令和7年度秋期 システム監査技術者 午後Ⅱ 問1 情報システム導入の決定過程におけるリスク評価に関する監査

導入リスクを整理する観点

新しい情報システムを評価するときは、導入によって業務の前提や管理の流れがどう変わるかに着目し、影響を受ける領域と確認方法の関係を整理しましょう。変化、影響、確認の順に考えると、論点を落ち着いて捉えられます。

この問題で問われていること

一つの観点として、導入前と導入後の差分が、どの業務・情報・管理責任に影響するかを確認し、その影響を確かめるための監査上の着眼点を対応づけて考えましょう。結論を先に決めず、変化から影響へのつながりを追います。

視点

システム導入に伴うリスクは、技術だけでなく、業務手順、権限、情報の扱い、委託先との関係など、変化する管理のつながりとして捉えます。まず変化を整理し、次に影響範囲と確認の目的を対応させると、個別の結論に偏らず検討できます。

確認ポイント

• 導入前後で変わる業務や管理の流れは何か
• 変化によって影響を受ける対象と責任の所在はどこか
• 影響を確かめるために、どの記録や運用状況を確認するか

解説

新しい情報システムの導入では、既存システムで把握済みのリスクに加えて、導入対象固有のリスクが生じる。特定、評価、対応策、監査手続を一貫させ、対応後にリスク許容範囲内へ低減できるかを論述する問題です。

問題の全体像

事業戦略の一環として、未経験の開発手法や新技術を用いた大規模システム、海外拠点と機微情報を共有するシステムなどを導入する場面が題材です。問題文は、通常の開発・運用で既に把握しているリスクではなく、その導入だからこそ生じる特有のリスクに着目させている。さらに、リスクを特定・評価するだけでなく、防止策と発見策によってリスク許容範囲内まで低減できるかを評価することを求めている。公式解答例の出題趣旨でも、特有のリスクの特定及び評価と、対応策によるリスク低減の評価を確かめる監査手続を設定する能力が問われている。

設問ア

まず、自分が関係した情報システムについて、対象業務、システムの構成や利用者、導入目的を簡潔に設定する。その上で、単に情報漏えい、障害、納期遅延などの一般的なリスクを挙げるのではなく、新技術、未経験の開発手法、海外との情報共有など、導入対象の特徴と結び付いた特有のリスクを示すことが重要です。例えば、どの導入上の特徴が、従来とは異なる不確実性や影響を生むのかまで説明する。400字以上800字以内なので、概要・目的・特有のリスク・特有である理由を一つの事例に絞って書くと、後続の設問イ及びウと整合しやすい。採点講評では、既に特定されている他のシステムのリスクを記述した答案や、AI、IaaSなどの技術自体をリスクとしている答案が目立ったとされているため、技術そのものではなく、導入によって生じる具体的なリスクを記述する必要がある。

設問イ

設問アで挙げたリスクについて、なぜ特有のリスクと判断したのかを、システムの特徴、利用環境、関係国、開発体制などの事実と結び付けて説明する。次に、発生可能性と影響度などの評価軸、評価対象となる事象、評価結果、リスク許容範囲との比較方法を示し、対応前のリスクだけでなく対応後の残余リスクも扱う。対応策は、発生を抑える防止策と、発生又は兆候を早期に把握する発見策に分け、誰が何をどの頻度で行うかまで具体化するとよい。例えば、ルールや権限設定による予防、ログ監視や定期点検による兆候把握などを、対象リスクに対応させて記述する。採点講評では、特有のリスクとした理由が不明確な答案や、対応策が一貫していない答案が指摘されているため、リスクの原因、評価、対策、残余リスクの関係を切れ目なく示すことが評価につながる。

設問ウ

設問イで示した評価と対応策を前提に、監査人が何を入手し、何と照合し、どのように妥当性を確かめるかを手続として記述する。具体的には、リスク特定・評価の規程、リスク一覧、評価記録、経営会議等の承認記録、対応策の設計資料、運用記録、監視結果などを入手し、システムの特徴から導かれた特有のリスクが漏れなく反映されているかを確認する。さらに、評価方法が定められた基準に沿っているか、発生可能性と影響度の根拠が妥当か、対応策の実施状況と有効性を記録やテスト結果で確かめ、対応後のリスクが許容範囲内と判断できる根拠を再計算・再評価・関係者への質問などで検証する。必要に応じて、発見策が実際に兆候を検知できるか、検知後の報告・是正が機能するかも確認する。採点講評では、監査手続だけを列挙する答案が目立ったとされているため、問題文の趣旨に沿い、特有のリスクの特定、評価、対応策による低減可能性を確かめる手続として具体化することが重要です。

学習のポイント

特有性の説明と、評価・対応・監査手続をつなげる構成力を身につける。