システム監査技術者 2020年 10月 午後I 問題

共通の文章

]デジタルトランスフォーメーション推進プロジェクトの監査に関する次の記述を 読んで,設問15に答えよ。 製造業のP社では,昨年度から3年間の中期経営計画に基づいて,売上の拡大, 収益力の強化などと併せて,“デジタル経営構想”の取組を進めている。"デジタル 経営構想”は,P社におけるデジタルトランスフォーメーション(以下,DXという) の推進を狙いとしており,P社の事業にとって重要な取組となっている。そのため, 2年目の活動を進めるに当たって,監査室では,T氏がシステム監査人となり,“デ ジタル経営構想”の推進状況について監査を行うこととした。 (“デジタル経営構想”の概要] T氏は,予備調査として,中期経営計画における“デジタル経営構想"の内容を確 認した上で,経営企画室長ににアリングを行った。その結果は次のとおりである。 (1)DXの捉え方 P社では,DXを“多様な大量データや先進のデジタル技術を利用して,様々な 業務の効率向上・迅速化や,製品・サービスの高度化と新機能の提供によって, 業務改革と製品・サービスの価値向上を実現すること"と定義し,1のように 捉えている。 利用するデータと技術活用方法期待する成果we (ビッグデータ)効率向上・迅速化容の変革 (AL IoTなど)化と新機能の提供製品・サービスの意識の変化 図1“デジタル経営構想”におけるDXの捉え方 (2)推進体制 "デジタル経営構想”を推進するために,昨年度から社内の各部門が参画した DX推進プロジェクト(以下,DX-Pjという)が発足している。経営企画室がDX- PTの事務局となり,各部門の代表者によるDX-FI定例会を月次で開催し,進捗状 況を確認している。 ーゥー (3)DX-P]の活動目標 DX-PJでは,各部門に共通する活動目標を,表1のように定めている。 表1 DX-PJの活動目標 各部門に共通する活動目標 1年目・事業の方向性に沿ってDX-Pjの活動テーマを部門ごとに3件程度選定 ・活動テーマの取組順序を検討して,3年間の実行計画を策定 ・活動テーマに即した仮説を設定した上で,仮説を基にPoC(Proof of Concept: 概念実証)を試行的に実施 2年目・仮説を基にPoCを本格的に実施 ・PoCの結果を基に業務改革と製品・サービスの価値向上を推進 3年目・業務改革と製品・サービスの価値向上の結果を生かした部門業績の向上 ・各部門での活動成果をほかの部門へ展開 ・次期の中期経営計画のための活動計画策定 [DX-PTの活動状況] T氏は,予備調査として,DX.FT定例会の議事録を閲覧して,DX-PTの活動状況を 把握した。その概要は,次のとおりである。 ・(1)製品部門では,1年目に,Alを利用して,製品の動作を使用環境に応じて最適 化するPoCを行い,その計画と実施結果をPoC報告書として,定例会で説明した。 2年目の今年度も,新しいデータを使って,2回目のPoCを予定している。 (2)営業部門では,受注データを分析して営業戦略の立案に活用することを試行し ている。今後は,保守サービス部門のデータも含めた分析を検討している。 (3)品質管理部門では,製品部門のデータと組み合わせた分析を予定している。た だし,品質管理システムは,製品番号の下位の枝番レベルの詳細度の品質データ を保持していないので,分析には制約がある。 (4)保守サービス部門では,サービス窓口への問合せの分析を踏まえて,チャット ボットによる応答の自動化を試行している。ただし,サービスサポートシステム が老朽化しているので,問合せ内容の分析に基づいたチャットボットの回答用デ ータベースを1か月に2 AD EOME CLERC SAW EWS HMDS, (5)情報システム部門は,自部門のDXを推進するとともに,各部門のDXの案件に ついて,IT環境を準備するなど,実現を支援している。 (6)各部門ともに,DX推進の課題として,活動を進めるための人材が不足している ことを挙げており,求める人材像について,様々な意見が出ている。 ーー3ーー (7)各部門ともに,他部門のデータも活用したいというニーズが大きくなってきて いる。一方で,他部門へのデータの提供可否判断や,T-RAAO IEP HH 性の確保について,責任や権限が不明確なため,活用が困難という意見がある。 [情報システムに関係した施策の状況 T Kilt,予備調査として,更に情報システム部門の関係者にヒアリングを行い,情 報システムに関係した施策の状況を把握した。その概要は,次のとおりである。 (1)基幹システムには,老朽化して,業務と整合がとれなくなったり,システム運 用効率が低下したりしているものがある。そのため,2年前に,各部門とともに, 業務との整合性とシステム運用効率の観点から現行システムを評価して,“システ ム再構築計画”を策定した。現在もその計画に沿って,再構築を進めている。 (2)3年前に,社内におけるIT人材の不足が問題となった。P HT,人材確保の ためには,前提として,求める人材像を明確にするという方針のもとで,人事部 門が中心となって,P社としての人材類型定義書を作成している。そこで,人事部 門と協議して,人材類型定義書の中で,求めるIT人材像を定義した。人材類型定 義書は,毎年1回,人事部門が中心となって見直すことになっている。 (3)P社では,過去にプロジェクトで遅延や目標未達が発生したため,重要プロジェ クトにおいては,できるだけ進捗管理指標を設定するように運用している。 [本調査のための検討] 予備調査の内容を基に,監査室長(以下,室長という)とT Kit,本調査のため の検討を行った。そこでの両氏の発言内容(抜粋)は,次のとおりである。 TK:現行の基幹システムが老朽化しているので,各部門のDX推進にとって制約と なっているように思います。 室長:それは,DX推進における大きなリスクだね。一方で,実施できるIT投資の 規模には限度があるので,全ての基幹システムを吊新することは困難だろう。 T氏:そのリスクを低減するためには,刷新の優先順位付けを行い,“システム再構 築計画”を見直す仕組みがコントロールとして有効と考えられます。 室長:2年前の"システム再構築計画”は,業務との整合性とシステム運用効率の観 点から現行システムを評価して,策定されていたね。 TK:見直す際には,①品質管理部門や保守サービス部門でDX推進の制約となって ade いる状況にも対応できるように,現行システムを再評価する必要があります。 そのような再評価も踏まえて“システム再構築計画"を見直しているかどうか を,本調査で確認します。 室長:製品部門は,昨年度に続いて,今年度もPoCを予定しているね。 T氏:先進技術の利用に積極的なかことは良いのですが,一方で技術の利用そのものが 目的となってしまうと,PoCから役に立つ結果が得られないリスクがあります。 室長:②そのリスクが低減できているかどうかを監査する必要があるね。その監査 手続はDX-P]の活動目標で示しているPoC実施の考え方を基に考えてほしい。 T氏:各部門にDX推進の人材が不足していることもリスクと考えられます。社外の 専門家の協力を得ることも考えられますが,社内の人材確保は不可欠です。 室長:社内の人材確保のためには,社外からの採用,社内での異動及び育成といっ た施策がある。どの施策にも共通して,DX推進のための人材を確保する上で 前提として必要なことがあるはずなので,その実施状況を確認してほしい。 T氏:それでは,本調査では,③人事部門を対象にした監査も行うことにします。 室長:DX推進のためには,データ活用がとりわけ重要だね。 TH::そのためには,データ品質の改善や,データ分析環境の整備が必要と思います。 室長:さらには,データの収集・蓄積・活用のための責任と権限を定めたルール の整備も必要になるだろう。 T氏:そのような施策の予定があるかどうかを,経営企画室に確認することにします。 室長:DX-P]の進捗状況を把握していないと,活動目標が,LORE,達成できてい るかが暖昧になるリスクがある。 TH:@そのリスクに対応できているかどうかの監査も実施することにします。

共通の文章

