平成22年度春期 システム監査技術者 午後Ⅱ 問2

リスクと監査手続の対応を意識する

論述では、設問が求める立場と範囲を踏まえ、想定するリスク、それを抑えるコントロール、その有効性を確かめる手続、改善提言が一続きの筋道として対応しているかを意識して構成することが大切です。

この問題で問われていること

事例の状況に即して、何を確かめるために、どのような証拠をどう入手するのかを具体的に書けているか、また発見事項から改善提言へ論理的につながっているかが、検討の中心となる観点です。

視点

システム監査の論述では、監査人は独立した立場から評価や助言を行う存在であり、自ら業務の運用を担う立場とは区別されます。監査手続を書く際は、統制の整備状況と運用状況のどちらを確かめるのかを意識し、用いる技法と入手する証拠を結び付けて記述すると、手続としての具体性が生まれます。

確認ポイント

• 設問の各項目が求める内容と、自分の記述の段落構成が一対一で対応しているか
• 監査手続ごとに、確かめたい事項と入手する証拠が具体的に示されているか
• 改善提言が、手続で想定した発見事項から論理的に導かれているか

解説

電子データが大幅に増えるなか、組織はエンタープライズサーチやBIツール、ナレッジマネージャなどで活用を進めています。一方で、保護のための制限が行き過ぎると共有を妨げます。本問は、この活用と保護のバランスに留意したシステム監査を論述させる問題です。出題趣旨では、監査手続と改善提案によって両立にどう貢献できるかという見識が評価されるとされています。

問題の全体像

問題冊子では、アプリケーションシステムの多様化、組織間連携、内部統制の整備、ハードウェアの価格性能比の向上などにより、組織の電子データが飛躍的に増えたと述べられています。組織は活用のために、エンタープライズサーチやBIツールを導入し、ナレッジマネージャを任命しています。その一方で、個人情報や営業秘密の漏えいを防ぐため、アクセス範囲や機能を制限しています。ただし、過度な対策は技術情報・顧客情報・営業ノウハウの適切な共有を妨げ、付加価値の創出を阻害するおそれがあります。そのため、システム監査人は活用と保護のバランスに留意して監査しなければならない、というのが問題の前提です。公式解答例として示されている出題趣旨では、組織の電子データには、厳重に管理すべきもの（個人情報・技術情報など）と、複数部署で共有・活用することが望ましいもの（生産・販売管理情報など）が含まれると整理されています。そのうえで、安全な保護と有効な活用を両立させるために、監査手続と改善提案を通じてどう貢献できるかという見識を評価するとしています。なお、添付の採点講評の画像からは、この問題についての具体的な記述を読み取れませんでした。そのため本解説は、問題冊子と出題趣旨だけを根拠にしています。以下で示す書き方の観点は、これらの資料から導いた学習上の整理です。公式資料に書かれた評価事項そのものではありません。

設問ア

問題冊子の設問アでは、次の三つを800字以内で述べることが求められています。(1)保有している電子データの主な内容、(2)それらを活用するために整備されている仕組み、(3)組織の業務内容との関係。出題趣旨は、電子データを「厳重に管理すべきもの」と「複数部署で共有・活用することが望ましいもの」に分けて捉えています。このため、自分の組織のデータがどちらの性質を持つかが読み手に伝わるように書くと、設問イ・ウとのつながりを作りやすくなります。仕組みについては、問題文の例（エンタープライズサーチ、BIツール、ナレッジマネージャ）を参考にしつつ、自分の組織で実際に整備されている仕組みを書きます。そして、それがどの業務でどう使われているかを業務内容と結び付けて述べます。設問イで有効性を監査する対象になるので、「何のための仕組みか」が分かるように書いておくことが、後の論述の土台になります。

設問イ

問題冊子の設問イでは、設問アの仕組みについて、その有効性を監査する場合の監査手続を、具体的な監査証拠を例示しながら700字以上1、400字以内で述べることが求められています。問題文が問うのは、活用する仕組みの「有効性」です。つまり、データが組織横断で共有・活用され、付加価値の創出につながっているかという観点です。問題文には、過度なセキュリティ対策が共有を妨げるおそれがあるとの指摘もあります。したがって、保護のための制限が活用を不当に妨げていないかという視点も、この設問の問題意識に沿っています。答案では、設問アで書いた仕組みの目的に対し、(1)何を確かめるのか（監査の着眼点）、(2)どのような手続で確かめるのか、(3)その際にどの資料・記録を監査証拠として入手するのか、を対応付けて具体的に書くことが、設問の要求を満たす書き方になります。どの手続や証拠を挙げるかは受験者の事例によって変わります。添付の公式資料には、特定の手続や証拠を正答として示す記載はありません。

設問ウ

問題冊子の設問ウでは、電子データの活用を推進する組織で保護が不十分にならないよう、監査人がどのような改善案を提言できるかを、設問ア・イに関連させて700字以上1、400字以内で述べることが求められています。出題趣旨には、「監査手続とそれを踏まえた改善提案を通じて」保護と活用の両立に貢献するとあります。このため、設問イの監査で把握した状況や課題を踏まえた改善案として書くと、出題趣旨に沿った流れになります。また、この設問は「活用を推進する組織」が前提です。活用を止めたり大きく制限したりするだけの提言は、問題文が指摘する「過度なセキュリティ対策」の懸念と両立しにくくなります。出題趣旨は、厳重に管理すべきデータと共有が望ましいデータの区別を示しています。この区別を意識し、活用を続けながら保護の不足を補う改善案を、自分の事例に即して具体的に述べることがポイントです。個別の技術的対策や管理策の選び方について、添付の公式資料に正答として示された記載はありません。

学習のポイント

活用と保護の両立という出題趣旨の軸を外さないことが重点です。そのうえで、設問アの仕組み、設問イの監査手続・監査証拠、設問ウの改善案を、自分の事例で一貫させて書く練習をします。