令和6年度秋期システム監査技術者試験午後 I 問題問2 監査調書に基づく監査報告書の作成

この問題は2024(R6)秋システム監査技術者午後Iに出題されたものです。出題時点の法令・制度に基づく内容のため、現行の内容と一致しない場合があります。

本ページの問題文・選択肢は、原本の体裁を Web 表示用に正規化しています（改行・記号・数式・図表参照の調整）。設問の趣旨および正解に影響する変更は加えていません。

学習ガイド

システム監査報告書の作成過程を扱う、監査実務の中核を突いた問題です。3件のリスクに関する監査調書と報告書案が与えられ、内部監査室長の指摘に沿って、改善提案の修正や監査手続の追記など報告書を仕上げる力が試されます。指摘事項は監査証拠に裏付けられていなければならないという原則が全設問を貫いており、この記事では調書と報告書の対応関係を軸に各解答の根拠を確認します。

この記事で押さえる論点

監査調書と監査報告書の記載の対応関係を理解する
指摘事項・改善提案が満たすべき要件(根拠・実現可能性)を説明できる
内部監査室長のレビュー指摘から報告書の不備を読み取る

出題情報

出題: 2024(R6)秋システム監査技術者午後I 問2
配点: 50点満点
模範解答: 公表(設問ごとに掲載)

出題趣旨・採点講評(IPA 公表)

システム監査では，監査手続の実施によって監査証拠を入手し，合理的な根拠に基づき監査の結論を導く必要がある。そのためには，監査の実施記録である監査調書に基づいて監査報告書を作成する必要がある。また，監査調書には，リスクとそれに対応する監査目標を踏まえて，システム監査人が実施した監査手続とその結果，及び発見事項を記載し，監査責任者によるレビューを受ける必要がある。本問では，基幹システムの信頼性及び安全性に関する統制の整備状況・運用状況の監査を題材として，監査調書に基づいて合理的な指摘事項及び改善提案を含む，監査報告書を作成する能力を問う。

問2では，基幹システムの信頼性及び安全性に関する統制の整備状況・運用状況の監査を題材に，監査調書に基づいて指摘及び改善提案が行えるような監査報告書の作成について出題した。全体として正答率は平均的であった。

問題本文

システム監査報告書の作成に関する次の記述を読んで，設問に答えよ。

B社は，中堅の食品専門商社である。近年の厳しい経営環境の中，ITコスト低減のために，従来オンプレミスで開発・運用していた基幹システムを1年前にクラウド環境に移行した。B社内部監査室のシステム監査チームは，クラウド環境に移行した基幹システムの信頼性及び安全性について，ITコスト低減による問題が生じていないか，統制の整備状況及び運用状況のシステム監査を実施した。

〔システム監査報告書案の作成〕

システム監査チームは，監査結果をまとめ，表1のとおり，システム監査報告書案を作成した。また，システム監査チームが実施した監査手続及びその結果は，表2～表4に示す監査調書にまとめられている。
内部監査室長は，監査調書を参照しながらシステム監査報告書案をレビューした。

項目	内容
1. 監査目的	クラウド環境に移行した基幹システムの信頼性及び安全性について，統制の整備状況及び運用状況の観点から評価及び検証を行う。
2. 監査対象	基幹システム（会計システム，販売システム，購買システム）のうち，会計システムと販売システムを対象とする。
3. 監査対象部門	情報システム部（システム開発チーム，システム運用チーム）
4. 監査対象期間	（省略）
5. 実施体制	内部監査室システム監査チームリーダー以下 2 名
6. 実施スケジュール	（省略）
7. 監査手続の概要	・情報システム部長及び担当者へのインタビュー・システム開発，システム運用及び情報セキュリティに係る規程，マニュアル，記録などの閲覧・基幹システムの情報セキュリティに係る設定状況の目視による確認
8. 総合評価	基幹システムの信頼性及び安全性はおおむね良好である。ただし，システム開発及び情報セキュリティに関して各 1 件の発見事項があったので，次項に報告する。

項目	(小項目)	指摘事項	改善提案
9. 発見事項	(1)	監査対象期間におけるシステム変更申請書を 20 件サンプリングしてチェックしたところ，情報システム部長の承認記録がないものが 3 件あった。	システム変更申請書について規程に従って情報システム部長が適時に承認し，記録を残す。
	(2)	情報システム部のシステム開発チームリーダーに本番環境の更新権限があり，常時本番環境のデータベースにアクセスできてしまう。	システム開発チームリーダーに更新権限を付与せず，本番環境の作業は全てシステム運用チームが行う。

