平成24年度春期 システム監査技術者 午後Ⅱ 問1

CSAとシステム監査の役割整理

CSAとシステム監査を同じ評価として扱わず、現場の自己評価が持つ強みと限界、監査が確認すべき独立性や活用範囲の関係を一つの軸で整理して考えることが重要であるという点に注目します。

この問題で問われていること

設問全体を、CSAによる現場視点の評価と、監査による客観的な確認・活用との関係に絞って捉え、それぞれの立場や情報の扱い方を区別して構成を考える際の中心的な視点です。

視点

CSAは現場に近い評価、監査はその信頼性や利用可能性を見極める評価として、両者の役割と距離感を整理する。

確認ポイント

• 自己評価ならではの強みと、評価の客観性に関する課題を区別できているか
• CSAの実施方法・結果を考える際、誰が何をどの立場で評価したかを確認しているか
• CSAの情報を監査に結び付ける際、利用の前提と限界を意識しているか

解説

本問は、業務担当者によるCSAの目的・範囲・方法を設定し、その実施方法と結果の適切性を監査した上で、信頼できるCSA結果を監査手続に活用する力を問う。

問題の全体像

CSAは、各業務の担当者が質問書への回答やワークショップを通じて、業務上のリスクとコントロールの遵守状況・有効性を自ら評価する手法です。担当者自身が評価するため、業務固有のリスクを発見しやすく、コントロールを理解する教育効果もある。一方、自己評価の甘さや、業務に詳しいことによる客観性不足が生じ得る。そこで本問では、まず一つの情報システム関連CSAを具体的に設定し、次にその実施方法・結果を監査する手続を述べ、最後に信頼できるCSA結果を監査へ活用する方法と効果を論述する。公式解答例でも、CSAを業務担当者などがリスクやコントロールの有効性を自ら評価する手法と位置付け、実施方法・結果の確認と、信頼できる結果の監査活用を本問の中心としている。

設問ア

800字以内で、設問イ・ウの前提となる具体的なCSA事例を設定する。まず、対象業務や情報システムについて、何のリスクを把握し、どのコントロールの遵守状況・有効性を確認するのかという目的を書く。次に、対象となるシステム、業務プロセス、部門、期間、リスクやコントロールの範囲を明確にする。実施方法では、質問書、自己点検、ワークショップ、担当者への確認、証拠資料の提出、結果の集計・報告などを具体化する。自己評価者、評価責任者、実施時期、判定基準も示すと、後続の監査手続につながりやすい。公式解答例が示すCSAの定義に沿って、リスク評価とコントロール評価の両方を含め、設問イ・ウで同じ事例を使えるように一貫させる。

設問イ

設問アのCSAそのものが適切に実施され、結果が信頼できるかを監査する。設問ウのように結果を監査へ使う話だけで終わらせず、監査要点と手続を対応させて具体的に書く。監査要点としては、CSAの目的が組織のリスクや監査目的と整合しているか、対象範囲に重要なシステム・業務・リスクの漏れがないか、評価者が必要な知識を持ち自己評価の利害関係による偏りを抑えられているかを確認する。また、質問項目や判定基準がリスクとコントロールを適切に捉えているか、回答・ワークショップ記録・証拠資料が保存されているか、結果の集計・承認・報告が正確かを検証する。さらに、重要な回答を証拠や担当者への質問、サンプル検査、実際の運用記録と照合し、未回答・過小評価・矛盾を追跡する。最後に、発見事項への改善計画とフォローアップが適切かを確認する。採点講評では、監査要点の意味を理解していない論述や、具体的な手続がない論述が問題とされたため、各要点に対して確認方法まで記述する。

設問ウ

設問アのCSA結果を前提に、監査をどのように計画・実施し、どのような効果を得るかを書く。まずCSA結果の信頼性、実施時期、対象範囲、評価基準、未解決事項を確認し、信頼できる結果だけを利用する。その上で、リスクが高い領域、評価が低いコントロール、回答に不一致や改善未了がある領域を監査の重点対象にする。監査では、CSA結果を監査計画や質問項目、サンプル選定に利用し、重要領域については証拠閲覧、担当者への質問、記録や設定の検査などで独立に裏付ける。CSAで問題なしとされた領域も、重要性や結果の信頼性に応じて限定的に検証し、見落としや誤った指摘を防ぐ。効果として、監査要員や時間の制約の中で重点領域へ資源を配分でき、監査範囲の合理化、重複手続の削減、重要リスクの見落とし防止、指摘の精度向上につながることを述べる。採点講評では、CSA活用の場面や方法を具体的に書かない答案が指摘されたため、どの結果をどの監査手続に使い、何が改善されるかまで示す。

学習のポイント

CSAの自己評価としての利点と限界を踏まえ、適切性の確認と監査活用を明確に書き分ける。