法務とシステム監査のミニテスト（全24問）
直感とずれるところを集めた24問。外注したソフトの著作権は誰のものか、偽装請負の分かれ目、匿名加工情報と仮名加工情報、不正アクセス禁止法が届かない範囲、内部統制と監査の向きの違い、監査技法で何を用意するのか、営業秘密と限定提供データの分かれ目、機械では見つからない入力の誤りを問います。
この単元は、直感とずれるところが集中しています。
外注して代金を払ったソフトの著作権は、契約に定めがなければ作った側のもの。目の前の機器を直接操作しても、不正アクセス禁止法の対象外。登録していなくても不正競争防止法は守ってくれる。どれも「そうなっていそう」という感覚と食い違うので、そのまま選択肢にされます。
もう1つの軸が、作る側と確かめる側の向きです。内部統制は自分で自分を律する仕組み、システム監査は離れた立場から見る目。監査人は指摘まではしますが、自分では直しません。
問1
請負契約なのか、実態は労働者派遣なのか（偽装請負かどうか）を判断する決め手として、最も適切なものはどれか。
正解は 2番：作業者へ指示を出しているのが、発注者か受注者の責任者か
分かれ目は場所ではなく、指示の出どころです。発注者の事務所で作業していても、指示が受注者の責任者から出ていれば請負として成立します。逆に、受注者の事務所で作業していても、発注者が直接「これをやって」と指示していれば派遣の実態になります。
ほかの選択肢は
契約書の文言も決め手にはなりません。書面が請負でも実態が派遣なら偽装請負であり、違法です。問題は、派遣であれば派遣元と派遣先に課される責任（労働時間の管理、安全衛生、社会保険など）を、誰も負わない状態が生まれることにあります。
問2
A社がB社にソフトウェアの開発を委託し、代金を支払って納品を受けた。契約書に著作権についての定めがない場合、このソフトウェアの著作権は原則として誰に帰属するか。
正解は 2番：作ったB社
お金を払って外注したからといって、著作権が自動的に発注側へ移るわけではありません。移すには、契約で著作権の譲渡を定める必要があります。ここは「払った側のものになりそう」という直感と食い違うところで、試験ではその思い違いをそのまま選択肢にしてきます。
ほかの選択肢は
なお、B社の社員が職務として書いたものであれば、B社の中では法人であるB社が著作者になります。そのため、書いた個人に残るわけでもありません。
問3
会社の社員が職務として作成したプログラムについて、法人が著作者となる条件の説明として適切なものはどれか。
正解は 2番：プログラムの場合は、法人名義で公表されていなくても法人が著作者になりうる
職務著作の条件は、法人等の発意、業務に従事する者が作成、職務上の作成、法人等の名義で公表、契約や勤務規則に別段の定めがないこと、の5つです。このうちプログラムの著作物だけは、法人名義での公表が要りません。社内でだけ使うプログラムは公表されないので、この例外がないと成り立たないためです。IT分野の出題ではここが問われます。
ほかの選択肢は
なお著作権は創作した時点で自動的に発生するので、登録も出願も要りません。登録が必要なのは特許や商標といった産業財産権のほうです。
問4
個人情報を加工した情報のうち、本人の同意なく第三者へ提供できるものはどれか。
正解は 4番：匿名加工情報
誰か分からず元にも戻せないところまで加工したものが匿名加工情報で、これは本人の同意なく第三者へ提供できます。外へ出せるのは匿名加工情報のほう、と覚えておくと取り違えません。
ほかの選択肢は
仮名加工情報は、他の情報と照合しなければ分からない程度までの加工にとどまるので、社内での分析には使えますが、第三者へは原則として渡せません。要配慮個人情報は、人種や信条、病歴など扱いを誤ると差別につながりうる情報で、取得の段階から原則として本人の同意が必要です。保有個人データは、本人から開示や削除を求められたときに応じる義務がある状態を指す呼び名で、加工した情報ではありません。
問5
会員登録のときに示した利用目的の範囲を超えて、集めた個人情報を別の用途に使いたくなった。とるべき対応として適切なものはどれか。
正解は 2番：あらためて本人の同意を得る
集めるときに利用目的をはっきりさせて本人に知らせるか公表し、使うときはその範囲を超えない、というのが基本の流れです。あとで別のことに使いたくなった、は通りません。目的の外で使うには、あらためて同意が要ります。
ほかの選択肢は
公表し直せば足りる、社内なら構わない、届け出れば足りる、というのはいずれも誤りです。渡すときも原則として本人の同意が必要で、預かりものとして扱う、という姿勢が全体に通っています。
