令和6年度秋期 システム監査技術者 午前Ⅱ 問2

観点と根拠の対応を確認する

この分野では、挙げられた観点が何を確かめるためのものか、その判断を支える資料や事実と無理なく結び付くかを意識し、表面的な印象ではなく確認対象との対応関係を整理して考えます。

この問題で問われていること

設問を読むときは、各記述が評価しようとしている対象と、判断の根拠として扱う情報を同じ軸で捉え、対象・根拠・確認目的のつながりに一貫性があるかという一点に集中してください。

視点

判断する観点と、それを裏付ける情報が適切に対応しているかを整理し、対象・目的・根拠の関係に飛躍がないかを確認しましょう。

確認ポイント

• 確認対象が明確に対応しているか
• 判断の根拠が具体的に結び付いているか
• 観点と目的の関係に飛躍がないか

正解

ア

解説

情報システムを対象としたデューデリジェンスは、企業買収などの重要な意思決定に先立ち、対象企業の情報システムについて価値やリスクを評価する活動です。

理由

デューデリジェンスは、企業買収などの重要な意思決定を行う際に、対象となる企業や事業の状況を調査・評価する活動です。情報システムを対象とする場合は、システムの価値や、買収後に問題となり得るリスクなどを確認する。

比較

イは日常業務プロセスの信頼性確保、ウは情報セキュリティに関するリスクマネジメント、エは個人情報保護などの法令遵守に関する説明です。いずれも重要な管理活動だが、買収などの意思決定に向けた評価を説明するものではありません。

選択肢ア（正解）

これは正解だよ。企業買収などの重要な意思決定に際して、買収対象に含まれる企業の情報システムについて、どのような価値があるか、また将来の問題につながるリスクがあるかを調査・評価する説明になっている。情報システムを対象としたデューデリジェンスの目的に合致する。

選択肢イ

これは不正解だよ。情報システムの入力や処理など、日常業務プロセスの信頼性を確保することは、通常の業務運用や内部統制に関する活動である。重要な管理事項ではあるが、企業買収などの意思決定に先立って対象の価値やリスクを評価するデューデリジェンスの説明ではない。

選択肢ウ

これは不正解だよ。情報セキュリティに係るリスクマネジメントを構築することは、情報資産を守るためのリスク管理の仕組みを整備する活動である。デューデリジェンスで確認対象となる場合はあるが、この選択肢自体は評価活動ではなく、管理体制の構築を説明している。

選択肢エ

これは不正解だよ。個人情報保護などの法令遵守を確保することは、組織が法的要求事項を守るためのコンプライアンス活動である。デューデリジェンスで確認する観点の一つになり得るものの、企業買収などに向けて情報システムの価値やリスクを評価する活動そのものの説明ではない。

学習のポイント

デューデリジェンスと、運用管理・リスク管理・法令遵守を区別する。