問37
頻出度★★★
図に示す情報システムライフサイクルのうち，システム監査の監査対象として適切な工程はどれか。ここで，各矢印は監査対象の範囲を示す。
| 企画工程 | 開発工程 | 運用工程 |
|---|
平成25年度 秋期 ITパスポート試験 問37
マネジメント系システム監査 › システム監査
この問題の解説と、これまでの解答の記録です。
解説
問 37
不正解ア
アの矢印は帯の左端の企画工程だけを覆っており、監査対象を企画工程に限定してしまう。企画工程の監査 (要件定義や投資判断、開発計画の妥当性の点検) はもちろん重要だが、そこで計画が妥当と評価されても、実際に作られるシステムの品質や、稼働後のアクセス管理・障害対応が適切である保証にはならない。開発工程と運用工程のリスクが監査の網から完全に外れるため、対象範囲として不足である。
不正解イ
イの矢印は中央の開発工程だけを覆っている。システム監査を開発中の品質管理やテストの点検だけだと誤解した選択肢である。実際にはシステムの寿命の大部分は稼働後の運用期間であり、不正アクセスやデータ消失、運用手順の形骸化といった重大なリスクは運用工程で現実化する。また上流の企画工程で要件を誤れば、開発が手順どおりに進んでも役に立たないシステムができあがる。開発工程だけでは監査対象として狭すぎる。
不正解ウ
ウの矢印は開発工程の始まりから運用工程の終わりまでを覆うが、左端の企画工程が範囲から抜けている。企画工程は、システム化の目的、対象業務、費用対効果、実現方式といった最も上流の意思決定を行う工程であり、ここでの誤りは後工程の作業をすべて無駄にしかねない最も影響の大きいリスク源である。したがって企画工程こそ監査を行う価値が高く、これを外したウは対象範囲として不完全である。エとの違いは企画工程を含むか否かの一点なので、そこを見落とさないこと。
- エ
正解 正解はエ「企画工程，開発工程，運用工程」。図では上段の帯が企画工程・開発工程・運用工程の 3 つに区切られ、その下の各矢印が監査対象の範囲を表している。エの矢印だけが帯の左端 (企画工程の始まり) から右端 (運用工程の終わり) までを貫いており、ライフサイクル全体を対象とすることを示す。システム監査とは、独立かつ専門的な立場のシステム監査人が、情報システムにまつわるリスクに適切に対応できているかを点検・評価し、関係者に助言・勧告する活動である。ここで対象となるリスクは開発中だけに存在するものではない。企画工程では、経営戦略と整合しない要件定義や、投資対効果の検討が不十分なまま計画が進む危険がある。開発工程では、設計・プログラミング・テストの品質管理や進捗・変更管理が適切かという問題がある。運用工程では、アクセス権限の管理、バックアップと復旧手順、障害対応や運用記録の保全などが適切かが問われる。このように各工程それぞれに固有のリスクがあり、しかも上流工程での判断の誤りは下流に波及するため、監査を一部の工程に限ると全体の信頼性・安全性・効率性は保証できない。実際にシステム監査基準でも、監査対象は情報システムのライフサイクル全体 (企画・開発・運用・保守) に及ぶものとされている。よって全工程を含むエが適切である。
ここがポイント
- システム監査の対象範囲: システム監査は、情報システムのライフサイクル全体 (企画・開発・運用・保守) を対象とし、特定の工程に限定されない。企画工程では要件定義や投資判断の妥当性、開発工程では品質管理やテスト・変更管理の妥当性、運用工程ではアクセス管理・バックアップ・障害対応の妥当性というように、各工程にそれぞれ固有のリスクがあるため、一部の工程だけを見ても信頼性・安全性・効率性は保証できない。
- システム監査の位置づけ: システム監査人は被監査部門から独立した専門的立場で、情報システムのリスク対応状況を点検・評価し、問題点があれば改善に向けて助言・勧告を行う。監査人自身が設計や運用を代行するのではなく、あくまで第三者として評価する点、および助言・勧告後のフォローアップまでが役割に含まれる点が重要である。
用語