令和3年度秋期 システム監査技術者 午後Ⅱ 問1

リスクと監査手続の対応を一貫させる

論述では、問題文に示された状況から読み取れるリスクを出発点にします。それを抑えるコントロールと、その有効性を確かめる監査手続とが、一本の筋でつながっているかを確認しましょう。一般論だけで終わらせない意識も大切です。

この問題で問われていること

設問が求めている記述の対象と範囲を見極めることが出発点です。リスク・コントロール・監査手続のうち、どの要素を問われているのかを区別し、各記述が問題文で示された前提に根差しているかを点検します。

視点

システム監査の論述では、三つの要素を次のように整理できます。リスクは「何が起き得て、何に影響するか」です。コントロールは「それを防止または発見するために、誰が何をするか」です。監査手続は「そのコントロールが整備・運用されていることを、何を根拠にどう確かめるか」です。三者の対応関係が途中で途切れていないかを確かめることが、検討の軸になります。

確認ポイント

• 記述したリスクが、問題文の状況から根拠をもって導かれているか
• 挙げたコントロールが、そのリスクに直接対応する内容になっているか
• 監査手続で確かめる対象と入手する証拠が、コントロールと対応しているか

解説

本問では、ユーザ部門が比較的簡単な操作でロボットを開発できるというRPAの特徴を踏まえることが求められます。そのうえで、ロボットの開発・運用・保守に関わるリスク、リスクを低減するコントロール、コントロールの機能を確かめる監査手続を、システム監査人の立場から一貫して論述します。採点講評では、一般的なシステム開発の内容にとどまり、RPAの特徴を踏まえていない解答が多かったと指摘されています。

問題の全体像

問題文によると、働き方改革の推進やテレワークの拡大を背景に、RPAを導入する事例が増えています。RPAには操作を記録する機能や標準的な部品があり、ユーザ部門でもドラッグアンドドロップなどの比較的簡単な操作でロボットを開発できます。一方で、ユーザ部門は情報システムの開発・運用・保守に必ずしも精通していません。そのため、問題文は次のおそれを挙げています。・自動化の対象とする業務処理の選定を誤る・テストパターンが不足する・運用管理や改変対応などの体制・ルールが明確でないため、ロボットが正しく稼働しなくなる。出題趣旨では、ユーザ部門だけでロボットを開発・運用・保守するとさまざまなリスクが生じることを前提としています。そのうえで、リスクを低減するコントロールが適切に機能しているかどうかを確かめるための知識・能力を問うとしています。採点講評の全問共通の講評では、問1は監査手続の作成を問う問題と位置付けられています。また、システム担当者の立場ではなくシステム監査人の立場から論述するよう求めています。なお、本問は論述式のため公式解答例はなく、公開されている公式資料は出題趣旨と採点講評です。

設問ア

設問アでは、次の三つを800字以内で述べます。・あなたが関係する組織において計画又は実施しているRPAによる業務処理の自動化の概要・期待される効果・ロボットを開発、運用及び保守するための体制。問題文は「あなたの経験と考えに基づいて」論述するよう求めており、採点講評も経験と考えに基づく具体的な論述を求めています。そのため、自分が関係する組織の事例として、次の点を具体的に書くことが重要です。・どの業務処理を、これまでPC上で人手を介してどう行っていたか・それをロボットでどう自動化するのか。体制については、ユーザ部門がどこまで開発・運用・保守を担うのかを明確にしておきます。ここは設問イのリスクの前提になるため、特に重要です。採点講評では、システム部門やベンダ委託による一般的な開発・運用・保守の内容にとどまった解答が多かったと指摘されています。そのため、ユーザ部門がRPAで開発するという本問の状況が読み取れる事例にすることが、評価上のポイントになります。

設問イ

設問イでは、設問アの事例に即して、ロボットの開発・運用・保守に関わるリスクと、それを低減するコントロールを、リスクと関連付けて700字以上1、400字以内で具体的に述べます。問題文が例示しているリスクは、次の三つです。・自動化の対象とする業務処理の選定を誤る・テストパターンが不足する・運用管理や改変対応などの体制・ルールが明確でないため、ロボットが正しく稼働しなくなる。答案では、これらを手掛かりに、設問アの事例で実際に想定されるリスクを挙げます。そして、リスクごとに、それを低減するコントロールを対応させて書きます。個々のコントロールの具体的な内容は、公式資料には示されていません。受験者が自分の事例とリスクに応じて考え、選ぶものです。特定の統制を書かなければならない正答要素と考えないでください。採点講評では、減点につながる例として次の三つが挙げられています。・コントロールが具体的でない・開発段階のリスクとコントロールだけを論述している・監査手続を論述している。したがって、評価されるポイントは次の四つです。・開発に加えて運用・保守の段階も扱う・RPAの特徴やユーザ部門による開発という状況に結び付いたリスクを示す・リスクとコントロールの対応関係が明確である・設問ウで扱う監査手続と混同しない。字数の目安としては、リスクとコントロールの組を開発・運用・保守にわたって複数示し、それぞれに事例固有の具体性を持たせると、700～1、400字に収まる粒度になります。

設問ウ

設問ウでは、設問イで述べたコントロールが適切に機能しているかどうかを確かめるための監査手続を、700字以上1、400字以内で具体的に述べます。問題文と出題趣旨が求めているのは、コントロールが適切に機能しているかどうかを確かめることです。そのため、設問イの各コントロールに対応させて、システム監査人が何を対象に、何を確かめるのかを具体的に書くことが基本になります。どのような監査技法や証跡を用いるかは、公式資料には具体的に示されていません。設問イで述べたコントロールの内容に応じて、受験者が選んで記述するものです。採点講評では、監査手続が具体的でない解答や、監査の手順・実施結果・改善提案を論述している解答が目立ったと指摘されています。つまり、監査の進め方の段取り、監査で何が見つかったか、どう改善すべきかではなく、確かめるための手続そのものを書く必要があります。評価されるポイントは次の三つです。・設問イの各コントロールとの対応が明確である・手続の内容が具体的である・システム監査人の立場で書かれている。設問ア～ウが一貫していることも、採点講評が繰り返し求めている「問題文の趣旨と設問の内容を踏まえた論述」の要点です。

学習のポイント

問題文に書かれたRPA特有のリスク（業務処理の選定誤り、テストパターン不足、運用・保守の体制とルールが不明確なこと）を起点にします。そこから、設問アの事例、設問イのリスクとコントロール、設問ウの監査手続を対応付けて書く練習をしてください。採点講評が挙げる失点パターンは次の四つです。・システム担当者の立場で書く・開発段階だけを書く・設問イで監査手続を書く・設問ウで手順や実施結果、改善提案を書く。