システム監査午後Iの解き方：問題文の状況設定から「潜むリスク・不足する統制・具体的な監査手続」を導く手順

過去10年分（全30問）のシステム監査午後I試験を分析すると、業務の題材（販売管理、システム再構築、PaaSコンテナ、DevOps、脆弱性管理、データ利活用など）は毎年変わっても、設問が要求している解答の型は次の4パターンに集約されます。 - パターンA：問題文の状況に潜む「リスク（または問題点）」を問う設問 　「どのようなリスクがあるか」と問われたら、「〜という不備（原因）により、〜という不正や誤謬・障害が発生し、〜という損害・業務停止が生じるリスク」のように、原因と結果（影響）をつなげて記述します。 - パターンB：被監査部門が導入すべき「コントロール（管理策・改善策）」を問う設問 　監査手続ではなく、現場やシステムが備えるべき仕組みを答えます（例：「申請者と承認者を分離する」「アップロード件数と元ファイル件数を照合する作業を追加する」）。 - パターンC：システム監査人が実施する「監査手続」を問う設問 　必ず「［監査証拠A］と［監査証拠B］を突合し（または［監査証拠］を閲覧し）、［確かめる内容（監査要点）］を確かめる」の構文で記述します。 - パターンD：確認すべき「監査証拠（資料・記録・ログ）」を問う設問 　本文中に登場する具体的な帳票名・規程名・ログ名（例：「PoC計画書」「変更管理票と本番リリースログ」）を使って正確に指定します。

午後Iの運用監査・セキュリティ監査（令和7年問2の販売管理システム、令和5年問2の特権ID管理など）で特に差がつくのが、突合手続における「母集団の選び方（突合の方向）」です。 たとえば「承認を得ずに本番プログラムが変更されていないか（未承認変更の有無）」を確かめたい場合、変更申請書（台帳）から数件を選んで本番ログと照合しても、そもそも申請書を出さずにこっそり本番環境を書き換えた変更は見つけられません。 この場合は逆に、「本番環境のプログラム更新ログ（または特権IDの操作ログ）を母集団とし、それに対応する承認済みの変更申請書（または作業申請書）が存在するかを全件突合する」と記述する必要があります。同様に、「システム管理者自身が不正操作のログを削除・改ざんできないように、ログ管理者を分離し、別サーバへリアルタイム転送しているか」という職務分離と証跡保全の視点も、ほぼ毎年問われる定石です。