平成28年度春期 システム監査技術者 午後Ⅱ 問2

設計開発品質を追う監査の視点

設計・開発の各工程で品質がどのように作り込まれ、確認可能な形で引き継がれているかを、システム全体の流れとして考えるためのヒントです。工程ごとのつながりに注目してください。

この問題で問われていること

個別の設計書やテスト結果の細部を断定するのではなく、品質管理の仕組みが工程をまたいで機能し、その有効性を監査で確かめられるかに焦点を置いて整理してください。対象と証拠の関係も意識します。

視点

品質を、完成時に一度だけ判定する性質ではなく、要件から設計、実装、確認へ進む過程で継続的に形成されるものとして捉えます。監査では、関係者の役割、作業の流れ、確認結果の扱いが一貫しているかを概念的に整理すると、論述の軸を作りやすくなります。

確認ポイント

• 対象システムで重視する品質と、欠けた場合の業務上の影響が自然につながっているか確認する
• 品質が損なわれる背景を、工程間の伝達や確認の仕組みという観点から整理する
• 監査で得られる証拠と、そこから判断したい管理の有効性が対応しているか確認する

解説

本問は、情報システムの設計・開発段階で重要な品質を定義し、その品質を確保する管理活動と監査手続を、事例に即して論述する問題です。

問題の全体像

情報システムの不具合は組織内だけでなく、顧客、取引先、国民生活にまで影響する可能性がある。そのため、本番稼働前の設計・開発段階で、業務要件への適合やプログラムの正確性など、必要な品質を確保することが重要になる。品質は一つの工程だけでなく、設計・開発の各工程を通じて組み込まれるため、監査人は設計書やテスト報告書を直接評価するだけではなく、品質管理の体制、プロセス、レビュー、テスト及び客観的指標が適切に機能しているかを確認する。本問の狙いは、受験者が関係する情報システムを題材に、重要な品質、品質低下の要因、品質確保のコントロール、そしてそれらを検証する監査手続を一貫して論述できるかを問うことにある。提示された公式解答例は出題趣旨を示しており、設問別の答案例は示されていない。

設問ア

まず、自分が関係する情報システムについて、利用目的、利用者、主要な業務、処理する情報、他システムや外部との接続などを簡潔に設定する。その上で、当該システムで特に重要な品質を、サービス又は業務の要件と結び付けて示す。例えば、処理の正確性、可用性、性能、信頼性、セキュリティなどから、事例上の重要度が高いものを選び、なぜ重要なのかを説明する。さらに、その品質が確保されなかった場合に、誤処理、業務停止、顧客への影響、信用低下、法令・契約上の問題など、サービス又は業務に生じる影響を具体化する。800字以内なので、システム概要、重要品質、未確保時の影響を一対一に対応させ、品質項目を広げ過ぎないことがポイントです。

設問イ

設問アで挙げた品質について、設計・開発段階で品質が確保されなくなる要因と、それを防ぐコントロールを工程に沿って整理する。採点講評では、どのような品質を各工程で確保すべきかを工程ごとに整理した答案が少なかったとされているため、要求定義、基本設計、詳細設計、製造、テスト、移行準備などの段階を意識する。要因としては、要求の漏れや曖昧さ、要求変更の未反映、設計レビュー不足、担当者のスキル差、テスト観点の不足、欠陥の未追跡、環境差異、納期優先など、選んだ品質に直接つながるものを挙げる。コントロールは、要求と設計・テスト項目の追跡、レビューの役割分担と承認、標準・チェックリスト、テスト計画と完了基準、欠陥管理、変更管理、品質指標の測定と是正などから、要因との対応が分かるよう具体化する。品質そのものの説明や一般論だけでなく、誰が、いつ、何を基準に確認するかまで書くことが重要です。

設問ウ

設問イで示した各コントロールが実際に設計・開発段階で機能しているかを、監査人がどのように確認するかを述べる。監査手続は、規程・計画書・体制図の閲覧、要求仕様と設計書及びテスト項目の対応確認、レビュー記録と承認状況の確認、テスト結果・欠陥一覧・再テスト記録の追跡、品質指標の推移と基準値の比較、担当者への質問、必要に応じた実施状況の観察など、コントロールごとに対応させる。監査証拠として、要求定義書、設計書、レビュー議事録、テスト計画・結果、欠陥管理表、変更記録、品質報告書、承認記録などを挙げ、証拠から何を確認するかを明確にする。確認ポイントは、責任者と権限が明確か、各工程の成果物が基準を満たして承認されているか、品質指標が設定・評価され未達時に是正されているか、欠陥や変更が漏れなく追跡されているか、後工程へ問題が持ち越されていないかなどです。採点講評が指摘するように、品質管理と品質そのものを混同せず、監査手続として記述することが求められる。

学習のポイント

品質と品質管理を混同せず、工程別のコントロールと監査証拠を具体化する力を養います。