運用・保守・BCP・外部委託監査重要度:★★★出題: AM2・PM1・PM2

変更管理・リリース管理の監査

へんこうかんりりりーすかんりのかんさ / Change and Release Management Audit

本番稼働中のプログラムや設定パラメータの変更にあたり、変更要求の承認、影響分析、テスト、本番リリース承認、および緊急変更時の事後承認が適切に行われているかを検証する監査です。

3行速習ポイント

本番稼働中のプログラムや設定パラメータの変更にあたり、変更要求の承認、影響分析、テスト、本番リリース承認、および緊急変更時の事後承認が適切に行われているかを検証する監査です。
「変更管理台帳（承認記録）」と「本番環境の更新ログ（タイムスタンプ・ハッシュ値）」を双向方向から突合し、未承認変更（勝手な修正）がないことを確かめます。
試験対策：午後Iで最頻出の運用監査手続です。「台帳からログを見る（承認されたものが正しく適用されたか）」だけでなく「本番ログから台帳を見る（未承認の勝手な変更がないか）」の方向性が問われます。

図解

図変更管理・リリース管理における統制プロセスと監査突合の要点プロセス・手順フロー

変更申請から本番適用ログ突合・緊急変更の事後追認までの流れ

▶ 進行順序：1. 変更・テスト審査➔2. リリース統制➔3. 全件ログ突合➔4. 緊急変更追認

11. 変更要求・影響分析・テストの審査

変更・テスト審査

変更による他機能への波及影響と回帰テスト結果の確認

変更要求票およびテスト結果報告書を閲覧し、変更内容の妥当性、他システムへの影響分析、および本番同等環境でのテスト完了が審査されているか確認する。

22. リリース承認と職務分離された本番適用

リリース統制

開発者ではなく運用担当者または自動パイプラインによる適用

運用責任者のリリース承認に基づき、開発者とは分離された運用担当者（または承認連動CI/CD）によって本番環境へ展開されているかを検証する。

33. 本番更新ログと変更管理台帳の全件突合

全件ログ突合

未承認変更（バイパス適用）がないことの発見的検証

本番サーバのモジュール更新履歴・設定変更ログを母集団として変更管理台帳と全件突合し、承認チケットのない変更が1件も存在しないことを確かめる。

44. 緊急変更（Emergency Change）の事後承認検証

緊急変更追認

夜間障害等で緊急適用した変更の事後レビューと証跡化

緊急措置として特例適用された変更について、所定の期限内に事後承認申請・影響再検証・ドキュメント更新が完了しているかを確かめる。

💡 監査手続を記述する際は「本番環境のプログラム更新ログと変更管理票を突合し、承認を得ずに本番適用された変更がないか確かめる」と母集団（ログ）を明確にします。

概要と本質

本番稼働中のプログラムや設定パラメータの変更にあたり、変更要求の承認、影響分析、テスト、本番リリース承認、および緊急変更時の事後承認が適切に行われているかを検証する監査です。「変更管理台帳（承認記録）」と「本番環境の更新ログ（タイムスタンプ・ハッシュ値）」を双向方向から突合し、未承認変更（勝手な修正）がないことを確かめます。

重要ポイント・コア概念

通常変更における変更要求書・影響分析書・テスト結果報告書・本番移行承認書の査閲と、本番環境ライブラリの更新ログとの全件突合
障害対応等の緊急変更（Emergency Change）における、事前口頭承認の記録確認および事後の遅滞なき正式承認・テスト追認手続の検証
定量的効果・監査目標例：本番プログラム更新ログと変更管理チケットの日次全件自動突合（CAAT）を導入し、未承認の本番直接修正および緊急変更の事後承認漏れを0件に統制