平成22年度春期 システム監査技術者 午前Ⅱ 問4

監査観点を整理するための確認軸

外部委託先の監査を考えるときは、実施の有無だけで判断せず、委託業務に伴うリスクと、確認結果を後から追跡できる根拠の結び付きを一つの軸として整理し、全体像を捉えましょう。

この問題で問われていること

選択肢を比べる際は、監査で何を確認するかという対象と、その確認結果を誰がどの資料や記録で確かめられるかという追跡性が対応しているかに注目し、観点の一貫性を確認してください。

視点

監査の観点は、委託業務に関するリスク、確認対象、証跡、指摘後の扱いが互いに結び付いているかという視点で整理します。個別の制度名や手順の暗記ではなく、確認内容と根拠の対応関係を見ます。

確認ポイント

• 監査対象と、委託業務上のリスクが対応しているか
• 確認結果を後から追跡できる根拠が想定されているか
• 指摘事項を記録し、関係者が確認できる形になっているか

正解

ア

解説

外部委託管理では、委託先に任せた業務であっても、情報資産へのアクセスや成果物の品質を委託側が適切に確認できる仕組みが必要です。請負契約の指揮命令関係にも注意します。

理由

委託側は、委託先要員による情報資産へのアクセスが適切に管理されているかを確認する責任があります。そのため、契約で委託側が必要な監査を実施できるよう定めることが適切です。

比較

請負契約では、受託側要員への指揮命令は原則として受託側が行います。また、委託したシステムの品質管理を委託側が確認不要とする根拠はなく、機密性が高いだけで自社開発への切替えを勧告することも適切ではありません。

選択肢ア（正解）

これは正解だよ。外部委託先の要員が委託側の事務所で作業する場合でも、アクセス権限や利用状況が適切に管理されているかを確認する必要がある。契約で委託側の監査権限を定めておけば、セキュリティ対策の実施状況を確認できる。

選択肢イ

これは不正解だよ。請負契約では、仕事の完成を受託側が請け負い、受託側要員への具体的な指揮命令は受託側が行う。委託側責任者が受託側要員を直接指揮することを前提に監査する記述は、請負契約の関係と整合しない。

選択肢ウ

これは不正解だよ。外部委託で開発した業務システムであっても、委託側は自組織の業務や情報資産に関わる品質を確認する必要がある。受託側だけに監査を任せ、委託側が監査不要とすることは、委託側の管理責任を果たせない。

選択肢エ

これは不正解だよ。機密度の高いシステムを外部委託している場合でも、契約やアクセス管理、監査などで適切な安全管理を確保できる。機密度が高いという理由だけで、自社開発へ切り替えるよう改善勧告するのは適切ではない。

学習のポイント

外部委託契約における監査権限と指揮命令関係の違いを学ぶ。