システム監査技術者 2015年 午後1 問02

解答の導き方

誤りやすいポイント

• 受領書が返送されたことだけを確認する監査要点にしてしまうと、受領書がどのテストデータに対応するかを確認する目的が抜けます。
• P社保守業務担当課長が受領書に確認印を押したかどうかだけに注目すると、表3項番2で確認するB社通販課員側の確認作業を捉えられません。
• テストデータ番号の一致は監査手続であり、監査要点ではありません。監査要点は、その手続によって確認する管理上の目的を表します。

FAQ

解答の導き方

1. 表3項番1では、データ依頼書の写しにB社通販課長の確認印があることを確認します。しかし、確認印だけでは、マスク処理が正常に行われたことを示す記録と、データ依頼書との対応までは確かめられません。
2. 表1では、マスク処理が正常に終了すると、テストデータ番号をファイル名とするテストデータが出力され、「テストデータ番号が記載されたマスク処理結果票」が作成されます。また、そのテストデータ番号をデータ依頼書に記入します。
3. したがって、データ依頼書の写しと、マスク処理が正常に終了したときに作成される記録を照合し、テストデータ番号が一致することを確認すれば、依頼書とマスク処理結果との対応を確かめられます。照合する監査資料は、マスク処理結果票です。

誤りやすいポイント

• 受領書と取り違える：受領書は、P社がCD-Rを受領したことを確認する資料です。マスク処理が正常に終了したことを示す資料ではありません。
• データ依頼書だけで十分と考える：データ依頼書の写しには確認印がありますが、マスク処理の結果を記録した資料との照合が必要です。
• テストデータそのものを選ぶ：問われているのは、データ依頼書の写しと照合する監査資料です。表1でマスク処理の結果として作成される資料に注目します。

FAQ

解答の導き方

1. 確認するのは、P社が受託業務を担当する従業員に情報セキュリティ教育を実施しているかです。確認書には、教育は「着任時に」実施しているとあります。したがって、確認印の有無だけでなく、添付資料を照合して、この説明を裏付ける必要があります。
2. 業務体制図には、P社保守業務担当の従業員の氏名や着任年月が記載されています。一方、教育実施記録には、従業員氏名や教育実施年月が記載されています。まず、業務体制図に載っている従業員一人ひとりに対応する教育実施記録があるかを確認すれば、担当者全体への教育実施を確認できます。
3. さらに、教育が「着任時」に行われたという説明を確かめるには、両資料で従業員を照合するだけでは足りません。業務体制図の着任年月と、教育実施記録の教育実施年月も比べ、両者が一致しているかを確認します。これにより、教育の実施時期も確認できます。

誤りやすいポイント

• 教育実施記録があることだけを確認し、業務体制図に記載された全従業員を網羅しているかを見落とすことがあります。
• 従業員氏名が両資料にあることだけで十分と考え、着任年月と教育実施年月の対応を確認しない誤りがあります。
• 確認書に教育を実施していると回答されていることや、確認印があることだけで、実施状況まで確認できたと判断しないようにします。

FAQ

解答の導き方

1. 確認対象は、P社の受託業務を担当する従業員に対する情報セキュリティ教育です。P社の情報セキュリティ確認書では、教育を「着任時に」実施すると回答しています。そのため、担当者が新たに加わったときに教育を受けたかが重要です。
2. 一方、添付資料は「12月時点の業務体制図及び12月時点の教育実施記録」です。これらの資料同士を照合すれば、12月時点の担当者と教育記録が対応しているかは確認できます。しかし、確認できる範囲は12月時点の情報に限られます。
3. P社保守業務担当は「従業員5名」で構成され、その一部は「毎年4月に異動」となり、契約社員の一部も「契約更改時に入れ替わっている」とあります。つまり、年の途中で担当者が変わる可能性があります。
4. そのため、12月時点の資料だけを照合するのでは、年間を通じて受託業務を担当した従業員全員について、着任時の教育実施記録があるかを確かめきれない場合があります。担当者の交代も考慮して、受託業務担当の従業員に対する教育実施記録を網羅的に確認する必要があります。

誤りやすいポイント

• 業務体制図と教育実施記録に記載された氏名が一致すれば、教育の実施状況を十分に確認できると考えることです。氏名の一致は、資料間の対応を確認するものですが、年間を通じた担当者全員を把握できるとは限りません。
• 「着任時に」教育を行うという回答に注目せず、教育実施記録の有無だけを確認することです。担当者の入れ替わりがあるため、着任した人ごとの記録が必要です。
• 12月時点の資料が、年間の担当者の変遷も含む資料だと誤解することです。問題文では、添付資料は12月時点のものとされています。

FAQ

• Q: 業務体制図と教育実施記録の照合では、何を確認できますか？
  A: 12月時点の担当者と教育実施記録が対応しているかを確認できます。ただし、それだけでは年間を通じた担当者全員の教育実施を網羅できない場合があります。
• Q: なぜ担当者の入れ替わりが監査上の問題になるのですか？
  A: 教育は着任時に実施するとされているため、交代で新たに担当になった従業員にも教育が行われたかを確認する必要があるからです。
• Q: 監査では何を網羅的に確認する必要がありますか？
  A: 受託業務を担当した従業員全員について、着任時の教育実施記録があるかを確認する必要があります。

解答の導き方

誤りやすいポイント

• 年1回の提出頻度を「年2回」などに増やすだけでは、変更の時期によって確認までの空白が生じる可能性があります。体制変更そのものを提出のきっかけにすることが重要です。
• 再委託先の変更だけに対象を限定すると、担当者など別の委託業務体制の変更を捉えられないことがあります。「再委託先など委託業務体制が変更された場合」と捉えます。
• 変更時に業務体制図だけを更新させるのではなく、情報セキュリティ管理状況を確認できる情報セキュリティ確認書を提出させる必要があります。
• 提出時期を明確にせず「変更時に提出させる」とするだけでは、確認が遅れるおそれがあります。速やかな提出を求めることが大切です。

FAQ