問6
不正アクセス禁止法の対象とならない行為はどれか。
正解は 4番：同僚の席に座り、ログインしたままの画面を勝手に操作した
この法律が適用されるには、ネットワークを通じていること、アクセス制御機能があること、権限がないこと、の3つがそろう必要があります。試験ではひとつ目がいちばん狙われます。目の前の機器を直接操作する行為は、悪いことには違いありませんが、この法律の対象ではありません（就業規則違反や別の法律の問題になります）。
ほかの選択肢は
偽のページを作って誘導する行為は、実際に入力させられなくても対象です。IDとパスワードを他人に教える提供も禁じられていて、実際にログインする前の段階からすでに違法になります。
問7
不正競争防止法による保護について、正しい記述はどれか。
正解は 1番：特許庁への登録をしていなくても、法律が定める条件を満たしていれば保護される
特許や商標は出願して登録されることが保護の条件ですが、不正競争防止法は登録が要りません。法律が定める条件を満たしていれば守られます。「登録していないから守られない」という選択肢は誤りです。
ほかの選択肢は
守るものも違っていて、著作権法は表現されたもの、不正競争防止法は競争のうえでの公正さを守ります。アイデアや手順そのものは著作権法では守れませんが、秘密として管理していれば営業秘密として守れる可能性があります。なお営業秘密は、秘密として管理していることが要件なので、公表してしまえば成り立ちません。
問8
内部統制を整備し、運用する責任を負うのは誰か。
正解は 4番：経営者
整備して運用する責任は経営者にあります。ただし、実際に行うのは組織の全員です。責任者は経営者、担い手は全員、という二段構えになっていて、現場は関係ないという意味ではありません。
ほかの選択肢は
監査部門は、整備・運用する側から分離された立場で、仕組みが機能しているかを検証・評価する役割なので、作る側ではありません。作って回すのが内部統制、離れた立場から確かめるのが監査。この向きは選択肢でよく入れ替えられます。
問9
助言を目的としたシステム監査で、監査人が行うこととして適切なものはどれか。
正解は 4番：問題点を指摘し、どう直すとよいかを提案する
システム監査基準には目的の違う2つの監査があり、保証を目的とするものは適切かどうかについて監査人の意見を表明し、助言を目的とするものは問題点を指摘してどう直すとよいかを提案します。どちらも監査人が自分で直すわけではありません。助言型でも、提案するところまでです。監査人は独立した立場から検証・評価する役割なので、自ら改善作業を行えば、その作業を自分で監査することになってしまい、独立性が保てません。
ほかの選択肢は
保証を目的とした監査なら意見を表明し、改善の提案は行いません。助言型と保証型を入れ替えた選択肢が出ます。問題点を指摘せず報告だけ行う、というのもどちらの型にも当てはまりません。
問10
システム監査を受ける側のシステムに求められる、いつ・誰が・何をしたかを後から追える記録の呼び名はどれか。
正解は 1番：監査証跡
操作ログ、更新履歴、承認の記録などがこれにあたります。監査証跡がなければ、どれだけ優秀な監査人でも検証できません。後から追える状態にしておくこと自体が、システムに求められる性質で、可監査性と呼びます。
ほかの選択肢は
監査調書は、監査人が行ったことと、そこから何を判断したかを書き残したものです。監査証拠は、判断のもとになった事実そのものを指します。記録を残すのはシステム側、それを使って判断し書き残すのが監査人側、という分担です。
問11
準委任契約の特徴として、最も適切なものはどれか。
正解は 1番：決められた業務を行うこと自体が目的で、成果物の完成までは義務づけられない
準委任契約は、決められた業務を誠実に行うことを約束する契約です。たとえば運用支援や技術支援のように、どこまでやれば完成かを決めにくい仕事に向きます。完成の義務を負わないかわりに、求められた水準で業務を行う義務は負います。
ほかの選択肢は
成果物を完成させる義務があるのは請負契約です。発注者が作業者へ直接指示を出す、指揮命令のもとで労働に従事するといった形は労働者派遣にあたります。請負や準委任の契約でありながら発注者が直接指示を出すと、偽装請負と判断されます。
問12
内部統制の4つの目的に含まれないものはどれか。
正解は 1番：株主への配当額の最大化
内部統制の目的は、業務の有効性及び効率性、報告の信頼性、事業活動に関わる法令等の遵守、資産の保全の4つです。どれも「正しく回っている状態」を守るためのもので、利益や配当そのものを増やすことは目的に含まれていません。
