システム監査技術者データ利活用基盤の監査【論文の書き方】（令和5年秋問1）

本記事ではシステム監査技術者の午後II（論文）対策として、

令和5年問1で出題された過去問を分析します。

実際に論文を書く上での考え方を整理し

論文骨子を設計するところまでやっていきます。

問題（令和5年問1）
- 何が問われているかを把握する
- 出題要旨と採点講評からの分析
  - 出題要旨
  - 採点講評
論文を設計する
論文骨子
論文全文について
まとめ

問題（令和5年問1）

過去問は試験センターから引用しています。

問題文はこちらです。

設問文はこちらです。

何が問われているかを把握する

本問題はデータ利活用基盤の構築における

リスクと監査手続について問われています。

データ利活用基盤については問題文の第一段落に

説明がなされています。

ビッグデータを利活用して経営課題を解決したり

このような仕組みを実現するには、関連する様々なデータを利活用できるプラットフォームとなるデータ基盤（以下、データ利活用基盤という）が必要になる

上記より、ビッグデータを利活用するためのプラットフォームが

「データ利活用基盤」と言えます。

出題要旨と採点講評からの分析

試験センターから公表されている出題要旨と採点講評を確認して

出題の意図と論述のNG例を把握します。

出題要旨

データの偏りや不整合に起因するおそれ（リスク）については、

問題文でも強調されており、論点とした方が良いでしょう。

データ自体の取り扱いや整形ロジックに詳しいと論述しやすいと

思われるので、システムアーキテクトやデータベーススペシャリストの

経験者は取り組みやすい要素だったと思います。

採点講評

問1,問2共通の採点講評では

問題文の趣旨又は設問の無いように沿っていない論述
監査手続が不十分
論文の体裁になっていない

という3つのNG例が載っていました。

システム監査技術者試験では必ず「監査手続」について

問われます。監査手続については、

下記記事に基本をまとめているので、

不安な方は再確認しておきましょう。

システム監査技術者の論文対策（リスク・コントロール・監査手続） - スタディルーム by rolerole (hatenablog.jp)

問1の採点講評では、まず第一文に、

個別システムにおけるデータ整備
旧システムからのデータ移行

がNGの例として挙げられています。

ビッグデータを扱うデータ利活用基盤がテーマであることに

立ち戻りましょう。

設問アでは構築理由の記述が不十分だとNGになるので注意です。

設問イでは、問題文の例示でもあった「データセキュリティ」に

偏重しているケースがNGだったとされています。

出題要旨にもあった通り、データ自体の品質・整合性を

論点に盛り込みましょう。

設問ウは全体の採点講評でも触れられていましたが、

「監査手続」になっていない論述がNGとされています。

論文を設計する

問われていることの概略を把握したら

自身の経験や用意してきた論文パーツに当てはめて

どのように論述を展開するかを設計します。

設問アの設計

設問アは「データ利活用基盤の構築の概要」「目的」

「基盤の構築が必要になる理由」について問われています。

設問イで書くことになる「構築に際して想定するリスク」を

予め念頭に置き「構築の概要」を書くと良いでしょう。

採点講評によれば設問アは「構築の理由」が不十分になりがちなので、

「なぜデータ利活用基盤を構築しなければならなかったか」を

説明する必要があります。

個別システムにおけるデータ整備
旧システムからのデータ移行

上記のような論述ですと「データ利活用基盤」を構築する理由は

書きづらくなるので避けましょう。

個別システムではなく複数のシステム、

データ移行ではなくデータの活用、

といった視点でシステムを開発するという

イメージを持てると良いと思います。

設問イの設計

設問イは「データ利活用基盤の構築のリスク」について

問われています。

設問アで記述した構築の概要を踏まえてリスクを

書かなければならないことに注意しましょう。

問題文にはリスクについて

データセキュリティに関するリスク
データの品質や整合性に関するリスク

例示がありますが、

採点講評によれば前者に偏る論文が多かったとあります。

データ利活用基盤というテーマ性からして、後者のリスクも

想定しましょう。

設問ウの設計

設問ウは「データ利活用基盤が適切に構築されているかを確かめる監査手続」

について問われています。

一般的なシステム監査の考え方として、

「リスク」「コントロール」「監査手続」の3点があります。

設問イで論述したリスクに対して、

「コントロールが機能しているかを確かめるのが監査手続」です。

システム監査人は構築プロジェクトとは距離を置き、

客観的な立場で判定する必要があります。（監査の独立性）

このことから、「監査手続」には何らかの「監査証跡」を

定義して確認（査閲）するという行為が必要です。

採点講評によれば、「監査証跡」が曖昧であったり、

そもそも「監査手続」になっていなかったりする

論文が散見されたとあるので、注意しましょう。

論文骨子

ここでは、参考として論文骨子の例をご紹介します。

１．データ利活用基盤の構築の概要

　１－１．データ利活用基盤の目的

　データサイエンスの技術を事業戦略に活用する経営方針。

　市場分析を行い、不良在庫を抑制。

　１－２．データ利活用基盤の概要

　購買業務と販売業務から取り扱いデータをデータ利活用基盤に構築。

　商品や売上額をAIに学習させ売れ筋商品や流行商品を予測。

　１－３．データ利活用基盤の構築が必要となる理由

　購買支援システムと販売支援システムでデータの保持形式が異なっている。

　AIによる学習効率を高めるためデータの加工が必要。

２．データ利活用基盤の構築に際して想定したリスク

　２－１．データセキュリティに関するリスク

　データ利活用基盤で扱う源泉データやインサイトは競争力の源泉であり、

　漏えいは優位性と信頼の損失。

　２－２．誤ったインサイトを提示してしまうリスク

　データの形式の不統一や偏りにより誤ったインサイトを提示すると

　適切な経営判断が出来ず在庫の適正化に繋がらない。

　２－３．データ利活用基盤の停止時のリスク

　データ利活用基盤の停止時に業務停止が発生する。

３．適切に構築しているかを確かめる監査手続

　３－１．データセキュリティに関する監査手続

　構築プロジェクトの責任者へセキュリティ施策についてヒアリング

　３－２．学習データの整合性に関する監査手続

　保持・加工データの設計書を監査証跡とし、査閲する

　３－３．データ利活用基盤の可用性や代替手段に関する監査手続

　可用性やバックアップに関する設計書やコンティンジェンシープランを

　監査証跡とし、査閲する