令和2年度10月 システム監査技術者 午後Ⅱ 問2

IT組織変更リスクの監査視点

IT環境の変化で役割や責任が変わるとき、組織が新たに負うリスクをどう捉え、対応策と監査上の確認を一続きの論点として整理するかに注目し、経験に即して考えてください。

この問題で問われていること

自分の組織に起きた変化を出発点に、役割・責任の変更、そこから生じる不確実性、対応策、実施状況を確かめる方法がつながっているかを、監査の観点から丁寧に考えてください。

視点

役割・責任の見直しを単独で説明せず、環境変化によって何が変わり、その変化がどのようなリスク認識や対応の必要性につながったのかという関係を整理する視点です。監査では、主張だけでなく、実施状況を確認できる根拠の種類や、確認時に注意すべき前提にも目を向けます。

確認ポイント

• 変化と役割・責任の結び付きを、自分の関与した組織の状況に即して説明できるか。
• 新たに生じるリスクと、それに対する対応策の関係が途中で飛躍していないか。
• 対応策の実施状況を確かめる際、確認対象・根拠・留意点を区別できているか。

解説

本問は、外部サービスや新技術によるIT環境の変化を前提に、IT組織の現状、必要な役割・責任の変更、発生するリスク、対応策及び監査手続を一貫した事例で論述する問題です。

問題の全体像

問題文は、業務改革やコスト削減、新サービス開発を背景に、パブリッククラウドなどの外部サービス利用拡大、AI・IoTなどの新技術導入が進む状況を示している。その結果、IT組織には、従来の開発・運用だけでなく、外部サービスを管理する責任、新たな知識・経験の獲得と維持、必要な要員の確保や調整、場合によっては全社のデジタル化を推進する役割が求められる。一方、OJT機会の減少による知識継承不足や、新技術に関する能力不足による開発・運用失敗など、役割・責任の変更を果たせないリスクも生じる。本問では、受験者自身が関与した組織を一つ設定し、設問アで現状と変化、設問イで役割変更とリスク、設問ウで対応策と監査手続を、同じ事例に基づいて一貫して説明することが求められる。採点講評でも、個別の情報システム開発やクラウド導入プロジェクトの管理だけに偏らず、IT組織の役割・責任の変更という問題の趣旨を設問ア・イ・ウで一貫して論述することが重視されている。

設問ア

まず、答案全体の土台となるIT組織を具体化する。組織の構成、例えば企画、開発、運用、セキュリティなどの担当と、各担当が担う役割・責任を簡潔に示した上で、外部サービスの利用拡大やAIなどの新技術導入といった変化を述べる。重要なのは、単に「クラウドを導入した」と書くのではなく、その変化が現在の体制や能力、要員、知識継承にどのような影響を及ぼすかまでつなげることです。800字以内なので、組織の説明を広げ過ぎず、設問イで役割変更とリスクを論じるために必要な事実に絞る。例えば、従来は自社で開発・運用していたが、今後は外部サービスの選定・契約・サービスレベル・障害時の責任分担を管理する必要がある、というように、現状と変化の対比を明確にすると後続設問との一貫性を保てる。採点講評が指摘するような個別案件の説明だけにならないよう、IT組織全体の体制と役割・責任を中心に書く。

設問イ

設問アの事例を受け、第一に、IT環境の変化に対応するために役割・責任をどう変更するかを示し、第二に、その変更に伴って新たに発生するリスクを対応付けて述べる。例えば、外部サービスの利用拡大に対して、サービス選定・契約管理、委託先の性能・可用性・セキュリティ管理、障害時の連絡や復旧調整を担当する役割を明確化する。また、新技術導入に対して、技術評価、開発標準の整備、専門人材の確保・育成、全社的なデジタル化の推進を担う責任を置く。その上で、OJT機会の減少により見積り能力や業務・システム知識が維持できない、必要な専門能力を確保できない、外部サービスとの責任分界を誤る、経験不足で開発・運用に失敗する、といったリスクを、変更した役割と結び付けて説明する。公式解答例では、外部サービス利用に伴うOJT機会の減少、要員削減や新たな能力の獲得・維持、組織全体のデジタル化推進役の必要性が論点として示されている。したがって、単に問題文のリスクを列挙するのではなく、自分の事例で誰の役割がどう変わり、その結果何ができなくなるおそれがあるのかを具体化する。

設問ウ

設問イで挙げた各リスクについて、予防・低減するための具体的な対応策と、その対応策が実施され有効に機能しているかを確かめる監査手続を示します。対応策には、役割・責任と権限の文書化、外部サービスの責任分界や管理基準の整備、教育・資格取得・計画的な要員配置、設計レビューや知識共有、複数担当制、技術評価や試行環境の設定など、リスクとの対応が分かる施策を置く。監査手続では、規程・組織図・職務分掌・契約書・サービスレベル合意・教育計画・要員計画・議事録・評価記録などの文書を閲覧し、責任者や担当者への質問、実施記録との照合、必要に応じた運用状況の観察によって、設計だけでなく実施状況を確かめる。さらに、確認対象の期間、サンプルの選び方、記録の信頼性、外部サービス側の証跡に依存する場合の限界、形式的な教育実施と実際の能力獲得を区別する点に留意する。採点講評では、個別システム開発やクラウド導入の管理論に終始する答案、IT担当者の能力だけを述べる答案、問題文の環境変化と整合しない一般論が指摘されている。また、監査手続を求められているため、対応策を列挙したり監査結果を断定したりするのではなく、何を基準に、どの証拠を、どの方法で確かめるかを明示することが重要です。

学習のポイント

組織変更を単独で論じず、環境変化、リスク、対応策、監査証拠まで因果関係を保って書く力を身に付ける。