システム監査計画に関する次の記述を読んで,設問1こ5に答えよ。 R社は,中了堅の証券会社である。新たに就任した社長は,AIなどの技術を積極的 に取り入れて,顧客向けのサービス拡大を図ることを経営戦略として打ち出してい る。例えば,チャットボットを活用した自動応答システムをコールセンタに導入す るなど,戦略的に重要なシステムについて積極的な投資を行う方針である。 R社監査部では,これまで,システム監査として,業務システムの監査及びテーマ 別の監査を一定のサイクルで実施してきた。新社長の方針を受け,システム監査中 長期計画の見直しを行い,今年度のシステム監査年度計画及び個別監査計画と併せ て新社長に報告することになった。 [システム監査中長期計画の概要] 査部が見直しを行ったシステム監査中長期計画の概要は,次のとおりである。 (1)システム部が中心となって,主要システムの構築計画,インフラの整備計画を WHEL,PRET,R社の保有すするハードウェア,ソフトウェア及び業務システムを “情報資産一覧表”として作成している。監査部は,“情報資産一覧表"のうち, 業務システムについては,それぞれシステムの機密性,完全性及び可用性につい てリスクの評価を行う。 ⑫)業務システムについては,R社を取り巻く環境の変化を鑑み,毎年リスクを再評 価し,その結果を踏まえて,監査対象を選定する。一方,インフラは,大きな更 改があったときにリスクの再評価を行う。 (3)次の事項に該当する業務システムの開発プロジェクトについては,プロジェク ト監査の対象とする。 ①業務への影響がび大きい基幹系の業務システムの開発プロジェクト ②開発予算が3億円を超える業務システムの開発プロジェクト (4)災害対策,サイバーセキュリティ対策など,経営上重要なテーマと判断した場 合は,システムや部門を横断的に対象とするテーマ別の監査を実施する。 (5)情報技術の高度化に対応できるよう,システム監査チームのメンバの教育,他 部署からの異動,新規の人材の採用を進める。 (6)監査業務を支援する監査用ソフトウェアを導入して,作業の効率向上を図る。 ー6一 〔システム監査年度計画の概要] システム監査中長期計画を基に監査部が策定した,今年度のシステム監査年度計 画の概要は,次のとおりである。 (1)監査対象 システム監査中長期計画に基づいて監査対象を選定し,表1のとおりシステム 監査年度計画を作成した。業務システムについては,個人情報を取り扱う“顧客 管理システム"などを対象とした。プロジェクト監査は,開発期間が1年以上に 及ぶ“オンライントレーディングシステムの開発プロジェクト"を対象とするこ を.介がつた。 表1システム監査年度計画(抜粋) の準拠性及び個人情報監査担当者:B RES[ovo[YT オンライントレーディン|プロジェクトマネジメ|システム部|監査責任者:C|各工程の 管理の適切性 ェクト (2)システム監査チームメンバの教育計画 リスク評価やセキュリティに関する教育のほかに,システム開発のプロセス 法令に関する教育を行う。システム開発のプロセスについては,システム部から 監査部に異動してきたメンバを講師役とした勉強会を実施する。また,監査チー ムメンバには,システム監査技術者試験に加え,プロジェクトマネージャ試験な どを受験させる。法令については,改正が行われた法令を中心に部内研修を実施 する。 (3)監査環境の整備 システム監査中長期計画に基づき,二つの監査用ソフトウェアの習得を進め, ノウハウを鞭積する。以前から利用している監査用ソフトウェアは,過去の監査 手続書や監査調書,監査結果などが保存され,一覧形式での参照やキーワード検 索の機能をもったソフトウェア(以下,電子監査調書ソフトという)CHS,EF ーッァー た,今年度から新たに導入した別の監査用ソフトウェアは,収集したログなどを 集計・分析する機能をもったソフトウェア(以下,データ分析ソフトという)で ある。 [顧客管理システムの個別監査計画の概要 システム監査年度計画の監査対象となっている顧客管理システムの個別監査計画 の概要は,表2のとおりである。顧客管理システムは3年前にも監査対象となかって いたので,その際に監査の対象外となった営業店を対象として監査することとした。 表2顧客管理システムの個別監査計画の概要(抜粋) (1)監査目的マイナンバーを含む個人情報のアクセス権限管理の状況を確 認し,個人情報が適切に管理されていることを検証する。 (2)監査の対象・マイナンバー及び顧客から送付された本人確認書類を扱う 端末のアクセス権限の管理 (以下,略) (3)監奏実施時期4月て6月(営業店への往査は5月下旬) (4)監査手続の概要・アクセスログをサンプリングによって抽出して,不正な端 未利用の疑いのあるログがないか確認する。 ・営業店に赴いてアクセス権限管理状況の実査及び店長への ヒアリングを行う。 (以下,略) 6)監査責任者及び監査担当者|監査責任者A,監査担当者:B [監査計画に関する社長からの指示 監査部長は,システム監査中長期計画,年度計画,及び個別計画について社長に 説明した。管理部門の経験があり,監査の知見もある社長からは,次のようなコメ ントがあった。社長からのコメントを受け,監査部長は監査計画を見直すことにし た。 (1)監査対象システムの選定 業務システムの監査対象候補について,環境の変化に応じてリスク評価を見直 しているのは良いことだ。ただし,システムの機密性,完全性及び可用性の観点 の評価結果だけで選定した場合,本来監査対象とすべきシステムが監査の対象と ならない懸念がある。監査対象を選定する基準を見直す必要があるのではないか。 (2)プロジェクト監査 ーー8ーー システム部からの報告によると,システムのリリース延期や本番稼働後のトラ ブルも少なくないと聞いている。これまでの開発プロジェクトの監査では,主に 開発工程の終了時の状態を監査しているが,それだけでプロジェクトの状況を適 時に把握できるのか。例えば,監査人が,工程の進行中に開発プロジェクトの進 捗会議に出席することは利点があると考えられるので,検討すること。 (3)監査部門の人材育成 監査部門の要員の教育計画について,当社の経営戦略と整合させて具体的に作 成すること。| (4)監査環境の整備 電子監査調書ソフトを導入しているが,活用が進んでいないようなので,計画 を具体化して活用の推進を図ること。 (65)個別計画の顧客管理システムのアクセスログを確認する監査手続 アクセスログの確認は,サンプリング調査ではなく,データ分析ソフトを活用 すれば,精度の高い監査が実施できるのではないか。

共通の文章

システムの有効性の監査に関する次の記述を読んで,設問ユー5に答えよ。 保険会社であるA社の内部監査部は,毎年,経営陣の課題認識をインタビューし, 翌年度のシステム監査計画の策定に活用している。昨年度のインタビューでは,社 長が“投資をして開発したにもかかわらず,十分に使われていないシステムがある のではないか"と発言していた。そこで内部監査部は,今年度,A社の情報システム 部と,このところシステム開発案件が増えている営業推進部を対象として,システ ムの有効性を監査することにした。これまでに判明した事実は,次のとおりである。 [ITガバナンス]〕 A社は,経済産業省の“システム管理基準”に記載されたITガバナンスの定義に 基づき,ITガバナンスを実践するために,経営陣が,情報システムに関するマネジ メントとそのプロセスを評価し,指示し,モニタするように努めている。 [IT投資の決定プロセスと情報システム戦略委員会] A社は,情報システム戦略委員会(以下,情シス委員会という)を設置している。 情シス委員会は,A社のIT投資計画全般の調整を行うことなどを目的とした委員会 であり,IT投資の年度計画案を策定している。A社は,情シス委員会で協議した年 度計画案を経営会議で審議し,取締役会で決議することで,IT投資を決定している。 また,情報システム関連事項を経営会議に付議・報告する際には,事前に情シス 委員会で協議するルールとしており,情シス委員会がA社のITガバナンスの要にな っている。情シス委員会の事務局(以下,情シス事務局という)は,情報システム 部と経営企画部が務めている。情シス委員会の体制は,図1に示すとおりである。 委員長:情報システム部担当役員,副委員長:経営企画部担当役員 情シス事務局:情報システム部,経営企画部 情報システム部長営業信長||商品開発部長|(中 図1情シス委員会の体制 [システム開発体制とシステム開発年度計画案の策定手順 A社では,システムごとに管理責任をもつ部(以下,オーナ部という)を定め,情 報システム部とオーナ部が連携してシステムを開発する体制になっている。情シス 事務局を務める経営企画部は,オーナ部を代表している。オーナ部の主な役割は, システム開発の起案,要件検討,テストの一部実施及び稼働後の活用推進などであ る。システム開発年度計画案は,表1に示す手順で策定され,情シス委員会によっ て承認されている。これらの役割・手順は,情報システム部が主管する“システム 開発標準化規程"に定められている。 