システム監査のポイント【システム監査の午後問題・出る順２位・応用情報技術者試験】

■出る順2位のシステム監査 

『情報処理教科書 出るとこだけ！応用情報技術者［午後］』によると、

システム監査（選択分野：システム監査）のテーマは、著者独自の出る率（同じ問題でなく、同じテーマ、同じ範囲が出題される率）が93％と非常に高いそうです。

また、よく出るポイントさえ、理解すれば、問題から必要な記述を抜き出すだけで、
高得点を獲得できるとテーマということで、
問題を理解して、必要な記述を探すノウハウが必要になりそうです。

■システム監査のポイント

『情報処理教科書 出るとこだけ！応用情報技術者［午後］』

の出る順２位「システム監査」

 の内容を参考に覚えるべきポイントを以下に記載します。

①　システム監査基準とシステム管理基準とは？

経済産業省のシステム監査のガイドラインによると、次の通りである。

システム監査基準は、監査人の行為規範（守るべきルール）で、監査人が行うべき内容をまとめたもの。
例えば、独立性の確保、保守義務である。

システム管理基準は、システム監査を受ける組織の実践規範（ベストプラクティス）で、システム監査において、
組織が行うべき推奨事例をまとめたもの。
また、システム管理基準にどれほど沿っているか、監査における判断の尺度（基準）となる。

②　システム監査の6つの段階とは？

(1)監査計画：システム監査の目的、対象範囲、時期を検討、決定する段階で、監査計画書が作成される。

(2)予備調査：本調査に至るまでの事前準備の段階で、本調査で確認すべき、監査要点、監査証拠、監査手続を、
監査を受ける組織の関係者のインタビューなどものとに検討、決定する段階である。
監査手続書が予備調査の段階でまとめられる。

(3)本調査：監査手続書にもとづき、監査手続により、資料や現場を査閲して、
関係者にインタービューして、監査証拠を入手する段階である。
監査調書が、本調査の段階で作成される。

(4)評価・結論
監査調書をもとに監査を受けた組織が、保証を与えたり、
助言したりする最終的な結論を出す段階である。
監査の実施記録とともに、監査の結論として、
指摘事項や改善勧告を記載して監査報告書を提出する。

指摘事項には、リスクとなる問題点を記載して、その重大性やリスクの根拠も併記する。
改善勧告には、指摘事項に対するコントロールを実施して、その重要性、緊急度、改善による効果、
改善を担当すべき部署も併記する。

(5)監査報告
システム監査の依頼者（経営層）に対し、監査報告書をもとに監査の結果を報告する段階である。

(6)改善指導
改善勧告について、適切な措置が講じられていたか確認する段階で、
改善するための計画やその実施状況を確認する。
改善指導はフォローアップともよばれる。

③　予備調査の目的

本調査に至るまでの事前準備のため、本調査で確認すべき、監査要点、監査証拠、監査手続を、
監査を受ける組織の関係者のインタビューなどものとに検討、決定するのが予備調査の目的である。

④　監査要点・監査証拠・監査手続とは？

監査要点とは、システム監査における問題点で、監査要点のリスクのコロントールが必要になる。
監査証拠とは、監査の結論を立証するための裏付けである。
監査手続とは、監査証拠を入手するための手法や手順である。

⑤　監査手続き書と監査調書の作成段階

監査手続書は、予備調査の段階で作成されるが、
監査調書は、本調査の段階で作成される。

⑥　予防的コントロールと発見的コントロールとは？

　コントロールとはリスクを統制すること、またはその対策です。
監査の目的には、問題点の発見だけでなく、「コントロールが適切に実施されているか」を評価することも含まれる。
コントロールの種類には、予防的コントロールと発見的コントロールがある。
予防的コントロールは、ミスや不正を防ぐためのコントロールで、例えばミスが起こりにくい画面を設計する、適切なアクセス権限を付与するなどの対策である。
発見的コントロールは、ミスは不正を発見するためのコントロールで、例えば、入力した値の合計値や件数の元データと比較する。

⑦　システム監査の問題で、問題文と表を対応づけるための重要な視点

　長文問題では、問題文1文１文理解するより前に、「問題文のどこと、表のどこが、対応づいているか？」
という問題文の構造を見極めることが、正確に早く回答するために必要である。

システム監査の問題では、予備調査の問題文と、監査要点などの表の見出しを対応づけたり、
問題文の見出しの位置（最上位か、次のレベルか）で、問題文の構造を理解することが重要である。

⑧　問題文の理解を簡単にするために、図がある場合と図がない場合の技法

図がある場合は、問題文のキーワードを図に書き込んだり、線で結んだりする。
図がない場合は、問題文のキーワードを抜き出してまとめる。

⑨　相互牽制で説明した「ダブルチェックによる相互牽制が機能しない3つの例」

　システム監査を受ける組織では、誤りや不正行為を防止するために、職務を分離して、ダブルチェックにより、
総合けん制を行う必要がある。
「仕事の全般について一人の担当者に完結し、仕事が終わった後に承認を受けるプロセスがない場合」
「データ入力業務が一人の担当者で完結し、承認を受けるプロセスがない場合」
「利用者IDの登録業務が一人の担当者で完結し、承認を受けるプロセスがない場合」

⑩　内部統制とIT統制とは？

　内部統制とは、企業が財務会計でミスや不正が行わないように、
組織内部のルールや仕事のやり方を整備、実施、証明することである。。
IT統制とは、内部統制のうち、ITに関連した内容を統制することで、システムやシステムの利用業務について、
ルールや手順の整備が求められる。

⑪　IT業務処理統制とIT全般統制とは？

IT業務処理統制とは、システムを利用した業務を統制することで、例えば、予定された金額を入力するときに、手入力でなく、一覧から選択する方式にしたり、
事前に設定した限度額を超える入金出金処理ができないような制御を設けることである。

IT全般統制とは、IT業務処理統制が実施できるように、適切にシステムを開発、運用することで、業務そのものより、システムの開発、運用の統制が重要視される。
システムの不具合の対策などは、IT全般統制に含まれる。

■参考書の紹介

午後問題を出る順に効果的な試験対策ができる良書かなと思っています。

基本情報技術者試験も、同じシリーズの参考書で勉強して、苦手な午後問題を克服して合格しました。

情報処理教科書 出るとこだけ！応用情報技術者［午後］

■ソフトウェア開発の名著の紹介

ソフトウェア開発の名著を読む 【第二版】 (技評SE選書)

上記の本については、以下のブログでも紹介していますのでご参考になれば幸いです。

100人のプロが選んだソフトウェア開発の名著 君のために選んだ1冊

 

■関連ブログ

chanmabo.hatenablog.com

 以上です。