ITパスポート 2013年 秋期 問37

システム監査の監査対象工程はどれか【ITパスポート 解説】

正解の理由

• システム監査は単一の工程だけを見れば終わるものではなく、要求定義→設計→テスト→導入→運用といった一連の流れ（ライフサイクル）にわたる管理・統制が重視されるため、範囲が広い矢印が妥当です。

解法ステップ

1. 問題文と図を確認して、各矢印がどの工程範囲をカバーしているかを把握する。
   • 上：ア（左寄り・短い）→ おそらく企画工程のみ
   • 次：イ（開発工程の下）→ 開発工程のみ
   • 次：ウ（開発から運用にまたがる）→ 開発＋運用の一部
   • 最下：エ（左端から右端まで・三工程を横断）→ 企画〜運用すべて
2. 「システム監査」の定義を思い出す。監査はシステムの適正性と統制（内部統制）を評価することが目的で、通常はライフサイクル全般を対象にする。
3. 全工程を含む矢印が該当するので、選択肢の中から エ を選ぶ。

選択肢別の誤答解説

• ア：図の説明では左寄りの短い矢印で、主に企画工程だけを示していると解釈できます。企画だけを監査対象にするのは部分的なレビューとしてはあり得ますが、システム監査の典型的な範囲（計画〜運用の一貫した統制）には不十分です。
• イ：開発工程の下に位置する短い矢印で、開発工程のみを示しています。コードレビューやテストプロセスの監査は重要ですが、システム監査はそれらに加えて企画や運用の管理（要件の妥当性、運用ルール、バックアップなど）も確認します。
• ウ：開発工程から運用工程にまたがる矢印で、範囲は広いものの企画工程が含まれていません。企画段階の決定（要件や予算、リスク評価）が不適切だと後工程にも悪影響が出るため、完全なシステム監査では企画も含める必要があります。
• エ：企画〜開発〜運用の全てを横断しており、システム監査の対象範囲として最も適切です。

よくある誤解

1. 「監査は運用のときだけ行えばよい」
   • 実際は運用だけを見ても、そもそもの設計や要件定義の誤りは判明しないため、ライフサイクル全体を確認する必要があります。
2. 「コードレビュー＝システム監査」
   • コードレビューはプログラム単位の品質確認で、システム監査はもっと広く設計方針、変更管理、アクセス制御、運用手順などを含みます。
3. 「監査は形式的で書類だけ見れば良い」
   • 書類（設計書・テスト報告・運用記録）は重要な監査証跡（かんさしょうせき：監査で使う記録やログなどの証拠）ですが、現場での運用実態やログ確認、変更履歴の追跡も必要です。

補足コラム

• 監査の対象範囲は「企業の監査方針」で決められます。たとえばリスクが高いシステムは全工程を重点的に見ますし、特定の事故があった場合はその工程に焦点を当てることもあります。
• 覚え方のコツ：「計→開→運（けい・かい・うん）」を1本の長い矢印でイメージすると、システム監査の全体観がつかみやすいです。導入例として、新しい給与システムなら、企画（要件）、開発（移行テスト）、運用（毎月の支払い、ログ管理）すべてに問題がないかを監査します。

FAQ