応用情報技術者試験過去問を解いてみた R6年度春期問59

はじめに

今回も、応用情報技術者試験の過去問を解いていきます。

今回のテーマは、システム監査基準（令和5年）におけるシステム監査の対象です。

システム監査では、単に「システムが動いているか」を確認するだけではありません。

情報システムに関するリスクへの対応状況などについて、独立かつ客観的な立場から検証・評価し、保証や改善のための助言を行うことが重要になります。

今回の問題では、特に次の3つの言葉を整理して理解しておく必要があります。

ガバナンス
マネジメント
コントロール

どれも似たように見えますが、それぞれ役割が異なります。

また、選択肢にある「コンプライアンス」も監査と非常に関係が深いため、なぜ正解ではないのかも含めて整理していきます。

問題

システム監査基準（令和5年）によれば，システム監査において，監査人が一定の基準に基づいて総合的に点検・評価を行う対象とするものは，情報システムのマネジメント，コントロールと，あと一つはどれか。

選択肢

選択肢	内容
ア	ガバナンス
イ	コンプライアンス
ウ	サイバーレジリエンス
エ	モニタリング

解答

正解

ア　ガバナンス

解説

システム監査を理解するときのポイントは、

「情報システムをどのような視点から監査するのか」

ということです。

システム監査基準では、

ガバナンス・マネジメント・コントロール

という3つの視点が重要になります。

図にすると次のようなイメージです。

                    　　　　　　　システム監査
                       　　　　　　　   │
          ┌──────────────┼──────────────┐
          ↓          　　　　　　　    ↓           　　　　　　　   ↓
     ガバナンス      　　　　　　　マネジメント      　　　　　　コントロール
          │            　　　　　　　  │              　　　　　　　│
     方向付け・監督    　　　　　　 管理・運営       　　　　　　具体的な統制

ここで注意したいのは、

ガバナンス
   ↓
マネジメント
   ↓
コントロール

のような単純な上下関係として覚えないことです。

ガバナンス、マネジメント、コントロールは、システム監査における異なる視点として考えるのが適切です。

ガバナンスとは

ガバナンス（Governance）は、日本語では「統治」と訳されます。

情報システムの分野では、

経営戦略とIT戦略が適切に結び付いているか

といった、比較的上位の視点で考えます。

例えば、

IT戦略が経営戦略と整合しているか
IT投資の方向性は適切か
情報システムに関する責任や権限が明確か
経営層がITの状況を適切に監督しているか

などが関係します。

イメージ

経営戦略
   │
   ↓
ITをどう使うか？
   │
   ↓
方向付け・監督

つまり、ガバナンスは

「組織としてITをどの方向に活用するのか」

という視点です。

マネジメントとは

マネジメント（Management）は、

決められた方針や目標に従って、実際の業務を管理・運営すること

です。

例えば、

IT投資管理
プロジェクト管理
情報セキュリティ管理
品質管理
人員管理
PDCAによる改善

などが該当します。

イメージ

方針・目標
   │
   ↓
計画
   ↓
実行
   ↓
評価
   ↓
改善

ガバナンスが「方向付け・監督」の視点だとすると、

マネジメントは

「決めた方向に向かって、どう管理・運営するか」

という視点になります。

コントロールとは

コントロール（Control）は、

リスクに対応するための具体的な統制

と考えると分かりやすいです。

例えば、

アクセス権管理
承認手続
職務分掌
ログの取得・確認
バックアップ
入力チェック
不正アクセスの検知

などがあります。

イメージ

リスク
  │
  ↓
コントロール
  │
  ├─ 予防する
  ├─ 検知する
  └─ 是正する

「事故や不正を防ぐ仕組み」と覚えてもよいのですが、より正確には、予防だけではなく、検知や是正まで含めた統制全般を指します。

ガバナンス・マネジメント・コントロールの違い

3つをまとめると、次のように整理できます。

視点	意味	イメージ	例
ガバナンス	ITの方向付け・監督	どこへ進むか	IT戦略と経営戦略の整合
マネジメント	業務の管理・運営	どう進むか	IT投資管理、PDCA
コントロール	リスクへの具体的な統制	事故をどう抑えるか	承認、アクセス制御、ログ確認

