IPA システム監査 — 頻出論点と過去問

この分野の学び方

1. この分野の全体像

システム監査は、組織の内部統制やガバナンスの仕組みを、独立した監査人が基準と証拠で確かめ、結論と改善の提案を示す営みです。監査人の独立性や職務分掌の具体例を見分ける問いはITパスポートにもあり、公的な基準の条文に沿った手続や、統制を評価する単位の分け方を問う問題は、高度試験の午前IIで出ています。監査を受ける組織側が整える統制の枠組みやシステム上のコントロールが前提にあり、それを監査人がどの規範と手続で検証し、開発や運用などの個別の領域で何を指摘するかが、その上に積み重なります。

2. 配下の論点の案内

• 監査の種類・基準・監査人: 監査の目的や種類の区分、判断尺度の位置づけ、および監査人に求められる独立性や行動規範を扱い、具体的な監査工程や個別領域の検証に進むための前提となります。ITパスポートではシステム開発や運用の場面で監査人に適した立場を選ぶ問題が出ており、システム監査技術者の午前IIではシステム監査基準やJIS Q 19011の定義、外部の保証報告書や評価制度の仕組みを選択肢から判別させる問いがあります。

• 監査の実施(計画・手続・証拠・報告): 監査計画の立案から予備調査、本調査、結論の形成、報告書の作成、フォローアップに至る工程と、各段階で用いる監査技法と監査調書を扱います。予備調査で行う作業や、書類や処理の流れを追ってたどる技法・関係者に直接尋ねる技法の名前を選ぶ問題は応用情報技術者の午前にあり、システム監査技術者の午前IIでは、試査や監査証拠の要件、報告書の作り方まで基準の記述に沿って問われます。

• 対象別の監査着眼点・指摘事項: 監査の基準や手続を個別の開発・運用・セキュリティ管理の場面に当てはめ、管理基準やJIS規格の要求に照らして適否を判定します。応用情報技術者の午前や情報処理安全確保支援士の午前IIでは、テストやログ管理、クラウドサービス利用、ISMSの運用状況などについて、監査報告書に記載すべき指摘事項や適切なチェックポイントを選ぶ形式で出題されています。

• 内部統制・ITガバナンス: 監査の対象となる組織自身が不正や誤りを防ぐために設ける統制の6要素や職務分掌、3線モデル、および経営陣によるITガバナンスの原則と活動を扱います。ITパスポートでは日常の手続における相互けん制の事例や経営陣の活動を選ぶ問題があり、システム監査技術者の午前IIでは金融庁の基準に基づく要素の定義や組織内の各ラインの役割分担が問われています。

• IT全般統制・業務処理統制: 内部統制のうち情報システムに関わる統制を、稼働環境を支える全般統制と個々の取引処理を正確に保つ業務処理統制に分けて評価する論点であり、「内部統制・ITガバナンス」をシステム面の評価へ具体化した位置づけにあります。具体的な管理策がどちらの統制に当たるかを分ける問題が情報処理安全確保支援士とシステム監査技術者の午前IIに出ており、システム監査技術者では評価の単位の分け方を選ぶ問題もあります。

3. 学習の順序の提案

「内部統制・ITガバナンス」で扱う組織側の統制の仕組みは、「IT全般統制・業務処理統制」で個々のシステムの管理策を二つに分けるときの前提で、ある管理策がどの統制目標を支えるかはそこから決まります。「監査の種類・基準・監査人」の独立性や判断尺度は、「監査の実施(計画・手続・証拠・報告)」で計画から報告までの各段階に当てはめる決まりになり、「対象別の監査着眼点・指摘事項」では、その手続を開発や運用の個別の場面で使います。

午後の出題では、応用情報技術者とシステム監査技術者の午後Iで、購買や勤務管理などの業務システム、クラウドサービスやオープンAPI、機械学習を使うシステム、DevOpsを採り入れたアジャイル開発を題材に、リスクとコントロールの識別から監査手続と改善提案までが問われています。システム監査技術者の午後IIでは、新しい情報システムの導入、災害への備え、外部サービスの利用、データ利活用の基盤、IT投資のガバナンスといった論述のテーマに沿って、リスクの評価から監査手続の組立てまでを書かせています。

4. 分野をまたいで間違えやすいところ

経営陣が担うITガバナンスと、監査人がガバナンスの視点で行う検証は、活動の主体と立場が違います。評価・指示・モニターを自ら行うのは経営陣で、「内部統制・ITガバナンス」と隣のシステム戦略・企画の分野はその活動の中身を対象にしています。「監査の種類・基準・監査人」で扱うガバナンスの視点の検証は、独立した監査人が外側から、経営陣の示す方針と情報システムの戦略が経営の目標に沿っているかを確かめるものです。

データやアクセス権限の管理を題材にした問題は、問われる枠組みによって「IT全般統制・業務処理統制」と「対象別の監査着眼点・指摘事項」のどちらかに振り分けられます。財務報告の信頼性を確保する制度に沿って、ある管理策が二つの統制のどちらに当たるかを切り分ける問題は、前者に入ります。これに対し、システム管理基準やセキュリティの規格に照らして、運用の場面で判明した状況から監査報告書に書くべき不備を選ぶ問題は、後者で学ぶ内容です。

「サービスマネジメント」や「セキュリティ管理」の是正処置は、運用や管理を担う部門が自分たちの手で行う活動で、システム監査で改善を提案した後の動きとは主体が違います。システム監査人の役割を全て選ぶ問題では、改善提案に沿った改善の実施を監査人が監査対象部門に指示するという誤った記述がありました。部門に改善の実施を命じるのは、マネジメントシステムの中で是正処置を進める側の役目に近く、外から評価する監査人の役割とは別のものです。