平成21年度春期 システム監査技術者 午前Ⅱ 問4

再発防止策の効果を見極める視点

再発防止策を評価するときは、実施した事実だけでなく、想定したリスクに対して状況がどう変化したかを追い、継続的に見直せる観点を持つことが重要です。確認結果の根拠と記録の扱いにも注目してください。

この問題で問われていること

今回は、対策の有無ではなく、対策後の状態をどのような根拠で確認し、期待した改善とのずれや新たな懸念を把握するかという、効果レビューの進め方に集中してください。評価対象と判断材料の対応関係を意識しましょう。

視点

効果レビューでは、目的と確認対象を先に明確にし、観察した事実と判断を分けて整理します。そのうえで、一定期間の変化、関係者から得た情報、未解決の懸念を照合し、必要な見直しにつなげます。

確認ポイント

• 確認対象と評価の目的が、当初想定したリスクと結び付いているか
• 対策後の変化を、単発の印象ではなく複数の根拠から確認できるか
• 期待との差異や残る懸念を記録し、次の改善判断へつなげられるか

正解

エ

解説

再発防止策の効果をレビューするには、対策の前後で障害の発生状況とシステム停止への影響がどのように変化したかを、障害原因別に比較することが適切です。

理由

障害原因別の発生件数と停止時間を前期と当期で比較すれば、再発防止策の実施後に障害が減少したか、停止時間が短縮したかを具体的に評価できます。これはシステムの可用性に対する対策効果を、実際の障害実績から確認する手続です。

比較

記載の有無や承認状況の確認は、報告書の作成・管理状況を確認する手続です。また、回復許容時間の予測値の比較は計画値の比較であり、実際の障害発生状況や停止時間に基づく効果測定とは異なります。

選択肢ア

これは不正解だよ。障害原因と障害発生時の停止時間が報告書に記載されているかを確認するだけでは、報告書の整備状況は分かっても、再発防止策によって障害件数や停止時間が改善したかという効果までは評価できない。

選択肢イ

これは不正解だよ。障害報告書の承認体制と承認状況を確認する手続は、報告内容が定められた手順で承認されているかを確かめるものだが、再発防止策の実施後に障害実績が改善したかを直接確認するものではない。

選択肢ウ

これは不正解だよ。前期及び当期の回復許容時間の予測値を比較しても、予測上の目標や見積りの変化しか分からない。実際に障害が何件発生し、停止時間がどう変化したかを示す実績の比較になっていない。

選択肢エ（正解）

これは正解だよ。前期及び当期について、障害原因別の発生件数と停止時間を比較すれば、再発防止策の実施後に同じ原因の障害が減ったか、停止による影響が小さくなったかを実績に基づいて評価できる。

学習のポイント

可用性監査では、記録の存在確認ではなく、障害実績の変化から対策効果を評価する視点を身につけます。