外部委託・クラウド利用時の監査チェックポイントとは？

外部委託・クラウド利用時の監査チェックポイントの意味

外部ベンダーへの委託やクラウドサービスの利用にあたり、委託先の管理状況を委託元がどのように監督・確認しているかを検証する監査の着眼点。特にデータの消失予防（バックアップ体制、契約上の保証内容）、委託先の選定基準、委託後の継続的なモニタリング体制が重視される。

外部委託・クラウド利用時の監査チェックポイントの具体例

クラウドサービス上に保存されている情報の消失を予防する観点では、「クラウド事業者のバックアップ・復旧体制が契約（SLA）で明確に保証されているか」「委託元が定期的にその実施状況を確認しているか」がチェックポイントになる。

外部委託・クラウド利用時の監査チェックポイントは試験でどう引っ掛けられる？

委託しても委託元の管理責任は移転しない。「クラウド事業者が第三者認証を取得しているので委託元の確認は不要」という判断は誤り。さらに認証やSLAの有無だけでは足りず、自社が利用する範囲がその認証の対象（スコープ）に入っているか、実施状況を定期的に確認しているかまでが着眼点になる。

外部委託・クラウド利用時の監査チェックポイントと関連する用語

• 入出力データの管理方針

外部委託・クラウド利用時の監査チェックポイントが出た過去問

• 金融庁“財務報告に係る内部統制の評価及び監査に関する実施基準(令和5年)”における、ITに係る全般統制に該当するものとして、最も適切なものはどれか。

  正解：システムの開発、保守に係る管理

  要点：開発保守や運用の管理はIT全般統制、個別処理は業務処理統制

  IT全般統制は、個々の業務処理統制が有効に機能する環境を支える統制で、システムの開発・保守の管理、運用・管理、内外からのアクセス管理、外部委託の管理などが該当する。これに対し、入力データの正確性の確保やマスタの維持管理、例外処理の修正と再処理は、個別の業務処理に組み込まれたIT業務処理統制である。どちらに属するかは、対象が個々の処理か、それを支える基盤かで判断する。

  出典：令和6年度 春期 情報処理安全確保支援士試験 am2 問25（IPA）