平成25年度春期 システム監査技術者 午後Ⅰ 問2

リスクと統制の対応関係を確かめる

システム監査の問題では、記述された手続や対策が、どのリスクに向けられたものかを先に整理することが出発点です。リスクと統制の対応が取れているかという一つの観点に絞り、問題文の状況に照らして妥当性を落ち着いて判断しましょう。

この問題で問われていること

監査人の立場で、問題文に示された運用状況からどのような懸念が生じ得るかを自分の言葉で整理してください。そのうえで、提示された内容が実際に懸念を抑える働きを持つかを確かめる、という対応関係の観点に集中してください。

視点

監査では、統制が形式的に存在するかだけでなく、想定したリスクを実際に低減できる内容になっているかが評価の軸になります。業務の種類によらず、業務の目的、そこから生じるリスク、それに対する統制という順につなげて考えると、各記述の位置付けを整理しやすくなります。

確認ポイント

• 問題文の状況から生じ得る懸念（リスク）を、自分の言葉で書き出したか
• 提示された内容が、書き出した懸念のどれに向けられたものかを対応付けたか
• 対応付けた内容が、その懸念を実際に抑える働きを持つかを、問題文の状況に照らして検討したか

解説

約200床のM病院で使っている電子カルテシステムの運用を監査する問題です。操作ログを監査証拠として使うための前提、自動確定を減らすための機能強化、バックアップデータの見読性（容易に肉眼で見読できること、直ちに書面に表示できること）、オーダ業務を手書き伝票で代替する運用の実効性が問われています。公式解答例では、ユーザID・パスワード管理やログの完全性、自動確定前の通知機能、異なるバージョンのデータや遠隔地データを参照するテストの欠落、業務負荷と部門システム連携が検証されていないことが示されています。

問題の全体像

M病院は7年前に電子カルテシステム（ベンダのパッケージ）を導入しました。およそ2年ごとにバージョンアップしており、直近は1年前です。バックアップデータは日次で取得してサーバルームに一時保管し、週次で遠隔地の専門業者に引き渡しています。サーバルームにあった過去分の移動も完了しています。診療記録を電子保存するには、表1の真正性・見読性・保存性を満たす必要があります。MC（メディカルクラーク）による代行操作は、表2のガイドラインに沿って運用管理規程で管理されています。システム監査人は、代行操作の状況、自動確定の発生、BCP訓練でのバックアップ参照テスト、オーダ業務でBCPが策定されていないことを発見し、4点を指摘しました。公式解答例の出題趣旨では、エラーや障害に厳格な対応が求められる電子カルテシステムを例に、リスクの種類や程度に応じたコントロール、発見事項を裏付ける監査証拠、システム監査人の判断根拠を識別する能力を問うとされています。

設問1

着目点は、〔システム監査の実施〕(1)で操作ログを使って代行操作の状況を調査していることです。ログから『多数のMCが代行操作を行っている』と判断するには、ログ自体が監査証拠として信頼できなければなりません。そのための前提は二つ考えられます。一つは、ログに記録された利用者が本当にその本人であることです。ID・パスワードの貸し借りや共用があれば、医師の操作に見えても実際はMCが操作した可能性があります。もう一つは、ログが欠落なく揃っていて、改ざんされていないことです。公式解答例では『ユーザID及びパスワードの管理が適切で、なりすましの可能性がないこと』と『調査の対象となる操作ログが全てそろっており、改ざんが行われていないこと』の二つが示されています。答案では、どちらかの観点を具体的に40字以内でまとめます。

設問2

着目点は三つあります。〔システム監査の実施〕(2)で、自動確定が特別な理由のない日にも発生していること。指摘事項(2)で、自動確定はやむを得ない場合の処置であり、原則として自動確定に至る前に医師が承認・確定操作を行うと定められていること。表2項番3で、代行記録はできるだけ速やかに承認しなければならないことです。目的は『自動確定を減らすこと』なので、医師が確定し忘れる前に気付けるようにする機能が求められます。公式解答例では『自動確定前に、医師へ承認及び確定操作を促す通知を表示する機能』とされています。採点講評では、『自動確定後も医師が確定操作できる設定にする』や『自動確定しないようにする』といった、問題文の趣旨に沿わない解答が見られたと指摘されています。自動確定は、やむを得ない場合の措置として必要とされている仕組みです。これを残したまま、その前に医師に促すという方向で35字以内にまとめます。

設問3(1)

表1項番2(1)『情報の内容を必要に応じて肉眼で見読可能な状態に容易にできること』の観点です。データはベンダ独自の形式で、参照にはバージョンに対応した専用ソフトウェアが必要です。システムは約2年ごとにバージョンアップされており、7年分のデータには異なるバージョンで作成されたものが含まれます。一方、テストの対象はサーバルームに一時保管している直近1週間以内のデータ、つまり現行バージョンのデータだけです。そのため、旧バージョンのデータを読めるかは確かめられていません。公式解答例では『異なるバージョンで作成されたバックアップデータを参照するテストが行われていないから』とされています。採点講評では、バックアップ取得時期と専用ソフトウェアのバージョンとの関係を把握していない解答が多かったと述べられています。答案には『異なるバージョンのデータ』と『参照テスト未実施』の2要素を、45字以内で入れます。

設問3(2)

表1項番2(2)『情報の内容を必要に応じて直ちに書面に表示できること』の観点です。1週間より前のバックアップデータは、すべて遠隔地の専門業者に保管されています。システムが使えないときに過去の診療記録が必要になれば、遠隔地から取り寄せて書面にするまでの時間が問題になります。ところが、テスト対象はサーバルームのデータだけなので、遠隔地データを入手して書面化するまでの時間や手順は検証されていません。公式解答例では『適切な時間内に遠隔地のバックアップデータを入手し書面化するテストが行われていないから』とされています。採点講評では、保存性など表1項番2以外の観点で書いた解答は趣旨から外れると指摘されています。答案では『適切な時間内』『遠隔地データの入手』『書面化』を45字以内に収めます。

設問4

着目点は、オーダ業務について『手書き伝票の起票で容易に代替できる』という理由だけでBCPが策定されていないことです。電子カルテシステムでは、オーダが薬剤部・検査部・放射線部・栄養管理部などの部門システムへ直接送信されています。手書き伝票に切り替えると、記入・搬送・転記などの負荷が増えます。また、伝票の内容をどう部門システムに取り込むか、各部門にどう伝えるかといった連携も問題になります。公式解答例では『手書き伝票で運用を代替した場合の業務負荷の増加分が検証されていないから』と『手書き伝票起票後の各部門システムとの連携方法が検証されていないから』が示されています。採点講評では、『運用手続が定められていないから』『BCPが策定されておらず、訓練も行われていないから』といった表面的な事象の解答が多く、正答率は低かったと述べられています。コントロールの不備から生じる具体的なリスクを、40字以内で書きます。

学習のポイント

表面的な事実を書き写すのではなく、統制の不備からどんなリスクが生じるかを識別し、問題文の数値や経緯（バージョンアップ周期、保管場所など）と結び付けて理由を書く練習をしましょう。