平成23年度特別 システム監査技術者 午前Ⅱ 問3

委託先の継続性を確認する視点

外部委託の継続性を考えるときは、委託先に依存する業務を洗い出し、停止や品質低下が起きた場合の影響と、復旧までに必要な確認事項を整理し、実際に確認できる状態かを考えることが重要です。

この問題で問われていること

一つの確認観点として、委託先に問題が生じても重要業務を維持できるかを、代替手段・連絡体制・復旧の見通しという観点から、問題文に沿って具体的かつ丁寧に確かめてください。

視点

事業継続性の確認では、委託先の能力だけでなく、障害や契約上の変化が自組織の業務へ及ぼす影響を捉え、必要な備えが確認可能な形で整理され、定期的に点検できるかを検討します。

確認ポイント

• 委託先の停止が重要業務に及ぼす影響を、業務の優先度と合わせて確認する。
• 継続や復旧に必要な役割分担と連絡経路が、関係者間で明確になっているか確認する。
• 平常時の確認だけでなく、環境変化や障害発生時にも見直せる情報になっているか確かめる。

正解

エ

解説

外部委託先が経営破綻すると、ソフトウェアの保守や改修を依頼できなくなるおそれがある。その場合に備え、ソースコードなどを第三者に預託し、一定条件で利用者が入手できるエスクロウ条項を確認する。

理由

エスクロウ条項は、ソフトウェアのソースコードなどを第三者に預け、委託先の経営破綻など、あらかじめ定めた条件が成立した場合に利用者へ引き渡せるようにする契約です。これにより、委託先から通常のメンテナンスを受けられなくなった場合でも、別の保守体制へ移行しやすくなる。

比較

瑕疵担保責任は納品物の欠陥に関する責任、SLAはサービス水準の評価や合意、再委託禁止は責任や委託経路の管理に関する条項です。いずれも、委託先の経営破綻後にソースコードを確保して保守を継続する仕組みを直接示すものではありません。

選択肢ア

これは不正解だよ。瑕疵担保責任条項は、開発したソフトウェアに契約上の欠陥があった場合の責任や補修などを定めるものだよ。委託先が経営破綻して保守を受けられなくなったとき、ソースコードを確保して別の保守体制へ移行するための条項ではないため、設問の目的とは異なるよ。

選択肢イ

これは不正解だよ。SLA条項は、外部委託先のサービスについて、可用性や応答時間などの目標水準を定め、実績を評価するためのものだよ。サービス品質を管理する効果はあるけれど、委託先が経営破綻した後にソフトウェア資産を利用者側で保守できるようにする契約上の備えではないよ。

選択肢ウ

これは不正解だよ。再委託禁止条項は、ソフトウェア開発を別の事業者へ再委託することを制限し、責任の所在や委託経路を明確にするためのものだよ。委託先の経営破綻時に、保守や改修に必要なソースコードを第三者から取得できる仕組みを定める条項ではないよ。

選択肢エ（正解）

これは正解だよ。エスクロウ条項は、ソフトウェアのソースコードなどを第三者へ預託し、経営破綻などの条件が成立した場合に利用者へ引き渡せるようにするものだよ。委託先からメンテナンスを受けられなくなっても、別の事業者による保守へ移行するための資産を確保できるため、設問の目的に合うよ。

学習のポイント

外部委託の監査では、委託先の破綻時にも保守を継続できる契約上の代替手段を確認する。