システム監査技術者試験(PM1_R4-2)

1

設問より、両方の申請書等の検討資料について共通して確認した事項を回答。

[本調査の実施](1)

「ペーパレス化しても、業務を抜本的に見直していない可能性がある。」

表1項番3,4 補足説明

項番3：現行の記載項目のままワークフローシステムに入力

            └作業申請書の記載項目を簡素化していない。廃止の検討なし。

項番4：現行の申請書をワークフローシステムに添付

            └情報提供依頼書の記載項目を簡素化していない。廃止の検討なし。

[タスクフォースの概要](4)見直しの方針

①「紙の申請書等が必要な事務処理そのものを廃止」

②「申請書等の記載項目をできるだけ簡素化」

2

設問より、担当部署と確認事項を明確にした上で回答。

[本調査の実施](2)

「部署を横断した見直しが行われていない可能性がある。」

・項番5

表1 項番5 補足説明

「他部署が管掌する規則で押印が必要と定めているので、現行どおり」

⇒規則管掌部署に押印不要とする改訂を依頼

・項番6

[ワークフローに関わるシステムなどの状況](4)

「法務部～業務の見直しとして、電子署名の利用を検討するという旨の回答を得ている。」

3

設問より、監査手続回答。

[本調査の実施](3)

「タスクフォースの見直し方針に沿った対応となっているかどうかを担当部署に確認」

表1 項番7 補足説明

「承認者にメールを送付する暫定的な対応」

[タスクフォースの概要](4)見直しの方針

④「押印や署名を不要とする目標時期を定める。」

押印や署名を不要とする目標時期の設定を確認するという内容だけでは誤り。

設問より監査手続が問われているため監査の対象と監査手法を示す必要がある。

監査手法：インタビュー法(ヒアリング)

対象：担当部署

確認事項：押印や署名を不要とする目標時期の設定

4

設問より、業務効率の観点から生じる可能性があると考えた支障の内容を回答。

[本調査の実施](4)

グループウェアでのワークフロー作成を見送った場合

⇒業務効率の観点から支障が生じる。

表1 項番8 補足説明

「グループウェアによって、ワークフローを作成」

[ワークフローに関わるシステムなどの状況]

(1)グループウェア

各機能を連携されることで、業務の効率向上に寄与するワークフローを簡易に作成可

(2)ワークフローシステム

あらかじめ承認者を設定する機能有(レポートライン情報)

(グループウェア：承認者を設定する機能なし)

⇒グループウェアでワークフローを作成する予定の部署に対してワークフローシステムを利用するように変更を促す。

5

システムからのログを分析して、業務プロセスの改善に活用する取組は、有用な活動として普及しつつあるので、監査の観点からも理解を深める必要がある。

設問より、確認した取組の内容を回答。

[本調査の実施](5)

「業務効率を更に向上する取組を可能にすることも考えられる。」

[ワークフローに関わるシステムなどの状況](3)

「既存の業務プロセスにあるボトルネックを解消して業務の効率をさらに向上」

「ログデータを分析する技術を利用することを検討」

システム監査技術者試験(PM1_R4-3)

1

設問より、監査手続が問われている点に着目。

[監査手続書の作成](1)①

「C社システム管理課に対して確認する監査手続を追加」

⇒運用管理規定の変更があった際に運用作業の品質が確保されるようになっているかどうかを確認する監査手続

[運用業務の状況](4)より運用管理規程に基づいて運用手順書が作成されていることが分かる。

そのため運用管理規程の変更に伴い運用手順書の見直しの必要がある。

2

(ⅰ)

表1 監査手続

「D社運用管理部の責任者の承認の下に実施」

⇒責任者の承認がない状態で対応を行った場合にどのようなリスクが生じるかどうかの観点で回答。

[予備調査の結果](2)障害管理①

運用手順書に記載されていない作業が必要となった場合

└保守担当者の承認が必要

└D社運用管理部の責任者の承認が必要(C社システム部保守担当者：事後承認必要)

(ⅱ)

・抽出すべきデータ

設問より障害管理データを分析、調査するに着目。

[監査手続書の作成](2)①

「障害管理DBから過去1年分の障害管理データを入手」

[予備調査の結果](2)障害管理①

夜間の障害発生時：D社運用管理部の責任者の承認を代替

・確認すべき内容

夜間障害発生時は代替措置としてD社運用管理部の責任者の承認によって対応を行う。その後、C社システム部保守担当者に事後承認を得るルールになっているためこの確認を実施すべきである。