この3つの言葉をセットで整理しておくと、今回の問題は非常に解きやすくなります。

なぜ「コンプライアンス」ではないのか

ここは、この問題で最も引っ掛かりやすいところです。

監査と聞くと、

「法律やルールを守っているか確認するんだから、コンプライアンスも正解では？」

と思うかもしれません。

実際、コンプライアンスはシステム監査と深く関係しています。

コンプライアンスとは、

法令、規則、契約、社内ルールなどを遵守すること

です。

例えば、

個人情報保護に関するルールを守っているか
社内規程に従ってアクセス権を管理しているか
契約上の義務を守っているか

といった点は、システム監査でも確認される可能性があります。

つまり、

コンプライアンスが監査と無関係だから不正解なのではありません。

今回の問題では、

「システム監査において総合的に点検・評価する対象として、マネジメント、コントロールと並ぶものは何か」

を聞いています。

その組合せが、

ガバナンス
マネジメント
コントロール

だから、正解が「ガバナンス」なのです。

各選択肢を確認する

選択肢	判定	解説
ア：ガバナンス	○	マネジメント、コントロールとともにシステム監査の重要な視点
イ：コンプライアンス	×	監査で確認される重要事項ではあるが、今回問われている3つの視点の一つではない
ウ：サイバーレジリエンス	×	サイバー攻撃などを受けても事業やシステムを維持・回復する能力
エ：モニタリング	×	状況を継続的に監視・確認する活動であり、今回の3分類には含まれない

問題の用語解説

コンプライアンス

コンプライアンス（Compliance）は「法令遵守」などと訳されます。

ただし、実務では法律だけでなく、

社内規程
業界ルール
契約
社会的規範

などを守ることまで含めて使われる場合があります。

システム監査でも重要な確認事項ですが、今回の問題における

ガバナンス・マネジメント・コントロール

という3つの視点とは位置付けが異なります。

サイバーレジリエンス

サイバーレジリエンスとは、

サイバー攻撃やシステム障害が発生しても、重要な業務を継続し、早期に復旧できる能力

のことです。

例えば、

サイバー攻撃
     ↓
被害発生
     ↓
重要業務を継続
     ↓
システムを復旧
     ↓
通常状態へ

という考え方です。

セキュリティでは重要な概念ですが、今回問われているシステム監査の3つの視点には該当しません。

モニタリング

モニタリングとは、

状況を継続的に監視・確認すること

です。

例えば、

システムログを監視する
CPU使用率を監視する
不正アクセスを監視する
内部統制が機能しているか確認する

といった活動です。

これも監査や内部統制と関係しますが、「ガバナンス・マネジメント・コントロール」と並ぶ今回の答えではありません。

体系的位置づけ

この問題は、応用情報技術者試験の中では次の分野に位置付けられます。

大分類	中分類	主なテーマ
サービスマネジメント	システム監査	システム監査基準、監査計画、監査証拠、監査調書など

システム監査では、

システム監査
   │
   ├─ 監査計画
   ├─ 監査手続
   ├─ 監査証拠
   ├─ 監査調書
   ├─ 監査報告
   └─ ガバナンス・マネジメント・コントロール

といったテーマが問われます。

用語が似ているため、単語だけを暗記するのではなく、それぞれが何を意味するのかを整理しておくことが重要です。

今回の問題の重要ポイント

今回の問題で覚えておきたいポイントは、次の3つです。

① 3つをセットで覚える

ガバナンス
マネジメント
コントロール

まずは、この3つをセットで覚えます。

② 単純な上下関係ではなく「視点の違い」と考える

理解するときは、

ガバナンス  → 方向付け・監督
マネジメント→ 管理・運営
コントロール→ 具体的な統制

と整理すると分かりやすいです。

③ コンプライアンスも監査には関係する

ここが引っ掛けポイントです。

× コンプライアンスは監査と関係ない

○ コンプライアンスも監査で確認される
  ただし、今回問われている3つの視点ではない

この違いを理解しておけば、同じような選択肢が出ても迷いにくくなります。

まとめ

今回の問題では、システム監査において総合的に点検・評価する対象について問われました。

答えは、

ア：ガバナンス

です。

覚えておきたいのは、

ガバナンス
マネジメント
コントロール

の3つです。

それぞれ、

用語	覚え方
ガバナンス	ITをどの方向に進めるか
マネジメント	その方向にどう管理・運営するか
コントロール	リスクを具体的にどう統制するか

と整理すると分かりやすくなります。

また、コンプライアンスもシステム監査とは深く関係しています。

ただし今回の問題では、