平成25年度春期 システム監査技術者 午後Ⅱ 問2

監査手続を証拠と結び付けて考える

論述では、何を確かめたいのかという監査の着眼点と、それを確かめるために入手・検証する証拠との対応関係を意識することが大切です。問題文が示す状況や工程の区切りに照らし、自分の書く手続が具体的な確認行為になっているかを点検しましょう。

この問題で問われていること

監査手続として書く内容を点検してください。単なる心構えや一般論で終わらず、どの資料や記録を対象に、誰に何を確かめ、どのような状態なら適切と判断できるのかまで示せているか、という観点に絞って検討してください。

視点

システム監査における監査手続は、監査人が結論を導くための根拠を得る行為です。一般に、次の三つが対応していると、手続としての具体性が増します。一つ目は確認したい事項（着眼点）、二つ目はその裏付けとなる証拠（文書・記録・ヒアリング結果など）、三つ目は評価の拠り所となる基準です。工程ごとに作成・承認される成果物や関与者は異なり得ます。そのため、各工程で何が証拠になり得るかを状況に即して考えることが、検討の出発点になります。

確認ポイント

• 書こうとしている手続に、確認の対象となる資料・記録・関係者が明示されているか
• その確認によって何が分かれば適切と判断できるのか、評価の拠り所が読み取れるか
• 問題文に記述された状況や工程の特徴と、自分の挙げた証拠が対応しているか

解説

本問は、要件定義とそのシステムへの組込みの失敗が、開発の中止・遅延・予算超過・期待効果の未達成や、大規模障害・外部委託先との訴訟につながることを前提にしています。そのうえで、システム監査人がプロジェクト体制と開発手法を踏まえ、役割分担・方法・文書化の適切性を、企画・体制決定・要件定義・設計・テストの各工程で監査できるかを問う論述問題です。

問題の全体像

問題文によると、システムを正常に稼働させて期待どおりの効果を得るには、機能要件と非機能要件（性能、セキュリティなど）を適切に定義し、システムに組み込む必要があります。そのためには、プロジェクト体制と開発手法に合わせた要件定義の役割分担・方法・文書化が必要です。問題文は例として、外部委託する場合は外部委託先との役割分担も明確にすること、ウォータフォール型とプロトタイピング手法では要件定義の方法や作成すべき文書が異なることを挙げています。また、監査手続は要件定義工程だけでなく、企画・プロジェクト体制の決定・設計・テストの各工程でも実施する必要があるとしています。出題趣旨では、要件定義の失敗がプロジェクトの失敗（中止、大幅な遅延、大幅な予算超過、期待効果の未達成など）やトラブル（大規模障害、外部委託先との訴訟など）の要因の一つだと述べています。そのうえで、各工程で適切な監査手続を実施できる能力を問うとしています。本問は論述式のため、設問ごとの公式解答例は示されていません。以下は、出題趣旨と採点講評を踏まえた書き方の指針です。

設問ア

800字以内で、自分が関係したシステム開発の概要を述べます。設問文で指定されている要素は、①プロジェクト体制、②開発手法、③要件定義の役割分担、④方法、⑤文書化状況です。体制では、システム部門・利用部門・外部委託先の関わり方を示します。開発手法は、ウォータフォール型やプロトタイピング手法など、どれを採用したかを示します。役割分担では、要件定義で誰が何を担ったかを書きます。方法と文書化では、どのように要件を定義し、どんな文書を作成したかを書きます。これらは設問イの原因分析と設問ウの監査手続の前提になります。そのため、後の設問で使う体制や手法の特徴を、ここで具体的に示しておくことが大切です。

設問イ

700字以上1、400字以内で、設問アの開発において起こり得るプロジェクトの失敗やトラブルを、その原因とともに述べます。問題文では、問題の起点が二つ示されています。「適切な要件定義が行われない」ことと「要件が適切にシステムに組み込まれない」ことです。結果として生じるものは、出題趣旨に挙げられた中止・遅延・予算超過・期待効果の未達成、大規模障害・外部委託先との訴訟などを参考に、事例に合わせて具体化します。採点講評では、「要員の能力不足」のような表面的な原因にとどまり、なぜ適切な要員体制が確立されなかったのかという根本問題まで言及した論述は少なかったと指摘されています。したがって、原因は、設問アで示した体制・手法・役割分担・方法・文書化のどこに問題があったのかまで掘り下げて書くことが評価のポイントになります。採点講評では、一般的で抽象的な論述にとどまる解答も散見されたとされています。そのため、自分の事例に即して具体的に書く必要があります。

設問ウ

700字以上1、400字以内で、設問イに関連させて、企画・プロジェクト体制の決定・要件定義・設計・テストの五つの工程それぞれで実施すべき監査手続を述べます。公式解答例は出題趣旨だけで、工程ごとの具体的な監査手続の例は示されていません。そのため、特定の確認項目や監査技法を正解として断定することはできません。公式資料から言える書き方の指針は次のとおりです。第一に、五つの工程すべてについて手続を述べ、設問イで挙げた原因に対応させます。第二に、問題文にあるとおり、体制と開発手法を踏まえたうえで、役割分担・方法・文書化状況の適切性を確かめる手続にします。問題文との対応関係は、例えば次のように読み取れます。体制の決定工程は、外部委託先を含む役割分担に関係します。要件定義工程は、機能要件・非機能要件の定義方法や、開発手法に応じた文書化に関係します。設計工程とテスト工程は、出題趣旨にある「要件のシステムへの組込み」に関係します。企画工程については、問題文は手続の実施が必要と述べるだけで、具体的な項目は示していません。そのため、設問イの原因とつながる事項を自分の事例から選んで書きます。第三に、採点講評では「要件定義書に要件が網羅されているかを確認する」といった、一般的には現実的でない監査手続の論述が目立ったと指摘されています。確認の対象と手段を、自分の事例に即して実施可能な形で書く必要があります。参考として、同じ採点講評の他の問題に関する部分では、確認すべき項目だけでなく、どのような手段・方法で確認するかの具体的な手続が求められることや、監査証拠に触れることが指摘されています。字数に収めるには、1工程あたり150〜250字程度を目安にします。各工程では、設問イの原因とのつながり、確認する対象、確認の手段を簡潔に書くとよいでしょう。

学習のポイント

設問アの体制・手法から設問イの根本原因へ、さらに設問ウの五工程の監査手続へと一貫させて書くことが重点です。監査手続は、確認項目だけで終わらせず、現実的に実施できる具体的な手続として書く練習をしてください。