システム監査技術者試験 平成23年度特別試験

問1 では，データセンタ移転に伴うサーバ移転計画のシステム監査について出題した。全体として，正答率 は低かった。 設問2 は，そもそも監査証拠とは何かを理解できていない解答が多かった。また，入手した監査証拠と実施 した検証内容が整合していない解答も多かった。監査手続における監査証拠の意義をよく理解してほしい。 設問3 は，情報システム部による調査結果の適切性を判断するための監査手続を解答として求めたが，IP ア ドレス変更作業の正確性を確認するといった情報システム部の調査と関係のない解答が散見された。情報シス テム部による調査結果の検証手続が定められていない状況下で，システム監査人が採るべき監査手続の目的に 気づけば解答できる問題である。 設問4 は，BCP について正しく理解できていない解答が多かった。また，切戻し計画とBCP の相違が理解で きていない解答も多かった。BCP の重要性は一層高まっているので，BCP の実効性について理解を深めてほし い。

問2 では，システム開発プロジェクトの進捗管理を評価し，検証するために必要な監査ポイントと監査手続 について出題した。全体として，正答率は低かった。 設問1 は，サンプリングによる監査手続の課題について出題した。進捗管理表のサンプリングでは，進捗の 推移や報告の網羅性が把握できないことに気づいてほしかった。サンプリングによる監査手続はシステム監査 においても広く用いられるが，本設問のように，進捗管理表によって進捗管理を検証する場合など，適用に当 たっては限界があることも理解してほしい。 設問2 は，監査ポイントと監査手続を解答として求めたが，そもそも監査ポイントや監査手続の記述になっ ていないものが散見された。監査ポイントとは，システム監査人が確かめるべき要点（システム監査人が証明 する事柄）であり，一方，監査手続とは監査ポイントを確かめるために，どのような資料などを用い，どのよ うな方法によって評価し，検証するかという方法論である。 設問3 は，監査手続の結果，判明した事実から，リスクを想定させて改善勧告として記述させる応用問題で あるが，判定基準を定める時期及び判定根拠の2 つが正しく把握できていた解答はそれほど多くなかった。

問3 では，システムの要件定義段階において考慮すべきリスクやコントロールを踏まえて行うシステム監査 について出題した。 設問1 は，発注者と受注者との間で開発標準やドキュメントの記載内容に相違がある場合に発生するリスク 及びコントロールを，監査手続から判明した事実に基づいて具体的に把握できるかどうかについて出題した。 単に“認識の相違が発生する”という記述だけの解答が多く，正答率は低かった。“認識の相違によってどの ような問題が生じるか”ということがリスクの認識であることを理解してほしい。 設問2(1)は，準委任契約の場合に，要件定義書はT 社の責任において作成すべきであることを理解できてい るかどうかがポイントである。正答率は高かったが，本文の記述とは関係のない，勤務形態や著作権の帰属に 関する解答も散見された。 設問3 は，工程の一部が未完了のまま次工程に着手せざるを得ない場合に，発注者と受注者との間で取り決 めておくべき事項を理解できているかどうかについて出題した。しかし，プロジェクト遂行上の留意点にとど まる解答が多かった。未完了の要件が確定したときに，確定済みの要件やスケジュールなどに影響が発生した 場合の対応方針・スケジュールや契約内容の変更が必要であることをよく理解してほしい。

問4 では，複数のコントロールの組み合わせを考慮して実施するシステム監査について出題した。 設問1 の(1)は，派遣用ID のアクセス権限の限界を踏まえて解答されており，正答率は高かった。一方， (2)については正答率が低く，派遣用ID の特徴である共有ID 特有のリスクを前提としない解答が散見され た。 設問3 は，プロセスを理解し，予算超過がタイムリーに管理できないシステム上の弱点について理解できれ ば解答できる問題である。しかし，部長などの不正（内部統制の限界）やプログラムのバグを前提とした解答 が散見された。 設問4 では，検収入力後に庶務担当が納品書と購買実績データを照合する目的が理解できれば，解答できる 問題である。しかし，正答率は低く，当該目的を十分に理解できていない解答や，プロセス上で受注確定デー タと購買実績データの関連が理解できていない解答が散見された。

システム監査人には，高度化し多様化する情報技術を理解した上で，情報システムを監査する見識や能力が 求められている。本年度もこうした視点から，幅広いテーマの問題を出題した。システム監査人には，発見し た事実や監査意見を適切に記述するための表現力が求められるが，解答字数の下限ぎりぎりで十分に内容を表 現できない論述や，下限に満たない論述が目立った。今後，受験者の表現力の向上を期待したい。

問1（システム開発や運用業務を行う海外拠点に対する情報セキュリティ監査について）は，選択率が最も 低かった。本問を選択した受験者の多くは，設問全体を通して，具体的な内容の論述が多く見られたので，実 際に海外拠点を活用したシステム開発や運用業務を経験していると考えられる。一方で，一般的かつ抽象的な 内容に終始している論述も多く見られた。例えば，リスクとコントロールに関する設問イでは，問題文中で例 示された文化や商習慣などを超えた具体的な内容が見受けられないものも目立った。設問ウは，監査を効率よ く，効果的に実施するために留意すべき事項を問う設問だが，監査手続を記述している論述が散見された。

問2（ベンダマネジメントの監査について）では，組織横断的なベンダマネジメントについての問であるに もかかわらず，個別の外部委託の管理についての論述が多かった。また，設問イでは，組織体制や管理の不備 などのベンダマネジメントの問題点について問うているが，“管理するベンダが多い”，“コストが高くなって いる”などの事象を挙げているだけの論述も目立った。設問ウの監査手続については，“インタビューを行 う”，“文書を閲覧する”などの簡易な論述が多く，より証拠能力を高めるための具体的な監査手続を記述して いる論述は非常に少なかった。

問3（システム開発におけるプロジェクト管理の監査について）は，最も選択率が高かった。その理由は， プロジェクト管理という基本的なテーマであったからだと考えられる。情報システムのリスク，運用後のリス クについての論述や，プロジェクトマネージャ又はプロジェクトリーダの視点からの論述が見受けられた。設 問イでは，QCD の切り口での論述が多く，プロジェクトの特徴を踏まえた具体的な論述は少なかった。設問ウ では，監査のポイントだけを述べ，監査証拠を記述していない論述が目立った。また，設問で求めていない監 査結果や改善提案などの論述も散見された。