令和5年度秋期 システム監査技術者 午後Ⅱ 問1

リスクと監査手続を対応させる視点

論述では、想定したリスクと、それを確かめる監査手続とが筋道立てて結び付いているかが要となります。設問が求める範囲を意識し、抽象論で終わらせず、確認する対象や入手する証拠を具体的に書く姿勢を持ちましょう。

この問題で問われていること

確認すべき観点は一つ、「このリスクが顕在化していないことを、監査人は何を見て判断するのか」です。リスクの記述と監査手続の記述を並べたとき、手続がそのリスクを確かめる内容になっているかを自分で問い直してください。

視点

監査の論述では、リスクを挙げること自体よりも、そのリスクに対して監査人がどのような手続で確かめるかという対応関係が重視されます。一般に、監査手続は確かめる対象と、手続の結果として入手する証拠によって具体化されます。書いたリスクごとに対応する手続を示せているか、また手続がそのリスクとは別の事柄を確かめる内容になっていないかを確認すると、論旨の一貫性を点検できます。

確認ポイント

• 挙げたリスクのそれぞれについて、対応する監査手続を示せているか
• その監査手続で、何を対象に確かめ、どのような証拠を入手するのかが読み手に伝わるか
• 設問が求める範囲や前提条件から外れたリスクや手続を書いていないか

解説

この問題では、データ利活用基盤の構築を監査するときに想定すべきリスクと、そのリスクを踏まえた監査手続を論述します。出題趣旨によると、評価のポイントは次の点を具体的に書けるかどうかです。データ定義の不整合や偏りによって分析や判断を誤るおそれなど、主にデータ品質に関わるリスクを想定すること。そして、そのリスクに基づいて、基盤が適切に構築されているかを確かめる監査手続を示すことです。採点講評では、データセキュリティに偏った答案や、入手すべき監査証拠が具体的でない答案が多かったと指摘されています。

問題の全体像

問題文では、次の内容が示されています。

・企業などはビッグデータを利活用して経営課題の解決や新たなビジネスの創造に取り組んでいる

・そのためにはデータ利活用基盤が必要になる

・データの収集元となる情報システムやセンサー機器などを個別に設計・配置すると、組織全体として整合せず、データを有効に利活用できないおそれがある

・画像データなどに偏りや欠損が多いと、予測・シミュレーションの結果を誤るおそれがある

・そのため、一貫性があり正確で信頼できるデータを扱う基盤と、品質維持・セキュリティ確保の統制が重要である

さらに問題文は、システム監査人の視点がデータセキュリティだけに偏らないよう留意すべきだとも明記しています。出題趣旨によると、この問題は、基盤構築に際して想定するリスクと、そのリスクに基づく監査手続を具体的に論述させることで、データ利活用基盤の構築を監査するための知識・能力を評価するものです。なお、この問題は論述式のため、公式解答例はなく、出題趣旨と採点講評が根拠資料です。

設問ア

800字以内で、次の3点を書きます。

・概要：対象組織、収集元となるシステムや機器、収集・保存・加工・分析・蓄積の範囲

・目的：どの経営課題の解決や、どのサービスの創造に使うのか

・必要となる理由

採点講評では、設問アで構築理由の記述が不十分な答案が散見されたと指摘されています。そのため、理由は特に重点的に書く必要があります。たとえば「収集元が部門ごとに個別に設計されていて全社で整合したデータが得られない」「多様なデータを横断的に分析する必要がある」のように、問題文の問題意識と結びつけると書きやすくなります。また採点講評では、問1全体を通じて、個別システムのデータ整備や旧システムからのデータ移行を中心とした論述が目立ったとされています。題材は、組織全体のデータを利活用するための基盤として設定することが大切です。ここで設定した内容が設問イ・ウの前提になるので、後のリスクにつながる特徴（収集元が複数あること、定性的データや画像データを扱うことなど）を盛り込んでおくと、論述全体の一貫性が保てます。

設問イ

700字以上1、400字以内で、設問アの基盤に即したリスクを具体的に書きます。問題文と出題趣旨から直接読み取れる中心的なリスクは、次のものです。

・収集元のシステムや機器を個別に設計・配置したために、データ定義やコード体系が組織全体で整合せず、データを統合して利活用できないリスク

・収集するデータに偏りや欠損があり、分析結果や予測・シミュレーションを誤り、経営判断を誤るリスク

・データ品質を維持する統制（入力・収集時のチェック、加工手順の管理など）が基盤に組み込まれていないリスク

採点講評では、データセキュリティに関わるリスクの記述が多く、複数の情報システムなどから収集するデータの品質に関わるリスクを書けた答案は少なかったと指摘されています。そのため、品質に関わるリスクを主軸に据えることが重要です。セキュリティに触れる場合も、それだけに偏らないようにします。

なお、問題冊子には旧システムからのデータ移行は示されていません。採点講評でも、データ移行は実際の答案で目立った論述として挙げられているだけです。したがって、データ移行は問題文から直接導かれる想定リスクではありません。設問アで設定した基盤に旧システムからの移行が含まれる場合に限り、「移行時にデータが欠落・重複する」といったリスクを補足的に書く余地があります。その場合も、主軸は複数の収集元から集めるデータの品質リスクに置くべきです。

リスクごとに「どの統制が不備だと、何が起こり、組織にどんな影響があるか」まで書くと、設問ウの監査手続につなげやすくなります。

設問ウ

700字以上1、400字以内で、設問イで挙げたリスクごとに対応する監査手続を書きます。監査手続は「どの監査証拠を入手し、何を確かめるか」の形で具体的に書きます。例として、次のような書き方が考えられます。

・データ定義の不整合のリスクに対して：全社のデータ定義書やデータ項目の標準（命名規則・コード体系など）を入手し、各収集元のインタフェース仕様と照合して、定義が統一されているかを確かめる

・偏り・欠損のリスクに対して：データ品質基準や品質チェックの手順書、チェック結果の記録を入手し、欠損率や偏りの検証が実施され、問題に対処されているかを確かめる

・品質維持の統制が組み込まれていないリスクに対して：設計書やテスト結果を閲覧して、収集・加工の各段階にチェック機能が組み込まれているかを確かめる

採点講評では、入手すべき監査証拠が具体的でない答案や、そもそも監査手続になっていない記述が散見されたと指摘されています。たとえば「〜すべきである」といった対策の提案だけで終わらせず、監査人が行う閲覧・照合・インタビューなどの行為と、その対象となる証拠を明示することが評価のポイントです。

学習のポイント

複数のシステムから集めるデータの品質リスク（定義の不整合、偏り、欠損）を、統制の不備として言い表す練習をしましょう。そのうえで、リスクごとに「入手する監査証拠」と「確かめる内容」を対にして書く練習が重点です。