項目	内容
リスク1	情報システム部の体制と役割が明確でない場合，業務のミス及び遅延が発生する。
監査目標	情報システム部の業務と体制が明確になっているかどうかを確かめる。
監査手続	①情報システム部の体制図や職務分掌規程などの資料を閲覧し，情報システム部の体制と役割が明確になっていることを確かめる。 ②情報システム部の体制と役割について情報システム部長及び各チームリーダーに質問し，体制図や職務分掌などと整合がとれていることを確かめる。
監査結果	①情報システム部の体制図及び職務分掌規程を閲覧し，情報システム部の業務と職務分掌が明確に規定されていることを確かめた。 ②情報システム部の関係者にインタビューを行い，上記①で把握した業務及び職務分掌に基づいて業務が実施されていることを確かめた。・システム開発チームリーダーは開発，変更したプログラムのリリース後の稼働状況確認のほか，本番環境におけるインシデント発生時の原因調査及び緊急対応を行っている。システム開発チームは，クラウド環境への移行に伴い，変更管理ツールを導入した。本ツールには変更したプログラムの本番環境へのリリース時に本ツール上での申請，承認を必須とすることができる機能があるが，その機能は使用していない。・システム運用チームリーダーは，本番環境の維持管理として，本番リソースの使用状況や各種設定を管理している。システム運用チームは，基幹システムの機能や仕様については熟知していない。・情報システム部長は，情報システム部の中で最も経験年数が長く，利用部門の業務知識も豊富で，要件定義における利用部門のサポートも行っている。情報システム部長は，システム開発チーム及びシステム運用チームの作業内容が適切かどうかを適宜チェックしている。なお，情報システム部長は来年退職予定である。
指摘事項	なし

項目	内容
リスク2	基幹システムの本番環境のプログラムに未承認の変更が加えられてしまう。
監査目標	基幹システムの本番環境のプログラムに対する全ての変更が適切に承認されていることを確かめる。
監査手続	①変更管理規程を閲覧し，下線基幹システムの本番環境のプログラムを変更する際のルールを確かめる。 ②変更ログ及び関係書類の閲覧によって，下線基幹システムの本番環境のプログラムに対する全ての変更が規程及び手続に基づき承認されていることを確かめる。
監査結果	①変更管理規程を閲覧し，次のことが規定されていることを確かめた。基幹システムの本番環境のプログラムを変更する前に，システム開発チームがシステム変更申請書を作成し，情報システム部長の承認を得る。 ②監査対象期間におけるシステム変更申請書から監査実施要領に従い 20 件をサンプリングしてチェックしたところ，情報システム部長の承認記録がないものが3件あった。情報システム部長の説明では，変更内容は別途確認しているが，忙しくて承認の押印が漏れてしまったとのことである。
指摘事項	監査対象期間におけるシステム変更申請書の 20 件中 3 件について，情報システム部長の承認記録がなかった。情報システム部長の承認の押印が漏れていることから，運用上の不備とする。

項目	内容
リスク3	基幹システムの本番環境が不正に変更されてしまう。
監査目標	基幹システムの本番環境の更新権限が適切に制限されていることを確かめる。
監査手続	①情報セキュリティ管理規程を閲覧し，本番環境の更新権限を制限する規定及び更新権限付与ルールを確かめる。 ②本番環境の更新権限を有するアカウント一覧を出力し，正当なアカウントだけが権限を有していることを確かめる。
監査結果	①情報セキュリティ管理規程を閲覧し，本番環境のアカウント及びアカウントの権限は業務上必要最小限に制限することが規定されていることを確かめた。 ②本番環境のアカウント一覧を出力し，更新権限を有するのはシステム運用チーム2名，システム開発チームリーダーの3名であることを確かめた。
指摘事項	情報システム部のシステム開発チームリーダーに本番環境の更新権限があり，常時本番環境のデータベースにアクセスできてしまう。システム開発チームが本番環境の更新権限をもっていることは統制が不十分であることから，整備上の不備とする。

〔内部監査室長の指示〕

内部監査室長は，監査調書及びシステム監査報告書案をレビューし，次のように内容を見直すよう，システム監査チームに指示した。

(1) 表1の“8.総合評価”については，“1.監査目的”に照らすと，記載内容が不十分であるので，必要な事項を追記すること。
(2) 表1の“9.発見事項”(1)に関連して，次の2点を確認すること。
① 表2及び表3の“監査結果”を踏まえると，“改善提案”がこれで妥当かどうか疑問である。情報システム部と協議の上，“改善提案”の内容を必要に応じて修正すること。
② 表3の“監査手続”の下線部について，網羅性の観点から，“監査結果”の②でシステム変更申請書からサンプリングするのに先立って実施した監査手続とその結果を監査調書に記載しておくこと。
(3) 表1の“9.発見事項”(2)の“改善提案”の内容については，表2の“監査結果”から，情報システム部の業務に支障を来す可能性があると考えられる。“改善提案”の内容が実行可能かどうか，情報システム部と十分にコミュニケーションを取って検討すること。
(4) 表2の“監査結果”から，情報システム部の来年度以降の体制について懸念すべき事項があるので，今後継続して確認していくこと。

