令和7年度秋期 システム監査技術者 午後Ⅱ 問2 災害を想定した情報システムの業務継続計画の監査

着眼点と監査手続を対応づける視点

論述では、確かめたい事項（着眼点）と、それを確かめるために入手する証拠や実施する手続とが一対一で結びついているかが説得力を左右します。設問の状況設定に即して、両者の対応を意識して組み立てましょう。

この問題で問われていること

問われているのが計画そのものの内容の適切さなのか、計画が実際に機能する状態にあるのかという区別を読み取り、それぞれについて監査人が何を見て、どう確かめるのかを設問の状況に結びつけて考えることが中心です。

視点

監査の着眼点は「何を確かめるか」、監査手続は「どのような証拠を、どのように入手して確かめるか」を表します。着眼点だけを挙げても確かめ方が曖昧なら監査として成り立ちません。逆に手続だけを並べても、何を結論づけるための作業なのかが伝わりません。記録の閲覧、関係者への質問、現場の観察など手続にはさまざまな種類があります。どれを選ぶかは着眼点によって決まる、という関係を意識して整理すると、論述の筋道が一貫します。

確認ポイント

• 挙げた各着眼点に、それを確かめる具体的な手続が対応しているか
• その手続で得られる証拠が、着眼点についての結論を支えるのに足りるか
• 設問の状況設定に含まれる固有の事情を、着眼点や手続に反映しているか

解説

大規模自然災害などを想定したIT-BCPについて、事業継続計画と整合したIT-BCPが策定されているかを確かめる監査の着眼点と、実効性が確保されているかを確かめる監査手続を論述する問題です。出題趣旨では、原因事象だけでなく結果事象からもリスクを把握・分析・評価し、IT-BCPを策定して適時に見直すことが求められていると示されています。採点講評では、事業継続との関連が不明瞭な論述、目標の妥当性についての記述不足、結果事象の見直しに関連した記述がない解答が「目立った」と指摘されています。

問題の全体像

問題文は特定の事例を示す形式ではなく、「あなたの経験と考えに基づいて」論述させる形式です。対象の情報システム、事業、IT-BCPは受験者が設問アで自分で設定します。問題文の本文は論述の方向性を示しています。IT-BCPは事業継続計画と整合している必要があること、目標復旧時間・目標復旧レベル・目標復旧時点とそれらを確保する体制・対策が示されている必要があること、想定外の事態にも柔軟に対応できるよう結果事象からリスクを把握・分析・評価することが有効であること、実効性を確保するには訓練に加えて、IT環境の変化を踏まえた結果事象の見直しとIT-BCPの適時の見直しが重要であること、の四点です。出題趣旨では、事業継続計画と整合性が取れたIT-BCPが策定されていることを確かめる監査の着眼点と、IT-BCPの実効性が確保されているかを確かめる監査手続を設定できる知識・能力を評価するとされています。採点講評では、問2全体について事業継続との関連が不明瞭な論述が目立ったと指摘されています。全問共通の講評でも、問題文の趣旨を踏まえていない論述が目立ったこと、監査証拠が具体的でない監査手続の記述や論文の体裁が十分整っていない解答が散見されたことが挙げられています。

設問ア

400字以上800字以内で、次の四点を述べます。(1) 自分が関係する情報システムの概要、(2) そのシステムを利活用する事業の概要、(3) 事業継続が必要な理由、(4) そのシステムに係るIT-BCPの概要です。採点講評では、IT-BCPの概要について実施する対策の記述が不十分な解答が散見されたと指摘されています。そのため、IT-BCPの概要には、復旧目標（目標復旧時間・目標復旧レベル・目標復旧時点）の設定内容と、それを確保するための体制や対策（例えばバックアップの取得方式や代替拠点の利用など、自分で設定した内容）を簡潔に含めるとよいでしょう。問2全体の講評では事業継続との関連が不明瞭な論述が目立ったとされているため、事業が止まった場合の影響と事業継続が必要な理由を明確に書き、そのシステムのIT-BCPが事業継続計画とどう結び付いているかが伝わるようにします。ここで設定した内容が、設問イ・ウの前提になります。

設問イ

700字以上1、400字以内で、設問アで述べたIT-BCPについて、監査の着眼点を二つの観点から具体的に述べます。一つ目は、目標復旧時間・目標復旧レベル・目標復旧時点が妥当かどうかです。二つ目は、それらの目標を確保するための体制・対策が整備されているかどうかです。採点講評では、体制・対策については記述できていたものの、目標が妥当かどうかについての記述が不十分な解答が目立ったと指摘されています。したがって、目標の妥当性をどの観点で確かめるかをしっかり書くことが評価のポイントです。出題趣旨にある「事業継続計画と整合性が取れたIT-BCP」を踏まえ、例えば、事業継続計画で求められる事業の再開時期や水準と各復旧目標が整合しているかといった観点が考えられます。そのうえで、体制（役割分担、連絡・意思決定の仕組みなど）や対策が目標を達成できる内容になっているかという着眼点を、設問アで設定したシステムに即して具体的に示します。問題文にある、想定外の事態にも柔軟に対応できるよう結果事象からリスクを把握・分析・評価しているかという観点も、着眼点に含めることが考えられます。

設問ウ

700字以上1、400字以内で、設問ア・イを踏まえ、IT-BCPの実効性が確保されているかを確かめる監査手続を、想定する結果事象の見直しとの関連を含めて具体的に述べます。問題文は、実効性の確保には訓練の実施に加え、IT環境の変化を踏まえて想定する結果事象を見直し、IT-BCPの内容を適時に見直すことが重要だとしています。これを踏まえ、例えば、訓練の計画・実施記録・評価結果を確かめる手続や、IT環境の変化に応じて想定する結果事象が見直され、その結果がIT-BCPの改訂に反映されているかを確かめる手続が考えられます。採点講評では、監査手続や入手すべき監査証拠を記述していない解答が「散見された」、IT-BCPの実効性について結果事象の見直しに関連した記述がない解答が「目立った」と書き分けて指摘されています。答案では、どの資料・記録を入手し、何と照合・確認するのかを監査証拠とともに示すことが必要です。さらに、想定する結果事象の見直しとの関連を必ず明示することが評価のポイントです。

学習のポイント

事業継続計画から復旧目標の妥当性を検証する着眼点の立て方と、結果事象の見直しを含めて実効性を確かめる監査手続・監査証拠の具体的な書き方を重点的に練習します。