平成23年度特別 システム監査技術者 午後Ⅱ 問2

組織横断で見るベンダ管理の焦点

個別の取引先評価だけでなく、選定から契約、利用後の確認までが組織全体で整合しているかに注目し、ばらつきが継続性・安全性・品質・費用へ及ぼす影響を監査の視点で整理する。

この問題で問われていること

設問アからウまで一貫して、部門ごとの運用差を含むベンダ管理の全体像を捉え、どの管理上の弱点がどのようなリスクにつながるかを監査の観点で説明できる材料を整理する。

視点

ベンダとの関係を、調達担当だけの個別判断ではなく、組織全体の管理の仕組みとして捉える。関係部門、評価・契約・利用後の確認、記録や責任分担のつながりを確認し、統一性と実効性の両面から論点を整理する。

確認ポイント

• 部門や担当者ごとの判断に差がないか
• 選定・契約後の管理まで全体像を追えているか
• 管理上の弱点が事業継続や品質などにどう影響し得るか

解説

本問は、複数ベンダを利用する組織において、部門ごとの個別管理ではなく、組織横断的なベンダマネジメントの仕組みと運用を監査する力を問う。

問題の全体像

問題文は、IT利用の多様化やASP・SaaSの普及によって、組織が多数のベンダから機器、ソフトウェア、開発・保守・運用サービスを調達している状況を示している。部門や担当者ごとに選定・契約を行うと、継続性、セキュリティ、品質の水準がばらつき、調達費用も割高になり得る。そこで、組織共通の基準と手順に基づいて、選定・契約時の評価と導入後のモニタリングを行い、その結果を全社的な品質向上と経済的な調達につなげることが主題です。設問アでは自分が関係する組織と現状を具体化し、設問イではそこから生じる横断的な問題とリスクを因果関係で示し、設問ウでは文書、記録、インタビュー、実績データなどの証拠を用いて仕組みと運用を検証する流れにする。公式解答例は、複数ベンダ調達により組織全体の品質・情報セキュリティ確保が難しくなるため、組織横断的な評価とモニタリングが必要だと説明している。

設問ア

まず、答案全体の前提となる組織像を、業種・規模・主要業務・組織構成・ITの重要性が分かる程度に設定する。次に、どの部門がどのようなベンダを利用し、開発、運用、保守、クラウド、セキュリティなどをどう調達しているかを示します。その上で、調達部門や情報システム部門が共通基準を持つのか、各部門が個別に選定・契約するのか、契約台帳やベンダ評価、SLA、導入後のモニタリングが存在するのかを具体的に書く。後続設問につながるよう、現在の管理状況の長所だけでなく、部門間で基準が異なる、ベンダ情報が一元化されていない、モニタリング結果が全社で共有されないといった事実を一つ以上置く。800字以内なので、組織概要とIT利用状況、管理の仕組み、横断的な課題の前提に絞る。

設問イ

設問アで示した状況を受け、問題点とリスクを別々に列挙するのではなく、原因から結果までを対応付けて書く。例えば、部門ごとに選定基準や契約条件が異なるという問題から、セキュリティ要件やサービス水準の抜け、契約交渉力の低下、同種サービスの重複調達が生じる。ベンダ情報や契約更新時期が全社で把握されていなければ、財務基盤の弱いベンダへの依存、契約終了や障害時の代替手段不足、サービス停止のリスクにつながる。導入後のモニタリングが統一されていなければ、SLA違反、品質低下、脆弱性対応の遅れ、事故の兆候を見逃す可能性がある。ASP・SaaSを各業務部門が情報システム部門を介さず利用する場合は、全社の資産・データ・委託先を把握できないリスクも含める。採点講評では、個別の外部委託管理の説明に偏った答案や、「ベンダが多い」「コストが高い」と事実だけを述べる答案が目立ったとされるため、組織横断性、具体的な問題、発生する業務・情報セキュリティ・継続性・経済性のリスクを明確に結び付ける。

設問ウ

監査手続は、単に「関係者へインタビューする」「文書を閲覧する」と書くのではなく、何を確認し、どの証拠で、どの判断をするかまで具体化する。まず、経営方針、調達規程、情報セキュリティ規程、ベンダ管理基準、組織図、権限規程を閲覧し、組織横断的な責任分担、承認経路、例外管理が定められているかを確認する。次に、ベンダ台帳、契約一覧、サービス分類、重要度、SLA、再委託先、契約更新時期を突合し、部門の一覧から漏れているベンダや重複契約を調べる。重要度やリスクに応じてサンプルを選び、選定時の評価記録、財務・セキュリティ・継続性の調査、契約条項、秘密保持、監査権、障害時の対応条件を確認する。さらに、月次報告、SLA実績、障害・事故記録、脆弱性対応、改善要求と是正状況を閲覧し、モニタリング結果が全社的な評価や契約更新・改善に反映されているかを追跡する。情報システム部門、調達部門、業務部門、内部監査、必要に応じてベンダへ質問し、文書・記録・実績データとの整合性を確かめる。最後に、発見事項を問題、リスク、原因、改善提案、優先順位として報告し、改善後のフォローアップ手続まで示す。採点講評では、簡単なインタビューや文書閲覧だけで具体的な証拠力を高める手続が不足した答案が多かったため、リスクベースのサンプリングと証拠の突合を盛り込むことが重要です。

学習のポイント

個別ベンダの評価にとどまらず、全社的な統制、リスク、証拠に基づく監査手続を一貫して書く。