システム監査技術者試験 平成31年度春期

問1 では，RPA システムを題材として，新技術を活用したシステムの開発と導入の監査について出題した。 設問1 は，類似作業を共通化する際に，差異分析や影響評価が必要となることを理解しているかを問うた。 リスクとして解答する場合は，単に差異を考慮しないという原因だけでなく，業務に支障が生じるという結果 も含めて記述するようにしてほしい。設問2 も，設問1 と同様にリスクを問う設問であり，原因だけでなく結 果も明確に示すように留意してほしい。 設問3 は，ID とパスワードの管理方法を問うたが，一般的なセキュリティ管理の要件を示した解答が多かっ た。システムの特徴を理解して，管理すべき事項を特定して監査ができる能力を身につけてほしい。 設問4 は，変更管理プロセスの手順書について確認すべき内容を問う設問であったが，単に一般的な変更管 理プロセスの整備を記述している解答が見られた。関連システムを操作するというRPA システムの特徴を理 解して，必要な内容を解答できるようになってほしい。

問2 では，情報システム部門の体制が十分でない企業を題材として，システム開発計画の監査について出題 した。全体として正答率は高かった。 設問1 は，“優先順位が検討されているか”という監査要点に対応する監査手続の不足を理解して，その理 由を解答してほしかったが，要件定義の検討不足や要望の採否に係る不足事項に関する解答が多かった。 設問3 も設問1 と同様に，監査要点から見た監査手続の不足の理由を問う設問であったが，要件に対する充 足度又は品質の確保に関する解答が目立った。監査要件を満たすための監査手続を理解・把握する能力を身に つけてほしい。 設問5 は，要件の追加・変更に関する“利用部門向け”の対策を問う設問であったが，委託先との契約や委 託先での要員確保などに関する解答が多く見られた。また，設問は“対策の内容”を問うているにもかかわら ず，要件の追加・変更時の監査ポイントや監査手続に関する解答も散見された。設問で問われていることをよ く理解して解答するよう心掛けてほしい。

問3 では，基幹システムのオープン化を題材として，システム再構築のプロジェクト計画段階における監査 について出題した。 設問2 は，分析工程の計画及び実施内容について問う設問であったが，設計工程や製造工程の実施内容に関 する解答や，分析工程が実施済みであることを前提とした解答が見られた。監査の対象や実施時点を正確に認 識してほしい。 設問4 は，ユーザ受入テストの際に，システムの操作性で問題が表面化することに対するリスク軽減策を問 う設問であった。問題が表面化した後の対応策に関する解答が見られたが，プロジェクト計画段階の監査とし ては，予防的なリスク軽減策を解答してほしい。 設問5 は，想定されるリスクとして，問題文中の現行システムの状況を踏まえた具体的な確認事項を問う設 問であったが，“第2 段階の再構築計画が経営の承認を得ていること”など，一般論的・抽象的な解答が散見 された。問題文の内容をしっかりと把握して，具体的な解答を心掛けてほしい。 0

問1（IoT システムの企画段階における監査について）では，IoT システムの概要についての論述が不足して いたり，ビジネス上のメリットとは言えない論述にとどまっていたりする解答が目立った。また，企画段階に おけるIoT システムに関わるリスクの論述を求めたが，開発，運用，保守におけるリスクを論述している解答 が散見された。企画段階の監査手続については，運用段階の監査手続を論述している解答や，入手すべき監査 証拠を記述していない解答が多かった。題意を踏まえて，システム監査人の立場から具体的な監査ポイントと 監査証拠を論述してほしい。

問2（情報セキュリティ関連規程の見直しに関するシステム監査について）では，見直される情報セキュリ ティ関連規程の体系を説明しながら論述している解答は少なかった。また，情報セキュリティ関連規程の見直 しに関する手続の適切性に関する監査手続の論述を求めたが，見直しを行う立場での論述，見直した関連規程 を適用する際の留意点を論述している解答が散見された。関連規程の周知徹底計画及び周知徹底状況の監査手 続については，周知徹底を行う立場で論述している解答が散見された。問題文には“単に社員教育だけでな く”と記述され，様々な例を挙げているにもかかわらず，社員教育だけを論述している解答が目立った。