平成23年度特別 システム監査技術者 午前Ⅱ 問5

監査手続が何を確かめるかを見極める

システム監査の手続は、それぞれ確かめようとしている対象が異なります。問題で扱われている手続を実施したとき、監査人がどのような証拠を得て、何について結論を出せるのかという一点に絞り、問われている評価の種類と対応づけて考えましょう。

この問題で問われていること

この問題で確認すべき観点は、ある手続によって得られる証拠が『何を裏付けるものか』です。手続の名称や一般的な印象ではなく、その手続の結果から導ける結論の範囲に注目し、問われている評価の目的と一致しているかを自分で判断してください。

視点

監査でコントロールを評価するときは、まず評価の目的を明確にし、その目的に見合った証拠を集めます。同じ対象を調べる手続でも、得られる証拠の性質によって、支えられる結論の範囲は変わります。そのため、手続を見たら『この手続の結果から何が言えて、何は言えないか』を考えることが基本の検討手順になります。

確認ポイント

• 問われている評価が何を明らかにしようとしているのかを、自分の言葉で一文にまとめたか
• 検討している手続で得られる証拠が、その評価の目的に対して十分な根拠になるかを考えたか
• 手続の名称や用語の印象だけで判断せず、その結果から導ける結論の範囲に基づいて判断したか

正解

エ

解説

運用状況の評価では、パスワード管理の方針やルールが存在するかではなく、そのルールに従った設定が実際に行われているかを確認する。したがって、管理ファイルから抽出したサンプルの設定状況を確認するエが該当する。

理由

整備状況の評価は、パスワード管理方針、設計、承認ルール、マニュアルなど、管理の仕組みが定められているかを確認する。一方、運用状況の評価は、その仕組みが実際のシステム運用で守られているかを確認する。

比較

実際のパスワード管理ファイルから抽出したサンプルを調べれば、設定ルールがユーザのパスワードに反映されているかを確認できる。これは文書の存在確認ではなく、現実の設定状態を対象とする運用状況の評価です。

選択肢ア

これは不正解だよ。システム仕様書の承認ルールを閲覧し、方針に基づく設計が行われていることを確認する手続である。確認対象は設計と承認の仕組みであり、実際のユーザパスワードがルールどおり設定されているかという運用結果ではない。

選択肢イ

これは不正解だよ。システム部門の責任者への質問で会社のパスワード管理方針を確認する手続である。方針の内容や認識を確認するもので、実際のパスワード設定が方針に従って運用されていることを直接確認する手続には当たらない。

選択肢ウ

これは不正解だよ。パスワード管理マニュアルを閲覧して設定ルールを確認する手続である。確認しているのは運用の基準となる文書の内容であり、そのルールが実際のユーザ設定に適用されているかという運用状況そのものではない。

選択肢エ（正解）

これは正解だよ。パスワードを管理しているファイルからサンプルを抽出し、実際のパスワード設定状況を確認する手続である。規程や設計の存在ではなく、定められた管理が現実の運用結果に反映されているかを調べるため、運用状況の評価に該当する。

学習のポイント

整備状況は規程や設計の確認、運用状況は実際の設定結果や運用記録の確認として区別する。