システム管理基準とは？

システム管理基準の意味

情報システムが安全・有効・効率的に機能するために組織が実践すべき事項をまとめた基準。ITガバナンス、企画・開発・運用・保守の各フェーズ、共通業務などの区分で管理項目を示し、システム監査における判断尺度（評価の物差し）として使われる。

システム管理基準の具体例

「開発計画は経営戦略との整合を確認して策定する」といった管理項目を監査要点に置き換え、実際の開発計画書と決裁記録を確かめる。

システム管理基準は試験でどう引っ掛けられる？

すべての組織がすべての項目を満たさなければならない規範ではない。組織の規模や実情に応じて取捨選択して用いる参考項目という位置づけである。

システム管理基準と関連する用語

• システム監査基準
• ITガバナンス
• 監査要点

システム管理基準が出た過去問

• 組織体が情報システムにまつわるリスクに対するコントロールを適切に整備・運用する目的として,システム管理基準(平成16年)に示されているものはどれか。

  正解：情報システムが,組織体の目的を実現するように安全,有効かつ効率的に機能すること

  要点：システム管理基準は情報システムの安全・有効・効率的な機能を目的とする

  システム管理基準は、情報システムのリスクに対するコントロールを整備・運用するための実践規範である。その目的は、情報システムが組織体の目的の実現に向けて安全・有効・効率的に機能するようにすることにある。監査業務の品質確保や監査人による評価・保証はシステム監査基準の側の目的であり、混同しやすい。

  出典：平成30年度 春期 システム監査技術者試験 am2 問6（IPA）

• 経済産業省が平成19年に策定した"システム管理基準 追補版(財務報告に係るIT統制ガイダンス)"では,IT統制をIT全社的統制,IT全般統制及びIT業務処理統制…

  正解：購買データの入力が,入力管理ルールに基づいて漏れなく,重複なく,正確に行われることを確保する。

  要点：IT業務処理統制は業務処理の正確性・網羅性を確保する統制

  IT業務処理統制は、個々の業務処理の中に組み込まれ、取引データが漏れなく重複なく正確に処理されることを確保する統制である。入力管理ルールに基づく購買データ入力の正確性確保はまさにこれに当たる。運用管理ルールの策定、運用計画の承認と周知、バックアップ方針の策定はいずれもIT全般統制の領域である。

  出典：平成30年度 春期 システム監査技術者試験 am2 問8（IPA）

• システム管理基準(平成30年)において,ITガバナンスにおける説明として採用されているものはどれか。

  正解：EDMモデル

  要点：ITガバナンスは評価・指示・モニタからなるEDMモデルで説明される

  システム管理基準の平成30年版は、ITガバナンスの説明にEDMモデルを採用している。これはJIS Q 38500に由来する考え方で、経営陣が評価し、指示し、モニタするという三つの行為でITの利用を統治するという枠組みである。マネジメント層が回すPDCAサイクルとは階層が異なる点を押さえておきたい。

  出典：令和1年度 春期 システム監査技術者試験 am2 問1（IPA）

• システム管理基準(平成30年)において,経営陣がITガバナンスを成功に導くために採用することが望ましい原則としているものはどれか。

  正解：責任,戦略,取得,パフォーマンス,適合,人間行動

  要点：ITガバナンスの原則は責任・戦略・取得など六つで構成される

  システム管理基準はJIS Q 38500の考え方を取り入れ、ITガバナンスの原則として責任、戦略、取得、パフォーマンス、適合、人間行動の六つを掲げている。経営陣はこれらの原則に照らして、ITの利用が組織の目的に沿っているかを評価・指示・モニタする。管理原則や品質マネジメント原則と混同しやすい。

  出典：令和1年度 春期 システム監査技術者試験 am2 問3（IPA）

• システム管理基準(平成30年)に規定されたアジャイル開発において留意すべき取扱いとして,最も適切なものはどれか。

  正解：プロダクトオーナー及び開発チームは,利害関係者へのデモンストレーションを実施すること

  要点：アジャイルでは反復ごとのデモで利害関係者の評価を得る

  アジャイル開発は短い反復を繰り返し、動くソフトウェアを利害関係者に見せて評価を受けながら要求を洗練させる進め方をとる。反復ごとのデモンストレーションはその中核となる活動である。工程ごとの完了基準に沿って逐次進める分業型の進め方はウォータフォールの特徴であり、リリース計画は反復開始前に立てておくべきものである。

  出典：令和1年度 春期 システム監査技術者試験 am2 問5（IPA）