正答4
解説
正解は4です。
システム監査で報告すべき指摘事項とは、統制が不十分で、リスクが残っている状況のことです。
アクセス権の管理では、不要になった権限を速やかに削除することが重要です。
【選択肢別解説】
1：× 利用者IDとパスワードについて遵守事項が規程として定められ、周知されているのは、適切な統制の状況です。
指摘事項には当たりません。
2：× 業務部門長がアクセス権の付与状況を定期的にレビューしているのは、適切な統制の状況です。
3：× アクセス権の付与、変更、削除の管理手続が規程として定められているのは、適切な統制の状況です。
4：○ 退職や異動した利用者のアクセス権を年度初めにまとめて削除していると、退職・異動から削除までの間、不要な権限が使える状態が続きます。
不正利用のリスクがあるため、指摘事項として報告すべきです。
【ポイント】
アクセス権は、退職や異動が発生した時点で遅滞なく削除・変更するのが原則です。
「まとめて処理」「定期的にだけ」という記述は指摘事項になりやすい点に注意しましょう。