令和6年度秋期 システム監査技術者 午後Ⅰ 問2

監査記載を読むための一つの視点

記載内容を読むときは、文章の表面だけで判断せず、監査で示された事実、そこから読み取る課題、改善提案がどのようにつながっているかを同じ軸で落ち着いて整理してみましょう。

この問題で問われていること

一つに絞る観点は、各記述が何を根拠にした指摘で、どの課題に対応し、改善後に何を確認する想定なのかという対応関係です。用語の印象で決めず、つながりを追ってください。

視点

監査報告書の記載と改善提案を照合するときは、指摘の根拠、対象となる課題、改善によって確認したい状態の関係を整理します。個々の表現ではなく、記述同士の対応に注目しましょう。

確認ポイント

• 記載された事実と、そこから導かれる課題が同じ対象を指しているか。
• 改善提案が、示された課題への対応として読めるか。
• 改善後に確認すべき状態が、提案の内容と矛盾していないか。

解説

クラウド移行後の基幹システムを対象に、監査目的と総合評価の対応、変更管理の実効性、監査手続の網羅性、業務継続性及び知識継承を確認する問題です。

問題の全体像

B社はITコスト低減のため基幹システムをクラウドへ移行し、その信頼性及び安全性について統制の整備状況と運用状況を監査した。監査報告書案と監査調書を照合し、監査目的に対応した総合評価、変更管理に関する改善提案、監査手続の網羅性、情報システム部の業務影響、部長退職後の体制を見直すことが出題の狙いです。

設問1

表1の監査目的は、統制の整備状況と運用状況の両面から信頼性及び安全性を評価・検証することを求めている。一方、総合評価はシステム全体が概ね良好で、開発及び情報セキュリティに発見事項があると述べるだけで、統制の整備状況と運用状況を評価した結果が明記されていない。したがって、その評価が記載されていない点を35字以内で押さえる。

設問2

表3では、変更管理ツールに本番リリース時の申請・承認機能があるのに利用しておらず、表1の改善提案は申請書への部長承認と記録だけです。承認記録の押印漏れを防ぐだけでなく、変更管理ツール上で本番リリースの申請と承認を必須化する方向に修正する。公式解答例では、変更管理ツールの申請・承認機能を活用する内容としている。

設問3

変更申請書から先にサンプリングすると、申請されていない変更を母集団から漏らす可能性がある。網羅性を確保するには、まず本番環境のプログラムに対する全変更ログを母集団として把握し、各変更についてシステム変更申請書の有無を確認する手続を記録する。公式解答例もこの順序を示している。

設問4

表2では、システム開発チームリーダーが本番環境のインシデント発生時に原因調査と緊急対応を行っている。しかし改善提案どおり本番環境の更新権限を開発チームから外すと、この業務を従来どおり実施できない可能性がある。したがって、本番環境でインシデントが発生した際の緊急対応を答える。

設問5

表2では、情報システム部長が最も経験年数が長く、利用部門の業務知識も豊富で、要件定義の支援や各チームの作業確認を担っている。また来年退職予定です。このため、退職時に部長が持つ業務知識や管理上のノウハウが適切に引き継がれない懸念を、45字以内で表現する。

学習のポイント

監査目的・リスク・監査手続・監査結果・改善提案を一貫して結び付ける力を養う。