平成21年度春期 システム監査技術者 午後Ⅱ 問3

事例の状況からリスクを導く視点

論述では一般論を並べるより、設問が示す組織や業務の状況に即して、どこに信頼性を損なう要因があるかを捉え、そこから監査で確かめるべき点を筋道立てて導く姿勢が大切です。記述の各部分が互いにつながっているかも意識しましょう。

この問題で問われていること

企画・開発段階という時期の特性を踏まえ、設問で問われている範囲がどこまでかを見極めたうえで、想定されるリスクと、それに対して監査人が何を確かめるかの対応関係を一貫させることが焦点になります。

視点

監査の着眼点は、単独で思い付くものではなく、対象に潜むリスクを起点に導かれるものです。まず状況を読み取り、何が起きると信頼性が損なわれるのかを自分の言葉で整理します。次に、そのリスクが適切に抑えられているかを確かめるために、監査人がどのような観点で、どのような証拠を確認するのかを考えます。リスクと着眼点、確認手段の三者が一本の筋でつながっているかを意識すると、論述に説得力が生まれます。

確認ポイント

• 設問が求めている段階や範囲を読み取り、その範囲外の話題に論点がずれていないか
• 取り上げたリスクが、提示された状況に固有の事情と結び付いて説明できているか
• 各着眼点について、監査人として何を確かめれば判断できるのかまで考えが及んでいるか

解説

本問では、企画・開発段階での情報システムの信頼性確保について、システム監査人の立場で論述します。業務やサービス提供の重要度と、不具合・障害による影響度から求められる信頼性を示します。次に、想定したリスクと対応策を述べます。最後に、IT環境の特徴を踏まえて、それらを監査で確かめる際に留意する点を書きます。

問題の全体像

問題文では、情報システムの役割が広がった結果、不具合や障害による業務・サービスの停止や機能低下の影響が大きくなり、信頼性確保の要請が高まっていると述べています。企画・開発段階の信頼性確保とは、期待どおりの機能やサービスを提供できるように設計・構築することです。そのためには、不具合や障害を未然に防ぎ、発生した場合も影響範囲を最小限に抑えるハードウェア、アプリケーション、ネットワークなどのIT環境を構築することが重要だとされています。また、求められる信頼性の水準は、業務の重要度や障害による影響度によって異なります。問題文では、決済システムと人事システムではディスク障害で業務が中断したときの影響度や範囲が違い、対応策も異なるという例が示されています。公式解答例（出題趣旨）では、IT環境の特徴を踏まえた信頼性確保を確かめるため、リスクと対応策を想定しながら企画・開発段階の監査を行う知識や能力があるかを評価するとしています。なお、添付の採点講評画像からは本文を判読できないため、本解説では問題文と出題趣旨だけを根拠にしています。

設問ア

800字以内で、自分が関係した情報システムの概要と、業務やサービス提供の中でそのシステムに求められる信頼性を述べます。問題文では、信頼性の水準は業務の重要度と障害による影響度によって異なるとしています。そのため、単に「高い信頼性が必要」と書くのではなく、どの業務やサービスを支えるシステムで、止まったり機能が低下したりすると誰にどの範囲で影響が出るのかを具体的に示します。そのうえで、だからこの水準の信頼性が必要だと導くことが大切です。問題文の決済システムと人事システムの対比のように、自分の題材の特性を明確にしておくと、設問イ・ウの内容と自然につながります。

設問イ

700字以上1、400字以内で、設問アで述べた信頼性を確保するために企画・開発段階で想定したリスクと対応策を述べます。設問では、関連する業務やサービス提供の重要度と、情報システムへの影響度を含めることが明示されています。そのため、各リスクについて、発生したときに業務やシステムにどの程度の影響があるかを示し、その重要度・影響度に見合う対応策を対にして書きます。問題文では、信頼性確保の手段として、不具合や障害の未然防止と、発生時の影響範囲の最小化、その対象となるハードウェア・アプリケーション・ネットワークなどのIT環境が挙げられています。リスクと対応策をこれらの観点と結び付けると、問題文の要求に沿った論述になります。どのようなリスクを取り上げるかは受験者の経験に基づくもので、公式資料に特定の正解があるわけではありません。重要なのは、設問アで示した信頼性の水準と筋が通っていることです。

設問ウ

700字以上1、400字以内で、設問イで想定したリスクと対応策について、どのような点に留意して監査すべきかを述べます。設問では、IT環境の特徴などを踏まえることが求められています。公式解答例（出題趣旨）でも、IT環境の特徴を踏まえた信頼性確保を確かめるための知識や能力を評価するとしています。そのため、監査の一般論を並べるのではなく、設問イの各リスクと対応策に対応させて、システム監査人として何を確かめるかを書きます。たとえば、対応策が業務の重要度や影響度に見合っているか、未然防止と影響範囲の最小化の両面で有効か、といった点です。そのうえで、自分の題材のハードウェア、アプリケーション、ネットワークなどの特徴から、特に注意すべき点を示します。設問イの内容と対応していること、システム監査人の立場で書かれていること、IT環境の特徴に触れていることが、出題趣旨に沿った評価のポイントになります。

学習のポイント

重要度・影響度から信頼性の水準を導き、リスクと対応策、監査の留意点までを一貫した流れで書く練習をすることが重点です。