平成23年度特別 システム監査技術者 午後Ⅱ 問3

リスクと監査手続の対応関係を確かめる

論述では、状況から読み取れるリスクと、それに対して計画する監査手続がどのように結び付くかを一貫して説明することが大切です。その手続が何を確かめるためのものかを意識して検討しましょう。

この問題で問われていること

検討の中心は、リスクの一般論ではなく、状況に固有の事情から生じるリスクと、それを確かめるための監査手続との対応です。両者の間に論理的なつながりがあるかという一点に着目してください。

視点

監査手続は、目的（何を確かめたいか）、対象（どの資料や事実を見るか）、方法（どう確かめるか）の組合せとして整理できます。リスクを記述したら、そのリスクが顕在化しているかどうかを判断するために必要な証拠は何かを考えます。次に、手続がその証拠を得られるものになっているかを振り返ります。こうすると、対応関係が妥当かどうかを自分で点検できます。

確認ポイント

• そのリスクが、状況のどの記述や事情から生じるのかを自分の言葉で説明できるか
• 監査手続で得られる証拠が、そのリスクの有無を判断する材料になっているか
• リスクから手続までの説明が途切れずにつながり、論理の飛躍がないか

解説

本問は、情報システムや組込みシステムの開発プロジェクトについて、その特徴から特有のリスクを導き、プロジェクト管理の適切性を確かめる監査手続を論述する問題です。出題趣旨では、規程やルールに準拠しているかを見る準拠性の監査だけでは、特有のリスクを低減するコントロールが機能しているかを判断できないおそれがあるとしています。そのうえで、プロジェクトの特徴と特有のリスクを踏まえて監査する見識や能力を問うとしています。採点講評は次の3点を指摘しています。設問イではQCDの切り口による論述が多く、特徴を踏まえた具体的な論述は少なかったこと。設問ウでは監査のポイントだけを述べて監査証拠を書いていない論述が目立ったこと。求めていない監査結果や改善提案の論述も散見されたこと。

問題の全体像

問題冊子では、システムに求められる品質、開発コスト、開発期間への要求が厳しくなっているとしています。また、外部委託の増加や、組込みシステムの開発作業の複雑化も挙げています。そのうえで、プロジェクト管理が不適切だと、コスト超過やスケジュール遅延に加え、稼働後の大きな障害や事故につながるおそれがあると述べています。さらに、システムの構成、アプリケーションの種類、コスト、期間はプロジェクトごとに異なるため、想定されるリスクもそれぞれ異なると指摘しています。そのため、規程やルールへの準拠を確認するだけでは、特有のリスクを低減するコントロールが機能しているかを判断できないおそれがある、というのが問題文の問題意識です。出題趣旨も同じ認識で、開発手法の多様化やオフショア開発などに触れています。そのうえで、プロジェクトの特徴と特有のリスクを踏まえてプロジェクト管理の適切性を監査する見識や能力を問う、としています。採点講評によると、本問は最も選択率が高く、その理由はプロジェクト管理という基本的なテーマだったからと考えられるとしています。一方で次の3点を指摘しています。情報システムのリスクや運用後のリスクについての論述、プロジェクトマネージャやプロジェクトリーダの視点からの論述が見受けられたこと。設問イではQCDの切り口の論述が多く、特徴を踏まえた具体的な論述が少なかったこと。設問ウでは監査のポイントだけで監査証拠を記述していない論述が目立ち、設問で求めていない監査結果や改善提案などの論述も散見されたこと。また、午後Ⅱ全体の講評として、字数の下限ぎりぎりや下限未満の論述が目立ったとしています。答案では、システム監査人の立場から、開発段階のプロジェクト管理に関わるリスクと監査手続に焦点を絞ることが重要です。

設問ア

800字以内で、携わった情報システムまたは組込みシステムの概要と、その開発プロジェクトの特徴を述べます。公式解答例はない論述問題のため、ここでは出題趣旨と採点講評から書くべき内容を説明します。問題文は、システムの構成、アプリケーションの種類、開発のコストや期間がプロジェクトごとに異なり、それがリスクの違いを生むとしています。したがって特徴は、設問イの特有のリスクを導く根拠になるように書く必要があります。問題文と出題趣旨に出てくる観点には、外部委託（オフショア開発）、組込みシステムの高機能化・複雑化、開発手法の多様化、厳しいコストや期間の条件などがあります。自分の事例に当てはまるものを具体的に示すとよいでしょう。システムの概要説明だけで字数を使い切らず、プロジェクトの特徴に十分な分量を割くことがポイントです。

設問イ

700字以上1、400字以内で、設問アで述べた特徴を踏まえ、プロジェクト管理において想定すべきリスクを具体的に述べます。採点講評では、QCDの切り口による論述が多く、プロジェクトの特徴を踏まえた具体的な論述は少なかったと指摘されています。「コストが超過する」「納期が遅れる」「品質が低下する」といった、どのプロジェクトにも当てはまる一般論だけでは、出題趣旨の求める特有のリスクになりません。設問アの特徴を起点に、なぜそのプロジェクトでそのリスクが生じるのかを因果関係で説明し、プロジェクト管理上の弱点として示すことが評価のポイントです。また採点講評では、情報システムのリスクや運用後のリスクについての論述が見受けられたとしています。本問が問うのはシステム開発のプロジェクト管理において想定すべきリスクなので、焦点がずれないよう注意します。字数下限ぎりぎりにならないよう、リスクごとに発生要因と影響を具体的に書き込みます。

設問ウ

700字以上1、400字以内で、設問イのリスクに対するプロジェクト管理の適切性を監査するために必要な監査手続を、プロジェクト管理の内容と対応付けて述べます。採点講評では、監査のポイントだけを述べて監査証拠を記述していない論述が目立ったと指摘されています。そのため、「〜を確かめる」という着眼点だけでなく、どの記録・文書などを対象に、どのような方法で確認し、どのような監査証拠を入手するかまで具体的に示すことが求められます。採点講評は、設問で求めていない監査結果や改善提案などの論述も散見されたと否定的に指摘しています。答案は、監査手続（対象、方法、入手する監査証拠）に絞ってください。監査結果や改善提案を書いても、設問への解答にはなりません。構成としては、設問イのリスクごとに、①そのリスクを低減するためのプロジェクト管理の内容、②その管理が適切に機能しているかを確かめる監査手続、を対応付けるとよいでしょう。また採点講評は、プロジェクトマネージャやプロジェクトリーダの視点からの論述が見受けられたとしています。管理策そのものの説明で終わらず、システム監査人の立場で「確かめる手続」として書くことが大切です。なお、監査証拠の例として外部委託先の進捗報告や成果物の検収記録、変更管理の記録、試験計画・試験結果などを挙げる解説もあります。これらは一般的な補足例にすぎず、公式資料に示された個別の正答要素ではありません。実際の答案では、自分の事例のプロジェクト管理に即した監査証拠を選んでください。

学習のポイント

「プロジェクトの特徴→特有のリスク→それに対応するプロジェクト管理→そのプロジェクト管理を確かめる監査手続（監査証拠を含む）」の一貫した流れを組み立てる練習をしてください。あわせて、設問で求められていない監査結果や改善提案を書かないよう、設問の要求範囲を守る練習が重点です。