ほかの選択肢は
ほかの3つはいずれも4つの目的に含まれます。残る1つは報告の信頼性で、以前は財務報告の信頼性と呼ばれていました。令和5年の基準改訂で財務以外の報告も含む呼び方に広がっており、過去問では旧い呼び方のまま出ることがあります。
問13
不正アクセス禁止法が、アクセス管理者に対して定めていることとして最も適切なものはどれか。
正解は 1番：識別符号の適正な管理や、防御措置を講じるよう努めること
この法律は、不正アクセスをする側を罰するだけでなく、守る側にも努力義務を置いています。識別符号を適正に管理すること、アクセス制御機能を高めるなどの防御措置を講じることが求められます。鍵をかける側にも責任がある、という考え方です。
ほかの選択肢は
警察への届出や、通信内容の記録と保存、被害額の賠償を義務として定めた条文ではありません。守る側に課されているのは義務ではなく努力義務であり、怠ったことに対する罰則も設けられていません。
問14
営業秘密として不正競争防止法で保護を受けるための手続として、最も適切なものはどれか。
正解は 3番：登録や出願の手続は不要で、3つの要件を満たしていれば保護される
営業秘密は、秘密として管理されていること、有用な情報であること、公然と知られていないことの3つを満たしていれば保護されます。登録や出願は要りません。むしろ公開すると、公然と知られていないという要件が崩れて保護されなくなります。
ほかの選択肢は
特許庁への出願と登録が必要なのは特許権や商標権です。これらは内容を公開するかわりに独占権を得る仕組みで、秘密にしておく営業秘密とは正反対の考え方になります。公証役場や経済産業大臣への届出が要件になることもありません。
問15
システム監査において、監査人があらかじめ用意したデータを本番のプログラムに流し、結果が想定どおりかを確かめる技法はどれか。
正解は 3番：テストデータ法
テストデータ法では、監査人が用意するのはデータのほうで、流す先は本番のプログラムです。金額がマイナスのデータや存在しない商品コードを流して、入力の検査が効いているかを確かめます。
ほかの選択肢は
並行シミュレーション法は逆で、監査人が自分でプログラムを用意し、そこへ本番のデータを流して結果を突き合わせます。監査モジュール法は本番のプログラムに監査用の処理を組み込むもの、スナップショット法は処理の途中経過を記録させて追うものです。用意するのがデータかプログラムか、で切り分けられます。
問16
不正競争防止法で保護される限定提供データが、同じ法律の営業秘密と違うところはどれか。
正解は 3番：決まった相手には提供しているため、秘密として管理されていなくてよい
営業秘密は、秘密として管理されていることが条件です。限定提供データは、決まった相手へ提供することを前提にした制度なので、秘密であることは求められません。代わりに、電磁的に管理していること、相当量をためていること、特定の相手へ提供していることが条件になります。
ほかの選択肢は
電磁的管理性が条件なので、紙に印刷しただけのものは当たりません。誰でも入手できる形で公開されているデータは、特定の相手へ提供しているとは言えないので外れます。相当蓄積性も条件なので、1件だけのデータも当たりません。
問17
プルーフリストを使って見つけられる誤りとして、適切なものはどれか。
正解は 3番：100個と書かれた伝票を、1000個と打ち間違えた
プルーフリストは、入力したデータをそのまま打ち出した一覧です。もとの伝票と1件ずつ突き合わせるために使うので、形としては正しいが値が違う、という誤りを見つけられます。桁を1つ多く打った、伝票を1枚入れ忘れた、といった誤りがこれにあたります。
ほかの選択肢は
数値の欄に文字が入っている、存在しないコードである、必須の欄が空である、といった誤りは、どれも形や範囲の誤りです。システム側の入力チェックで機械が見つけられるので、人が突き合わせるまでもありません。機械に見つけられない誤りを人が探すための道具だ、と押さえてください。
問18
システム監査の予備調査と本調査の違いとして、最も適切なものはどれか。
正解は 4番：予備調査は資料を読んで全体像をつかむ段階で、本調査は監査証拠を集める段階である
予備調査では、関係する規程や業務の流れを読み、どこを重点的に見るかを決めます。証拠はまだ集めません。本調査で、記録の確認やインタビューによって監査証拠を集めます。順番を取り違えると、何を調べるかが決まらないまま証拠を集めることになります。
