令和4年度 秋期 システム監査技術者試験 午後II 問題 問2 改変後のシステム障害管理態勢に対する監査（論述）
マネジメントシステム監査サービスマネジメント
学習ガイド
情報システムの改変後に、システム障害管理態勢の実効性を監査する午後II問題です。改変の内容と障害の影響が拡大する要因、態勢を評価する着眼点とその設定理由、入手すべき監査証拠と確かめる内容を順に組み立てます。規程の有無ではなく実効性を確かめる視点で、設問イとウの書き分けを整理します。
この記事で押さえる論点
- システム統合やAPI連携などの改変内容と、障害時にサービス影響が拡大する要因を具体的に結び付ける
- 基本方針・体制・訓練・見直しという障害管理態勢の要素ごとに、実効性を確かめる着眼点と設定理由を述べる
- 着眼点ごとに入手すべき監査証拠と、その証拠で確かめる具体的な内容を対応付ける
- 外部接続先の障害や保守終了など、改変後に新たに生じる要因を見落とさずに態勢の評価に反映する
出題情報
- 出題
- 2022(R4)秋 システム監査技術者 午後II 問2
- 配点
- 100点満点
- 模範解答
- 未公表(採点基準と解説から解答の方向性を読み取る)
出題趣旨・採点講評(IPA 公表)
情報システムの改変によるシステムの複雑化・高度化に伴い，システム障害の影響がますます大きくなっていることから，障害の発生を防ぐとともに，発生時の影響を最小にすること，再発を防止することが重要になる。一方で，システム障害がどの箇所でいつ発生するのかの予測は困難であり，外部接続先の情報システムの障害による影響なども想定される。このような状況を踏まえて，システム監査人は，改変後のシステム障害管理態勢が構築され，実効性があるかどうかを確かめる必要がある。本問は，システム監査人として，改変後のシステム障害管理態勢の実効性を確かめるための着眼点について具体的に論述することを求めている。論述を通じて，適切かつ十分な監査証拠を入手し，検証，評価するための知識・能力などを評価する。
問2では“態勢”の意味の理解が不十分で，狭い意味での障害管理の内容にとどまっている論述が目立った。設問で求めている内容を踏まえて，論述してほしい。
問題本文
システム障害管理態勢に関する監査について
ビジネスを取り巻く環境が大きく変化する中，企業などの組織は，事業の再編，新規市場への参入，提供するサービスの高度化などによって，競争力を高めていくことが求められている。そのためには，例えば，既存の情報システムを統合又は連携させたり，外部組織が提供する情報システムを利用したりするなど，情報システムの改変が必要になる。最近では，API接続などによって，外部組織の情報システムと連携するための改変を行って，付加価値を高めている事例も増えている。
一方，情報システムの改変によってシステム構成などが複雑になると，システム障害が発生する可能性が高くなる。また，システム障害がどの箇所でいつ発生するのかの予測も困難であり，外部接続先の情報システムの障害による影響なども想定される。さらに，既存システムには，ソフトウェアの肥大化，複雑化，保守サービスの終了，運用・保守人材の不足などの問題もある。
このような状況において，システム障害管理が不十分であると，障害発生時にサービスへの影響が拡大したり，根本的な対策が実施されずに障害が再発したりするおそれがある。したがって，情報システムの改変を踏まえて，障害に対する基本方針，体制，訓練，見直しなどのシステム障害管理態勢の構築が重要になる。
システム監査人は，以上のような点を踏まえて，改変後のシステム障害管理態勢に関する着眼点を設定して，適切かつ十分な監査証拠を入手し，実効性のあるシステム障害管理態勢が構築されているかどうかを確かめる必要がある。
あなたの経験と考えに基づいて，設問ア～設問ウに従って論述せよ。
設問と解答・解説
設問ア
あなたが関係する組織が提供するサービスを支える情報システムについて，改変の内容，システム障害によってサービスへの影響が拡大する要因，及び改変後のシステム障害管理態勢の概要を，800字以内で述べよ。
模範解答
模範解答は公表されていません。下の採点基準と解説から、解答に求められる要素を読み取ってください。
採点基準
- 20点: 設問で求められている「改変の内容」「影響拡大の要因」「改変後の態勢の概要」の3点がすべて具体的に記載されており、特に「態勢」の意味（体制だけでなくルールやプロセスを含めた仕組み）を正しく理解し記述できている。
- 15点: 3つの要求事項が記載されているが、「態勢」の記述がやや「体制」寄りの狭い意味にとどまるなど、一部に具体性や理解度の不足が見られる。
- 10点: 要求事項のいずれかが欠落しているか、または「態勢」の意味を誤解しており狭義の障害対応体制のみの記述にとどまっている。
- 5点: 要求事項の大部分が欠落しているか、記述内容の理解が著しく不十分である。
- 0点: 無回答、または設問の要求事項に全く答えていない。
- 14点: 改変の内容から影響拡大の要因が論理的に導かれ、それらに対応する態勢の概要として一貫性があり、筋道立った説明ができている。
- 11点: 概ね論理的であるが、要因と態勢の概要との間にやや結びつきが弱い部分がある。
- 7点: 改変の内容と影響拡大の要因との間に論理の飛躍がある、または態勢の説明に一貫性がない。
- 4点: 全体的に論理展開が不十分であり、各要素が独立してしまっている。
