令和2年度10月 情報処理安全確保支援士 午前Ⅰ 問22

午前I 問22：監査証拠は“きれいな文書”だけじゃないよ

システム監査で使う監査証拠は、見た目が整った正式な文書だけに限られないよ。たとえばアジャイル開発なら、バックログやカンバンボード、ログ、チケットの更新履歴なども、「実際にどう進んでいたか」を示す手がかりになる。レシートやメモでも、買い物の事実をちゃんと確認できれば証拠になるのと同じだね。大事なのは、形がきれいかどうかではなく、監査の目的に対して十分で適切な情報かどうかなんだ。だから「整った文書だけが監査証拠になる」という考え方は不適切だよ。

この問題で問われていること

監査証拠を判断するときに、文書の見た目や形式だけで決めず、監査目的に対して十分性と適切性があるかを見極められるかがポイントだよ。

Audit Evidence in Agile Development

audit evidence is not limited to neatly formatted documents; in agile development、 backlogs、 boards、 logs、 and ticket histories can also serve as evidence if they support the audit objective

not limited to formal documents\nagile artifacts can be evidence\njudge by sufficiency and appropriateness\nfocus on whether the artifact supports the audit objective

確認ポイント

• 監査証拠は正式文書だけではありません。
• アジャイルの成果物やログも証拠になり得る。
• 十分性と適切性で判断する。

正解

ア

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア（正解）

これは間違いだよ。アジャイル開発では、きれいに整った分厚い管理資料だけが証拠になるわけではないんだ。チケット、バックログ、チャット記録、レビュー履歴、テスト結果なども、内容が確かなら監査証拠として使えるよ。料理店の衛生チェックで、立派な報告書だけでなく、実際のチェック表や作業記録も見るのと同じだね。

選択肢イ

これは正しい内容だよ。委託先の現地に行く必要がありそうでも、信頼できる第三者の保証報告書で十分確認できるなら、現地調査を省略できる場合があるんだ。たとえば店に直接行かなくても、信頼できる検査機関の証明書で安全性を確認できるようなイメージだよ。ただし、依拠できると判断できることが前提だよ。

選択肢ウ

これは正しい内容だよ。いきなり本番の調査に入るのではなく、まず『どこを重点的に見るべきか』をつかむ予備調査をするんだ。旅行前に地図を見て目的地や危ない道を確認するようなものだよ。その上で、本調査で十分で適切な証拠を集めるんだ。

選択肢エ

これは監査の考え方として正しい内容だよ。例えば家の防犯チェックで、玄関の鍵だけ見ても安心とは言い切れないよね。窓、勝手口、防犯カメラも合わせて見るはず。監査も同じで、一つの目的を確かめるために、質問・資料確認・現場確認など複数の手続を組み合わせるのが普通なんだ。