ほかの選択肢は
2つを入れ替えた選択肢が誤りです。内部監査と外部監査の区別は、監査人がどこに属するかの話で、調査の段階とは別です。改善を実施するのは業務部門で、監査人の仕事ではありません。
問19
監査証拠として、より強いものはどれか。
正解は 3番：監査人が自ら設定画面を確認して記録したもの
監査証拠の強さは、出どころと形で変わります。監査人が自分で確かめたもの、記録として残っているもの、第三者が作ったものが強くなります。インタビューの回答だけでは弱いので、裏付けとなる記録を確かめます。
ほかの選択肢は
口頭の回答、調べられる側が自ら作った報告だけ、記憶をもとにした覚書は、いずれも弱い証拠です。インタビューで聞いた内容を記録で確かめる、記録にある設定を実際の画面で確かめる、という組合せで強さを補います。
問20
アクセス権の設定に不備がないかを確かめる監査で、サンプリングの対象の選び方として最も適切なものはどれか。
正解は 3番：形だけの運用になっているおそれが大きい対象を、意図して含める
一部だけを調べる方法なので、抜き出し方に偏りがあると不備のある対象が選ばれません。点検の記録が毎回同じ内容である、規程どおりにできない事情がある、といった手がかりから、おそれが大きい対象を意図して含めます。
ほかの選択肢は
調べられる側に選ばせると、都合のよい対象に偏ります。新しい記録だけでは古い時期の不備が見えず、1つの部署だけでは他の部署の不備が見えません。件数を増やしても、偏ったままでは確かさは上がりません。
問21
予防的な管理策と発見的な管理策の違いとして、最も適切なものはどれか。
正解は 2番：予防的な管理策は起きる前に防ぎ、発見的な管理策は起きたあとに気づくためのものである
権限を与えない、入室を制限するといった手立てが予防的な管理策です。操作の記録を見る、突き合わせるといった手立てが発見的な管理策になります。防ぎきれなかったものに気づく手立てが要るので、予防だけでは足りません。
ほかの選択肢は
2つを入れ替えた選択肢が誤りです。人が行うか機械が行うかで分かれるものでもありません。どちらも規程に書かれます。なお、起きたあとに直す手立ては是正的な管理策と呼びます。
問22
個人データを扱う業務を外部に委託する際、契約に定めておく必要があるものとして最も適切なものはどれか。
正解は 2番：委託する側が、委託先の取扱いの状況を確かめられること
委託しても、委託する側の責任は残ります。状況を確かめる権利を契約に入れておかないと、後から求めても応じる義務がない形になります。秘密保持、取り扱う範囲、再委託の扱い、終了時のデータの返却または削除も、あわせて定めます。
ほかの選択肢は
進め方を自由に決められること自体は、確かめる責任を果たす助けになりません。再委託先を知らせずに選べる形では、どこまで広がっているかを把握できなくなります。対外的な説明を委託先が単独で行う形も、責任が残る前提と合いません。
問23
システム監査において、業務処理統制の評価より先にIT全般統制を確かめる理由として、最も適切なものはどれか。
正解は 4番：土台が弱いと、業務処理統制を確かめても後で外された可能性を否定できないため
IT全般統制は、開発や変更の管理、アクセス管理、運用の管理のように、業務処理統制が働く土台を守る統制です。誰でもプログラムを変えられる状態なら、入力の確認が今日あることを確かめても、明日も同じとは言えません。土台から先に見る理由がここにあります。
ほかの選択肢は
確かめる時間の長短で順番が決まるわけではありません。土台が働いていても、個々の処理に組み込んだ統制そのものは別に確かめます。業務処理統制も監査の対象に含まれます。
問24
人事担当者が職種を手作業で登録する画面に組み込む統制として、最も効果が期待できるものはどれか。
正解は 1番：登録できる職種をあらかじめ決めた一覧から選ばせ、自由な入力をさせない
選ばせる形にすると、想定していない値がそもそも入りません。誤った値は連携した先の計算まで運ばれるので、入口で止めるほど手当てが軽くなります。入力の時点で止めるのが入力コントロールの考え方です。
ほかの選択肢は
目視での確認は件数が多いと見落としが出ます。印刷して保管すること、月末に集計して報告することは、いずれも記録や事後の確認であり、誤った値が入ること自体を止めません。
この結果の使い方
間違えた用語は復習リストに自動でたまります。 用語ページのミニクイズで正解し直すと、リストから消えます。 記録は自分のブラウザ内（localStorage）にのみ保存され、サーバーには送信していません。