システム監査技術者 2016年 午後1 問02

解答の導き方

1. まず、顧客への影響告知の必要性を判断し、顧客影響一覧を作成したのは、両社システム部門担当者です。本文には、担当者が「顧客への影響告知の必要性を検討し、その結果に基づき、顧客影響一覧を作成した」とあります。
2. その一覧では、表1の項番3について告知は「不要」とされています。一方、両社利用部門担当者へのインタビューでは、項番3も告知すべきだと考えていることが分かりました。システム部門側の判断と利用部門側の考えが食い違っているため、一覧の結論だけでなく、必要性の検討過程を確かめる必要があります。
3. そこで追加の監査手続では、システム部門担当者が告知の必要性を判断するときに、利用部門担当者の意見を確認していたかを調べたと考えられます。つまり、両社システム部門担当者が顧客への影響告知の必要性について、両社利用部門担当者に確認したかどうかが確認事項になります。

誤りやすいポイント

• 利用部門担当者が告知すべきだと考えていたことだけを答えると、既に監査結果(1)で分かっている内容の繰り返しになります。
• 項番3の告知が必要か不要かを判断する問題ではありません。問われているのは、追加の監査手続で確認した事項です。
• 顧客影響一覧の記載内容だけでなく、一覧を作成する際に関係部門の意見を確認したかという、判断の過程に注目します。

FAQ

解答の導き方

誤りやすいポイント

• STの計画を示す資料と、実際の不具合や対応状況を示す資料を混同しないようにします。未対応の不具合の確認には、STの中間報告を用います。
• 条件付で可とした判定内容は、STの報告書ではなく、判定を承認した会議の記録から確認します。
• 条件として示された対応完了や承認は、監査結果(2)では今後の対応事項です。完了済みであることを示す資料を答えるのではありません。

FAQ

解答の導き方

誤りやすいポイント

• aを、中間移行判定の結果をそのまま再確認することだと捉えると不十分です。条件付きで可となった項目について、その後に資料が更新され、条件が満たされたかを確認する必要があります。
• 条件を満たしたかどうかの確認は、判定根拠資料に基づいて行います。資料の有無だけでなく、必要な対応や責任者の承認が記録されているかも確認の対象です。
• 判定基準と判定手続は別のものです。判定基準は「何を満たせばよいか」を定め、判定手続は「資料に基づいてどう確認するか」を定めます。
• bを、最終移行判定基準案の確認と同じ内容にすると、設問が求める追加の確認事項を答えられません。

FAQ

解答の導き方

1. 表3の項番2では、判定項目が「CPの実効性の確保」で、判定条件は「訓練を行い、CPの実効性を確保している。」となっています。訓練を実施した事実だけでなく、CPが実際に役立つ内容になっているかまで確認する必要があります。
2. 判定根拠資料として挙げられているのは「CP」と「訓練結果報告書」です。この二つを使えば、訓練でどのような結果や課題が出たかを、CPの内容と照らし合わせて確認できます。
3. 指摘事項(2)では、訓練が行われたことを確認するだけでは判定条件を十分に満たさないとされています。訓練の実施確認に加えて、訓練結果をCPの見直しに反映したかを調べる必要があります。
4. したがって、CPと訓練結果報告書を照合し、訓練結果を踏まえてCPが必要に応じて見直されたか確認する手続が適切です。常にCPの変更を求めるのではなく、訓練結果から見直しが必要かを判断し、必要な場合に反映されているかを確かめます。

誤りやすいポイント

• 訓練を実施した記録だけで、CPの実効性も確認できたと考えることです。訓練の実施と、CPが有効であることの確認は別です。
• 訓練結果報告書だけを確認し、CPとの対応関係を調べないことです。訓練で判明した課題がCPに反映されているか確認する必要があります。
• 必ずCPを改訂することが判定条件だと考えることです。必要なのは、訓練結果を踏まえて見直しの要否を判断し、必要に応じて見直すことです。

FAQ