平成24年度春期 システム監査技術者 午後Ⅱ 問3

監査要点と証拠を対応付けて考える

監査手続を論述する際は、確かめたい事項と、それを裏付ける証拠や入手方法とを一対一で結び付けて書けているかが要となります。対象となる仕組みや手順の中身よりも、何を根拠に実効性を判断するかという視点で自分の記述を点検してみましょう。

この問題で問われていること

論述では、監査の対象や状況を具体的に捉えたうえで、確かめるべき事項ごとに、どのような証拠をどの手段で入手し、その結果をどう評価するかまで筋道立てて説明できるかが問われていると考えて準備するとよいでしょう。

視点

監査手続は「何を確かめたいのか（監査要点）」と「それを何で確かめるのか（監査証拠と入手手段）」の組で成り立つ、と整理できます。一般に、文書や規程が整っていることと、それが実際に機能していることは別の事柄として扱われます。自分が書こうとしている手続が、どちらを確かめるためのものなのかを意識し、確かめたい事項と入手する証拠の間に論理的なつながりがあるかを見直すことが、この分野を学ぶうえでの基本的な検討手順です。

確認ポイント

• 書こうとしている手続ごとに、何を確かめるための手続なのかを一文で言えるか
• その事項を裏付ける証拠が何で、どの手段で入手するのかを具体的に結び付けられているか
• 入手した証拠から、どのような判断を導くのかまで筋道が通っているか

解説

本問は、自然災害、停電、システム障害などによる情報システムの停止に備える冗長化対策と、システム復旧手順を監査の対象とする論述問題です。出題趣旨では、情報システムの冗長化対策の適切性とシステム復旧手順の実効性を監査する知識や能力を評価するとしています。設問アで対象システムと背景・必要性を述べ、設問イで対策の比較と採用理由を、脅威が顕在化する可能性、影響度、経済合理性を踏まえて述べます。設問ウでは、設問イを踏まえてシステム復旧手順の実効性を監査する手続を述べます。

問題の全体像

問題文は、社会に広く浸透した情報システムが自然災害、停電、システム障害などで停止すると、企業活動に深刻な影響が及びかねないと述べています。企業などは、データセンタなどの拠点・施設、ハードウェア、ネットワーク、電源などの冗長化で安定稼働を図ります。さらに、復旧手順を定めて停止時間をできる限り短く抑えようとしています。そのうえで問題文は、システム監査では復旧手順が文書化されているかの形式的な確認だけでは不十分だとしています。システム監査人は、冗長化対策の妥当性や、復旧手順の内容、テスト・訓練の実施状況などを確認し、復旧手順がシステム停止時間の短縮に十分に寄与するかを評価する必要がある、という流れです。出題趣旨では、情報システムが停止すると業務が止まり、収益の減少、顧客満足度の低下、社会的信頼の低下などを招きかねないと説明しています。そのため、冗長化で停止しにくい構成を築くことと、万一停止しても短時間で復旧できる復旧手順を策定することが必要だとしています。本問はこれらを監査するための知識や能力を評価する問題です。公式の解答例はなく、出題趣旨と採点講評が示されている論述問題です。

設問ア

800字以内で、関係する組織の情報システムの概要と、冗長化対策及びシステム復旧手順を策定した背景や必要性を述べます。着目点は、問題文と出題趣旨にある次の流れです。システムが停止すると業務が止まり、収益の減少、顧客満足度の低下、社会的信頼の低下などの影響が生じます。そのため、停止しにくい構成と、短時間で復旧できる手順が必要になります。答案では、どの業務を支えるシステムかを示し、停止した場合にどのような影響が出るかを、その組織に即して具体的に書くと、策定の必要性に説得力が出ます。冗長化の対象は、問題文にある拠点・施設、ハードウェア、ネットワーク、電源などから、受験者が自分の事例に合わせて選びます。復旧手順の中身として、例えば待機系への切替えやバックアップからの復元などを挙げることも考えられます。ただし、これらは受験者が設定する具体例です。公式資料に示された必須の解答要素ではありません。設問イと設問ウはこの設問アの事例を前提とします。そのため、ここで対象システム、想定する停止の原因、冗長化と復旧手順の位置付けをはっきりさせておくことが大切です。

設問イ

700字以上1、400字以内で、冗長化対策の検討過程で比較した対策又は対策の組合せと、採用した対策を述べます。設問は、想定される脅威が顕在化する可能性、顕在化した場合の影響度、対策の経済合理性の三つを踏まえることを明示しています。採点講評では、問3は関連業務の経験者が多かったようであるものの、設問イで求められた内容を十分に論述できた答案は少なかったとしています。具体的には、次のような論述が出題の趣旨に合致しないものとして挙げられています。一つは、検討過程での対策の比較ではなく、現在どのような冗長化対策が適用されているかを説明しただけの論述です。もう一つは、冗長化対策の経済合理性にまったく触れていない論述です。したがって答案では、まず比較した複数の案（単独の対策又は組合せ）を示します。次に、想定する脅威ごとに顕在化する可能性と影響度を評価します。そのうえで、対策にかかる費用と得られる効果のバランスという経済合理性の観点から、ある案を採用し他の案を採用しなかった理由を説明する構成にします。

設問ウ

700字以上1、400字以内で、設問アで述べたシステム復旧手順の実効性を監査する場合の監査手続を、設問イを踏まえて具体的に述べます。問題文の着目点は次の2点です。第一に、復旧手順が文書化されていることの形式的な確認だけでは不十分だと述べている点です。第二に、システム監査人が、冗長化対策の妥当性を確認したり、復旧手順の内容やテスト・訓練の実施状況などを確認したりして、復旧手順が停止時間の短縮に十分に寄与するかを評価する必要があるとしている点です。また問題文は、復旧手順を状況の変化に応じて見直し、テスト・訓練を定期的に行って継続的に改善することが重要だとしています。これらは監査手続を考える際の手掛かりになります。出題趣旨でも、冗長化対策の適切性と復旧手順の実効性を監査する知識や能力を評価するとしています。答案では、これらの観点について、何をどの資料や記録で確かめるかを、設問アの事例に即して具体的に書くことが考えられます。「設問イを踏まえて」とあるので、設問イで採用した冗長化対策と、その検討で想定した脅威を前提に、どのような停止を想定した復旧手順を監査するのかを示すと、設問間のつながりが明確になります。なお、採点講評の問3に関する記述は設問イについての指摘であり、設問ウについての個別の指摘は示されていません。

学習のポイント

採点講評では、問3の設問イについて、対策を比較せず現在の冗長化対策を説明しただけの論述や、経済合理性に触れていない論述が指摘されています。複数の案を比較し、脅威が顕在化する可能性、影響度、経済合理性を根拠に採用理由を説明する練習が重要です。設問ウでは、問題文にある観点に沿い、文書化の形式的な確認にとどまらない監査手続を、設問アと設問イの事例に結び付けて書けるようにします。