平成31年度春期 システム監査技術者 午前Ⅱ 問10

管理対象を分類するための視点

情報システム監査の分類を考えるときは、用語の印象や配置に引きずられず、何を管理対象として捉え、どの目的で区分しようとしているのかという一つの観点に意識を置きます。その観点を一貫して確認しましょう。

この問題で問われていること

今回の確認では、分類名そのものを覚えているかではなく、対象を区分する基準が同じレベルで保たれているかに注目します。各記述を読んだら、同じ観点で比較できる内容かを丁寧に確かめてください。

視点

分類を検討するときは、まず区分の目的と対象の捉え方を整理し、その後で各記述が同じ基準に沿って並べられているかを確認します。表現の細部より、分類の軸がぶれていないかを重視しましょう。

確認ポイント

• 分類の目的を一つの観点に絞って読めているか
• 各記述を同じ基準で比較できているか
• 表現ではなく分類の軸の一貫性を確認したか

正解

イ

解説

情報システムのマネジメントは、IT投資や情報セキュリティなどを組織全体の管理活動として計画・実行・評価・改善する領域です。したがって、PDCAに基づく適切な管理を問う記述が該当する。

理由

マネジメントは、組織の目標達成に向けて、ITに関する計画、実施、評価、改善を継続的に管理する活動です。IT投資管理や情報セキュリティ対策をPDCAサイクルに基づいて組織全体で管理する記述は、この領域に該当する。

比較

経営戦略との整合性や新技術の組込みは、情報システムの方向性を定めるガバナンスの観点です。承認手続や異常アクセスへの対処は個別のコントロール、業務プロセスへのリスク対応も統制の観点に当たる。

選択肢ア

これは不正解だよ。IT戦略と経営戦略の整合性や新技術・イノベーションの経営戦略への組込みは、組織として情報システムの方向性を定める内容である。日常の管理活動をPDCAで運用するマネジメントの記述ではなく、ガバナンスの観点に該当する。

選択肢イ（正解）

これは正解だよ。IT投資管理や情報セキュリティ対策を、PDCAサイクルに基づいて組織全体で適切に管理することは、計画・実施・評価・改善を継続するマネジメントの活動である。設問が求めるマネジメントの監査対象に該当する。

選択肢ウ

これは不正解だよ。規程に従った承認手続や、異常なアクセスを検出した際の対処・報告は、定められた手続が実際に機能しているかを確認する個別の統制活動である。組織全体の管理サイクルを問うマネジメントとは分類が異なる。

選択肢エ

これは不正解だよ。業務プロセスにリスクに応じた統制を組み込むことは、リスクを抑えるための業務上のコントロールに関する内容である。組織全体のIT管理を計画・評価・改善するマネジメントそのものを説明した記述ではない。

学習のポイント

ガバナンス、マネジメント、コントロールの役割と監査観点を区別する。