平成30年度春期 システム監査技術者 午後Ⅰ 問2

問2　データ分析システムの監査に関する次の記述を読んで，設問1～5に答えよ。 サービス業のP社は，昨年，社内の各種活動の実績を把握して，新たな施策を立案し，実施する活動を進めていくことを目的として，データ分析システムを構築した。このシステムは様々なテーマでの活用が期待できるが，P社は業務の効率向上とともに，従業員の満足度を高めるための“働き方改革”を当面の優先テーマとした。 データ分析システムは，経営企画部がシステムオーナとなって企画し，情報システム部が開発と運用を行っており，その概要は，図1のとおりである。このシステムは，構築してから1年経過したので，P社では構築目的の達成状況を確かめるために，監査室によるシステム監査を実施することにした。 図1 データ分析システムの概要 〔情報システム部長へのヒアリング〕 システム監査人は，予備調査として，データ分析システムについて，情報システム部長へのヒアリングを行った。その結果は，次のとおりである。 （1）データの収集 ①　情報システム部には，業務システム課，基盤システム課及び管理課がある。データ分析システムは，業務システム課が運用しており，次の四つのシステムからデータを月次で収集し，蓄積している。 （ア）勤怠管理システム（運用担当：業務システム課） （イ）人事管理システム（運用担当：業務システム課） （ウ）スケジュール管理システム（運用担当：基盤システム課） （エ）認証基盤システム（運用担当：基盤システム課） ②　スケジュール管理システムは，各従業員の日々の予定と，会議室の予約を管理している。このシステムから，現在はスケジュールデータとして，部署ごとの会議の合計時間だけを収集しているが，今後は，更に詳細なデータ項目（会議ごとの参加者と時間など）を収集する予定である。 （2）データ分析システムの運用 ①　P社の各部門が，収集したデータの利用を希望する場合には，最初に情報システム部が，実際のデータの一部をサンプルデータとして抽出して提供し，利用を希望する部門が分析を試行する。意図した分析が可能なことを確認できたら，利用を希望する部門から経営企画部へ“データ利用申請書”を提出し，その後，定常的に利用する。 ②　P社では，対象システムごとに，サービスレベルを5段階に区分して設定している。各サービスレベルに応じて，障害発生時の停止時間の水準を，上位から順に5分，1時間，9時間，1日，4日と定め，併せてバックアップ体制を設けている。データ分析システムは，業務システム課が運用している他のシステムと同様に，上位から2番目のサービスレベルが設定され，障害発生時の停止時間は1時間となっている。 （3）データの分析・活用 各利用部門は，データ蓄積基盤のデータを基に，データ分析ツールを使用して，月次の定型レポート及び随時の分析レポートを作成している。 〔経営企画部長へのヒアリング〕 システム監査人は，更に予備調査として，データ分析システムの構築の経緯と活用状況について，経営企画部長へのヒアリングを行った。その結果は，次のとおりである。 （1）経営企画部が，データ分析システムの構築について，経営幹部で構成される投資委員会へ提案した際には，データの収集について，次のような議論があった。A委員からは，“関連しそうなデータをできるだけ多く収集し，分析を繰り返すことによって，どのように活用するかを検討すればよい”という意見があった。 それに対し，B委員からは，“分析の目的が曖昧なままデータを収集すると，収集に時間と手間が掛かる一方で，成果が得られない可能性が高い”と指摘する意見があった。 （2）“働き方改革”の施策は，間接業務の効率向上，在宅勤務を含む多様な勤務制度の導入，情報共有環境の整備，会議の効率向上など，多岐にわたっている。例えば，会議の効率向上の内容は，次のとおりである。 ①　全ての会議の参加者・時間・頻度を見直し，1人当たりの会議時間を低減する。 ②　会議の目的に応じて，“アイディア創出”，“意思決定”及び“情報共有”に区分し，“情報共有”の会議のうち30%は電子メールなどで代替して削減する。 ③　データ分析ツールを利用して，会議の実績を目的別・部署別に集計した“会議開催実績表”を作成し，①と②の施策の進捗状況を把握できるようにする。 （3）現在行っているデータ分析は，P社の基幹業務（営業・サービスなど）とは異なり，1日停止したとしても，事業運営に支障を来すことはない。当面は月次でデータ分析を行い，業務の傾向を把握することによって，価値のある知見が得られると考えている。 （4）データ分析システムを有効に活用するために，毎月，各利用部門の代表者を集めて，活用検討会を開催している。そこでは，各利用部門がデータ分析システムの利用状況を報告し，併せて今後の利用ニーズを提案する。また，情報システム部からは，データの収集状況（ニーズに対応して必要となった新規のデータが，予定どおり収集できているかどうかなど），及び今後の収集予定を報告する。 〔本調査の結果〕 システム監査人は，予備調査の結果を受けて，本調査を行った。その結果は，次のとおりである。 （1）データの収集 スケジュールデータは，現在はスケジュール管理システムの本番運用中のサーバから収集している。今後，更に詳細なデータ項目を収集する場合は，運用面のリスクがある。その対策として，システム監査人は，本番運用中のサーバとは別にレプリケーションサーバを構築して，そこからデータを収集する方法を検討する必要があると考えた。 （2）データ分析システムの運用 ①　利用部門から“データ利用申請書”が提出された後に，経営企画部は申請者を個人情報の取扱者として登録し，データの受渡し内容を記録して保管している。しかし，システム監査人は，この運用方法では，個人情報管理に関わるコンプライアンスを確保するためには不十分と考え，必要なコントロールの有無をヒアリングによって確かめた。 ②　P社では，システム構築時に開催している要件検討会において，対象システムのサービスレベルを設定している。システム監査人は，データ分析システムのサービスレベルが，業務要件に見合っていることを確かめるために，要件検討会の議事録を閲覧した。その結果，業務停止の影響について検討せずに，業務システム課が運用している他のシステムと同じサービスレベルが設定されていることが分かった。システム監査人は，このままでは，適切にシステムを運用する上でリスクがあると考え，改善を求めることとした。 （3）データの分析・活用 ①　〔経営企画部長へのヒアリング〕の（1）で，B委員から指摘された“成果が得られない可能性”が低減しているかどうかを文書で確認した結果，適切な対処が行われていた。 ②　各部門において，分析結果を活用した会議の見直しが行われているかどうかを確かめるために，会議の効率向上について状況を確認した。 設問1　〔本調査の結果〕（1）について，システム監査人が想定したリスクを，45字以内で述べよ。 設問2　〔本調査の結果〕（2）の①について，システム監査人が確かめたコントロールの内容を，45字以内で述べよ。 設問3　〔本調査の結果〕（2）の②について，システム監査人が想定したリスクを，40字以内で述べよ。 設問4　〔本調査の結果〕（3）の①について，システム監査人が行った監査手続を，50字以内で具体的に述べよ。 設問5　〔本調査の結果〕（3）の②について，システム監査人が状況を確認するために行った監査手続を，40字以内で述べよ。