3

システム運用業務を外部に委託した場合でも、委託元企業(C社)は、委託先の運用業務を把握する必要がある。

委託先に任せっきりにならないように、自らの責任において対策の検討、推進を実行する。

[監査手続書の作成](2)障害管理②

「障害管理の責任部門であるC社システム管理課にもインタビューすること。」

表1 項番3 リスク

「C社の責任おいて組織的に実施されず、同様の障害が再発」

4

[監査手続書の作成](2)障害管理③

「C社システム部から保守の計画書を入手」

⇒将来の障害に備えた対策が記載されていることを確認

[予備調査の結果](2)障害管理③

「データ量の増加があったシステムにおいて～想定していなかった障害が発生」

⇒データ量の増加を検知するための仕組み

システム監査技術者試験(PM1_R4-1)

1

(ⅰ)

消去すべき短期保存データが漏れなく消去されていることを確認するためには、消去済みの短期保存データのリストのほかに、消去対象の全短期保存データのリストがあれば十分であり、全短期保存データのリストが不要であることに着目し回答を導く。

【解法手順】

・設問より[本調査の結果](1)に着目し監査証拠を回答。

・[本調査の結果](1)

「消去した短期保存データのリストを他の監査証拠と突合」

⇒一部のバックヤードシステムで短期保存データが適時消去されていない。

・突合法によって確認したいこと

消去すべき短期保存データが漏れなく消去されていること

└現在：取得日に基づいて一律に取得後6か月で自動的に消去

└改正法：保存期限に応じて適時消去

・監査証拠

監査証拠①(設問)

消去した短期保存データのリスト

監査証拠②(解答)

全短期保存データのリストから保存期限を過ぎたものを抽出したリスト

(ⅱ)

表1 項番3 改正法による影響

短期保存データの消去である点に着目。

改正法によって取得後6か月以内でも保存期限を迎える可能性があることに着目し回答を導く。

2

・監査証拠

[本調査の結果](2)

「蓄積された一連の位置情報」

・確認事項

「同じ位置情報が複数存在すること」

ex)自宅から商品を購入するケース

アプリケーション利用時に行動データの一部としてGPSによる位置情報を取得。

⇒蓄積された位置情報から住所等を特定できる可能性がある。

　特定の位置情報に偏りがないかどうか確認する必要がある。

3

・設問よりログ管理システムでの対応が必要な機能を回答。

・[本調査の結果](3)

「一部の機能の設定が適切に行われておらず、個人情報漏えいの兆候及び発生をすぐに発見できない状態」

イベント監視機能

異常検知時のアラート機能

ログの分析機能：すぐに発見できる機能ではなく発生後の対応のための機能

分析結果のレポート機能：すぐに発見できる機能ではなく発生後の対応のための機能

4

(ⅰ)

安全なウェブサイトの作り方 - 1.3 パス名パラメータの未チェック／ディレクトリ・トラバーサル | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構

(ⅱ)

短期保存データ：保存期限に応じ適時消去

開示データ：ー

・[本調査の結果](4)

「ダウンロードが正常に終了すると、その記録が保存」

「開示済みの開示データが消去されないままの状態」

システム監査技術者試験(PM1_R3-3)

1

設問より[追加の確認事項と検討事項](1)

「問題がない理由としてテスト項目数が十分」

⇒テスト項目数は十分であるが質については言及していない。

また[結合テスト完了基準と完了評価結果](1)にも併せて着目し、テスト項目の質についての言及がない。

上記以外に、本設問に関連する箇所としては表1項番2完了基準

「基準範囲内にない場合は、その理由が明確であること」

以上より、回答を導く。

 

2

設問より[追加の確認事項と検討事項](2)

「課題についてシステムテストに向けて適切に対応が行われているかどうかを確認」

⇒生産管理システムの課題管理に関する監査手続を問われているため

　「〇〇を閲覧し〇〇を確かめる」の形式で具体的に回答。

また[PMへのヒアリング](3)

「マスタデータの作成ミス」「～課題として指摘し、P社に再発防止策を要請」

上記以外に、本設問に関連する箇所としては表1項番3完了基準

「対応内容、対応期限が明確であること」根拠資料「課題管理表」

以上より、回答を導く。

 

3

設問より[追加の確認事項と検討事項](3)

「財務会計システムは他業務システムともインタフェースがある」

ex)

財務会計システム⇔生産管理システム

財務会計システム⇔販売管理システム

財務会計システム⇔購買管理システム

また[結合テスト完了基準と完了評価結果](2)

「チーム内で類似不良についての品質向上策を実施済である」

⇒同様な事象が発生する可能性があるため他チームへの情報共有の必要あり。

以上より、財務会計システムは生産管理システムだけでなく他業務システムともインタフェースがあるということを踏まえ、 生産管理開発チーム内だけでなく開発チーム(販売管理・生産管理・購買管理)間での情報共有が必要である点に着目し回答を導く。

