ITパスポート 2016年春期問37

問題文

システム開発部門のシステム監査における実施事項はどれか。

🖊️ 解答を隠して解いてみる

選択肢

ア：開発委託先と締結する委託契約書の作成

イ：外部設計書のレビューで発見された不具合の修正

ウ：システム開発手順の不備の指摘（正解）

エ：プログラマに対するプログラミング教育

🔒 解説は解答すると表示されます

システム開発部門のシステム監査における実施事項はどれか。【ITパスポート解説】

正解の理由

システム監査とは、システムの運用や開発に関する仕組みや手続きが適切かどうかを独立した立場で評価することです（監査：業務や仕組みが規程や基準に合っているかを点検する活動）。監査は問題を「発見・指摘」し、改善点を報告する役割を担います。したがって、システム開発手順の不備を見つけて指摘する行為が監査の本質に合致します。以上から、ウが該当します。

解法ステップ

「システム監査」の定義を確認する
- 監査は評価・点検・報告を行う業務。実務で修正や教育を直接行うことは通常含まれない。
選択肢を「監査の業務か否か」で分類する
- 監査業務：評価・指摘・報告・改善提案など
- 実務業務：契約作成、修正作業、教育など
各選択肢と監査の役割を照らし合わせる
- 「不備の指摘」は監査に一致 → 正答
- 残りは実務的対応や作業実施であり、監査の実施事項ではない → 誤答

選択肢別の誤答解説

ア: 開発委託先と締結する委託契約書の作成
- 契約書の作成は法務や調達部門、契約担当の業務です。監査はその契約の有無や内容の適切性を確認・評価することはありますが、文書を「作成」するのは監査の業務ではありません。
イ: 外部設計書のレビューで発見された不具合の修正
- レビューで不具合を「発見する」ことはプロジェクトの品質管理の一部です。発見後の「修正作業」は開発チームの実務作業です。監査は不具合が発生しやすい原因やプロセスの問題点を指摘することはできますが、直接修正することは通常の監査範囲外です。
ウ: システム開発手順の不備の指摘
- 監査は手順や統制（ルール）が適切かを評価し、不備を見つけて指摘・報告します。監査の本来業務に合致します。
エ: プログラマに対するプログラミング教育
- 教育・訓練は人材育成の業務です。監査部門が教育を実施することは独立性の観点から望ましくありません。監査は教育の有無や内容の妥当性を評価する立場です。

よくある誤解

監査は「問題を直す」役割だと思う
- 誤解です。監査は問題を発見し改善を促す立場で、実際の修正や運用改善の実施は別の部門が行います。
監査が契約や教育をやってもよいのではないか？
- 監査が直接実務を行うと、評価の独立性が失われます。監査は独立して評価・報告することが重要です。

補足コラム

監査には内部監査と外部監査があります。内部監査は組織内部の独立した部署が行い、業務改善のための提言をします。外部監査は第三者（例：監査会社や審査機関）が法令遵守や会計などを評価します。どちらも「評価と指摘」が主で、「実務の代行」は基本的に行いません。開発プロセスに関する監査でよく見る指摘例は次の通りです：要件管理が不十分、変更管理の記録がない、レビュー手順が守られていない、リスク評価が不十分、など。

具体的な監査での手順（簡略）

監査計画の作成（範囲決定、対象の明確化）
証拠収集（ドキュメント確認、インタビュー、ログ確認）
評価・分析（手順に対する適合性、リスクの有無）
指摘事項の整理と報告書作成
改善状況のフォローアップ

FAQ

Q1: 監査はプログラムのバグを直さないのですか？
A1: 監査はバグの原因や再発防止策を指摘しますが、バグの修正自体は開発チームの仕事です。監査が修正を行うと独立性が損なわれます。

Q2: 監査が「教育」をするとまずい理由は何ですか？
A2: 教育を実施すると監査対象と監査人が利害関係を持つことになり、評価の客観性・独立性が失われます。監査は教育の実施状況や効果を評価する立場です。

Q3: 「レビューで不具合を修正する」は監査とどう違うのですか？
A3: レビューで不具合が見つかること自体は品質管理の一部です。見つけてその場で修正するのは開発プロセスの実務です。監査はレビュー手続きが適切かどうかを監査します。

関連キーワード: システム監査, 内部統制, 開発プロセス, 品質管理, 監査手続, リスク管理, 監査報告書

← 前の問題へこの年度をクイズで解く次の問題へ →

\ せっかくなら /

ITパスポートを
クイズ形式で学習しませんか？

クイズ画面へ遷移する→

すぐに利用可能！