システム監査技術者試験 平成30年度春期

問1 では，“ステージゲート”の制度を題材として，システムの投資対効果を判断し，経営判断に生かすた めの真に役立つ制度であるかどうかの監査について出題した。 設問1 は，業務の主管部門がシステムオーナとして登録されているかどうかを解答させる問題で，正答率は 高かった。 設問2(ii)は，“費用項目の不足が発生しないようにするためのコントロール”が存在するかどうかを確認す るための監査手続を問う問題であるが，(i)で解答した費用項目が漏れていないかどうかを確認する監査手続の 解答が目立ち，正答率は低かった。監査実務においても監査の目的に合致した監査手続を設定することを実践 してほしい。また，本問は，“監査手続”を問う問題であるが，確認するポイントだけの解答が散見された。 監査手続には，監査手法や確認する対象を明記することが必要であることを理解してほしい。 設問5 は，正答率は低く，“審査基準に従って審査していること”といった，審査のプロセスについての解 答が目立った。実効性のある審査が行われるための監査要点としては，審査実施者がプロジェクトの利害関係 者でないことや，システム開発や対象業務に知見のある者が実施することが望ましい，という点に関連付けて 解答してほしかった。

問2 では，データ分析システムを題材として，データの収集・蓄積とデータの活用に伴うリスクを踏まえ て，対応したコントロールが行われているかどうかの監査について出題した。 設問2 は，個人情報管理のコンプライアンスを確保するためのコントロールを解答させる問題であり，正答 率は低かった。一般的な個人情報管理のコントロールを示した解答が多く見られたが，本文に示された状況か ら，問題特有のリスクを理解するように留意してほしい。 設問3 は，サービスレベルの設定に伴うリスクを解答させる問題であり，正答率は低かった。単にサービス レベルが高すぎるという要因にとどまらず，結果としての運用コストの増加という悪影響まで含めて，リスク を明確に定義する能力を養ってほしい。 設問4 と設問5 は，監査手続を解答させる問題であり，監査証拠の入手方法と，確認すべきポイントの両方 を明確に示すことを求めている。設問4 では，活用検討会に着目していながら，監査証拠としての具体的な文 書を記述していない解答も見られ，正答率は低かった。

問3 では，販売管理システムを題材として，比較的小規模な改修であっても生ずる可能性のある情報システ ムリスクを見極め，適切なコントロールが設定されているかどうかの監査について出題した。 設問1 は，受注責任者の承認に代わるコントロールを解答させる問題であり，正答率は高かった。システム 機能によるコントロールに関する理解ができているものと思われる。 設問2(1)は，監査手続において照合を行う文書名を解答させる問題であるが，正答率は低かった。設問で “本文中の用語を用いて”としており，解答しやすい問題であるが，文書名以外の解答や本文中にない用語に よる解答が多かった。 設問3 は，少額受注の受注責任者による承認の省略についてのリスクとコントロールを解答させる問題であ る。リスクに関する正答率は高かったが，コントロールに関する正答率は低かった。“承認の省略によって発 生するリスク”に対するコントロールを解答してほしかった。 設問4 は，監査手続を解答させる問題であるが，監査手続によって確認する対象だけを記述した解答が多か った。監査手続を記述する場合，確認する対象に加え，確認するポイント，適用する監査手法を含める必要が ある。

問1（アジャイル型開発に関するシステム監査について）は，設問アでは，アジャイル型開発の内容につい て論述していない解答や，情報システムの内容の論述にとどまっている解答が多かった。設問イでは，設問ア で述べた情報システムの開発にアジャイル型開発手法を採用するに当たってのリスクとコントロールを求めて いるが，一般的な内容で具体性のない論述や，リスクだけでコントロールが記述されていない解答が散見され た。設問ウでは，体制，スキル，開発環境などの整備状況を開発着手前に確認する監査手続を求めているが， 運用段階での監査手続を論述している解答が目立った。また，監査手続ではなく，監査結果を論述している解 答も多かった。解答に当たっては，問題文と設問をよく読み，題意を踏まえて論述してほしい。

問2（リスク評価の結果を利用したシステム監査計画の策定について）は，設問アでは，受験者が関係する 組織が保有する情報システムの概要を論述することを求めたが，特定の情報システムについての論述が目立っ た。設問イでは，監査部門がリスク評価を行うことを前提としているにもかかわらず，リスク評価の手順がほ とんど論述されず，リスク評価の結果だけを論述しているものが多かった。設問ウの監査部門以外のリスク評 価結果を用いる場合の利点及び問題点については，よく理解した論述が多かった。しかし，問題点に対する事 前措置については，監査部門が結果を確認するなどの抽象的な内容が多かった。