平成28年度春期 システム監査技術者 午後Ⅰ 問2

問2　システムの移行判定の監査に関する次の記述を読んで，設問1～4に答えよ。 D社は，クレジットカード会社であり，現在，同業E社との合併に伴うシステム統合プロジェクト（以下，本プロジェクトという）を推進している。 D社は，5年前にも同業F社との合併に伴うシステム統合を行っている。そのときには，移行判定が不十分なまま本番移行を実施した結果，大規模なシステム障害が発生した。こうした経験を踏まえて，D社内部監査部長は，システム監査チームに対して，本プロジェクトにおける移行判定の適切性を監査するよう指示した。 〔本プロジェクトの概要〕 システム監査チームが予備調査で把握した本プロジェクトの概要は，次のとおりである。 （1）システム統合委員会は，本プロジェクトの重要事項を決定する会議体であり，D社及びE社（以下，両社という）役員，両社システム部門長，両社利用統括部門長などで構成される。 （2）システム統合は，E社のシステムをD社のシステムに片寄せして行う。 （3）システム統合スケジュールの概要は，図1のとおりである。 図1　システム統合スケジュールの概要 （4）各移行判定の概要は，次のとおりである。 ①　移行判定は3段階に分け，中間移行判定は12月末，最終移行判定は翌年2月末，本番移行判定は3月末に実施する。 ②　各移行判定では，判定項目，判定条件，及び必要とする判定根拠資料で構成される各移行判定基準が策定され，各移行判定の10日前までにシステム統合委員会が承認する。 ③　各移行判定基準のほか，判定項目ごとに判定条件を満たしているかどうか，判定根拠資料に基づいて確認するために，各移行判定手続が策定される。 ④　各移行判定結果は，システム統合委員会が承認する。 なお，各判定根拠資料について，本プロジェクトの管理基準では，“本プロジェクトの各プロセスについて，部門長などの責任者が承認した証跡を，各判定根拠資料に記録する”と定めている。 （5）統合後のシステムは，両社の合併当日（4月1日）から稼働させる。 （6）両社システム部門担当者は，システム統合に伴う顧客への影響告知の必要性を検討し，その結果に基づき，顧客影響一覧を作成した。表1にその一部を示す。 表1に関する両社システム部門担当者の判断は，次のとおりである。 ①　表1の項番1，2については，両社利用部門担当者に対して，顧客への影響に関する告知計画書の作成を依頼する。 ②　表1の項番3については，顧客への影響が極めて限られているので，顧客への影響告知は不要である。 表1　顧客影響一覧（一部） 〔中間移行判定後の監査〕 システム監査チームは，中間移行判定結果の適切性を確認するために，中間移行判定後の1月上旬に，表2の中間移行判定基準，判定結果などを閲覧し，関係者にインタビューを行った。 表2　中間移行判定基準と判定結果（抜粋） 監査結果は，次のとおりである。 （1）両社利用部門担当者にインタビューしたところ，表1の項番3について，顧客への影響告知を行うべきであると考えていることが分かった。続いて，追加の監査手続を行った結果，顧客影響一覧が適切に作成されていないことが判明した。 （2）STで検出された不具合の一部（以下，ST不具合という）が，未対応であった。その結果，システム統合委員会は，表2の項番2の判定として，“ST不具合への対応を完了し，両社システム部門長が1月末までに承認することを条件として可とすること”を承認していた。 （3）UAT中間報告書には，“テストケースの実施率が12月末時点の目標に対して，約50％にとどまっている”と記載されている。すなわち，最終移行判定までに全てのテストケースを実施することは困難な状況であった。その結果，システム統合委員会は，表2の項番3の判定として，“テストの項目・方法・スケジュールなどの計画を見直し，両社利用統括部門長が1月末までに承認することを条件として可とすること”を承認していた。 〔最終移行判定前の監査〕 システム監査チームは，各移行判定の概要，中間移行判定結果などを踏まえて，監査目的を次のように設定し，2月上旬に監査を実施した。 （1）最終移行判定基準案の判定項目，判定条件，及び必要とする判定根拠資料は，整合がとれているか確認する。 （2）中間移行判定でも使用された判定根拠資料の内容が，［a］ （3）最終移行判定基準案が適切に策定されていることを確認するだけでなく，［b］ 監査において，システム監査チームが閲覧した最終移行判定基準案は，表3のとおりである。 表3　最終移行判定基準案（抜粋） 監査における主な指摘事項は，次のとおりである。 （1）〔中間移行判定後の監査〕の監査結果（3）への対応結果について，両社利用統括部門長が承認したことは，システム統合委員会議事録には記録されているが，UAT計画書には記録されていない。表3の項番1の判定手続においては，適切なUAT計画書を用いる必要がある。 （2）表3の項番2については，訓練が行われたことを確認する判定手続だけでは，判定条件を十分に満たしていない。追加の判定手続が必要である。 設問1　〔中間移行判定後の監査〕の監査結果（1）について，システム監査チームが追加の監査手続において確認したと考えられる事項を，50字以内で述べよ。 設問2　〔中間移行判定後の監査〕の監査結果（2）について，システム監査チームが閲覧したと考えられる監査資料を二つ挙げ，それぞれ15字以内で答えよ。 設問3　〔最終移行判定前の監査〕の監査目的（2），（3）中の［a］，［b］に入れる適切な字句を，それぞれ35字以内で述べよ。 設問4　〔最終移行判定前の監査〕の指摘事項（2）について，システム監査チームが必要と考えた追加の判定手続を，判定根拠資料と確認事項を含めて50字以内で述べよ。