令和3年度 秋期 応用情報技術者試験 午後 問題 問11 システム構築プロジェクトの要件定義と基本設計段階におけるシステム監査
マネジメントシステム監査
学習ガイド
クレジットカード会社のシステム構築プロジェクトに対して、要件定義と基本設計の段階で行われるシステム監査の問題です。要件が設計書に正しく反映されているか、セキュリティ基準を満たしているかを確認するための適切な監査手続や、確認対象となる文書類が問われます。監査要点として挙げられた項目に対して、どの資料の何を調べれば十分な証拠になるのかを、予備調査で把握した状況を踏まえて判断します。
この記事で押さえる論点
- 要件対照表を用いて要件が設計に漏れなく反映されているかを確認する手続を説明できる
- 基本設計検討会の議事録とタスク管理表を使い、機能設計の内容と記載時期を確かめる手続を述べられる
- 基本設計書の内容が情報セキュリティ対策基準に準拠しているかを確かめる手続を説明できる
- 未確定要件が期限までに確定しているかを課題管理表から確認する手続を説明できる
出題情報
- 出題
- 2021(R3)秋 応用情報技術者 午後 問11
- 配点
- 20点満点
- 模範解答
- 公表(設問ごとに掲載)
出題趣旨・採点講評(IPA 公表)
システム構築プロジェクトの基本設計段階では，要件定義の内容との整合性を確保すること，設計内容の適切性を確保すること，タスクや課題を管理することなどが重要である。
本問では，クレジットカード関連のシステム構築プロジェクトを題材に，基本設計段階の監査において，適時・適切な監査計画を策定する能力，十分な監査証拠を入手するための監査手続を策定する能力などを問う。
問11では，クレジットカード関連のシステム構築プロジェクトを題材に，基本設計段階の監査について出題した。全体として正答率は平均的であった。
問題本文
システム構築プロジェクトの監査に関する次の記述を読んで，設問1〜6に答えよ。
クレジットカード会社のU社では，顧客利便性の向上，コストの削減などを目的として，インターネットを通じて各種情報を顧客に提供するシステムの構築プロジェクト（以下，本プロジェクトという）を推進している。
U社の内部監査部長は，年度監査計画に基づき，システム監査チームに対して，本プロジェクトの各段階の適切性を監査するよう指示した。
〔要件定義段階の監査で把握した事項〕
システム監査チームは，要件定義段階の監査をX年5月に行い，本プロジェクトに関して，次のことを把握した。
なお，監査の結果，監査報告書に記載すべき重要な指摘事項はなかった。
(1) 要件の区分
要件は，機能要件，セキュリティ要件，運用要件などに区分される。
(2) 機能要件
従来，クレジットカード利用明細などの顧客向けの情報（以下，カード利用情報という）は，基幹系システムで作成して出力し，広告用パンフレットなどとともに，顧客宛に送付していた。本プロジェクトでは，カード利用情報，広告情報などを顧客がWebブラウザで閲覧できるよう，情報系システムを開発するとともに，基幹系システムを改修する。
(3) セキュリティ要件
情報系システム及び基幹系システムの基本設計で定めるセキュリティ対策は，U社の情報セキュリティ対策基準に準拠する。
(4) 要件の管理
要件定義段階で未確定の要件（以下，未確定要件という）は，課題管理表に記載し，確定するまで管理する。未確定要件は，基本設計の開始日から2か月以内に確定させる予定である。
(5) 本プロジェクトの運営体制
本プロジェクトの重要事項を決定する会議体であるプロジェクト運営委員会は，U社のシステム部の部長を議長とし，業務管理部，顧客サービス部などユーザ部門の各部長，及びプロジェクトマネージャのV氏で構成される。プロジェクト運営委員会は月1回の定例開催に加えて，必要に応じて臨時に開催される。
(6) 本プロジェクトに適用されるプロジェクト標準
本プロジェクトには，U社のプロジェクト標準が適用される。プロジェクト標準の一部を表1に示す。
図の説明テキスト
| 項番 | 項目 | 内容 |
|---|---|---|
| 1 | 要件定義 | ・検討した各要件に要件IDを付与し，要件定義書に記載する。 |
