平成26年度春期 システム監査技術者 午前Ⅱ 問5

外部委託管理を考える監査の視点

外部委託を含む業務を検討するときは、委託先との役割分担、管理責任、情報の扱い、継続的な確認という観点を切り分け、問題文の条件と照らして整理しましょう。判断は一つの記述だけで急がないようにします。

この問題で問われていること

確認する観点を、委託先に任せる範囲と自組織が担う管理上の責任との関係に絞りましょう。契約や運用の記述を読み、誰が何を管理する前提かを丁寧に捉えることが重要です。

視点

外部の組織に業務を委ねる場面では、担当範囲だけでなく、管理責任の所在、必要な情報共有、実施状況を確認する仕組み、問題発生時の連絡や見直しまで、関係を整理して考えます。

確認ポイント

• 委託する作業と、自組織が保持する管理上の役割が区別されているか
• 委託先との合意や確認の対象が、業務の継続性と情報の扱いに関係しているか
• 通常時だけでなく、変更・障害・見直しの場面も含めて管理の観点を捉えているか

正解

ア

解説

外部委託管理の監査では、委託側が委託先の業務遂行やアクセス管理などを適切に確認できるよう、契約に監査の実施条件を定めることが重要です。

理由

委託側は、委託先が扱う情報やシステムの管理状況を把握し、必要に応じて監査できる立場を確保する必要がある。そのため、アクセス管理などの確認を委託側が実施できるよう、契約で定める記述が適切です。

比較

請負契約では、受託側要員への指揮命令を委託側が直接行う関係ではありません。品質管理を委託側が確認することは必要だが、監査主体を受託側だけに限定するのは不適切であり、機密性だけを理由に自社開発へ切り替えるものでもない。

選択肢ア（正解）

これは正解だよ。外部委託では、委託側が自社の情報資産や業務環境に関わる管理状況を確認できることが重要である。したがって、委託側事務所で作業する受託側要員のアクセス管理について、委託側が監査できるよう契約で定める記述は適切である。

選択肢イ

これは不正解だよ。請負契約では、受託側は独立して業務を遂行し、委託側が受託側要員へ直接指揮命令する関係ではない。委託側が監査すべきなのは、指揮命令の適否ではなく、契約に基づく業務や情報管理の実施状況である。

選択肢ウ

これは不正解だよ。外部委託で開発した業務システムであっても、委託側には自社の業務要件や情報セキュリティに照らして品質管理状況を確認する責任がある。受託側だけが監査すべきとして、委託側の監査を不要とする点が不適切である。

選択肢エ

これは不正解だよ。機密度の高いシステムを外部委託している場合でも、直ちに自社開発へ切り替えることが監査上の一般的な改善勧告になるわけではない。契約、アクセス制御、監査、秘密保持などの管理策を確認し、必要な改善を求めるのが基本である。

学習のポイント

外部委託契約における監査権限と責任分界を理解する。