正答2
解説
正解は2です。
システム監査人は、監査対象を評価する立場であり、自ら業務を行ったり規程を作ったりはしません。
アクセス制御の監査では、規程や記録を閲覧して、管理が適切に行われているかを確認します。
【選択肢別解説】
1：× アクセス制御の管理台帳を作成・保管するのは、システムを管理する部門の業務です。
監査人が作成すると、自らの作成物を監査することになり独立性を損ないます。
2：○ データのアクセス制御の管理規程を閲覧することは、管理の状況を確認するための監査手続です。
監査人の行為として適切です。
3：× アクセス制御の管理方針を制定するのは、経営者や管理部門の役割です。
監査人が行うべきことではありません。
4：× アクセス制御の運用手続を実施するのは、運用部門の業務です。
監査人が行うと監査対象の業務に関与することになります。
【ポイント】
監査人の行為は、閲覧、質問、観察、突合などの「確かめる」行為です。
作成、制定、実施などの「業務そのもの」を行う選択肢は、監査人の行為としては誤りと判断できます。