令和4年度秋期 システム監査技術者 午後Ⅱ 問2

変更後の監査証拠を考える視点

変更された仕組みを評価するときは、影響を受けるリスク、確認対象となる統制、実際に残る記録のつながりを順に整理し、単一の資料だけで判断せず、作成時点や利用範囲も確認しましょう。

この問題で問われていること

一つの観点に絞り、変更内容が監査上の確認事項と証拠の選び方にどう結び付くかを、対象・時点・記録の関係から点検してください。証拠の有無だけでなく、判断を支える関連性にも注目します。

視点

変更点を起点に、確認したい事項、裏付ける記録、記録が示す範囲を対応付けて整理しましょう。資料の名称や量だけでなく、対象との関連性と入手時点を意識して読みます。

確認ポイント

• 変更によって確認対象の前提がどこまで変わったか
• 各記録がどの対象・時点・判断を裏付けるか
• 証拠の関連性と十分性を分けて確認しているか

解説

情報システムの複雑化・外部連携・既存システムの課題を踏まえ、障害の予防、影響の最小化、再発防止につながる実効的な管理態勢を監査する問題です。

問題の全体像

事業再編やサービス高度化に伴い、既存システムの統合・連携、外部システムの利用、API接続などの改変が進む一方、システム構成の複雑化、障害箇所や発生時期の予測困難、外部接続先の障害、ソフトウェアの肥大化、保守終了、人材不足などにより、サービスへの影響が拡大しやすくなっている。公式解答例の出題趣旨は、障害の発生を防ぎ、発生時の影響を最小化し、再発を防止することの重要性を示している。答案は、設問アで事例を設定し、設問イでその事例に即した着眼点と理由を示し、設問ウで監査証拠と具体的な検証内容に落とし込む一貫した構成にする。採点講評では、設問アは改変を踏まえた具体性、設問イは着眼点と設定理由の明確さ、設問ウは証拠と確認内容の具体性が重視され、単なる一般論や体制の説明だけでは不足するとされている。

設問ア

まず、自分が関係する組織のサービスと、それを支える情報システムを一つ具体的に設定する。その上で、どのような改変を行ったかを、システム統合、外部サービスとのAPI連携、クラウド移行、機能追加など、サービスとの関係が分かる形で述べる。次に、障害発生時に影響が拡大する要因を、改変による構成の複雑化、外部接続先への依存、障害箇所の特定困難、旧来ソフトウェアや人材不足など、設定した事例に結び付けて示す。最後に、改変後の障害管理態勢の概要として、障害管理の基本方針、責任分担と連絡・エスカレーション体制、監視・復旧手順、訓練、障害原因の分析と再発防止、定期的な見直しを簡潔にまとめる。800字以内なので、技術の詳細を広げ過ぎず、改変、影響拡大要因、態勢の三点が対応するように書く。採点講評が指摘するように、一般的な障害管理の説明ではなく、設問アで設定したシステムの特徴を反映させることが重要です。

設問イ

設問アで挙げた影響拡大要因を出発点に、システム監査人として何を確かめれば態勢の実効性を評価できるかを、着眼点と設定理由の組合せで論述する。例えば、外部接続先を含む障害シナリオの洗出しと影響分析、障害の検知・切分け・エスカレーションの有効性、重要サービスの継続や代替手段、復旧目標の妥当性、原因分析と再発防止策の実施状況、訓練による対応能力、改変時のリスク評価と管理者による見直しなどが考えられる。ただし、これらを一般論として列挙するのではなく、設問アの要因と対応させる。例えば、外部システムへの依存を要因としたなら、接続先障害時の連絡、代替運用、影響範囲把握を着眼点とし、その確認が必要な理由を説明する。公式解答例は具体的な答案を示しておらず、出題趣旨は適切かつ十分な監査証拠を入手し、検証・評価する知識と能力を問うとしている。したがって、態勢の構成要素を並べるだけでなく、なぜその着眼点が事例のリスクに有効なのかを明示する。

設問ウ

設問イで設定した着眼点ごとに、入手する監査証拠と、その証拠から何を確認するかを一対一で示す。証拠の例として、障害管理方針・規程、システム構成図やデータフロー、リスク評価書、外部接続先との契約・サービスレベル合意、障害対応手順、連絡網、監視記録、障害票、復旧記録、原因分析報告、再発防止策の進捗資料、訓練計画・実施記録、変更管理記録、会議議事録などが考えられる。確認内容は、規程が改変後の構成や外部依存を反映しているか、役割と判断基準が明確か、実際の障害記録で検知から復旧までが目標どおりか、原因分析が根本原因に及んでいるか、再発防止策が完了し効果を確認しているか、訓練で手順が機能したか、改変後に態勢が見直されたか、といった具体的事項にする。文書閲覧だけでなく、担当者への質問、実施記録との突合、サンプル障害の追跡、訓練や運用の観察など、証拠の十分性と信頼性を意識して書く。採点講評が述べるとおり、監査手続そのものの列挙ではなく、着眼点を確かめるための証拠と検証内容を具体化することが必要です。

学習のポイント

態勢を狭い障害対応手順に限定せず、方針・体制・訓練・検証・改善まで一貫して論述する力を養う。