令和4年度秋期 システム監査技術者 午前Ⅱ 問1

調査・評価活動の目的を見極める

情報システムに関わる調査や評価の活動は、似た言葉が多く混同しやすい分野です。個々の用語の印象に頼らず、その活動が何のために行われ、結果が誰にどう活用されるのかという目的の観点に絞って整理すると、問われている内容を判断しやすくなります。

この問題で問われていること

問題を検討する際は、活動の名称や手順の細部よりも、その活動の目的に着目することが大切です。目的を自分の言葉で言い表せるか、問題中の記述がその目的と整合しているかを一つずつ確かめる姿勢で臨みましょう。

視点

調査や評価に関する活動は、実施の目的によって位置づけが変わります。目的を考える際には、『何のために行うのか』『結果を受け取るのはどのような立場か』『結果がその後どのように使われるのか』という問いを立てると、活動の性格を整理しやすくなります。個別の名称を暗記するより、目的の違いを説明できる状態を目指しましょう。

確認ポイント

• その活動が何を達成するために行われるのかを、自分の言葉で一文にまとめられるか確認する
• 活動の結果が誰に向けられ、どのように活用されるのかという目的の側面から考えているか確認する
• 用語の響きや印象ではなく、目的との整合性を根拠にして判断しているか見直す

正解

ア

解説

情報システムを対象としたデューデリジェンスは、企業買収などの重要な判断に先立ち、対象企業の情報システムが持つ価値や潜在的なリスクを調査・評価する活動です。

理由

デューデリジェンスは、企業買収などの場面で、対象企業について意思決定するために行う事前評価です。情報システムについては、システムの価値だけでなく、将来問題となり得るリスクも確認する。

比較

入力や処理の信頼性確保、情報セキュリティリスクマネジメントの構築、個人情報保護などの法令遵守は、通常の管理・統制活動に当たる。これらはデューデリジェンスそのものの定義ではありません。

選択肢ア（正解）

これは正解だよ。企業買収などの重要な判断を行う際に、対象企業の情報システムについて価値やリスクを調査・評価する活動は、情報システムを対象としたデューデリジェンスの説明に合致している。

選択肢イ

これは不正解だよ。情報システムの入力や処理など、日常業務プロセスの信頼性を確保することは、業務処理統制やシステム統制に関する説明である。重要な判断に先立つ対象の評価を示していない。

選択肢ウ

これは不正解だよ。情報セキュリティに係るリスクマネジメントを構築することは、組織のリスクを継続的に管理するための活動である。買収対象の情報システムを事前に評価するデューデリジェンスとは異なる。

選択肢エ

これは不正解だよ。個人情報保護などの法令遵守を確保することは、コンプライアンスや情報管理に関する継続的な活動である。企業買収などの判断に先立って価値やリスクを評価する説明にはなっていない。

学習のポイント

デューデリジェンスと、日常業務の統制・リスク管理・法令遵守を区別する。