システム監査技術者試験 令和6年度秋期

問1 では，DevOps を適用したシステム開発・運用の監査を題材に，DevOps の特性，メリット・デメリッ トを理解した上で，これらを効果的に活用するためのコントロールや監査手続について出題した。全体として 正答率は平均的であった。 設問1 は，（ⅰ），（ⅱ）が平均的で，（ⅲ）は正答率がやや高かった。DevOps 環境では適用が難しい場合があ る職務の分離などのコントロールを，CI/CD ツールの設定によるコントロールによって代替し，リスクを低減 する必要があることを理解してほしい。 設問2 は，正答率がやや低かった。DevOps 環境では，テストデータやシナリオを事前に設定しておくことに よって本番リリースまでのステージを自動化することができるが，システムの使いやすさなど利用者の立場か ら判断する必要があるテストを自動化する場合には，リスクがあることを理解してほしい。 設問3 は，正答率は平均的であった。本設問は，DevOps やアジャイル開発で陥りがちな開発上の課題を問う 問題であったが，コーディングルールなどの標準を作成するだけではなく，それを浸透させる取組がリスクの 低減につながることを，システム監査人として着目するようにしてほしい。

問2 では，基幹システムの信頼性及び安全性に関する統制の整備状況・運用状況の監査を題材に，監査調書 に基づいて指摘及び改善提案が行えるような監査報告書の作成について出題した。全体として正答率は平均的 であった。 設問1 は，正答率がやや低かった。本設問はシステム監査報告書の監査目的に照らして総合評価の記載が十 分であるかどうかを問う問題であったが，監査目的に記載のないIT コスト低減の有効性について記述してい る解答が散見された。システム監査報告書の総合評価には，監査目的に対応する評価結果を漏れなく明瞭に記 載する必要があることを理解してほしい。 設問3 は，正答率が低かった。統制の運用状況の評価において，サンプリングによる検証を行う際の母集団 の網羅性に関する監査手続を問う問題であったが，サンプリングの手法や件数に焦点を当てた解答が散見され た。システム変更に関する運用状況の検証としては，システム変更ログを母集団とすることが望ましく，シス テム変更申請書からサンプリングする場合には，その前提としてシステム変更申請書に漏れがないことを変更 ログによって確認する必要があることを理解してほしい。また，監査を実施する際の正確性，網羅性，実在性 などの意味についても正確に理解してほしい。

問3 では，IT サービス管理システムの監査を題材に，システムの導入と運用に関するリスク，監査の観点及 び監査手続について出題した。全体として正答率は平均的であった。 設問3 は，正答率が平均的であった。マスター更新に伴うリスクへの対処を基本知識として学んでおくとと もに，マスター更新の背景となっている業務リスクへの対処も視野に入れてコントロールを捉えてほしい。 設問4 は，正答率がやや低かった。エラーが処理されなければ，その分のサービス請求明細が作成されず， 利用料の請求に漏れが生じるという，業務上の原因と影響を把握して，簡潔に表現できるように努めてほし い。 設問5 は，正答率がやや低かった。リスクへの対処を確認する監査手続では，どのような主題について，ど のような監査技法を選択，適用し，どのような監査証拠によって確認するかを示す必要があることを理解して ほしい。 設問6 は，正答率が平均的であった。リードタイムの目標が利用者にも明確になっているという状態を達成 する前提として，サービスカタログの内容確認から，サービス申請の画面入力といった業務の流れを理解して ほしい。

全問共通 全問に共通して，システム監査人としての見識や能力などを問うているが，問題文の趣旨又は設問で求めて いる内容を踏まえていない論述が散見された。また，監査証拠が具体的ではない監査手続に関する記述や論文 の体裁が十分整っていない解答も目立った。自らの経験と考えに基づいて，具体的に論述するように心掛けて ほしい。

問1 では，企業などの組織全体におけるIT 投資よりも，個別のシステムやプロジェクトにおけるIT 投資に ついての論述が目立った。設問アでは，IT 投資のガバナンス体制の記述が不十分な解答が散見された。設問イ では，組織としての体制ではなく個別プロジェクトを対象とした監査に関わる記述が散見された。設問ウで は，IT 投資のガバナンス体制に関連付けられていなかったり，入手すべき監査証拠が具体的ではなかったりす る記述が散見された。問題文の趣旨や設問で求めている内容を踏まえて，具体的に論述してほしい。

問2 では，外部サービスを活用している情報システムの運用プロセスに関する解答を求めているが，外部サ ービスだけに限定した論述が目立った。設問アでは，委託元の役割・責任の記述が不十分な解答が散見され た。設問イでは，外部サービスを活用することによって生じるリスク及び対応策の記述が散見され，設問で求 めている運用プロセスにおけるリスクについて記述している解答は少なかった。設問ウでは，対応策の網羅性 を確かめるための監査手続を記述していなかったり，入手すべき監査証拠が具体的ではなかったりする解答が 散見された。設問で求めている内容を踏まえて，具体的に論述してほしい。