平成25年度春期 システム監査技術者 午後Ⅱ 問3

要件と監査証拠のつながり

パッケージ導入の利点だけでなく、業務要件とのずれや追加対応が生む懸念を起点に、再構築の判断と監査で確かめる根拠がどう結び付くかを具体的に全体を丁寧に整理しましょう。

この問題で問われていること

一つの視点として、業務要件、パッケージ適用方針、残るリスク、監査で確認する証拠が一貫してつながっているかを、経験した案件の経緯に即して具体的に深く考えてください。

視点

パッケージ利用の評価では、標準機能を採用する理由と、適合しない業務をどう扱うかの関係に注目します。説明上の判断が、体制や契約、開発、運用、テストに関する確認可能な根拠へつながるかを整理すると、監査の視点を組み立てやすくなります。

確認ポイント

• 業務上の目的と、パッケージを採用する前提が対応しているか
• 適合しない要件から生じる懸念を、誰がどの根拠で把握するか
• 再構築の判断と監査上の確認事項が、同じリスク認識に基づいているか

解説

パッケージ利用による期間短縮・コスト削減の効果と、業務とのギャップ、追加開発、運用・保守上の問題を一体的に捉える問題です。

問題の全体像

基幹系システムでは、標準化されたパッケージを使うことで短期間・低コストで再構築できる。一方、企業固有の業務や例外処理には標準機能だけで対応できず、業務変更や追加開発が必要になる。追加開発が増えると、費用増加や稼働遅延だけでなく、バージョンアップ時の個別対応や運用・保守の複雑化も生じる。したがって、ユーザ企業とベンダ企業によるギャップ分析、追加開発を含むシステム全体の運用・保守性の検討が重要になる。設問アでは前提となるシステムと体制、設問イでは具体的なリスク、設問ウでは六つの観点から監査手続を論じる。採点講評でも、一般的な再構築論ではなく、パッケージ利用を前提にした監査手続と、確認方法や監査証拠まで具体的に示すことが重視されている。

設問ア

まず、自分が関係した基幹系システムについて、対象業務、利用部門、再構築の目的や規模などを簡潔に設定する。次に、パッケージの標準機能、標準化された業務プロセス、既存機能の活用によって、開発期間短縮、コスト削減、品質や規制対応の確保が期待できることを、対象システムとの関係で述べる。ただし、単にメリットを列挙するのではなく、どの業務で効果が出るかを示すことが重要です。プロジェクト体制は、ユーザ企業の業務責任者・情報システム部門、ベンダ企業のプロジェクトマネージャ・開発担当などの役割分担を明確にし、要件決定、課題管理、変更承認、進捗・品質管理を誰が行うかまで書く。800字以内なので、システム概要、パッケージ利用の具体的なメリット、ユーザ企業とベンダ企業が協力して意思決定する体制の三点に絞る。

設問イ

設問アのシステム固有の業務を前提に、標準機能との不一致から生じるリスクを具体化する。例えば、固有業務をパッケージに合わせることで業務品質や統制が損なわれるリスク、ギャップを追加開発で埋めることによる費用増加・納期遅延・品質低下のリスクがある。さらに、追加開発部分がパッケージのバージョンアップ対象外となり、将来の改修費用やベンダ依存が増すリスク、標準機能と追加部分の責任分界が不明確になるリスクも考えられる。データ移行、外部システム連携、権限管理、障害対応、バックアップなどで、標準機能と追加部分の組合せに起因する不備が発生する可能性もある。採点講評では、一般的な再構築のメリットやリスクを述べるだけの答案が問題とされているため、リスクごとに発生原因、対象業務への影響、費用・納期・品質・運用保守への結果を結び付ける。700字以上が必要なので、複数のリスクを挙げ、相互の関係と具体的な影響まで展開する。

設問ウ

設問イで示したリスクを確かめるため、六つの観点ごとに、確認対象、監査手続、入手する証拠、評価内容を記述する。プロジェクト体制では、組織図、役割分担、会議体、課題・変更管理記録を確認し、業務部門を含む意思決定と責任分担が機能しているかを見る。パッケージ選定では、業務要件と標準機能の適合性、ギャップ分析、候補比較、非機能要件や将来性の評価資料を確認する。契約では、追加開発の範囲、成果物、費用・納期、品質責任、障害対応、知的財産、保守、バージョンアップ時の責任分担を契約書や仕様書で確かめる。追加開発では、必要性と費用対効果、設計・レビュー・変更承認、標準機能との整合性、保守性を確認する。運用・保守設計では、監視、障害・変更管理、バックアップ、権限、操作手順、教育、更新計画を確認し、追加部分を含めて継続運用できるか評価する。テストでは、要件との traceability、テスト計画・結果、結合・総合・受入テスト、移行リハーサル、障害是正と未解決事項を確認する。六項目を列挙するだけでなく、証拠を入手して結果を評価し、リスクが許容できるか、是正が必要かという監査結論につなげる。

学習のポイント

リスクを六つの監査観点と具体的な確認手続に結び付けて論述する力。