システム監査技術者試験 平成24年度春期

問1 では，パブリッククラウドサービスを利用したシステムの監査について出題した。 設問１は，(1)において“M 社の資産保全”の観点，(2)において“競合するCSP”の観点に欠けた解答が多 かった。また，“CSP の事業撤退，倒産などによるサービス停止を想定した検討”と“M 社がSaaS 利用開始後 に定期的に確認すべき事項”との間の整合がとれていない解答も多かった。問題文のどの記述に基づいた解答 を求められているのか，設問の意図をよく理解してほしい。 設問3 は，(1)において“監査人が稼働率の評価結果の妥当性に関して懸念をもった理由”を解答として求 めたが，“稼働率の算出項目及び稼働率算出の対象期間が各CSP で異なっていた”という問題文の記述をその まま引用した解答が散見された。監査人には，結果として生じうるリスクを識別する能力が要求されるので， 表面上の現象だけで判断するのではなく，根底にある問題点を探る姿勢を身につけてほしい。 設問4 は，問題文で“B 社について”と範囲を限定し，さらに“B 社のSaaS を利用することによる総合的な コストメリット”を考慮に入れて検討するときの比較対象を問うた。しかし,選定の候補となった他のCSP の 評価項目との比較について述べた解答が多かった。

問2 では，業務改革を伴う新システムの導入後の監査について出題した。 設問1 の(1)は，移行元の旧債権データと新システムの債権データの違いに着目すれば解答できる問題であ り，正答率は高かった。また，設問1 の(2)は，請求データを新システムの財務会計モジュールの債権データ とする場合の考慮事項を理解できれば，解答できる問題である。 設問2 は，債権データの詳細な消込作業の役割・責任が各営業部から債権管理課に移管されたことによっ て，作業のための要員検討や手続・手順の構築が必要となることが理解できれば，解答できる問題である。し かし，入手すべき基礎情報や概括的な手順書などの解答が散見され，正答率は低かった。 設問3 の(1)及び(2)は，債権データの修正に関する正当性の問題であり，債権データの修正に関して，正当 性を脅かすリスクが理解できれば，解答できる問題である。しかし，証跡の維持や正確性・網羅性に関する解 答が散見された。

問3 では，システム障害の再発防止の監査について出題した。一般的な障害管理に関する問題であり，設問 の難易度もそれほど高くないと思われるが，記述に具体性がなかったり，設問で求めていることの意味を十分 に理解できていなかったりする解答が多くみられた。また，設問によって正答率が分かれた。設問１及び設問 2 の(1)はシステム障害報告書の意味が理解できていれば，問題文をヒントに正答を推定できることから，非常 に正答率が高かった。一方，設問3 及び設問4 は問題文に即した深い分析が必要となることもあって，正答率 が低かった。 設問2 の(2)では，表1 に記載されているケースについての記述を求めているにもかかわらず，一般的な記 述に終始している解答が多かった。問題文をよく読んで具体的に記述してほしい。 設問3 では，障害の根本原因を調査するための手続について記述することを求めたが，障害管理における “根本原因”という用語を理解していない解答も散見された。障害管理における“根本原因”の重要性を理解 してほしい。

問4 では，システムの本番移行段階において考慮すべきリスク及びコントロールを踏まえたシステム監査に ついて出題した。 設問2 は，移行用プログラムの修正によってデグレードが発生したり，それによって，本番のデータ移行や その後の新システムに影響を与えたりする可能性があるというリスクを問うた。正答率はおおむね高かった が，単に問題点だけを記述した解答も散見された。問題文に記述されている事実（問題点）によって，どのよ うな帰結が想定されるかということがリスクの認識であることを理解してほしい。監査手続については，監査 ポイントは的確に記述している解答が多かったが，監査技法や監査証拠までをきちんと記述した解答が少なか った。 設問3 は，本番でのデータ移行後の限られた時間の中で移行処理の結果を確認するためのコントロールにつ いて問うたが，手順の事前確認やテスト結果の確認など，問題の趣旨に沿わない解答が多く見られた。 設問4 は，移行作業中に予期せぬトラブルが発生した場合に迅速に対応するためにあらかじめ準備しておく べきコントロールについて出題した。正答率は高かったが，“コンティンジェンシプラン”や“対応手順”と いった一般的な記述にとどまる解答も多かった。継続するか中止するかの判断基準やタイムリミットの明記が 必要なコントロールであることを理解してほしい。

問1（CSA とシステム監査について）は，設問に対して適切に論述されている答案とそうでない論述がは っきりと分かれた。設問イではCSA の監査について，設問ウでは監査におけるCSA の活用について記述するこ とを求めているが，両者の区別ができていない論述が散見された。設問イでは，監査要点の意味について理解 していない論述が目立った。また，設問ウでは，監査におけるCSA の活用について，活用の局面や方法などを 具体的に記述していないものが多かった。

問2（システムの日常的な保守に関する監査について）は，システム保守という基本的かつ一般的なテーマ であったことから，最も選択率が高かった。問題文をよく読めば，短期間あるいは緊急で対応しなければなら ない保守についての出題だとわかるはずであるが，システム開発に準じた保守やシステム運用など，題意とあ っていない論述が多く見受けられた。設問イでは，想定されるリスクに対する要因が不十分な論述が多く，情 報セキュリティの観点からの論述も散見された。設問ウでは，監査要点や監査証拠に関する論述が不十分な受 験者が目立った。また，システム管理者の立場での論述や，設問では求めていない監査結果や改善提案などの 論述も散見された。

問3（情報システムの冗長化対策とシステム復旧手順に関する監査について）は，昨今，多くの組織で検討 されているテーマであり，勤務先などにおいて，関連する業務を実際に経験した受験者が多かったようであ る。しかし，設問イにおいて，問題で求めている内容を十分に論述できている答案は少なかった。情報システ ムの冗長化対策の検討過程における対策を比較した論述ではなく，単純に現在どのような冗長化対策が適用さ れているかを説明しただけの論述や，冗長化対策の経済合理性にまったく触れていない論述など，出題の趣旨 に合致していない論述が散見された。