基本情報技術者 2017年 秋期 午前（科目A） 問58

システム運用業務のオペレーション管理に関する監査で判明した状況の指摘事項の識別【午前2 解説】

要点まとめ

• 結論：オペレータが日次運用計画を自ら決定し承認する行為は権限分離の原則に反し、監査報告で指摘すべき重大な統制欠陥です。
• 根拠：業務計画の決定と承認を同一人物が行うと不正や誤操作が発生しても発見・抑止が困難になるため内部統制上のリスクが高まります。
• 差がつくポイント：運用記録の確認や保管、例外記録は良好な証跡だが、承認権限の付与・委譲の適正さを文書化し独立確認する点が評価を分けます。

正解の理由

よくある誤解

• 「上長が最終責任者だからオペレータの自己承認は問題ない」：上長の最終責任とは別に、現場承認で独立性が失われる点が問題です。
• 「記録の保管や例外記録があれば承認の問題は解決する」：記録があっても承認権限の衝突が残ると不正抑止や即時対応ができません。
• 「日常的な小さな調整は自己承認で済ませても良い」：一貫した方針がなければ例外の常態化を招き、統制欠陥に繋がります。

解法ステップ

1. 各選択肢が示す行為を「統制の目的（抑止・検出・是正）」に照らして分類します。
2. 「誰が決定し誰が承認するか」で権限分離（SoD）ルールに反しているかを確認します。
3. 記録の確認・保管・例外記録は統制の証拠なので、正常な管理か否かを評価します。
4. 権限分離が崩れている、または独立した検証が無い項目を指摘事項として選びます。

選択肢別の誤答解説

• ア: 運用責任者がオペレータの作成したオペレーション記録を確認している。
  解説：これは監督・レビューの実施であり、良好な管理手続きです。確認の有無や頻度が重大でなければ指摘事項には該当しません。
• イ: 運用責任者が、期間を定めてオペレーション記録を保管している。
  解説：記録の保管は遵法性や証跡保持の観点で適切な管理であり、通常は指摘対象になりません。
• ウ: オペレータが、オペレーション中に起きた例外処理を記録している。
  解説：例外記録は発生事象の検出・分析に資するため望ましい行為であり、監査上の改善ポイントになることはあっても単独での指摘事項にはなりにくいです。
• エ: オペレータが、日次の運用計画を決定し、自ら承認している。
  解説：決定と承認が同一人物に集中しており、権限分離の欠如という重大な統制上の問題を示すため監査報告に記載すべき指摘事項です。

補足コラム

FAQ