正答4
解説
正解は4です。
システム設計の段階で、ユーザ要件が設計に正しく反映されないリスクを減らすための管理（コントロール）が問われています。
ユーザ要件を最もよく知っているのは、実際にシステムを使う利用部門です。
【選択肢別解説】
1：× システム設計書に基づいてプログラム仕様書を作成することは、設計からプログラムへの一貫性を保つためのコントロールです。
設計書自体がユーザ要件を満たしているかは確認できません。
2：× テスト計画の作成と承認は、テストを適切に行うためのコントロールです。
設計段階でユーザ要件の充足を確かめるものではありません。
3：× プログラミング標準に従うことは、プログラムの品質や保守性を確保するためのコントロールです。
プログラミング段階の確認項目であり、ユーザ要件の充足とは別の観点です。
4：○ 利用部門がシステム設計書のレビューに参画すれば、要件の漏れや誤解を設計段階で見つけられます。
ユーザ要件が充足されないリスクを低減するコントロールとして適切です。
【ポイント】
システム監査では、リスクとそれを減らすコントロールの対応関係が問われます。
「ユーザ要件」というキーワードがあれば、利用部門の参画や承認がチェックポイントになると考えましょう。