システム監査技術者試験 平成25年度春期

問1 では，システム開発の企画段階での監査について，アジャイル開発を題材として出題した。 設問1 は，ドキュメントを作成しない場合のリスクについての基本的な問題であり，正答率は高かった。し かし，(1)では，“目的が共有されない”など表面的な事象を記述した解答が多かった。“共有されない”こと から，システム化の目的が達成されない，スコープがずれる，などの事象まで具体的なリスクを挙げてほし い。 設問2 は，組み込むべきコントロールを問うたが，正答率は低かった。“該当イテレーションの終了を承認 する”といった形式的な承認行為や，ウォータフォール型の開発手順を意識した解答が目立った。 設問3 は，開発体制上のリスクの内容を問うたが，形式的な手続の不足を記述した解答が多かった。 設問4 は，システム監査人として，的確な監査項目を設定し，必要かつ十分な監査手続を実施できる能力を 有しているかどうかを問う問題である。(2)では，監査手続を問うているが，監査項目だけを記述した解答が 散見された。

問2 では，情報システム運用の監査について，電子カルテシステムを題材として出題した。 設問2 は，機能強化について具体的に述べた解答が多く，正答率が高かった。しかし，“自動確定後も医師 が確定操作できる設定にする”，“自動確定しないようにする”など，問題文の趣旨に沿わない解答も散見され た。自動確定が，やむを得ない場合の措置として必要とされている背景を理解していれば正解を導けたはずで ある。 設問3 は，“表1 の項番2（見読性）の二つの観点”に基づく解答を求めたが，問題文の趣旨から外れ，保存 性及びその他の観点からの解答が散見された。また，バックアップデータが取得された時期とそれらのデータ を参照するための専用ソフトウェアのバージョンとの関係を把握していない解答も多かった。 設問4 は，システム監査人が，“手書き伝票による代替運用が実質的に機能しない可能性がある”と考えた 理由を問うたが，“運用手続が定められていないから”，“BCP が策定されておらず，訓練も行われていないか ら”など，表面的な事象に関する解答が多く見られ，正答率は低かった。コントロールの不備に起因するリス クを識別する能力は，システム監査人にとって不可欠なので，是非身につけてほしい。

問3 では，会計システムの監査について，開発プロジェクトの損益管理を題材として出題した。 設問1(1)は，業務上のリスクを問うたが，正式な注文が得られないという手続面での問題にとどまっている 解答が多かった。結果として損益が悪化するなど経営に与える影響に踏み込んで解答する必要がある。 設問2 は，技術者の作業時間を管理しているのはプロジェクト管理者であることが理解できれば解答できる 問題であるが，“勤怠管理システムとの整合性が確認されていない”，“技術者が自己申告で入力している”と いった解答が見られた。本来承認を行うべき者が承認しているかどうかという正当性の概念を正しく理解する 必要がある。 設問3(1)は，業績管理という動機となる原因から，プロジェクト管理者が指示する可能性を理解できている かを問う問題である。しかし，一般作業として作業時間を入力するなど，単に入力方法の記述にとどまってい る解答が散見された。 設問4 は，プロジェクト責任者が損益の悪化を早期に把握する仕組みを問うたが，単にアラーム機能や，損 益の悪化を予想する機能など，具体性に欠ける解答が見られた。更に踏み込んで，問題文に示された状況か ら，どのような機能が望ましいかを具体的に提言できる能力をつけてほしい。

問4 では，販売プロセスのシステム監査について，複数システムの密接な連携処理を題材として出題した。 設問1 は，システム環境や規程類の整備状況に着眼すれば解答できる問題である。事実だけの記載にとどま り記載が十分でない解答が散見されたものの，正答率は高かった。 設問2 は，内部けん制に配慮した権限の監査において，複数のシステムを一貫して，分離すべき職務を確認 することが必要である点に着眼すれば解答できる問題である。しかし，システム間での職務分離の必要性や同 一人物に一緒に付与すべきでない権限の考慮についての解答は少なかった。 設問4 は，会計システムにおける請求データのインタフェース処理でエラーが発生していることを理解でき れば解答できる問題であり，正答率は高かった。 設問5 は，当月売上データにおいて，正常にプロセスが運用されていて，会計システムにインタフェースさ れない売上データがあることを理解できれば，解答できる問題である。しかし，販売プロセスにおけるデータ フローが十分に理解できていない解答などが散見された。

問1（システム運用業務の集約に関する監査について）では，仮想化技術を活用したサーバ統合を主題にし た論述が多く見られた。しかし，設問ア及び設問イは，サーバ統合の技術的な実現方法ではなく，システム運 用業務の集約に関する概要や留意点を問う問題であったため，出題趣旨に合わない解答が目立った。設問ウは 監査手続を問う問題であったが，監査で確認すべき項目だけが述べられている場合が多く，どのような手段， 方法によって確認すべきかの具体的な手続が論述できている解答は少なかった。

問2（要件定義の適切性に関するシステム監査について）は，身近なテーマであるので，設問イ及び設問ウ については，多くの受験者が一通りの論述はできていた。しかし，一般的かつ抽象的な論述にとどまっている 解答が散見された。設問イでは，プロジェクトの失敗の原因となる要件定義の問題点について論述を求めてい るが，“要員の能力不足”などの表面的な原因にとどまり，なぜ適切な要員体制が確立されなかったのかとい った根本問題まで言及している論述は少なかった。また，設問ウの要件定義の適切性を監査する手続について は，“要件定義書に要件が網羅されているかを確認する”などの一般的には現実的でない監査手続の論述が目 立った。

問3（ソフトウェアパッケージを利用した基幹系システムの再構築の監査について）は，多くの組織で検討 あるいは実施しているテーマとして出題したが，設問ア及び設問イでは，パッケージの利用を前提とした再構 築についての監査という出題趣旨とは関係なく，一般的な再構築のメリットやリスクについての論述が散見さ れた。また，設問ウでは，再構築の適切性を監査する具体的な監査手続を求めているが，六つの観点からの監 査項目だけを論述して監査証拠については述べていない論述や，監査実施結果についての論述が目立ち，監査 手続を理解できていないと思われる受験者が多かった。