平成25年度春期 システム監査技術者 午後Ⅱ 問1

判断基準と根拠の対応を確認

集約や標準化の適切性を考えるときは、示された目的・評価基準・実施結果のつながりに注目し、同じ基準で判断できるか、例外やリスクを見落としていないかを整理しましょう。

この問題で問われていること

一つの観点として、判断の根拠が評価基準と対応しているかを確認します。期待する成果、観測された事実、残るリスクが混同されず、監査の結論を支える材料になっているかを見比べてください。

視点

評価の目的と根拠を分けて整理し、記載された事実から判断へ至るつながりを丁寧に確認しましょう。

確認ポイント

• 目的と評価基準が同じ方向を向いているか
• 示された事実と判断理由が区別されているか
• 例外や残存リスクの扱いが根拠と整合しているか

解説

本問は、サーバ統合そのものではなく、システム運用業務を集約することの効果とリスクを踏まえ、集約の概要、実施上の留意点、適切性を監査する具体的な手続を一貫して論述する問題です。

問題の全体像

従来はアプリケーションシステムごとに、バックアップ、セキュリティパッチ適用、障害監視などを個別に実施していたため、手順や頻度の不統一、重複作業が生じていた。これに対し、サーバ統合などを契機として運用業務を集約し、標準化することで、品質改善、効率向上、コスト適正化が期待される。ただし、集約方法が不適切だと、個別システムに必要な手順の漏れや特定要員への負荷集中が起こり得る。出題趣旨では、こうしたメリットとリスクを踏まえ、監査人として集約の適切性を評価する知識と技能が問われている。

設問ア

自分が関係する組織の具体的な事例を設定し、集約の対象、背景、目的を示した上で、集約前と集約後の違いを800字以内で整理する。単に仮想化やサーバ統合の技術を説明するのではなく、誰がどの業務をどのような手順で担当していたか、集約後に担当組織、標準手順、受付窓口、責任分担などがどう変わったかを書くことが重要です。採点講評でも、技術的なサーバ統合の実現方法ではなく、システム運用業務の集約に関する概要を問う問題だと指摘されている。

設問イ

設問アの事例に即して、運用手順と運用体制の両面から、集約時の留意点を700字以上1、400字以内で具体化する。運用手順では、従来システムごとに異なっていたバックアップ、パッチ適用、障害監視などを洗い出し、標準化できる部分と個別対応が必要な部分を区別する。また、例外処理、緊急時の対応、変更管理、手順の承認・更新など、標準手順から外れる場合も考える。運用体制では、役割・責任・権限、要員のスキル、引継ぎ、問い合わせや障害時のエスカレーション、負荷分散を述べる。効果だけでなく、必要な手順の漏れや特定要員への負荷集中を防ぐ観点を含める。

設問ウ

設問イで挙げた留意点が実際に満たされ、集約が適切に機能しているかを監査する手続を、700字以上1、400字以内で述べる。採点講評では、監査項目だけを列挙し、どのような手段・方法で確認するかが不足する答案が多かったとされている。そのため、例えば、集約方針・業務一覧・運用手順書・役割分担表を閲覧し、関係者への質問や運用現場のウォークスルーで実施状況を確かめる、バックアップやパッチ適用などの運用記録をサンプル検査する、障害記録や要員実績を集約前後で比較する、といった形で、確認対象、監査証拠、確認方法を対応付ける。さらに、標準手順に含まれない個別システムや例外処理、負荷集中の有無を確認し、期待した品質・効率・コストの効果が得られているかを評価する流れにする。

学習のポイント

運用手順・運用体制・リスク・監査証拠を結び付け、具体的な確認方法まで書く力を養う。