平成23年度特別 システム監査技術者 午前Ⅱ 問9

目的と手段を区別して読む視点

統制に関する記述を検討するときは、それが何を達成するためのものか（目的）と、どのような活動で実現するのか（手段）を切り分けて考えることが大切です。問われている観点がどちらなのかを意識して読み進めましょう。

この問題で問われていること

リスクに対するコントロールの整備と運用が、組織として最終的に何を目指すものとして位置付けられているかを、基準の考え方に照らして自分の言葉で説明できるかを確かめることが焦点です。

視点

管理基準のような枠組みでは、想定されるリスクを識別し、それに対応するコントロールを整える、という流れで整理されることが一般的です。学習するときは、個々の活動の名称と、その活動が組織全体の中で果たす役割を分けて捉えましょう。そうすると、ある記述が目的と手段のどちらを述べているのかを見極めやすくなります。

確認ポイント

• その記述が『何のために行うか』を述べているのか、『何を行うか』を述べているのかを区別できているか
• 整備と運用という語が、それぞれどの段階の話を指しているかを自分で説明できるか
• 判断の根拠を暗記した語句に頼らず、基準の考え方から筋道立てて説明できるか

正解

イ

解説

システム管理基準の目的は、情報システムが組織体の目的を実現するよう、安全、有効かつ効率的に機能する状態を支えることです。

理由

システム管理基準は、組織体が情報システムに関するリスクへのコントロールを適切に整備・運用するための基準です。その目的は、情報システムを組織体の目的実現に結び付け、安全、有効かつ効率的に機能させることにあります。

比較

システム監査業務の品質確保や監査人による保証・助言は監査側の目的です。また、リスクマネジメントに基づくコントロールの状況評価も、管理基準そのものが示す中心目的とは異なります。

選択肢ア

これは不正解だよ。システム監査業務の品質を確保し、有効かつ効率的に監査を実施することは、システム監査の実施や品質管理に関する目的です。本問が問うシステム管理基準は、監査業務そのものではなく、情報システムの適切な整備・運用を対象とします。

選択肢イ（正解）

これは正解だよ。システム管理基準の目的は、情報システムが組織体の目的を実現するように、安全、有効かつ効率的に機能する状態を支えることです。情報システムに関するリスクへのコントロールを整備・運用する目的と一致しています。

選択肢ウ

これは不正解だよ。情報セキュリティに係るリスクマネジメントに基づくコントロールの整備・運用状況を評価することは、リスク管理状況の評価に関する説明です。システム管理基準の目的である情報システムの機能や組織目的との関係を直接示していません。

選択肢エ

これは不正解だよ。リスクへのコントロールをシステム監査人が評価し、保証または助言を行うことは、システム監査人の役割に関する説明です。ITガバナンスへの寄与も監査活動の位置付けであり、システム管理基準の直接の目的ではありません。

学習のポイント

管理基準と監査基準では、目的と対象が異なる点を整理して学習します。