平成23年度特別 システム監査技術者 午後Ⅰ 問3

問3　システムの要件定義段階における監査に関する次の記述を読んで，設問1～4に答えよ。 T社は，機械工具などの製造販売会社であり，国内3か所の工場と子会社で製造し，本社及び約20の販売拠点で営業活動を行っている。T社では，競争力を強化するために，生産管理システムを再構築することにした。 T社のシステム部は，人員が少なく，既存システムの保守で手一杯である。そこで，生産管理システムの構築については，本社の製造管理部がシステムオーナとなり，システム部が技術支援を行い，開発はX社に委託することにした。現在，要件定義の終了段階である要件定義書のレビューが終わり，基本設計の開始に向けた準備をしているところである。 T社の監査部では，次の基本設計に進むのに必要な条件を満たしているかどうかを確認するために，システム監査を実施した。 〔生産管理システムの概要〕 T社が扱う製品には，標準品と，顧客の要望によって標準品のサイズなどを変更する特注品がある。近年は，特注品の注文が増えてきている。特注品のリードタイムは，受注してから2か月ほどであり，このリードタイムを短縮することが生産管理システム再構築の主要目的である。 生産管理システムは，10年ほど前に標準品の生産管理を想定して構築された。特注品の製造工程の一部を，子会社が担当することもあるので，子会社との情報交換が必要である。また，特注品のリードタイムを短縮するためには，子会社での仕掛品の在庫を管理し，投入スケジュールを適切に指示できるようにする必要がある。 〔生産管理システムの委託契約の概要〕 T社は，既存システムの保守の一部をX社に委託していることから，システム部を契約の窓口として，X社と生産管理システムの開発委託契約を結んだ。契約内容は，次のとおりである。 (1) 要件定義段階は準委任契約とし，要件定義書の作成はX社が担当する。 (2) 基本設計段階以降は請負契約とし，基本設計，詳細設計，システムテスト及び本番移行の工程ごとに，T社のシステム部及び関係部門が参加して，ドキュメントのレビュー及び検収を行う。 (3) 開発に必要な機器，ネットワーク，そのほかの資源は，T社が提供する。 〔要件定義書の作成〕 生産管理システムの開発プロジェクトマネージャは製造管理部長であり，T社の製造管理部とシステム部がX社と共同で開発を進める体制となっている。 X社は，T社の各工場の代表者にインタビューして，それぞれの要求事項をまとめ，表1に示す要件定義書を作成した。 表1　要件定義書（抜粋） 〔システム監査の結果〕 監査部は，既に要件定義書の作成段階から予備調査に着手しており，要件定義書のレビュー終了後に本調査を実施した。予備調査及び本調査で分かったことは，次のとおりである。 (1) 要件定義に当たり，X社は，自社の標準様式で要件定義書を作成した。T社による要件定義書のレビューにおいて，データモデルの記載内容，記載レベルについてT社とX社間で認識の相違があることが分かった。X社では，概念データモデルとしてE-R図を作成した。T社では，論理データモデルの記載内容の一部を含んだ独自のフォーマットで作成することになっていた。X社は，T社の指摘を受けて，要件定義書を追加・修正した。それでもなお，監査部は，“基本設計以降の工程でリスクが顕在化するおそれがある”と考えた。 (2) X社は，各工場の代表者にインタビューして業務要件をまとめた後，製造管理部の担当者に確認してもらい，機能要件をまとめた。製造管理部では，システム基盤に依存する記述箇所については判断できないので，X社で作成したものをそのままレビューに提出することにした。システム部は，開発環境の整備を行ったが，要件定義には直接関与していない。 (3) 製造管理部長に確認したところ，あるサブシステムで業務要件が未確定のものがあることが分かった。基本設計では，子会社に開放する機能の画面設計が予定されている。子会社から担当者を選任してもらい，具体的な設計に着手することになっており，既に要員の準備も完了している。製造管理部は，業務要件の一部が確定していない状況でも，要件が確定しているサブシステムの基本設計に着手することを求めている。生産管理システムの稼働開始時期は決まっているので，基本設計はスケジュールどおり来月初めから開始することになった。監査部は，“T社がX社に対し，基本設計に着手する前に前提条件を提示しておくべきである”と考えた。 (4) 非機能要件として，機密性については外部からの攻撃への対策，アクセスコントロールなどの記述があるが，可用性についてはバックアップの頻度に関する記述だけであった。そこで，監査部は，“表1の項番1の業務要件③を満たすための可用性についても要件定義書に記載しておくべきである”と考えた。 設問1　〔システム監査の結果〕(1)について，(1)，(2)に答えよ。 (1) 監査部が考えたリスクを，45字以内で述べよ。 (2) 監査部が提言すべき改善策を，30字以内で述べよ。 設問2　〔システム監査の結果〕(2)について，(1)，(2)に答えよ。 (1) 契約形態から考えて，監査部として確認しておくべき事項を40字以内で述べよ。 (2) システム部が直接に関与していない点について，監査部として確認すべきことを，35字以内で述べよ。 設問3　〔システム監査の結果〕(3)について，監査部が考えた前提条件を40字以内で述べよ。 設問4　〔システム監査の結果〕(4)について，監査部が，要件定義書に記載しておくべきであると考えた非機能要件を，30字以内で述べよ。