運用計画の決定と承認は同じ担当でよいか
基本情報技術者試験 平成29年度秋期 午前 問58 ／ システム監査 › システム監査
過去問にチャレンジ
システム運用業務のオペレーション管理に関する監査で判明した状況のうち，指摘事項として監査報告書に記載すべきものはどれか。
- ア
運用責任者が，オペレーターの作成したオペレーション記録を確認している。
- イ
運用責任者が，期間を定めてオペレーション記録を保管している。
- ウ
オペレーターが，オペレーション中に起きた例外処理を記録している。
- エ
オペレーターが，日次の運用計画を決定し，自ら承認している。
会話形式の解説
講師この監査では、記録に関する行為と、計画を承認する手続を分けて考えます。承認時に、決定した本人以外の確認が入るかに注目しましょう。
受験者記録を作るだけでは足りない気もします。作った人と確認する人が分かれているかを見るのでしょうか。
講師運用記録はオペレーターが作り、運用責任者が確認しています。作成者とは別の立場で確かめているので、この状況は指摘事項ではありません。
受験者保管期間を決めて記録を残す行為は、問題になりませんか。
講師期間を定めて保管すれば、後から記録を確認できます。示された保管のしかた自体は指摘事項に当たりません。
受験者例外処理は通常と違うので、記録していることも指摘されるのかと迷いました。
講師例外処理を記録すると、通常と異なる処理の経緯を後から調べられます。記録していることは指摘事項ではありません。
受験者では、日次の運用計画を決めた人が、自分で承認している点を確かめればよいですか。
講師はい。決定した本人が承認すると、独立した確認が働きません。計画の誤りや不正を見逃すおそれがあるため、監査報告書で指摘します。
受験者記録は作成者とは別の責任者が確認していて、計画は決定者自身が承認しています。違いは確認する人が分かれているかですね。
講師そのとおりです。職務分離とは、決定と承認などの役割を分けて確認することです。この問題では、承認者が決定者自身かどうかが判断の鍵です。
まとめ
監査報告書には、運用上の問題がある状況を指摘事項として記載します。運用記録を別の責任者が確認することや、記録を保管し例外処理を記録することは、示された状況では指摘事項に当たりません。日次の運用計画を決めたオペレーターが自ら承認すると、独立した確認が働かず、誤りや不正を見逃すおそれがあります。したがって、正解はエです。
解答・解説
正解はエです
この問題のテーマ
システム運用計画を決める人と承認する人を分け、独立した確認ができているかを問う問題です。
解き方の考え方
監査報告書の指摘事項には、運用上の問題がある状況を選びます。記録の確認・保管・作成と、計画を決めて承認する手続を分けて考えます。計画の承認では、決定した本人以外が内容を確認できるかが判断の鍵です。
選択肢ごとの解説
- ×ア 運用責任者が，オペレーターの作成したオペレーション記録を確認している。アでは、オペレーターが作った記録を運用責任者が確認しています。作成者とは別の立場で作業内容を確かめており、示された状況は指摘事項に当たりません。
- ×イ 運用責任者が，期間を定めてオペレーション記録を保管している。イでは、運用責任者が保管期間を定めて記録を保存しています。記録を後から確認できるように管理する行為なので、示された状況は指摘事項に当たりません。
- ×ウ オペレーターが，オペレーション中に起きた例外処理を記録している。ウでは、オペレーターが運用中の例外処理を記録しています。通常と異なる処理の経緯を後から調べられるため、記録していること自体は指摘事項に当たりません。
- ○エ オペレーターが，日次の運用計画を決定し，自ら承認している。エでは、日次の運用計画を決めたオペレーターが、その計画を自ら承認しています。決定と承認を同じ人が行うと独立した確認が働かず、計画の誤りや不正を見逃すおそれがあります。この職務分離の欠如を監査報告書で指摘すべきです。
POINT
- 計画の決定と承認は、担当者を分けて独立した確認を行います。
- 作業記録を作成者とは別の責任者が確認することは、運用の監督につながります。
- 運用記録の保管と例外処理の記録は、後から状況を確かめるために役立ちます。