設問と解答・解説

設問1

〔内部監査室長の指示〕(1)について，不十分な点を，35字以内で答えよ。

模範解答

統制の整備状況と運用状況についての評価が明記されていない点

採点基準(配点 10点)

知識・理解度（内容）(6点)

6点: 「統制の整備状況」と「運用状況」の両方の評価が明記されていないことを正しく指摘している。
4点: 整備状況と運用状況のいずれか一方の言及に留まるか、表現がやや不正確である。
3点: 評価の記載がないという事実は示しているが、「整備状況」「運用状況」の語句が不足している。
1点: 監査報告書の記載不備に触れているが、ITコスト低減など監査目的にない要素を記述している。
0点: 無解答または全く無関係の記述。

論理性（構造）(4点)

4点: 不十分な点として文脈が整っており、監査報告書の総合評価に関する指摘として適切である。
3点: 意味は通じるが、やや冗長または不明瞭な記述となっている。
2点: 指摘事項としての文の形式がやや不十分である。
1点: 断片的で意味が通じにくい。
0点: 無解答または全く無関係の記述。

解説

システム監査報告書の総合評価には、監査目的に対応する評価結果を漏れなく明瞭に記載する必要があります。

本設問では、基幹システムの信頼性及び安全性に関する統制の 整備状況・運用状況 の評価が記載されていない点を指摘することが求められます。

誤答として、監査目的に記載のない ITコスト低減の有効性 について記述しているケースが見られました。監査報告書は監査目的と整合している必要があります。

高得点のポイント

統制の 整備状況 と 運用状況 の両方の評価が明記されていないことを明確に指摘していること。
監査目的から逸脱した指摘（ITコストの低減など）を含めないこと。

設問1は，正答率がやや低かった。本設問はシステム監査報告書の監査目的に照らして総合評価の記載が十分であるかどうかを問う問題であったが，監査目的に記載のないITコスト低減の有効性について記述している解答が散見された。システム監査報告書の総合評価には，監査目的に対応する評価結果を漏れなく明瞭に記載する必要があることを理解してほしい。

設問2

〔内部監査室長の指示〕(2)の①について，修正後の改善提案として考えられる内容を，50字以内で答えよ。

模範解答

変更したプログラムの本番環境へのリリース時に変更管理ツール上での申請，承認機能を活用する。

採点基準(配点 10点)

知識・理解度（内容）(6点)

6点: 変更管理ツールを活用し、リリース時の申請・承認を行う旨を正しく記述している。
4点: ツールの活用には触れているが、申請や承認機能の明示的な言及が不足している。
3点: リリース時の承認プロセスの厳格化など、目的に沿った別の改善策を記述している。
1点: 改善案の方向性が不正確である。
0点: 無回答または不適切な記述。

論理性（構造）(4点)

4点: 改善提案として具体的かつ実行可能な内容にまとまっている。
3点: 意味は通じるが、改善提案としての具体性にやや欠ける。
2点: 提案の意図はわかるが表現に難がある。
1点: 文章として成立していない。
0点: 不適切な記述。

解説

システム監査調書に基づき、変更管理の運用状況における改善提案をまとめる設問です。

変更したプログラムを本番環境へリリースする際に、手動や口頭での連絡ではなく、変更管理ツール上での申請・承認機能 をシステム的に活用することが、確実な統制につながります。

高得点のポイント

変更管理ツール を活用することを記載していること。
リリース時における申請および承認のプロセスを明記していること。
実行可能で具体的な改善提案の形式となっていること。

設問3

〔内部監査室長の指示〕(2)の②について，先立って実施した監査手続として監査調書に記載しておくべき内容を，50字以内で答えよ。

模範解答

本番環境のプログラムに対する全ての変更ログについて，システム変更申請書があることを確かめる。

採点基準(配点 10点)

知識・理解度（内容）(6点)

6点: 本番環境のプログラム変更ログ全てについて、対応する変更申請書が存在することを確認する旨を記載している。
4点: 変更ログと申請書の突き合わせには言及しているが、「全て」など網羅性の観点がやや弱い。
3点: 網羅性を確認する目的の手続であることは伺えるが、サンプリング手法などに言及してしまっている。
1点: 運用状況の確認手続として的を射ていない。
0点: 不適切な記述。

