令和6年度秋期 システム監査技術者 午後Ⅱ 問1

統制のつながりを点検する視点

IT投資を考えるときは、目的の整理から意思決定、実行後の確認までが一貫して管理され、関係者の役割と責任が適切に結び付いているかを軸に読み進め、統制の連続性に注目します。

この問題で問われていること

一つの観点に絞るなら、投資に関する判断と、その後の監視・見直しが、誰の責任でどのようにつながる設計かを問題文の記述から確認し、役割の境界にも十分注目してください。

視点

個別の用語や肩書きの印象だけで判断せず、投資の目的、判断の根拠、実施後の評価、改善への反映という流れが、組織の統制として整合しているかを捉えます。

確認ポイント

• 投資判断に必要な情報と承認の関係が、組織の目的に沿って整理されているか確認する。
• 実施後の状況を誰がどのような責任分担で把握し、必要な見直しへつなげるか確認する。
• 経営層と実務部門の役割が混同されず、監視と実行の関係が説明できるか確認する。

解説

本問は、クラウドやAIの利用拡大と災害・サイバー攻撃などのリスクを背景に、組織全体のIT投資を適切に管理し、経営の意思決定へ結び付ける監査を論述する問題です。

問題の全体像

IT投資は、個別の開発案件だけでなく、事業戦略・IT戦略に基づく投資対象や優先順位を含めて組織全体で管理する必要がある。問題文は、IT投資計画を策定し、その計画に基づいて開発プロジェクト、基盤構築、人材育成などへ投資し、効果を評価して計画を見直す管理プロセスを示している。また、IT投資所管部門が実施状況を取締役会などへ報告し、指示に従って計画を見直し、承認を得るガバナンス上の役割も示している。したがって、設問アでは自組織のIT投資全体と体制を設定し、設問イでは管理プロセス、設問ウではガバナンス体制に分けて、着眼点と監査証拠を具体化する。採点講評でも、個別システムやプロジェクトに偏らず、組織全体のIT投資ガバナンスを論じることが求められている。

設問ア

関係する組織について、まず事業戦略・IT戦略の実現に向けて、どのようなIT投資を、どの目的・優先順位で行っているかを組織全体の視点で示す。開発プロジェクトだけでなく、クラウド基盤、セキュリティ対策、業務基盤、人材育成など、投資の範囲と期待効果を具体化するとよい。次に、IT投資所管部門、各事業部門、情報システム部門、投資審議機関、取締役会などの役割、権限、報告・承認関係を示します。問題文では、IT投資所管部門が計画を策定・運用し、実施状況を取締役会などへ報告し、指示に従って計画を見直して承認を得る流れが示されている。この流れを自組織の状況に置き換えることが重要です。採点講評が指摘するように、単一プロジェクトの体制だけを述べるのではなく、組織全体のIT投資を統括するガバナンス体制まで記述する。

設問イ

管理プロセスに関連付けるため、投資計画の策定、投資の実行、効果の評価、評価結果に基づく計画の見直しという流れに沿って、監査の着眼点と証拠を対応付ける。例えば、計画策定では、事業戦略・IT戦略との整合性、投資目的や優先順位、リスク・費用・期待効果の評価方法が定められ、承認された計画になっているかを見る。実行段階では、計画どおりに予算・進捗・要員が管理され、変更が適切に記録・承認されているかを確認する。効果評価では、あらかじめ設定したKPIや便益、リスク低減効果などを実績と比較し、未達時の対応が行われているかを見る。証拠として、事業戦略・IT戦略、IT投資計画、投資評価資料、予算及び承認記録、進捗・実績報告、KPI評価資料、計画変更記録、会議議事録などを挙げる。採点講評が示すとおり、個別案件の監査手続だけでなく、IT投資全体の管理プロセスとの関連を明確にする。

設問ウ

ガバナンス体制に関連付けるため、誰がIT投資を決定し、誰が実行状況を監督し、どのように報告・指示・承認が行われるかを監査の軸にする。着眼点は、IT投資所管部門や取締役会などの役割・責任・権限が規程や組織上明確か、投資判断に必要な情報が適時・適切に報告されているか、取締役会などの指示が計画の見直しや実行に反映され、再承認されているかです。また、重要なリスクや計画からの乖離が上位機関へエスカレーションされる仕組みも確認対象になる。証拠として、組織図、職務権限規程、IT投資管理規程、委員会や取締役会の議事録、投資審議資料、実施状況報告、指示事項への対応記録、計画改訂版及び承認記録などを示します。採点講評が指摘するように、プロジェクト単位の体制ではなく、組織としてのIT投資ガバナンス体制に結び付けて具体的に述べる必要がある。

学習のポイント

IT投資の計画・実行・評価と、役割・権限・報告・承認を分けて整理する力を身に付ける。