Rlシステム開発年度計画案の策定手順の概要 実施主体 システム開発案件の申請の受付を開始する。 優先順位を付したシステム開発案件を申請する。 |3|情報システム部|システム開発案件ごとに工数・コストの見積りを行う。 情シス事務局|第1次事務局案を策定する。 5|情シス事務局|第1次事務局案を基にオーナ部に確認した上でシステム開発案件を 絞り込み,絞り込み結果を基に第2次事務局案を策定する。 |6|情シス委員会|第2次事務局案を基にシステム開発年度計画案を承認する。 CIT投資効果検証の現状 A社は,表2に記載のとおり,1案件当たりの投資額が5億円以上の大規模システ ム開発案件と,それ以外の中・小規模システム開発案件(以下,自己評価対象案件 という)について,2分類して投資効果検証を実施している。 表2 IT投資効果検証の現状 |ーー|大規模システム開発案件自己評価対象案件 適用ルール|投資額が5億円以上の案件に適用さ|“システム開発標準化規程" れる“投資規程",及び“システム 開発標準化規程" 対象案件数|年間約20件程度年間約200件程度 年間のシステム開発費の約7 Bl年間のシステム開発費の約3 Hl 検証主体|オーナ部と情報システム部 検証方法|計画段階で投資の回収に要する期間|計画段階で期待効果を明示し,稼働 を明示し,検証予定時期が到来した|後はシステムの活用状況と期待効果 時点で回収状況を検証する。の達成状況を検証する。 オーナ部長 [自己評価対象案件に関するヒアリング結果]〕 内部監査部は,予備調査の初期段階で,自己評価対象案件の中に,計画どおりに 活用されていないシステムが存在するという仮説を立てた。そして,営業推進部が オーナ部を担う自己評価対象案件のうち,直近3年分のシステム開発計画に関する 資料を情報システム部から入手した。次に,内部監査部は,資料に記載されたシス テムの用途と推定利用者数などを閲覧した。 そして,乏働開始から短期間で多数の利用者数を見込んでいる“Web契約更改シ ATL”が,計画どおりには活用が進んでいない可能性が高いと考えて,本調査で 営業推進部にヒアリングした。ヒアリングの結果は,表3のとおりであった。 表3"Web契約更改システム"”のヒアリング結果(抜粋) 1システムの用途インターネットを利用して顧客が保険の契約更改申込を行うため のシステムと定義されていた。 2|現時点の活用状況|システム開発計画段階では,外部コンサルタントの予測数値を基 に稼働後の利用者数を推定していたが,利用開始から約2年経過 した現時点での利用者数は,当初推定の約3%にとどまっていた。 3|計画段階での利用|外部コンサルタントのアドバイスを参考にしてシステム開発を企 者ニーズの把提画していた。 4|稼働後の活用状況|活用状況とモニタリングする仕組みを備えていないので,今回の の確認方法ヒアリング用に,情報システム部に依頼して直近の利用者数を把 握していた。 5これまでの活用状|稼働直後の数か月間は情報システム部に依頼して利用者数を把握 況の確認実績していたが,検証予定時期をあらかじめ定めていなかったことも あり,その後は利用者数を確かめていなかった。 [営業推進部の課題認識] 本調査でのヒアリングを通じて,営業推進部は,“Web契約更改システム"の実態 を踏まえて,システム計画段階での対策と稼働後の活用推進などのための対策が必 要と認識していることが分かった。営業推進部は,特に,計画どおりには活用され ていないことを認識した時点で,利用を継続するか,又は廃止するかの判断を確実 かつ速やかに実施するための新たなルールが必要だと,強い課題認識をもっていた。 〔情報システム部の課題認識と対策検討状況〕 本調査での情報システム部へのヒアリングを通じて,情報システム部が,自己評 価対象案件について営業推進部と同じ課題認識をもち,経営企画部と連携して対策 の検討を開始していることが分かった。情報システム部は,対策として,次の2点 を基本方針とする“システム開発標準化規程"の改訂を検討中であり,現在,改訂 原案の策定を終えて,部内のりん議を上げる直前の段階であった。 (1)自己評価対象案件の活用状況と期待効果の達成状況の最終報告先を,情シス委 員会に変更する。 (2)システム開発年度計画案の審査と稼働後の活用推進・評価のための新たなルー ルを設ける。