令和5年度秋期 システム監査技術者 午後Ⅰ 問2

問2　ローコード／ノーコード開発ツールを利用したシステム開発の監査に関する次の記 述を読んで，設問に答えよ。 C 社は，自動車部品を製造販売する企業である。販売，購買，生産などを管理する 基幹系システムの開発・保守は，システム部が主体となって行っている。一方，業務 効率の向上を目的とした簡易なシステム（以下，アプリという）については，利用部 門が主体となって，プログラムのコードを書かなくても開発できるローコード／ノー コード開発ツール（以下，開発ツールという）を利用して開発を行ってきた。 C 社の CIO は，開発ツールを利用したアプリの開発（以下，アプリ開発という）に は利点があることは認識していた。一方で，アプリ開発の管理ルールが定められてい なければ，開発者の異動や退職などによって保守できなくなるアプリが発生するとい ったリスクがあることを懸念していた。そこで CIO は，システム部にアプリ開発の管 理ルールを作成するよう指示し，システム部のシステム企画課に設置された事務局が 管理ルール案を作成した。 〔アプリ開発の状況〕 営業部などの各利用部門でクラウドサービス事業者と契約して開発ツールを導入し， データの照会や集計など，簡易で高い可用性を求められないアプリを中心に開発して いる。 〔システム監査の目的と対象部門〕 監査部では，アプリ開発の状況を監査することにした。監査目的は，管理ルール案 によってアプリ開発のリスクが低減できるかどうか，という点である。監査部は，ア プリ開発を積極的に行っている営業部，及び管理ルール案を作成したシステム企画課 を対象に予備調査を実施した。 〔予備調査の結果〕 監査部が予備調査を行った結果，次のことが分かった。 1．営業部長へのインタビュー結果 （1）　アプリ開発は，短期間・低コストで，利用部門のニーズに合致したアプリが 開発できるという利点がある。 （2）　開発ツールの利用方法に習熟してもらうために，営業部の全部員に利用者用 ID とは別に開発用 ID を付与している。利用者用 ID では，権限に応じてデータの 参照・更新の範囲が設定される。一方，開発用 ID では，開発を効率よく進める ために，本番環境のデータの参照が可能となる設定にしている。 2．システム企画課長へのインタビュー結果 （1）　アプリ開発の利点を生かし，かつ，リスクを低減するために，必要最小限の 管理ルールの作成を行う。 （2）　事務局が作成した管理ルール案の概要を表1に示す。システム部が開発する アプリについても，開発コストの削減や開発期間の短縮を目的として，開発ツー ルの利用を検討している。 （3）　これまで開発されたアプリの中から，他のアプリでも利用可能なアプリの部 品をシステム部が選定し，動作確認や分類を行ってテンプレートとして登録する。 今後開発するアプリは，それらのテンプレートを可能な限り利用する。開発ツー ルの利用方法や登録したテンプレートの利用ルールについて，利用部門に対して 説明会を実施する予定である。 〔リスクの識別〕 監査部は，予備調査の結果を踏まえ，アプリ開発のリスクを識別し，それに対応す る管理ルール案の内容を洗い出した。アプリ開発のリスクと管理ルール案の内容を表 2に示す。 〔監査手続書の作成〕 監査部はリスクの高い項目について，本調査で確認すべきことを整理し，監査手続 書を作成した。その概要は次のとおりである。 （1）　営業部長へのインタビュー結果（1）を踏まえ，表1の管理ルール案の適用によっ てアプリ開発の利点が損なわれる可能性がないか，管理ルール案の内容を確認する。 （2）　表2項番1（1）について，開発判断基準がリスクを低減する内容になっているか， 開発の可否を判断するのに必要な項目に漏れがないことを確認する。 （3）　表2項番1（2）についてシステム部に確認したところ，システム部で利用してい る開発標準を流用して進捗管理や品質管理を行う予定であるとのことであった。し かし，そのまま流用するのは適切ではない場合もあることに留意する。 （4）　表2項番1（3）について，開発用 ID を申請に基づいて必要最小限の部員に付与す ることでリスクの低減が期待できることに留意する。 （5）　表2項番2（1）について，設計ドキュメントの作成基準として，記載が必要な項 目の一覧と標準フォーマットが示されている。この作成基準の適用が実効性のある ものかどうかを事務局に確認する。 （6）　表2項番2（2）について，開発ツールには，画面操作を行った利用者用 ID，操作 内容などを記録した操作ログを取得する機能が備わっている。ただし，操作ログを 取得するだけでは不十分なので，その他に必要なログの保全の要件についてもルー ルが定められていることを確認する。 設問1　〔監査手続書の作成〕（1）について，監査部が考えた，アプリ開発の利点が損 なわれる可能性を35 字以内で答えよ。 設問2　〔監査手続書の作成〕（2）について，検討されている開発判断基準に追加すべ きと思われる項目を答えよ。 設問3　〔監査手続書の作成〕（3）について，そのまま流用するのが適切ではない場合 とはどのような場合か。25 字以内で答えよ。 設問4　〔監査手続書の作成〕（4）について，監査部が考えたリスク［ア］を35 字以内で答えよ。 設問5　〔監査手続書の作成〕（5）について，監査部が事務局に確認しようとしている 内容を45 字以内で答えよ。 設問6　〔監査手続書の作成〕（6）について，監査部が確認すべき具体的な要件を30 字 以内で答えよ。