| 2 | 基本設計 | ・基本設計書は，“機能設計”，“セキュリティ設計”，“運用設計”などで構成される。 ・検討した各設計内容に設計IDを付与し，基本設計書に記載する。 ・要件IDと設計IDを対応付けた表（以下，要件対照表という）を作成し，基本設計書に添付する。 |
| 3 | 進捗管理 | ・プロジェクトの各段階のタスクの進捗状況は，タスク管理表に記載し，タスクが完了するまで管理する。 |
〔基本設計段階の予備調査で把握した事項〕
システム監査チームは，要件定義段階の監査に続いて，基本設計段階の監査を行うこととした。まず，予備調査をX年8月下旬に行い，プロジェクト計画書の確認などによって，次のことを把握した。
(1) 基本設計は，X年7月1日に開始した。
(2) 基本設計検討会は，V氏を議長とし，システム部及びユーザ部門の各部を代表する部員で構成される。基本設計検討会の議事録には，開催日時，出席者，検討事項，検討結果などが記載される。
(3) 機能設計では，Webページの構成，情報系システムと基幹系システムとのインタフェースなどを検討し，その結果を基本設計書に記載する。予備調査の時点では，機能設計に関する複数のタスクが未完了であった。
(4) セキュリティ設計では，アクセスの制御，データの暗号化などを検討し，その結果を基本設計書に記載する。
(5) 要件対照表は，X年8月31日までに作成を完了する予定である。
(6) プロジェクト運営委員会は，プロジェクト標準の内容を充足していることを確認して，X年10月31日に基本設計の終了を承認する予定である。
〔システム監査チームの検討〕
システム監査チームは，基本設計段階の監査について，予備調査の結果を踏まえて，本調査をX年9月10日〜14日と計画した。また，監査結果に基づいて基本設計を見直すことができるよう，監査結果報告をX年aと計画した。システム監査チームが検討した監査要点及び監査手続の一部を表2に示す。
図の説明テキスト
| 項番 | 監査要点 | 監査手続 |
|---|---|---|
| 1 | 要件定義の内容と基本設計の内容が整合していること | 要件対照表を閲覧して，要件 ID 及び対応する設計 ID が記載されていることを確認する。 |
| 2 | 基本設計検討会での検討結果に基づき，機能が設計されていること | 基本設計書及び b を閲覧して，基本設計書の“機能設計”の内容が，基本設計検討会での検討結果と整合していることを確認する。 |
| 3 | 情報系システム及び基幹系システムのセキュリティ対策が適切に設計されていること | 基本設計書及び c を閲覧して，基本設計書の“セキュリティ設計”の内容が，セキュリティ要件を充足していることを確認する。 |
〔内部監査部長の指示〕
内部監査部長は，システム監査チームが検討した監査スケジュール，監査要点及び監査手続をレビューし，次のとおり指示した。
(1) 表2項番1の監査手続だけでは，監査要点を確かめるための十分な監査証拠を入手できないので，追加の監査手続を検討すること。
なお，要件対照表には多数の要件ID及び設計IDが記載されているが，監査要員，監査時間などには制約があるので，効率的な監査手続とすること。
(2) 〔基本設計段階の予備調査で把握した事項〕の(3)を考慮すると，表2項番2の監査手続では，監査要点を確かめるための十分な監査証拠を入手できない可能性がある。その場合に備えて，追加の監査手続を検討すること。
(3) 〔要件定義段階の監査で把握した事項〕の(4)を考慮して，本プロジェクトの未確定要件に関して，表2項番1〜3の監査手続以外に，追加の監査手続を検討すること。
システム監査チームは，内部監査部長の指示を受けて，表3のとおり追加の監査手続を策定して，内部監査部長の承認を得た。
図の説明テキスト
| 項番 | 内部監査部長の指示 | 追加の監査手続 |
|---|---|---|
| 1 | (1) | ① 要件対照表に記載されている全ての要件 ID を d として，要件 ID をサンプリングする。 ② ①でサンプリングした要件 ID についての要件定義書の内容と，対応する設計 ID についての e が整合していることを確認する。 |
