為です。監査人が方針を制定すると独立性が損なわれ，適切な監査行為ではありません。

選択肢 エ

アクセス制御の運用手続を実施するのは，被監査部門の業務そのものです。監査人が運用を実施すると独立性を失うため，適切な監査行為ではありません。

解くときのポイント

監査人は『閲覧・点検・評価』はするが，台帳作成・方針制定・運用実施など業務そのものはしない（独立性の保持）。閲覧が適切な監査行為。