利用者 ID 管理の監査
情報システムの利用者 ID の管理状況を監査する際に，退職者の利用者 ID が適時に削除されているかどうかを確かめる監査手続として，最も適切なものはどれか。
- アシステム管理者に対して，退職者の利用者 ID を削除する手順が定められているかどうかをインタビューで確認する。
- イ利用者 ID の管理規程が経営者によって承認されていることを，規程の承認記録によって確認する。
- ウ人事部門が管理する退職者の一覧とシステムに登録されている有効な利用者 ID の一覧とを突き合わせ，退職日以降も有効なままの ID がないかを確認する。
- エ利用者 ID の一覧から無作為に抽出した ID について最終ログイン日時を確認し，長期間ログインのない ID がないかを確かめる。
正解と解説を見る
正解 ウ
この問題の基礎知識
- 監査では，ルールや手順が定められているか（整備状況）と，それが実際に守られているか（運用状況）を区別して確かめる。規程の確認やインタビューは，運用状況の証拠としては弱い。
- 突合・照合法は，関連する複数の記録を突き合わせて一致を確かめる監査技法である。独立した部門の記録とシステムの実データを照合すると，運用状況を直接確かめる証拠が得られる。
- 監査技法には，インタビュー法，ドキュメントレビュー法，突合・照合法，現地調査法，ウォークスルー法などがあり，確かめたい事項に応じて選ぶ。
アシステム管理者に対して，退職者の利用者 ID を削除する手順が定められているかどうかをインタビューで確認する。
インタビューでは手順の存在を確認できるにとどまり，実際に退職者の ID が適時に削除されているかという運用状況の証拠としては不十分である。
イ利用者 ID の管理規程が経営者によって承認されていることを，規程の承認記録によって確認する。
規程の承認記録はルールが整備されていることの証拠であり，退職者の ID が実際に削除されているかという運用の有効性を確かめる手続にはならない。
ウ人事部門が管理する退職者の一覧とシステムに登録されている有効な利用者 ID の一覧とを突き合わせ，退職日以降も有効なままの ID がないかを確認する。正解
独立した部門の記録とシステム上の実データを突き合わせる手続であり，退職者の ID が実際に削除されているかを直接確かめられる。運用状況を確かめる手続として，選択肢の中で最も直接的な監査証拠が得られる。
エ利用者 ID の一覧から無作為に抽出した ID について最終ログイン日時を確認し，長期間ログインのない ID がないかを確かめる。
長期間使われていない ID は見つかるが，その ID が退職者のものかは判別できず，退職後も使われている ID は見逃す。退職者の ID の削除状況を直接確かめる手続としては不十分である。
検証用の出典レビュー済み
システム監査基準（経済産業省） ／ システム管理基準（経済産業省） ／ IPA 応用情報技術者試験シラバス照合の根拠（1 件）
- ウ（正解）: 突合・照合法は代表的なシステム監査技法の一つ
ンタビュー法（質問書・調査票），ウォークスルー法，突合・照合法，現地調査
IPA 応用情報技術者試験シラバス Ver.7.2 · 中分類 16 (5) ② 監査手続の適用（新しいタブで開きます）
「インタビュー・規程の承認記録は整備状況の確認にとどまり，独立した記録との突合で運用状況を直接確かめる」という判断の根拠となる読める一次資料が見つからない（システム監査基準・管理基準は METI で自動取得不可，IPA シラバスは技法名の列挙のみ）。独立レビュアー 3 名が正解を伏せて解答し全員ウで一致，重大な指摘なし。軽微な指摘（ウの手続で分かるのは現時点の削除漏れであり「十分かつ適切」は言い過ぎ）を受けて解説を弱めた。