平成24年度春期 システム監査技術者 午後Ⅱ 問2

リスクから監査証拠へ一貫させる

論述では、想定したリスクとその発生要因、確認すべき監査要点、入手する監査証拠が一本の筋でつながっていることが重要です。自分の経験した状況に即して、各要素の対応関係を意識して構成を検討しましょう。

この問題で問われていること

確認する観点は一つ、『リスク・要因・監査要点・監査証拠の対応の一貫性』です。ある要因がどのリスクにつながり、それを確かめるために何を点検し、その結果をどの記録や資料で裏付けるのかを、要素ごとに対応づけて考えます。

視点

監査要点は、統制が適切に整備・運用されているかを確かめるための着眼点です。監査証拠は、その判断を支える客観的な資料や記録を指します。リスクや要因を挙げるだけで終わらせないことが大切です。監査要点が抽象的すぎないか、証拠がその要点を実際に裏付けられるものかを自問すると、論述の筋が通りやすくなります。

確認ポイント

• 挙げた要因が、想定したリスクの発生原因として説明できているか
• 各監査要点が、特定のリスクや要因と明確に対応しているか
• 監査証拠が、対応する監査要点の結論を裏付けるものになっているか

解説

稼働中のシステムでは、業務内容の変更、稼働環境の変更、不具合への対応などのために、マスタファイル・設定ファイル・プログラムの日常的な保守を短期間で行う必要があります。この問題では、そうした保守に伴うリスクとその要因を示し、その要因を踏まえた監査要点を監査証拠と対応付けて論述することが求められます。出題趣旨では、前提条件や上限値などの制約条件を考慮しない安易な修正がシステム全体に影響を及ぼすおそれを指摘しています。そのうえで、保守に関わるリスクを評価し、正しく保守が行われているかを監査する見識や能力を評価するとしています。

問題の全体像

問題文の状況は次のとおりです。稼働中の情報システムや組込みシステムでは、業務内容の変更、稼働環境の変更、不具合への対応のため、マスタファイルの更新、設定ファイルの変更、プログラムの軽微な修正といった日常的な保守が必要になります。こうした保守は、大規模な保守より短期間で対応しなければならない場合が多くあります。問題文は例として、新商品の発売や売価改訂のタイミングに合わせた商品マスタの変更と、障害発生時のプログラム・設定ファイルの速やかな修正を挙げています。さらに、保守は開発に携わっていない保守要員や外部委託先が行うことも多く、利用部門がマスタを追加・変更する場合もあります。誤った変更は、誤作動や処理遅延にとどまらず、システム停止に至ることもあると書かれています。出題趣旨では、前提条件や上限値などの制約条件を考慮せずに修正するなどの安易な対応がシステム全体に影響を及ぼすおそれを示しています。そのうえで、日常的な保守に関わるリスクを評価し、正しく保守が行われているかを監査する見識や能力を評価するとしています。採点講評では、問題文をよく読めば短期間あるいは緊急で対応しなければならない保守についての出題だとわかるはずだと述べています。それにもかかわらず、システム開発に準じた保守やシステム運用など、題意に合わない論述が多く見受けられたと指摘しています。この問題は、公式解答例ではなく出題趣旨と採点講評が示されている論述式の問題です。以下に挙げる具体例は論述の一例にすぎず、必須の正答要素として示されたものではありません。

設問ア

設問アでは、自分が関係した情報システムまたは組込みシステムの概要と、その日常的な保守の体制・方法を800字以内で述べます。問題文が日常的な保守の例として挙げるマスタファイルの更新、設定ファイルの変更、プログラムの軽微な修正のうち、自分の題材ではどれが、どのような目的・頻度・時間的制約で発生するかを示すと、設問イ以降につなげやすくなります。体制については、問題文が触れている担い手（開発に携わっていない保守要員、外部委託先、マスタを変更する利用部門など）のうち、誰が該当するかを明らかにします。方法については、保守の依頼から本番反映までをどう進めているかを簡潔に述べます。採点講評が、システム開発に準じた保守やシステム運用など題意に合わない論述が多かったと指摘している点に注意が必要です。大規模な改修やシステム運用一般ではなく、短期間・緊急で行う日常的な保守を題材として選ぶことが重要です。

設問イ

設問イでは、設問アで述べた日常的な保守において想定されるリスクと、そのリスクが生じる要因を700字以上1、400字以内で具体的に述べます。リスクの内容は、問題文の「誤作動や処理遅延にとどまらず、システムの停止などに至ることもある」という記述がよりどころになります。要因を考える手掛かりは、問題文と出題趣旨の中にあります。例えば、短期間で対応しなければならないこと、開発に携わっていない保守要員や外部委託先・利用部門が変更を行うこと、前提条件や上限値などの制約条件を考慮せずに修正してしまうことです。これらを設問アの体制・方法と結び付けて、自分の題材に即して具体化します。採点講評では、想定されるリスクに対する要因が不十分な論述が多かったと指摘しています。リスクを挙げるだけで終わらせず、なぜそのリスクが生じるのかまで掘り下げることが評価のポイントになります。また採点講評では、情報セキュリティの観点からの論述も散見されたと述べています。そのため、誤った変更や修正によるシステムへの影響という、この問題の題意から外れないように注意します。

設問ウ

設問ウでは、設問イで述べた要因を踏まえて、日常的な保守の適切性を監査する際の監査要点を、監査証拠と対応付けて700字以上1、400字以内で述べます。設問文から評価の観点は三つ読み取れます。設問イの要因を踏まえていること、監査要点を設定していること、それぞれの監査要点に対応する監査証拠を示していることです。書き方としては、設問イで挙げた要因ごとに、その要因によるリスクが抑えられているかを確かめる監査要点を立て、それを確かめるために入手・確認する記録や資料を対応させる形が考えられます。具体的な監査要点や監査証拠は、設問ア・イで述べた自分の題材に応じて設定するものです。公式資料に特定の項目が正答として示されているわけではありません。採点講評では、監査要点や監査証拠に関する論述が不十分な受験者が目立ったと指摘しています。さらに、システム管理者の立場での論述や、設問では求めていない監査結果や改善提案などの論述も散見されたと述べています。したがって、保守をどう改善するかや監査の結果どうだったかではなく、システム監査人として何を確かめ、そのために何を証拠として確認するかに焦点を絞って書くことが重要です。

学習のポイント

題意を「短期間・緊急の日常的な保守」に絞り込むことが重点です。そのうえで、設問アの体制・方法から設問イのリスクと要因、設問ウの監査要点と監査証拠へと、一貫した論理でつなげて書く練習をします。監査結果や改善提案など、設問で求められていない内容に字数を割かないことも重要です。