平成24年度春期 システム監査技術者 午後Ⅰ 問3

監査要点と確認手続の対応を見極める

監査に関する問題では、確かめたい監査要点と、実際に行う手続や入手する証拠とが対応しているかが検討の軸になります。各項目について、その手続で本当にその要点が裏付けられるのかを一つずつ自問してみましょう。

この問題で問われていること

本問の検討では、監査要点ごとに、示された手続や指摘が何を対象として確認・評価しているのかを捉えることが重要です。手続が実際に確かめている対象と、監査要点が問う対象とが一致しているかという一点に注目してください。

視点

システム監査では、まず「何を確かめたいのか」という監査要点があり、それを裏付けるために手続を実施して証拠を入手します。どれほど丁寧な手続でも、確かめている対象が監査要点とずれていれば、その要点についての結論の根拠にはなりません。管理上の不備を検討する場面でも同様に、指摘されている事柄が、問われている要点とどう結び付くのかを意識することで、検討の筋道が整理しやすくなります。

確認ポイント

• 各監査要点が「何が確保されていること」を確かめようとしているのかを、自分の言葉で言い直せるか
• 検討している手続や指摘が、実際にはどの対象・どの時点の状態を確認するものなのかを捉えられているか
• その手続の結果が得られたとして、それだけで当該監査要点についての結論を裏付けられるかを自問したか

解説

ネット証券会社E社の障害再発防止の取組みを題材に、障害管理要領と表1の障害報告書から統制の不備を見つける問題です。障害報告書に記録されない経路、承認後の実施を確かめる記載項目と監査手続、根本原因を調べる手続、要領の手順では対応できない緊急ケースを、本文に即して具体的に答えることが求められます。

問題の全体像

E社では、ソフトウェアの品質向上に取り組んできたにもかかわらず、システム障害が思うように減らず、過去と同様の障害も繰り返し発生しています。D君のチームは、障害の記録・分析と再発防止の取組みを監査します。予備調査で確認した“システム障害管理要領”(1)～(6)と、表1のシステム障害報告書の例を監査要点(ア)～(カ)に照らし、統制の弱点を見つけることが求められています。出題趣旨によると、障害の記録・分析と再発防止策の策定に関わる体制及びプロセスの適切性を監査する能力を問う問題です。採点講評では、設問1と設問2(1)は正答率が高く、設問3と設問4は問題文に即した深い分析が必要なため正答率が低かったとされています。また、具体性のない記述が多かったことも指摘されています。

設問1

要領のどの段階でシステム障害報告書が作られるかに着目します。要領(5)によると、報告書を作成するのは保守チームです。一方、要領(1)では、ヘルプデスクが過去の障害対応を記録したデータベースを参照するなどして問題を解決できた場合、その時点で障害対応を完了します。つまり、保守チームに連絡が届かないまま終わった障害は、報告書に記載されない可能性があります。公式解答例では「障害が保守チームに報告されず、対応が完了したケース」とされています。30字以内で答えるには、「保守チームに届かない」と「対応が完了する」の2点を押さえます。

設問2(1)①

監査要点(オ)は、再発防止策が権限者の承認後に実施されていることです。これを確かめるには、承認した時点と実施した時点を比べる必要があります。表1の報告書には、作成日、承認者、署名欄、再発防止策の実施予定日はあります。しかし、承認した日を示す項目はありません。公式解答例では、一つ目の項目を「承認者が承認を行った日付」としています。

設問2(1)②

比較するもう一方は、実際に実施した時点です。表1には「実施予定日」しかなく、予定どおり実施されたのか、いつ実施されたのかが分かりません。公式解答例では、二つ目の項目を「再発防止策が実施された日付」としています。承認日と実施日の両方が記録されていれば、承認の後に実施されたかどうかを報告書だけで確かめられます。

設問2(2)

表1に固有の事情に着目します。報告書の作成日は12月22日（木）で、パッチ適用の実施予定日は12月24日（土）です。要領(5)では、報告書の内容を月次ミーティングで協議し、システム運用責任者が承認者として署名してから実施することになっています。この短い期間に月次ミーティングが開かれ、承認されたのかが疑わしいといえます。報告書には承認日がないため、ほかの証拠で確かめる必要があります。公式解答例では、月次ミーティングの議事録で開催日と出席者を確認し、パッチを適用したシステム上の日付と比べる手続を示しています。採点講評では、表1のケースに即した記述が求められているのに一般的な記述にとどまる解答が多かったと指摘されています。「議事録」「開催日・出席者」「パッチ適用のシステム日付との比較」を具体的に盛り込むことが大切です。

設問3

表1の「障害の原因」欄には、最新のパッチが未適用だったことが書かれています。ただし、パッチ配布時にその情報は通知されており、システム担当者が「当社では同様の障害が発生していないので適用する必要がない」と判断していました。パッチが未適用だったのは直接原因にすぎません。担当者がなぜそう判断し、なぜその判断が通ってしまったのかという点に根本原因があると考えられます。公式解答例では、システム担当者にインタビューを行い、最新のパッチを適用しなかった理由を確認する手続が示されています。採点講評では、障害管理における“根本原因”という用語を理解していない解答が見られたと指摘されています。50字以内で答えるには、「誰に」「どの技法で（インタビュー）」「何を確かめるか（パッチを適用しなかった理由）」をそろえます。

設問4

監査要点(エ)（関係者間の協議・決定）と(オ)（承認後の実施）について、要領(5)は、月次ミーティングで協議し、その後に承認して実施するという流れしか定めていません。しかし表1の障害は重要度・緊急度とも「高」で、取引が長時間止まっています。このような障害では、次の月次ミーティングを待たずに再発防止策を実施すべき場合があります。その場合、要領の手順では協議も承認もできません。公式解答例では「再発防止策を月次ミーティング前に実施しなければならないケース」とされています。40字以内で答えるには、「月次ミーティングより前に」「再発防止策を実施する必要がある」の2点を明確にします。

学習のポイント

要領の手順と表1の日付を照らし合わせて、記録漏れや承認前実施のリスクを具体的に見つける力を養います。あわせて、根本原因分析の考え方と、監査証拠を使った監査手続の書き方を身に付けます。