| 2 | (2) | f を閲覧して，機能設計のタスクにおいて，基本設計書の“機能設計”の内容を記載する時期を確認する。 |
| 3 | (3) | 課題管理表を閲覧して， g を確認する。 |
設問と解答・解説
設問1
〔システム監査チームの検討〕に記述中の a に入れる最も適切な字句を解答群の中から選び，記号で答えよ。
模範解答
選択肢イ: 9月30日
解説
本調査のスケジュールと、基本設計の終了承認予定日を踏まえて、監査結果報告の適切な時期を判断する問題です。
- 〔基本設計段階の予備調査で把握した事項〕の(6)より、プロジェクト運営委員会が基本設計の終了を承認する予定日は X年10月31日 です。
- 〔システム監査チームの検討〕より、基本設計段階の監査の本調査は X年9月10日〜14日 に計画されています。
- 監査結果報告は、「監査結果に基づいて基本設計を見直すことができるよう」に行う必要があります。そのためには、本調査が完了した後であり、かつ基本設計の終了承認日（10月31日）より前に、見直しのための十分な期間を確保して実施されなければなりません。
したがって、本調査完了後から終了承認予定日までの間に設定されている 9月30日 が最も適切です。
各選択肢の解説
- ア 9月9日: 本調査（9月10日〜14日）を実施する前の日付であるため、不適切です。
- ウ 10月31日: 基本設計の終了承認予定日そのものであり、監査結果に基づいて基本設計を見直す期間を確保できないため、不適切です。
- エ 11月1日: 基本設計の終了が承認された後の日付であり、監査結果を基本設計の見直しに反映させることができないため、不適切です。
設問2
表2項番2に記述中の b に入れる適切な字句を，15字以内で答えよ。
模範解答
基本設計検討会の議事録
採点基準
- 2点: 「基本設計検討会の議事録」など、検討結果が記録されている対象を正確に解答している。
- 1点: 会議体や記録物の名称に一部不正確な点があるが、対象を大まかに特定できている。
- 0点: 対象となる文書を正しく特定できていない。
- 1点: 記録物を示す名詞句として論理的に適切な表現となっている。
- 0点: 表現が不自然であり、対象文書として不適切である。
解説
機能が基本設計検討会での検討結果に基づいて設計されているかを確認するための、監査手続に関する問題です。
- 表2項番2の監査要点は「基本設計検討会での検討結果に基づき，機能が設計されていること」です。
- これを確認するためには、基本設計書の内容と、基本設計検討会での 検討結果 が記録されている文書を照合する必要があります。
- 〔基本設計段階の予備調査で把握した事項〕の(2)に、「基本設計検討会の議事録 には，開催日時，出席者，検討事項，検討結果などが記載される。」とあります。
したがって、基本設計書とともに閲覧すべき文書は「基本設計検討会の議事録」となります。
高得点のポイント
- 監査対象の会議体である「基本設計検討会」を特定していること
- 検討結果が記録されている文書として「議事録」という用語を使用していること
- 指定された字数（15字以内）に収めていること
設問3
表2項番3に記述中の c に入れる適切な字句を，15字以内で答えよ。
模範解答
情報セキュリティ対策基準
採点基準
- 2点: 「情報セキュリティ対策基準」（「U社の情報セキュリティ対策基準」も可）と答えている。
- 1点: 「セキュリティ対策基準」など、名称に一部不備があるが、基準となる文書を大まかに特定できている。
- 0点: 対象となる基準を特定できていない（セキュリティ要件・要件定義書・基本設計書など）。
- 1点: 基準を示す名詞句として論理的に適切な表現となっている。
- 0点: 表現が不自然であり、基準として不適切である。
解説
セキュリティ対策の設計が適切に行われているかを確認するための、監査手続に関する問題です。
- 表2項番3の監査要点は「情報系システム及び基幹系システムのセキュリティ対策が適切に設計されていること」です。