 

4

設問より[追加の確認事項と検討事項](4)

「インタフェース機能の残課題～改善提案を検討」

また[結合テスト完了基準と完了評価結果](3)

「生産管理システムと接続させての確認はシステムテストで実施予定」

「システムテストは～余裕の少ないスケジュール」

⇒スケジュールに余裕がないため予めシステムテストの実施前に疎通確認を実施すべきである。

以上より、回答を導く。

 

5

設問より[追加の確認事項と検討事項](5)

[工程計画]

「C社は～システムテストにおいて、業務システム全てを連携させたテストとユーザ受入テストを行う計画」

上記以外に、本設問に関連する箇所としては[結合テスト完了基準と完了評価結果](3)「システムテストは～余裕の少ないスケジュール」

〇P社との委託契約

①要件定義：準委任契約(P社中心)

②設計：請負契約

③製造/単体テスト：請負契約

④結合テスト：請負契約

⑤システムテスト：準委任契約(C社中心)

※システムテスト：ユーザ受入テストにはC社利用部門の参画が必須

⑥移行：準委任契約

以上より、回答を導く。

システム監査技術者試験(PM1_R3-2)

1

設問より[本調査の計画](1)

「”システム投資規程”の決裁権限者とが整合しているかどうかを確認」に着目。

また表2項番①コントロール

「プロジェクト運営委員会にIT投資の意思決定権をもつ者が参画している」点にも併せて着目。

上記以外に、本設問に関連する箇所としては[予備調査の結果](4)

予算額に応じた決裁権限者がシステム投資規程に定められている旨が記載。

なお、現時点では当該プロジェクトの決裁権限者が確定している旨記載は本文中にはない。

設問で問われていることは、確認している具体的な内容である。

そのため、プロジェクト運営委員会のメンバにIT投資の責任者が参画している点に言及し解答を導く。

 

2

再構築方式の評価項目として、”ビジネス目標”の視点が含まれているかどうかについて問われている。

設問より[本調査の計画](2)

「コストに関する記述が中心」

「リスクに対応したコントロールが～検討されているか」

また、表2項番②リスク・コントロール

「ビジネス目標に合致しないシステムになる。」

「様々な角度から評価して再構築方式を決定」

上記以外に、本設問に関連する箇所としては[予備調査の結果](3)、[再構築計画の検討状況](3)

経営陣からビジネス目標が提示されている点に着目。

基幹系システムの再構築：コストの最適化

営業支援システムの再構築：対面販売を代替することができるシステムの実現

また、再構築実施要領は基幹系システムの再構築で実施された手順に準拠しているため営業支援システムの再構築とは異なる点にも着目。

以上より、再構築方式の決定に際しコストのみに着目するのではない点に言及し回答を導く。

 

3

(i)

設問より設計工程で顕在化するリスクを回答。

[本調査の計画](3)

「”現行を踏襲する”機能については、要件定義書にも具体的な要件は記載せず」

また表2項番③コントロールも併せて着目。

上記以外に、本設問に関連する箇所としては[予備調査の結果](1)

「システム部にもシステム全体を理解している担当者がいない状況」

⇒表2項番②コントロール「残すべき現行機能を明確にできない。」

⇒仕様を確定できない。

以上より回答を導く。

(ii)

設問よりテスト工程のリスクを引き起こす要因を回答。[本調査の計画](3)

「”現行を踏襲する”機能については、要件定義書にも具体的な要件は記載せず」

また表2項番③リスクのテスト工程も併せて着目。

上記以外に、本設問に関連する箇所としては[予備調査の結果]

(1)「営業支援システムの業務機能の全体を把握している従業員がいない」

(2)「現行システムから変更不要な機能については、”現行通り”と記載」

⇒現行の業務要件を把握できている従業員がいない

⇒テストを網羅的に実施できない可能性

以上より回答を導く。

 

4

システムが稼働する基盤が変更になることに伴い、単にプログラムを変換するだけでなく、バックアップ、リカバリなど方式の変更やセキュリティ、性能面などの非機能要件の検討を十分に行うことの重要性に着目し回答を導く。

システム監査技術者試験(PM1_R3-1)

1

設問より表1項番(1)に着目。

[M氏の助言](1)

[監査チームが想定したリスク](1)

「導入目的や利用範囲について、経営会議などの審議を経て経営層が承認するプロセスが必要」

設問で問われている内容は監査手続のため、下記の形式で回答する。

【監査証拠】を閲覧し、【コントロール】ことを確かめる。

監査証拠：経営会議などの議事録

コントロール：経営層によって十分に審議され、承認されている

2

設問より表1項番(2)に着目。

[M氏の助言](2)

[監査チームが想定したリスク](2)

