令和3年度秋期 システム監査技術者 午前Ⅱ 問9

運用管理統制を監査目的から捉える

IT全般統制の運用管理領域について、財務報告の信頼性という監査目的に照らし、各内容が何を確かめようとしているのかを、統制目的と監査手続の対応関係という一つの観点から検討することが要点です。

この問題で問われていること

この分野で重要なのは運用管理そのものの作業手順ではなく、監査人がその領域を評価するときに何を目的とし、どのような証拠で確かめるかという視点です。統制の目的と確認手段の結び付きを意識してください。

視点

IT全般統制は、業務処理統制が継続して有効に機能するための基盤として評価されます。監査上の留意点を整理するときは、個々の運用作業の良し悪しを論じるのではなく、その統制が財務報告の信頼性に対してどのようなリスクを低減する目的をもつのかを押さえ、その目的に見合った手続と証拠で確かめているかという対応関係で考えると整理しやすくなります。

確認ポイント

• その内容は、監査人が評価する立場から述べられているか、それとも運用担当者の作業内容として述べられているかを区別する
• 統制が財務報告の信頼性に対してどのリスクを低減する目的をもつのかを、自分の言葉で説明できるか確かめる
• 確認のために用いる手続や証拠が、その統制目的の達成を確かめる手段として筋が通っているかを検討する

正解

ウ

解説

システムの運用・管理では、障害や故障などの発生に備え、データを適切に保存し、必要時に復旧できる仕組みが整備されているかを確認する。

理由

システムの運用・管理に関する監査では、障害や故障などによるデータ消失のリスクに備え、データの保存や復旧のための対策が取られているかを確認する。したがって、ウが最も適切です。

比較

アはシステム開発、イはアクセス管理、エは新規システム導入時のデータ移行に関する留意点です。いずれもIT全般統制に関係するが、設問が求める運用・管理そのものの説明ではありません。

選択肢ア

これは不正解だよ。開発目的に適合した開発手法が適用されているかは、システム開発の管理に関する留意点である。設問が尋ねているシステムの運用・管理における、障害発生時のデータ保存や復旧対策を直接示していないため、該当しない。

選択肢イ

これは不正解だよ。システムやデータの不正使用、改ざん、破壊を防ぐためのアクセス管理方針は、アクセス権限や利用制御に関する留意点である。運用・管理に関連する場合はあるが、設問の中心である障害時の保存・復旧対策とは異なる。

選択肢ウ（正解）

これは正解だよ。障害や故障などによるデータ消失に備え、データを保存し、必要な場合に復旧するための対策を取ることは、システムの運用・管理における重要な留意点である。したがって、この選択肢が設問に最も適切に合致する。

選択肢エ

これは不正解だよ。新規システムの導入に伴うデータ移行で、誤謬や不正を防止する対策を取ることは、システム導入やデータ移行の管理に関する留意点である。通常のシステム運用・管理における障害時の復旧対策とは対象が異なる。

学習のポイント

全般統制の領域と、各領域に対応する監査上の留意点を区別する。