平成30年度春期 システム監査技術者 午前Ⅱ 問6

リスクコントロールの目的を考える視点

システム管理のリスクコントロールを考えるときは、個別の対策名や手順を覚える前に、組織が避けたい不確実性と、管理活動が支える対象との関係を整理することが重要です。

この問題で問われていること

選択肢を読む際は、対策そのものの説明ではなく、管理によって何を安定させ、どのようなリスクとの関係を調整しようとしているかという目的の階層に注目し、表現の範囲を確かめてください。

視点

リスクコントロールの目的は、技術的な作業だけでなく、業務上の目標、発生し得る不確実性、管理責任のつながりの中で捉えます。表現の広さと目的との対応を見比べましょう。

確認ポイント

• 対象となる業務上の目標が、どのような不確実性と結び付いているか確認する
• 記述が個別手段の説明か、それとも管理活動の目的を述べているか区別する
• 組織全体の視点と現場作業の視点が混同されていないかを確認する

正解

イ

解説

システム管理基準におけるコントロール整備・運用の目的は、監査業務を実施することではなく、情報システムが組織体の目的に沿って適切に機能する状態を実現することです。

理由

組織体が情報システムに関するリスクへのコントロールを整備・運用するのは、情報システムが組織体の目的を実現するように機能させるためです。したがって、システム管理基準が示す目的に合うのは、情報システム自体の望ましい機能状態を述べた選択肢です。

比較

アはシステム監査業務、ウはコントロール状況の評価、エはシステム監査人による保証・助言を説明しています。これらはいずれも監査側の活動や役割であり、組織体がコントロールを整備・運用する直接の目的とは異なります。

選択肢ア

これは不正解だよ。これはシステム監査業務の品質確保と監査の実施方法に関する説明です。組織体が情報システムに関するリスクへのコントロールを整備・運用する目的は、監査業務そのものを有効かつ効率的に行うことではありません。

選択肢イ（正解）

これは正解だよ。システム管理基準が示す目的は、情報システムが組織体の目的を実現するように、安全、有効かつ効率的に機能することです。これは、組織体がリスクに対するコントロールを整備・運用する目的を直接説明しています。

選択肢ウ

これは不正解だよ。これは情報セキュリティに関するリスクマネジメントや、コントロールの整備・運用状況を評価する活動を述べています。コントロールを整備・運用する目的そのものではなく、評価に重点が置かれた説明です。

選択肢エ

これは不正解だよ。これはシステム監査人がコントロールを評価し、保証または助言を行ってITガバナンスに寄与する役割の説明です。組織体がコントロールを整備・運用する目的ではなく、監査人の活動を示しています。

学習のポイント

管理基準の目的と、システム監査人が行う評価・保証・助言の役割を区別して学びます。