説得力（考察）(4点)

4点: 監査調書に記載すべき合理的な手続として論理的に表現されている。
3点: やや言葉足らずだが趣旨は十分に通じる。
2点: 手続の内容が一部不明瞭である。
1点: 文章が破綻しており意味が取りづらい。
0点: 不適切な記述。

解説

統制の運用状況を評価するためのサンプリング検証において、母集団の 網羅性 を確認する手続を答える設問です。

システム変更申請書からサンプリングを行う前提として、未申請の変更が本番環境に存在しないことを確認しなければなりません。そのため、本番環境のプログラムに対する 全ての変更ログ と突き合わせ、対応する申請書があることを確かめる手続が必要です。

誤答として、サンプリングの手法や件数に焦点を当てた解答が散見されました。監査手続における 正確性、網羅性、実在性 の意味を正しく理解し、目的に沿った手続を記載することが求められます。

高得点のポイント

本番環境の変更ログを母集団とし、全てのログについて確認することを明記していること。
変更ログに対応する システム変更申請書 が存在することを確認する手続であることを示していること。

設問3は，正答率が低かった。統制の運用状況の評価において，サンプリングによる検証を行う際の母集団の網羅性に関する監査手続を問う問題であったが，サンプリングの手法や件数に焦点を当てた解答が散見された。システム変更に関する運用状況の検証としては，システム変更ログを母集団とすることが望ましく，システム変更申請書からサンプリングする場合には，その前提としてシステム変更申請書に漏れがないことを変更ログによって確認する必要があることを理解してほしい。また，監査を実施する際の正確性，網羅性，実在性などの意味についても正確に理解してほしい。

設問4

〔内部監査室長の指示〕(3)について，支障を来す可能性がある情報システム部の業務を，25字以内で答えよ。

模範解答

本番環境におけるインシデント発生時の緊急対応

採点基準(配点 10点)

知識・理解度（内容）(6点)

6点: 本番環境でのインシデント発生時の緊急対応であることを的確に記載している。
4点: 「インシデント」や「緊急対応」のいずれか一方が欠けているが、状況は捉えられている。
3点: 障害対応やトラブル対応など類義語で表現しており、趣旨は合っている。
1点: アクセス権がないことによる支障という点は捉えているが、通常業務と混同している。
0点: 不適切な記述。

論理性（構造）(4点)

4点: 業務の内容として端的に表現されている。
3点: やや冗長であるが意味は通じる。
2点: 文脈がやや不明瞭である。
1点: 文として成立していない。
0点: 不適切な記述。

解説

情報システム部の開発担当者に対して本番環境へのアクセス権を制限することで、どのような業務に支障を来す可能性があるかを問う設問です。

アクセス権を制限することは統制上重要ですが、一方でシステム障害などの インシデント発生時 における 緊急対応 においては、迅速なトラブルシューティングや復旧作業が妨げられる可能性があります。

高得点のポイント

本番環境 における インシデント発生時 という状況を正確に捉えていること。
支障を来す業務が 緊急対応 であることを端的に示していること。

設問5

〔内部監査室長の指示〕(4)について，懸念すべき事項を，45字以内で答えよ。

模範解答

情報システム部長の退職に際して部長のノウハウの伝承が適切に行われない。

採点基準(配点 10点)

知識・理解度（内容）(6点)

6点: 情報システム部長の退職により、ノウハウ伝承が適切に行われないことを記載している。
4点: 退職に伴う引き継ぎ不足には言及しているが、「ノウハウの伝承」という重要な要素が抜けている。
3点: 属人化によるリスクには触れているが、退職との結びつきがやや弱い。
1点: 懸念事項として抽象的すぎる記述である。
0点: 不適切な記述。

説得力（考察）(4点)

4点: 属人化リスクに対する合理的な懸念事項として文章が的確に構成されている。
3点: やや冗長だが意味は十分に伝わる。
2点: 因果関係の説明がやや不足している。
1点: 意味が取りづらい。
0点: 不適切な記述。

解説

特定の人物（情報システム部長）に業務が依存している状況において、その人物の退職に伴うリスクを答える設問です。

属人化している業務プロセスが存在する場合、退職に際して十分な引き継ぎが行われず、業務遂行に必要な ノウハウの伝承 が途絶えてしまうことが大きな懸念事項となります。

高得点のポイント

情報システム部長の退職 という状況に言及していること。
部長の持つ ノウハウの伝承 が適切に行われないという懸念を具体的に記述していること。