- 監査手続では、基本設計書の「セキュリティ設計」の内容がセキュリティ要件を充足していることを確認します。
- 〔要件定義段階の監査で把握した事項〕の(3)「セキュリティ要件」において、「情報系システム及び基幹系システムの基本設計で定めるセキュリティ対策は，U社の情報セキュリティ対策基準 に準拠する。」と規定されています。
したがって、セキュリティ設計の内容が要件を充足しているか（基準に準拠しているか）を確かめるために閲覧すべき文書は「情報セキュリティ対策基準」となります。
高得点のポイント
- セキュリティ要件の準拠先として規定されている社内基準を特定していること
- 「情報セキュリティ対策基準」という正確な名称を解答できていること
- 指定された字数（15字以内）に収めていること
設問3は，正答率が高かった。監査要点を確かめるための基本的な監査手続については，正しく理解できていることがうかがえた。
設問4
表3項番1について，(1)，(2)に答えよ。
d に入れる適切な字句を，5字以内で答えよ。
模範解答
母集団
採点基準
- 2点: 「母集団」と答えている。
- 1点: 「対象全体」など母集団の意味は合うが用語として不正確なもの。
- 0点: サンプル・標本・対象範囲などサンプリングの抽出元を指さない語。
- 1点: 「母集団として」という文脈に適合する表現となっている。
- 0点: 文脈に適合しない表現となっている。
解説
監査において多数の対象から一部を抽出する際の、専門用語に関する問題です。
- 内部監査部長の指示(1)では、要件対照表に多数の要件ID及び設計IDが記載されているため、「効率的な監査手続」とすることが求められています。
- これを受けて、表3項番1の追加の監査手続①では、要件対照表に記載されている全ての要件IDの中から一部を抽出する サンプリング を行うこととしています。
- 監査や統計において、サンプリング（抽出）の対象となる全体の集合のことを 母集団 と呼びます。
したがって、全ての要件IDをサンプリングの対象とするために「母集団」とするのが適切です。
高得点のポイント
- サンプリングの抽出元となる全体集合を示す用語として「母集団」を解答できていること
- 監査用語・統計用語として適切な表現を用いていること
- 指定された字数（5字以内）に収めていること
e に入れる適切な字句を，10字以内で答えよ。
模範解答
基本設計書の内容
採点基準
- 2点: 「基本設計書の内容」（「基本設計書の記載内容」「基本設計書に記載された設計内容」など同趣旨も可）と答えている。
- 1点: 「基本設計書」とだけ書き、内容（記載事項）との照合であることが欠けているもの。
- 0点: 要件対照表・要件定義書など基本設計書以外の文書を挙げているもの。
- 1点: 「内容」など、比較対象として論理的に適切な名詞句で表現されている。
- 0点: 比較対象として不適切な表現となっている。
解説
要件定義の内容と基本設計の内容が整合しているかを確認するための、追加の監査手続に関する問題です。
- 内部監査部長の指示(1)において、表2項番1の監査手続（要件対照表上で要件IDと対応する設計IDが記載されていることの確認）だけでは不十分であり、追加の手続を検討するよう求められています。これは、IDの対応付けだけでなく、具体的な「内容」が整合しているかを確認する必要があるためです。
- 表1「プロジェクト標準」の項番2（基本設計）において、「検討した各 設計内容 に設計IDを付与し，基本設計書 に記載する。」と定められています。
- したがって、要件IDについての「要件定義書の内容」と整合性を確認すべき対象は、設計IDについての「基本設計書の内容」となります。
高得点のポイント
- 比較対象となる文書が「基本設計書」であることを特定していること
- 単に文書の有無だけでなく、要件定義書の「内容」と対応する「内容」の比較であることを示していること
- 指定された字数（10字以内）に収めていること
