平成23年度特別 システム監査技術者 午後Ⅱ 問1

海外拠点監査の論述視点

海外拠点でのシステム開発・運用を題材に、国内との環境差が情報セキュリティ上の論点へどう影響するかを整理し、リスク、統制、監査の関係を一つの軸で具体的に考えるための視点。

この問題で問われていること

文化や法規制、労働条件、社会基盤などの違いを単なる背景説明で終わらせず、想定リスク、コントロール、監査の進め方をどう結び付けて論述するかに焦点を置き、各設問の役割を意識する。

視点

海外拠点固有の事情を、リスクとコントロール、さらに監査上の確認対象へつなげる考え方を整理する。個別の結論を決め打ちせず、国内拠点との違いが業務や証拠の確認方法に与える影響を検討する。

確認ポイント

• 国内拠点と異なる条件のうち、情報管理に影響し得るものは何か
• その違いが、リスクと統制を考える際の前提にどう関係するか
• 監査で確認する対象や進め方を考えるとき、現地事情をどう位置付けるか

解説

海外でシステム開発や運用を行う背景を設定し、現地特有の情報セキュリティリスクと統制、さらに実効性のある監査方法まで一貫して論述する問題です。

問題の全体像

企業が海外拠点へシステム開発や運用業務を移すと、企業情報、技術情報、顧客の個人情報などを現地で扱うことになります。一方、文化や商慣習、労働条件、法規制、電力・ネットワークなどの社会的インフラは日本と異なります。提示された公式資料の出題趣旨では、国内拠点と同じ管理方法が海外拠点でも機能するとは限らず、海外特有のリスクを考慮した管理と、異なる環境に対して実効性のある情報セキュリティ監査を行う見識が問われています。答案全体では、設問アで前提となる組織・海外拠点の状況を具体化し、設問イでその状況に対応するリスクとコントロールを示し、設問ウでリスクに応じた監査方法へ展開する一貫性が重要です。採点講評でも、一般的・抽象的な記述より、問題文の文化や商慣習などを踏まえた具体的な内容が評価される傾向が示されています。

設問ア

まず、後続の設問イ・ウで扱う対象を特定できるように、海外拠点で何のシステム開発又は運用業務を行うのかを設定します。その上で、海外進出や業務移管の背景、例えば事業拡大、コスト、要員確保、現地事業との連携などの目的を述べ、実施済みか検討中か、拠点の役割や業務範囲、情報の取扱状況を示します。800字以内なので、組織の説明を広げ過ぎず、設問イで扱う重要な前提に絞ります。現地企業との提携、支店・子会社の設立、開発・運用の分担などを明確にすると、海外拠点特有のリスクを後で具体的に説明しやすくなります。

設問イ

設問アで設定した業務と情報を起点に、想定されるリスクと、それを抑えるコントロールを対応付けて記述します。例えば、現地の文化・商慣習や雇用慣行の違いによるルール理解・遵守のばらつき、法規制の違いによる情報移転や個人情報管理上の問題、現地要員や提携先による不正・誤操作・情報漏えい、電力やネットワークなどのインフラ差による可用性や業務継続への影響を、対象業務に即して示します。コントロールは、権限管理、職務分離、教育、委託先管理、ログ監視、バックアップ、通信やデータの保護、障害時の代替手段などから、設定したリスクに有効なものを選びます。採点講評では、リスクとコントロールについて問題文の状況を超えた具体性が不足する答案が目立ったとされているため、「リスクがある」「規程を整備する」といった列挙で終わらせず、誰が何をどのように管理するかまで書きます。700字以上1、400字以内のため、複数のリスクを挙げる場合も、各リスクと統制の因果関係を保ちます。

設問ウ

設問イで挙げたリスクとコントロールを前提に、海外拠点への監査を効率よく、効果的に行うための監査体制と手続を具体化します。まず、現地の法規制、言語、文化、商慣習、時差、距離、通信事情などを踏まえ、国内の監査方法をそのまま適用できるかを評価します。次に、重要情報や高リスク業務を優先した監査範囲、国内側と現地側の役割分担、現地担当者・委託先との意思疎通、通訳や用語の統一、事前の資料収集、リモート監査と現地訪問の使い分けを設計します。手続としては、規程やアクセス権一覧、ログ、バックアップ記録、委託先管理記録などを確認し、担当者への質問や現場観察、サンプル検証を組み合わせ、発見事項を現地の実態と照合します。採点講評では「インタビューを行う」「文書を閲覧する」といった簡単な記述が多く、証拠能力を高める具体的手続が少なかったとされています。そのため、何を、誰に、どの証拠で確認し、結果をどう評価・改善につなげるかまで記述します。

学習のポイント

抽象論を避け、海外事情・リスク・統制・監査手続を具体的に結び付ける力が重点です。