正答2
解説
正解は2です。
システム監査で用いる判断尺度（監査の基準）をどのように選ぶかを問う問題です。
経済産業省のシステム監査基準では、システム管理基準を判断尺度として用いることを基本としています。
一方で、監査の目的やテーマに応じて、他の基準やガイドラインを用いることも認めています。
【選択肢別解説】
1：× 「全項目をそのまま使用しなければならない」は誤りです。
システム管理基準は、監査の目的に応じて必要な項目を選択したり、追加・修正したりして使います。
2：○ システム監査のテーマに応じて、システム管理基準以外の基準を使ってもよいとされています。
情報セキュリティ管理基準などの基準や、組織の規程を判断尺度とすることもできます。
3：× 「システム管理基準以外の基準は使用すべきでない」は誤りです。
テーマに応じて他の基準を選択することが認められています。
4：× 「アジャイル開発では使用すべきでない」は誤りです。
システム管理基準は、アジャイル開発の場合も、その特性に合わせて適用できます。
アジャイル開発を理由に使用を禁じる規定はありません。
【ポイント】
システム監査基準は「監査人の行為規範」、システム管理基準は「監査の判断尺度」と区別して覚えましょう。