平成30年度春期 システム監査技術者 午後Ⅱ 問1

アジャイル監査論述の着眼点

アジャイル型開発の特徴を踏まえ、変化への対応力と統制上の不確実性を対比しながら、監査人が確認すべき論点を整理するためのヒントです。採用理由、リスク、監査手続のつながりを意識してください。

この問題で問われていること

論述全体では、開発手法の説明に終始せず、採用理由から想定リスク、体制・スキル・環境の確認へと、監査上の視点を一貫させることに注目してください。各設問の役割を分け、同じ視点で具体化しましょう。

視点

アジャイル型開発では、短い反復と継続的な関係者の関与によって、要件の変化を扱う点が重要です。その反面、計画、責任分担、品質確認、成果物の見通しなどに不確実性が生じ得ます。監査では、手法の名称や一般論ではなく、対象システムの事情に応じて、リスクと統制がどう結び付いているか、またそれを裏付ける証拠を何で確かめるかという関係を整理するとよいでしょう。

確認ポイント

• 採用理由と開発上の特徴が、対象システムの事情に結び付いているか
• 想定するリスクと、それに対応する統制の関係が整理されているか
• 監査手続について、確認対象と監査証拠の対応が示されているか

解説

本問は、アジャイル開発の柔軟性を生かしながら固有のリスクを抑えるため、開発前の体制・スキル・開発環境の整備状況を監査する論述問題です。

問題の全体像

ビジネス環境や要求が頻繁に変化する領域では、短期間の開発とリリースを繰り返し、変更を取り込みやすいアジャイル型開発が適する。一方、初期段階で最終成果物、スケジュール、コストを固定しにくく、ウォータフォール型とは異なるリスクが生じる。本問は、経験に基づく情報システムを題材に、アジャイルを採用する理由と開発内容、想定リスクと統制、さらに開発着手前に体制・スキル・開発環境の準備状況を確認する監査手続を、設問アからウまで一貫させて論述させる。採点講評では、単なるシステム概要や一般論、運用段階の監査手続、監査結果の記述に偏らず、問題文の要求に沿って具体的に書くことが重視されている。

設問ア

800字以内で、後続の設問イ・ウと同じ情報システムを一つ設定し、概要、アジャイルを採用する理由、開発内容を簡潔に示す。概要では利用者、業務目的、変更が頻繁に発生するビジネス上の特徴を明確にする。採用理由は、要求や市場環境の変化に短期間で対応し、利用者の評価を反映しながら価値を提供する必要性と結び付ける。開発内容では、1～4週間程度の反復、設計・コーディング・テスト・ユーザ検証、優先順位付けされた要求の取込み、開発者とレビューアの協働、継続的なビルドやリリース、テストを先行させる方法など、問題文に示された特徴から事例に関係するものを選んで説明する。後続設問で扱うリスクや監査手続につながるよう、誰が要求を決め、どの単位で開発・検証するかまで具体化するとよい。

設問イ

700字以上1、400字以内で、設問アのシステムに即して、ウォータフォール型とは異なるリスクを中心に、リスクとコントロールを対にして記述する。例えば、要求変更が続いて範囲や優先順位が拡散するリスクには、プロダクトオーナー等の責任者によるバックログの優先順位付け、受入条件の明確化、変更承認を対応させる。成果物・納期・コストを初期に固定しにくいリスクには、リリース計画、反復ごとの実績・進捗・予算の把握、継続・中止判断の基準を対応させる。短期間の反復で品質や回帰不具合を見落とすリスクには、自動テスト、テスト先行、コードレビュー、継続的インテグレーション、受入テスト、リリース判定を対応させる。さらに、属人化、設計文書不足、セキュリティ・個人情報対策の後回し、頻繁なリリースによる障害や復旧困難、利用部門の参加不足なども、事例との関係を示して統制を書く。採点講評が指摘するように、リスクだけを列挙せず、具体的なコントロールまで記述することが必要です。

設問ウ

700字以上1、400字以内で、開発開始前の準備状況を確認する監査手続を、監査証拠と確認ポイントを組み合わせて具体化する。まず、プロジェクト計画、開発方針、体制図、役割分担表、権限規程、契約書、スキル一覧や教育記録を閲覧し、プロダクトオーナーの意思決定権、開発者・レビューア・テスト担当者の役割、必要なアジャイル経験と要員の確保を確認する。次に、バックログ、ロードマップ、リリース計画、リスク一覧、会議体の議事録を調べ、要求の優先順位付け、受入条件、変更管理、進捗・コスト・品質の把握方法が定められているかを確認する。さらに、リポジトリ、課題管理ツール、CI/CD環境、テスト自動化、アクセス権設定、レビュー記録、ログ、リリース手順、バックアップ・ロールバック手順などを閲覧・観察し、実際に利用可能で証跡が残るかを確認する。担当者への質問や計画された作業のウォークスルー、可能なら試行によって、文書上の整備だけでなく運用可能性も確かめる。採点講評を踏まえ、運用後の監査結果を述べるのではなく、開発着手前に何を入手し、何と照合し、どの基準で評価するかを記述する。

学習のポイント

アジャイル固有のリスクを具体的な統制と監査証拠に結び付けて書く力が重要です。