- 0点: 論理的な記述が全くされていない。
解説
本問は、情報システムの改変に伴うシステム障害管理態勢について、システム監査人の立場で論述する問題の設問アです。情報システムの改変による複雑化・高度化が進む中、システム障害の影響を最小限に抑え、再発を防止する仕組みが求められています。
高得点のポイント
- 対象となる情報システムの改変の内容と、それに伴って影響が拡大する要因が具体的に結びつけて記述されていること。
- 改変後のシステム障害管理態勢の概要について、狭義の「体制（組織や人員配置）」にとどまらず、ルールやプロセスを含めた包括的な「態勢（仕組み全体）」として正しく理解し、記述できていること。
- 各要素間の論理展開が一貫しており、説得力のある説明となっていること。
設問アで求めたシステム障害管理態勢の概要では，“体制”についての記述にとどまる解答が多かった。
設問イ
設問アで述べた要因を踏まえて，システム監査人として，システム障害管理態勢の実効性を確かめるために設定すべき着眼点及びその設定理由を，700字以上1,400字以内で具体的に述べよ。
模範解答
模範解答は公表されていません。下の採点基準と解説から、解答に求められる要素を読み取ってください。
採点基準
- 18点: 設問アの要因を踏まえた上で、システム障害管理態勢の実効性を確かめるために設定すべき着眼点と、その設定理由が十分な深さと分量で明確に記述されている。
- 14点: 着眼点と設定理由が記述されているが、実効性を確認するための着眼点として一部不足しているか、具体性にやや欠ける。
- 9点: 着眼点や設定理由のいずれかが不明確である、または対象システム特有の観点が不足している。
- 5点: 着眼点と設定理由の記述が断片的であり、内容が著しく不十分である。
- 0点: 無回答、または全く関係のない記述。
- 15点: 着眼点が一般的な内容にとどまらず、設問アで記述した改変内容や影響拡大の要因を具体的に反映したものであり、設定理由に高い説得力がある。
- 12点: 設問アの要因をある程度踏まえているが、具体性や説得力が少し足りない部分がある。
- 8点: 着眼点が一般的な障害管理の範囲にとどまっており、設問アの要因との関連が薄く説得力に欠ける。
- 4点: 設定理由が論理的でなく、説得力が著しく欠如しているか、設問アとの関連が不明確である。
- 0点: 設問アの要因との関連が全く見られず、説得力がない。
解説
本問は、システム監査人の立場でシステム障害管理態勢の実効性を確かめるための着眼点を論述する問題の設問イです。
高得点のポイント
- 設問アで記述した影響拡大の要因を具体的に踏まえた着眼点になっていること（一般的な着眼点に終始しない）。
- 各着眼点に対する設定理由が論理的かつ説得力をもって説明されていること。
- 対象システムの特性や改変内容を反映した、実効性確認に十分な着眼点を複数挙げていること。
設問イでは，改変の内容を踏まえて具体的に着眼点を記述している解答は少なく，一般的な着眼点であったり，設定理由が不明確であったり，着眼点が不十分であったりする論述が散見された。
設問ウ
設問イで述べた着眼点について，入手すべき監査証拠，及びその監査証拠に基づいて確かめるべき具体的な内容を，700字以上1,400字以内で述べよ。
模範解答
模範解答は公表されていません。下の採点基準と解説から、解答に求められる要素を読み取ってください。
採点基準
- 18点: 設問イの着眼点に対応する入手すべき監査証拠と、その監査証拠に基づいて確かめるべき具体的な内容が、漏れなく明確に記述されている。
- 14点: 監査証拠と確かめるべき内容が概ね記述されているが、着眼点に対する網羅性や具体性がやや不足している。
- 9点: 設問イの着眼点が不十分であることに引きずられ、入手すべき監査証拠や確かめるべき内容も不十分となっている。
- 5点: 監査証拠または確かめるべき内容のいずれかが大きく欠落している。
- 0点: 無回答、または全く関係のない記述。
- 15点: 監査証拠と確かめるべき内容の結びつきが論理的かつ明確であり、「監査手続」ではなく「確かめるべき具体的な内容」として正しく表現されている。
- 12点: 結びつきは概ね論理的だが、一部「確かめるべき内容」が「監査手続」に近い表現となっている。
- 8点: 証拠と内容の整合性がとれていない、または「確かめるべき内容」の多くが単なる「監査手続（～を閲覧する等）」として書かれている。
- 4点: 論理展開が不十分であり、設問の意図を大きく外している。
- 0点: 論理的な記述が全くない。
解説
本問は、設問イの着眼点に基づき、入手すべき監査証拠と確かめるべき具体的な内容を論述する問題の設問ウです。
高得点のポイント
- 設問イで設定した着眼点に対応する監査証拠が漏れなく具体的に提示されていること。
- 証拠から確かめるべき具体的な内容が明確に記述されていること。
- 「確かめるべき内容」が、単なる監査の動作や手法である「監査手続（例：～を閲覧する）」になっておらず、証拠から読み取るべき事象や状態を正しく示していること。
設問ウでは，監査証拠と確かめるべき内容を具体的に記述している解答が多かったものの，着眼点が不十分なことから，入手すべき監査証拠も不十分である解答が目立った。また，確かめるべき内容ではなく，監査手続として記述している解答も散見された。