システム監査技術者 2010年午前2 問04

問題文

外部委託管理の監査に関する記述のうち、適切なものはどれか。

🖊️ 解答を隠して解いてみる

ア：請負契約においては、委託側の事務所で作業を行っている受託側要員のアクセス管理が妥当かどうかを、委託側が監査できるように定める。（正解）

イ：請負契約の場合は、受託側要員に対する委託側責任者の指揮命令が適切に行われているかどうかを、委託側で監査する。

ウ：外部委託で開発した業務システムの品質管理状況は、委託側で監査する必要はなく、受託側で監査すべきである。

エ：機密度の高い業務システムの開発を外部に委託している場合は、自社開発に切り替えるよう改善勧告する。

🔒 解説は解答すると表示されます

アは適切です。請負契約では、受託側が自らの責任で業務を遂行します。一方、委託側の事務所で作業する場合でも、受託側要員が委託側の情報やシステムにアクセスすることがあります。

そのため、委託側は契約に監査に関する条項を設け、受託側要員のアクセス管理が適切に行われているかを確認できるようにしておくことが重要です。これは情報セキュリティ上のリスクを管理するための監査であり、受託側要員に直接指示することとは異なります。

ア：適切です。契約に監査権限などを定め、委託側がアクセス管理の状況を確認できるようにすることは、外部委託に伴うリスク管理として妥当です。
イ：不適切です。請負契約では、受託側要員への指揮命令は受託側が行います。委託側が指揮命令を行っているかどうかを監査する、という考え方は請負契約の原則と合いません。指揮命令の実態によっては、契約形態と実態の不一致が問題になることもあります。
ウ：不適切です。受託側が品質管理を実施・監査していても、委託側の管理責任がなくなるわけではありません。委託側も、契約内容やリスクに応じて品質管理状況を確認します。
エ：不適切です。機密度が高い業務を外部委託していることだけを理由に、自社開発への切替えを一律に勧告するのは適切ではありません。アクセス制御や契約上の管理、監査などの対策を踏まえてリスクを評価します。

請負契約では、受託側が仕事の完成に責任を負い、受託側要員への指揮命令も受託側が行います。一方、アクセス管理の監査や報告の要求は、契約で定めた管理・確認の仕組みです。監査を実効性のあるものにするには、監査対象、方法、頻度、報告方法などを契約時に明確にしておくとよいでしょう。

Q. 委託側が監査する場合、受託側要員に直接質問してもよいですか？
A. 監査に必要な事実確認はあり得ますが、業務の進め方を直接指示することとは区別が必要です。具体的な方法は契約や監査手順に従います。

Q. 受託側の監査報告書を確認すれば、委託側の監査は不要ですか？
A. 必ずしもそうではありません。報告書の内容や信頼性、委託業務の重要度などを踏まえ、委託側として必要な確認を行います。

関連キーワード: 外部委託管理、請負契約、監査権限、アクセス管理、指揮命令、委託先管理

\ せっかくなら /

システム監査技術者を
クイズ形式で学習しませんか？

すぐに利用可能！