情報システム監査人の最善の行動は、実装されたコントロールを評価して、リスクが許容レベルまで軽減されていることを確認することです。これは、フォローアップ監査の目的が、是正措置が予定どおりに実施され、将来の再発を防止または最小限に抑えるのに効果的であることを確認することにあるためです1。上級管理職が以前に合意したものとは異なる改善措置計画を実装した場合、情報システム監査人は、代替コントロールが状況に対して適切かつ適切であるかどうかを評価する必要があります。
推奨されたコントロールを実施しない理由を経営陣に求めること (オプション D) は二次的なステップかもしれませんが、最善の行動ではありません。実施されたコントロールが満足のいくものである場合、コントロール所有者が監査レポートで逸脱を報告すること (オプション A) は時期尚早で不必要である可能性があります。フォローアップ監査をキャンセルして次の監査期間に再スケジュールすること (オプション C) は、実施されたコントロールの有効性の検証を遅らせ、組織をさらなるリスクにさらす可能性があるため、お勧めできません。参考文献: 1: フォローアップ監査 - Canadian Audit and Accountability Foundation