平成30年度春期 システム監査技術者 午後Ⅱ 問2

問われている要素と自分の事例を対応させる

論述では、問われている各要素に自分が関与した具体的な状況を当てはめ、なぜその判断をしたのかを筋道立てて示すことが重要です。一般論を並べるだけにならないよう、根拠と結論のつながりを意識して構成を検討しましょう。

この問題で問われていること

問われている内容を要素ごとに分け、それぞれに自分の経験から何を書くかを事前に割り当てることが観点です。特に、前半で述べた内容と後半で述べる内容が矛盾なくつながっているかを確認してください。

視点

論述型の問題では、知識の正確さに加えて、状況・判断・理由の一貫性が読み手に伝わるかが見られます。前提として置いた状況と、それを受けて取った行動の間に論理の飛躍がないかを読み返して点検すると、構成の弱点に気づきやすくなります。

確認ポイント

• 問われている要素を漏れなく洗い出し、それぞれに記述する箇所を割り当てたか
• 自分の事例の状況説明と、その後の判断や行動の理由が対応しているか
• 前半で述べた前提と後半の記述の間に、矛盾や論理の飛躍がないか

解説

限られた監査資源で監査を効果的かつ効率よく行うため、リスク評価の結果を使って監査対象を選び、監査目的を決める能力を問う論述問題です。出題趣旨では、監査部門以外の評価結果を使う利点は監査資源の限界を補うこととされ、無条件で使うことには問題もあると示されています。採点講評では、設問アで特定のシステムだけを書いた解答、設問イで手順を書かず評価結果だけを書いた解答、設問ウで事前措置が抽象的な解答が指摘されています。

問題の全体像

問題文では、情報システムの活用が進んで監査対象の範囲が広がる一方、情報の漏えいや改ざん、システム停止によるサービスの中断、システム投資の失敗など、リスクが多様化していると述べています。多くの組織では、全システムを詳しく監査するだけの監査要員や予算を確保できません。そのため、リスクの大きさや内容に応じて監査対象を選び、監査目的を決めるリスクアプローチが必要だとしています。例として、年度監査計画を策定する際に、経営方針や情報システム化計画などとともに、監査部門が行ったリスク評価の結果を基にする方法が挙げられています。また、情報システム部門やリスク管理部門など、監査部門以外が行った評価結果を使う場合は事前の措置が必要だとも述べています。出題趣旨によると、本問はリスク評価の結果を使って、適切に監査対象を選び監査目的を決めるために必要な知識・能力を問うものです。公式解答例はなく、出題趣旨と採点講評が評価の観点を示す資料になります。

設問ア

組織の主な業務と、保有する情報システムの概要を800字以内で述べる設問です。採点講評では、受験者が関係する組織の保有システムの概要を求めたのに、特定の情報システムだけを論じた解答が目立ったと指摘されています。後の設問イ・ウでは、複数のシステムから監査対象を選ぶ話になります。そのため、ここでは組織全体としてどのような業務があり、どのような情報システムを持っているかを示し、比較や選定の前提となる全体像を書くことが大切です。業務とシステムの結び付きがわかるように書いておくと、設問イでリスクの大きさや内容の違いを論じやすくなります。

設問イ

設問アで述べた情報システムについて、監査部門が自らリスク評価を行い、監査対象を選び監査目的を決める場合の「手順」と「留意点」を700字以上1、400字以内で述べる設問です。採点講評では、監査部門がリスク評価を行うことが前提なのに、評価の手順をほとんど書かず、評価の結果だけを書いた解答が多かったと指摘されています。したがって答案では、評価をどのような段階で進め、その結果から監査対象の選定と監査目的の設定にどうつなげたかを、順を追って具体的に書くことが評価の分かれ目になります。着目したい問題文の記述は次の3点です。①リスクの大きさや内容に応じて対象を選び目的を決めるという考え方。②年度監査計画では経営方針や情報システム化計画なども踏まえるという例示。③漏えい・改ざん・サービス中断・投資の失敗といったリスクの例。ただし、具体的な評価方法や手順の細目は公式資料に示されていません。設問アで述べた自組織のシステムに即して自分の経験から組み立て、なぜその手順や留意点が必要なのかを理由とともに述べることが求められます。字数の目安は、手順を段階ごとに説明する部分を中心とし、留意点を手順と結び付けて加える構成です。

設問ウ

監査部門以外が行ったリスク評価の結果を使って監査対象を選び監査目的を決める場合の「利点」「問題点」「監査部門として必要な措置」を700字以上1、400字以内で述べる設問です。利点について、出題趣旨で明示されているのは監査資源の限界を補えるという点です。答案はこれを軸に、自組織の状況で監査要員や予算の不足をどう補えたかを具体的に書くとよいでしょう。問題点については、出題趣旨で無条件に使うことには問題もあるとされ、問題文でも事前の措置が必要とされています。採点講評によると、利点と問題点はよく理解した論述が多かったとのことです。一方、問題点に対する事前措置は「監査部門が結果を確認する」といった抽象的な内容が多かったと指摘されています。ここが評価を分けるポイントです。個々の措置の内容は公式資料に正答として示されていません。答案では、自分が挙げた問題点に一つずつ対応させ、監査部門が事前に何を対象として、どのように措置を講じるのかを、設問ア・イで述べた組織とシステムに即して具体的に書くことが求められます。構成は、利点・問題点・措置の3項目を明確に分け、特に措置の具体化に字数を多めに割くのが効果的です。

学習のポイント

設問が求める範囲（保有システム全体、評価の手順、問題点に対応する事前措置）を正確に読み取り、各項目を自分の経験に即して具体的に書き分ける練習をすることが重点です。