令和2年度10月 システム監査技術者 午後Ⅰ 問3

統制の目的と手段の対応を確かめる

有効性監査の論点では、ある統制がどのリスクや目的に対応して置かれているかを意識すると整理しやすくなります。示された手続が、その段階で確かめたい事柄の裏付けになっているかという一つの視点に絞って検討してみましょう。

この問題で問われていること

IT投資の評価や稼働後の活用推進といった局面ごとに、統制が何を達成するために設けられているのかを自分の言葉で言い表し、その目的と実際の手続・確認内容が噛み合っているかを監査人の立場から見比べる力が問われています。

視点

統制は、防ぎたい事態や達成したい目的があって初めて意味を持ちます。監査で有効性を検討するときは、まず「この局面で何が確かめられていれば安心できるか」を考えます。次に、その手続や確認の内容がその目的の裏付けになっているかを見ます。形式上は整って見える手続でも、目的とのつながりが弱ければ判断の根拠としては不十分になり得ます。この対応関係を一つずつ丁寧に確かめる姿勢が、整理の軸になります。

確認ポイント

• その局面で統制が果たすべき目的を、自分の言葉で一文にまとめられるか
• 示された手続や確認の内容が、その目的を裏付ける根拠として機能しているか
• 目的と手段の結び付きを、監査人として第三者に説明できる程度に言語化できるか

解説

保険会社A社の内部監査部が、社長の「投資したのに十分使われていないシステムがあるのでは」という問題意識を受けて、システムの有効性を監査する事例です。表2では、自己評価対象案件の投資効果検証の結果がオーナ部長で止まっています。表3からは、利用者ニーズの把握不足、活用状況をモニタリングする仕組みの欠如、検証予定時期が決まっていないことが分かります。ここから、ITガバナンスの観点で必要なリスク、コントロール、監査手続を導きます。

問題の全体像

A社では、情シス委員会がITガバナンスの要になっています。一方で、年間約200件、システム開発費の約3割を占める中・小規模案件（自己評価対象案件）は、オーナ部だけで投資効果を検証し、結果の最終報告先はオーナ部長にとどまっています。内部監査部は「Web契約更改システム」を調べ、次の実態を確認しました。

・利用者数が当初推定の約3%にとどまっている

・計画は外部コンサルタントの助言に頼っていた

・活用状況をモニタリングする仕組みがない

・検証予定時期を決めていなかった

出題趣旨では、システムの有効性に着目した内部監査を通じてITガバナンスが適切かを評価・検証する際の、リスク・コントロール・監査手続に関する能力を問うとしています。採点講評でも、ITガバナンスに関する内部監査としての監査人の対応がポイントだったとされています。

設問1

着目するのは〔ITガバナンス〕の定義と表2の最終報告先の欄です。A社は、経営陣が情報システムに関するマネジメントを評価・指示・モニタするよう努めています。しかし表2を見ると、大規模案件の最終報告先は経営会議なのに、自己評価対象案件はオーナ部長です。案件数は年間約200件、金額は開発費の約3割に上るにもかかわらず、その検証結果が経営陣に届かず、経営陣が評価・モニタできない状態になっています。公式解答例では「自己評価対象案件の投資効果検証の結果がオーナ部内にとどまっているので、経営会議に伝わらない」という趣旨が示されています。答案では、原因（検証結果がオーナ部内で完結している）と問題点（経営会議・経営陣に伝わらない）の二つを50字以内に入れます。採点講評によると正答率は低く、評価の時期や評価基準を書いた解答が散見されました。経営陣への報告や情シス委員会への報告という、ITガバナンスにおける経営陣の関与の観点から書くことが求められています。

設問2

表3の項番3によると、計画段階の利用者ニーズの把握は、外部コンサルタントの助言を参考にしただけでした。その結果、項番2のとおり、利用者数は推定の約3%にとどまっています。表1の項番5では、情シス事務局がオーナ部に確認したうえで開発案件を絞り込む手順になっているので、この確認の場面で利用者ニーズとの整合を確かめるべきだと分かります。公式解答例では「開発するシステムが利用者ニーズに合致しているかどうかを確かめていること」とされています。40字以内で、確認の対象（オーナ部が開発しようとするシステム）と確認の観点（利用者ニーズとの合致）を示します。採点講評では、利用者アンケートの実施といった特定の対策に限った解答が散見されたとあり、状況を正しく捉えた汎用的なコントロールとして書くことが求められています。

設問3①

表3の項番4によると、活用状況をモニタリングする仕組みがないため、今回のヒアリングのためにわざわざ情報システム部に依頼して利用者数を把握していました。これでは稼働後の活用状況を継続的・適時に確認できません。公式解答例の一つ目は「活用状況のモニタリングの仕組みを構築する」です。25字以内で、活用状況を常に把握できる仕組みを整えることを書きます。

設問3②

表3の項番5によると、稼働直後の数か月は利用者数を把握していましたが、検証予定時期をあらかじめ決めていなかったこともあり、その後は確かめていませんでした。仕組みがあっても、いつ検証するかが決まっていなければ確認は続きません。公式解答例の二つ目は「活用状況の検証予定時期を定めておく」です。①が仕組みの整備（項番4への対応）、②が検証時期の設定（項番5への対応）と、それぞれ別の項番に対応していることを意識して、二つを重複させずに書き分けます。

設問4

〔営業推進部の課題認識〕では、計画どおりに活用されていないと分かった時点で、利用を続けるか廃止するかを「確実かつ速やかに」判断するための新たなルールが必要だとされています。判断の拠り所になる基準がないと、その都度の議論になって判断が遅れたり、先送りされたりします。そこで、判断に使う基準値を前もって決めておくことが有効なコントロールになります。公式解答例では「利用継続か廃止かを判断するための基準値を稼働前に定めておく」とされています。35字以内で、何を（継続か廃止かの判断基準値を）、いつ（稼働前に）定めるかを押さえます。採点講評では、特定の部署に限った対策が散見されたとあり、汎用的なルールとして書くことが求められています。

設問5

〔情報システム部の課題認識と対策検討状況〕によると、改訂原案は情報システム部内でりん議を上げる直前の段階です。一方、本文には、情シス事務局を務める経営企画部がオーナ部を代表していること、そして情報システム部が経営企画部と連携して対策を検討していることが書かれています。したがって、改訂原案がオーナ部にとっても適切かどうかは、オーナ部の代表である経営企画部が原案に賛同しているかで確かめられます。公式解答例では「経営企画部が改訂原案に賛同していることをヒアリングで確認する」とされています。採点講評では正答率はやや低く、監査項目だけを書いた解答が散見され、何をどのように確認するかまで書いた解答は少なかったと指摘されています。35字以内で、確認の相手（経営企画部）、確認の方法（ヒアリング）、確認事項（改訂原案への賛同）をそろえて書くことが大切です。

学習のポイント

システム管理基準にあるITガバナンスの定義（経営陣による評価・指示・モニタ）を理解しておくことが土台になります。そのうえで、IT投資の計画・稼働後確認・継続か廃止かの判断・報告経路の各段階について、コントロールの抜けを本文の事実から見つける練習をしましょう。監査手続は「確認対象・方法・確認事項」をそろえて書くことが重要です。