システム監査技術者 2020年 午後1 問02

　R社は、中堅の証券会社である。新たに就任した社長は、AIなどの技術を積極的に取り入れて、顧客向けのサービス拡大を図ることを経営戦略として打ち出している。例えば、チャットボットを活用した自動応答システムをコールセンタに導入するなど、戦略的に重要なシステムについて積極的な投資を行う方針である。 　R社監査部では、これまで、システム監査として、業務システムの監査及びテーマ別の監査を一定のサイクルで実施してきた。新社長の方針を受け、システム監査中長期計画の見直しを行い、今年度のシステム監査年度計画及び個別監査計画と併せて新社長に報告することになった。 　 〔システム監査中長期計画の概要〕 　監査部が見直しを行ったシステム監査中長期計画の概要は、次のとおりである。 (1) システム部が中心となって、主要システムの構築計画、インフラの整備計画を立案し、併せて、R社の保有するハードウェア、ソフトウェア及び業務システムを“情報資産一覧表”として作成している。監査部は、“情報資産一覧表”のうち、業務システムについては、それぞれシステムの機密性、完全性及び可用性についてリスクの評価を行う。 (2) 業務システムについては、R社を取り巻く環境の変化を鑑み、毎年リスクを再評価し、その結果を踏まえて、監査対象を選定する。一方、インフラは、大きな更改があったときにリスクの再評価を行う。 (3) 次の事項に該当する業務システムの開発プロジェクトについては、プロジェクト監査の対象とする。 　① 業務への影響が大きい基幹系の業務システムの開発プロジェクト 　② 開発予算が3億円を超える業務システムの開発プロジェクト (4) 災害対策、サイバーセキュリティ対策など、経営上重要なテーマと判断した場合は、システムや部門を横断的に対象とするテーマ別の監査を実施する。 (5) 情報技術の高度化に対応できるよう、システム監査チームのメンバの教育、他部署からの異動、新規の人材の採用を進める。 (6) 監査業務を支援する監査用ソフトウェアを導入して、作業の効率向上を図る。 　 〔システム監査年度計画の概要〕 　システム監査中長期計画を基に監査部が策定した、今年度のシステム監査年度計画の概要は、次のとおりである。 (1) 監査対象 　システム監査中長期計画に基づいて監査対象を選定し、表1のとおりシステム監査年度計画を作成した。業務システムについては、個人情報を取り扱う“顧客管理システム”などを対象とした。プロジェクト監査は、開発期間が1年以上に及ぶ“オンライントレーディングシステムの開発プロジェクト”を対象とすることになった。

(2) システム監査チームメンバの教育計画 　リスク評価やセキュリティに関する教育のほかに、システム開発のプロセス、法令に関する教育を行う。システム開発のプロセスについては、システム部から監査部に異動してきたメンバを講師役とした勉強会を実施する。また、監査チームメンバには、システム監査技術者試験に加え、プロジェクトマネージャ試験などを受験させる。法令については、改正が行われた法令を中心に部内研修を実施する。 (3) 監査環境の整備 　システム監査中長期計画に基づき、二つの監査用ソフトウェアの習得を進め、ノウハウを蓄積する。以前から利用している監査用ソフトウェアは、過去の監査手続書や監査調書、監査結果などが保存され、一覧形式での参照やキーワード検索の機能をもったソフトウェア（以下、電子監査調書ソフトという）である。また、今年度から新たに導入した別の監査用ソフトウェアは、収集したログなどを集計・分析する機能をもったソフトウェア（以下、データ分析ソフトという）である。 　 〔顧客管理システムの個別監査計画の概要〕 　システム監査年度計画の監査対象となっている顧客管理システムの個別監査計画の概要は、表2のとおりである。顧客管理システムは3年前にも監査対象となっていたので、その際に監査の対象外となった営業店を対象として監査することとした。

〔監査計画に関する社長からの指示〕 　監査部長は、システム監査中長期計画、年度計画、及び個別計画について社長に説明した。管理部門の経験があり、監査の知見もある社長からは、次のようなコメントがあった。社長からのコメントを受け、監査部長は監査計画を見直すことにした。 (1) 監査対象システムの選定 　業務システムの監査対象候補について、環境の変化に応じてリスク評価を見直しているのは良いことだ。ただし、システムの機密性、完全性及び可用性の観点の評価結果だけで選定した場合、本来監査対象とすべきシステムが監査の対象とならない懸念がある。監査対象を選定する基準を見直す必要があるのではないか。 (2) プロジェクト監査 　システム部からの報告によると、システムのリリース延期や本番稼働後のトラブルも少なくないと聞いている。これまでの開発プロジェクトの監査では、主に開発工程の終了時の状態を監査しているが、それだけでプロジェクトの状況を適時に把握できるのか。例えば、監査人が、工程の進行中に開発プロジェクトの進捗会議に出席することは利点があると考えられるので、検討すること。 (3) 監査部門の人材育成 　監査部門の要員の教育計画について、当社の経営戦略と整合させて具体的に作成すること。 (4) 監査環境の整備 　電子監査調書ソフトを導入しているが、活用が進んでいないようなので、計画を具体化して活用の推進を図ること。 (5) 個別計画の顧客管理システムのアクセスログを確認する監査手続 　アクセスログの確認は、サンプリング調査ではなく、データ分析ソフトを活用すれば、精度の高い監査が実施できるのではないか。