「PoCの計画策定では、実施の目的、結果の評価基準及び終了基準を定める必要」

「PoC工程実施後は、計画で定めた評価基準及び終了基準を満たしているかを明確に評価する必要」

[チャットボット開発の概要](2)

PoC計画書：概念実証の実施計画書

PoC評価書：PoCの実証結果

設問で問われている内容は監査手続のため、下記の形式で回答する。

【監査証拠】を閲覧し、【コントロール】ことを確かめる。

監査証拠：PoC計画書/PoC評価書

コントロール：結果の判断や終了の判断の記述があること

コントロール：目的、結果の評価基準、終了基準の記述があること

3

設問より問題点を回答する。

AIの学習と結果評価のプロセスでは、データを増やして学習させ、結果を評価し、想定した結果が得られた場合に本番移行するという点に着目。

[M氏の助言](3)

「本番移行工程には問題がある。」より

[チャットボット開発の概要](3)②

テスト工程：学習データ＋教師データを3ヶ月分学習させ結果を評価した上で本番移行が承認。

[チャットボット開発の概要](3)③

本番移行工程：学習データ＋教師データを6ヶ月分学習させる。

※学習後に結果を評価しないで本番移行している点に着目。

4

AIが示す結果が常に正しいとは限らず、その結果の正しさや利用可否を人間が判断すべきであることを理解するために、AIの特性を踏まえた教育が必要である点に着目。

表1項番(4)に着目。

監査要点「AIの特性を踏まえたオペレータ教育の内容を検討」

[M氏の助言](4)

「教育内容や実施計画が不十分」

[監査チームが想定したリスク](4)

「結果の利用可否を人が判断する」

「結果の正しさや利用可否をオペレータ本人が判断」

以上よりAIの特性を踏まえた教育が必要である点に着目し回答を導く。

システム監査技術者試験(PM1_R2-3)

1

ITガバナンスにおける経営陣の関与について回答する。

経営陣への報告や情報システム戦略委員会への報告についての記述が少なく、正答率が低い。

評価の時期や評価基準についての記述は誤り。ITガバナンスの意義に着目する。

表2自己評価象案件の場合、検証主体及び最終報告先がオーナ部でありオーナ部内で完結してしまう。

一方で、大規模システム開発案件の場合、最終報告先が経営会議であり取締役会で決議・報告されることがわかる。

以上の点に着目し回答を導く。

なお、[情報システム部の課題認識と対策検討状況](1)で自己評価対象案件の最終報告先を情シス委員会に変更している点もヒントになる。

情シス委員会を最終報告先にすることでオーナ部内だけで完結する現状を解消できる。

2

リスクについてのコントロールを回答する。

利用者へのアンケートの実施などの特定の対策や、特定の部署に限定した対策は誤り。

状況を正しく捉え汎用的な対策を回答する。

表3項番3より外部コンサルのアドバイスを参考にシステム開発を企画していることに着目。

また項目より利用者のニーズにを把握していることがわかる。

ex)Web契約更改システム

外部コンサルタント：利用者ニーズの把握

現時点利用者数：当初推定の約3％

・問題点

外部コンサルタントの予想数値の妥当性をオーナ部検証していない可能性がある。

⇒利用者ニーズを満たしていないため利用者数が予測値と乖離

以上より、外部コンサルのアドバイスの妥当性を検証し利用者のニーズを満たすシステム開発を企画しているかどうかを確かめる。

3

表3項番4.5に着目し回答を導く。

項番4：活用状況をモニタリングする仕組みを備えていない

項番5：検証予定時期をあらかじめ定めていない

以上より回答を導く。

4

リスクについてのコントロールを回答する。

[営業推進部の課題認識]

「～利用を継続するか、又は廃止にするのかの判断を確実かつ速やかに実施するための新たなルールが必要」に着目。

また判断基準やルールが稼働後の状況に併せて設定されないように稼働前に定めておく点にも言及し回答を導く。

5

監査手続を回答する設問のため、監査項目だけ記述した場合は誤り。

監査手続として何をどのように確認するのか記述する。

監査手法：インタビュー法

確認対象部門：経営企画部(オーナ部の代表)

確認内容：改訂原案の内容に賛同しているかどうか

[システム開発体制とシステム開発年度計画案の策定手順]「経営企画部はオーナ部を代表している。」に着目。

図1より情シス事務局は情報システム部と経営企画部が務める。

問題文[情報システム部の課題認識と対策検討状況]より、情報システム部へのヒアリングは実施しているが経営企画部へのヒアリングは実施していないことが読み取れる。

また経営企画部と連携して対策の検討を開始している旨が記載されているが、ヒアリングを実施して確認する必要がある。

以上より回答を導く。