平成24年度春期 システム監査技術者 午前Ⅰ 問21

監査の立場から確認観点を捉える

システム監査では、監査人自身が作業を行うのではなく、対象部門の活動が適切に行われたかを証拠に基づいて確かめます。何をどの立場から確認するのかという視点を持って、問題に向き合いましょう。

この問題で問われていること

問われているのは、システムテストという工程に対して監査の観点から何を確かめるべきかという整理です。テストの実施者の行為と、それを検証する監査人の確認行為を区別して考えることが出発点になります。

視点

システム管理基準は、組織が情報システムを適切に管理するための実践的な規範を示したもので、監査の際の判断の拠り所となります。監査では、この規範に照らして関係者の取組みが適切であったかを、記録や文書などの証拠から評価します。自分が監査人の立場に立ったとき、どの工程のどの成果を、何を根拠に確かめるのかを意識すると、確認観点を整理しやすくなります。

確認ポイント

• 確認する主体が監査人なのか、テストを行う側なのかを意識できているか
• 確認の根拠として、どのような記録や証拠を想定しているか
• 確認観点が、システムテストという工程の目的と対応しているか

正解

エ

解説

正答はエです。システムテストでは、正常なケースだけでなく、例外ケースや異常ケースも想定してテストしなければ品質を十分に確認できません。そのため、例外・異常ケースを含めたテストが行われているかは、監査で確認すべき適切なチェックポイントです。

理由

システムテストの目的は、システム全体が要求どおりに動くかどうかを確かめることです。実際の運用では、入力誤りや想定外のデータなど、例外的な状況や異常な状況も起こります。正常ケースだけのテストでは、こうした場面でシステムがどう動くかを確認できません。そのため、例外ケースや異常ケースを想定したテストが行われているかを監査で確認することは適切です（エ）。

比較

アは、テスト計画を利用者側の責任者「だけ」で承認するとしている点が不適切です。開発や運用など関係する部門の責任者も承認に関わるべきです。イは、テストを利用者側の担当者「だけ」で行うとしている点が不適切です。関係部門が協力して実施すべきです。ウは、本番環境でテストを行うとしている点が不適切です。稼働中の業務やデータに影響が出るおそれがあるため、テストは本番環境から隔離した環境で行うべきです。

選択肢ア

これは不正解だよ。テスト計画を事前に承認すること自体は大切です。しかし、承認者を利用者側の責任者「だけ」に限っている点が不適切です。システムテストには開発部門や運用部門も関わるので、関係する各部門の責任者がテスト計画を確認・承認するのが妥当です。利用者側だけの承認は、適切なチェックポイントとはいえません。

選択肢イ

これは不正解だよ。「独立性を考慮して」とありますが、テストを利用者側の担当者「だけ」で行うとしている点が不適切です。システムテストでは、開発・運用・利用の各部門がそれぞれの立場から関与し、協力して実施することで、要件の充足や運用面の問題を確認できます。利用者側だけで行うことを求めるのは、監査のチェックポイントとして適切ではありません。

選択肢ウ

これは不正解だよ。テストを本番環境で実施すると、稼働中の業務システムや本番データを壊したり、業務を止めたりするおそれがあります。そのため、テストは本番環境から隔離したテスト環境で行うべきです。本番環境での実施を求めるこの内容は、確認すべきこととは逆であり、適切なチェックポイントとはいえません。

選択肢エ（正解）

これは正解だよ。システムテストでは、正常な処理だけでなく、想定外の入力やエラーが起きたときなどの例外ケース・異常ケースでも、システムが正しく動くかを確かめる必要があります。これらを想定したテストが行われているかは、テストの網羅性と品質確保にかかわるため、システムテストの監査で確認すべき適切なチェックポイントです。

学習のポイント

システムテストの計画承認、実施体制、テスト環境、テストケースの網羅性について、監査で確認すべき点を理解する。