設問4は，正答率がやや低かった。監査手続の一つであるサンプリングについて問うたが，サンプリングを理解できていないと思われる解答や，監査要点を確かめることができない資料などを挙げている解答が散見された。監査要点を確かめるための効率的な監査手続を策定する能力は重要であるので，是非身に付けてほしい。
設問5
表3項番2に記述中の f に入れる適切な字句を，10字以内で答えよ。
模範解答
タスク管理表
採点基準
- 2点: 「タスク管理表」を正確に解答している。
- 1点: 「進捗管理表」など、類義の表現を用いているが、プロジェクト標準で定義された名称と完全には一致しない。
- 0点: 対象となる文書を正しく特定できていない。
- 1点: 文書を示す名詞句として論理的に適切な表現となっている。
- 0点: 表現が不自然であり、文書として不適切である。
解説
タスクが未完了の場合に備えて、基本設計書の記載時期を確認するための監査手続に関する問題です。
- 内部監査部長の指示(2)では、機能設計に関する複数のタスクが 未完了 であったこと（予備調査時点）を踏まえ、基本設計書の内容がまだ記載されていない場合に備えた追加手続を求めています。
- 表3項番2の追加の監査手続では、基本設計書の「機能設計」の内容を「いつ記載するのか（時期）」を確認します。
- プロジェクト標準におけるスケジュールやタスクの進捗管理について、表1「プロジェクト標準」の項番3（進捗管理）に、「プロジェクトの各段階のタスクの進捗状況は，タスク管理表 に記載し，タスクが完了するまで管理する。」と定められています。
したがって、タスクの完了時期や記載時期を確認するために閲覧すべき文書は「タスク管理表」となります。
高得点のポイント
- プロジェクト標準において進捗状況を管理する文書として「タスク管理表」を特定していること
- 指定された字数（10字以内）に収めていること
設問6
表3項番3に記述中の g に入れる適切な字句を，20字以内で答えよ。
模範解答
全ての要件が確定していること
採点基準
- 2点: 未確定要件が全て確定していることを確認する旨（「全ての要件が確定していること」「未確定要件が残っていないこと」「未確定要件が（8月31日までに）確定していること」など同趣旨も可）を答えている。
- 1点: 未確定要件の状況・進捗・管理状況の確認にとどまり、確定していることの確認まで述べていないもの。
- 0点: 未確定要件と無関係な内容（課題の記載の有無、タスクの進捗など）を挙げているもの。
- 1点: 「〜ていること」「〜状況」など、確認事項として自然な構造となっている。
- 0点: 文脈につながらない不自然な構造となっている。
解説
未確定要件の管理状況を確認するための、追加の監査手続に関する問題です。
- 内部監査部長の指示(3)では、本プロジェクトの未確定要件に関して追加の監査手続を求めています。
- 〔要件定義段階の監査で把握した事項〕の(4)において、「要件定義段階で未確定の要件（以下，未確定要件という）は，課題管理表に記載し，確定するまで管理する。」「未確定要件は，基本設計の開始日から2か月以内に確定させる予定である。」と規定されています。
- 〔基本設計段階の予備調査で把握した事項〕の(1)より、基本設計は X年7月1日 に開始しているため、未確定要件の確定予定期限は2か月後の X年8月31日 となります。
- システム監査チームの本調査は X年9月10日〜14日 に行われるため、監査時点ではすでに予定期限を過ぎています。
- したがって、監査手続としては、課題管理表を閲覧して、期限通りに「全ての要件が確定していること（未確定のまま残っている要件がないこと）」を確認する必要があります。
高得点のポイント
- 未確定要件が期限を迎えていることを踏まえ、要件が「確定」しているかを確認する意図が含まれていること
- 単なる進捗確認ではなく、「全ての」要件が確定しているという状態の網羅性を示していること
- 指定された字数（20字以内）に収めていること
設問6は，正答率が平均的であった。未確定要件に関する追加の監査手続を問うたが，未確定要件との関係が曖昧な解答が散見された。設問で問われていることを正しく理解した上で，解答してほしい。