企画・開発・移行プロジェクト監査重要度:★★★出題: AM2・PM1・PM2

ローコード／ノーコード開発・EUC（市民開発）の監査

ろーこーどのーこーどかいはつのかんさ / Low-Code / No-Code Development and EUC Governance Audit

事業部門（ユーザ部門）がローコード／ノーコード開発ツールやRPA・表計算マクロを用いて自ら業務アプリを構築する際、アプリの乱立（野良アプリ化）や情報漏えい・属人化を防ぐ統制を検証する監査です。

3行速習ポイント

事業部門（ユーザ部門）がローコード／ノーコード開発ツールやRPA・表計算マクロを用いて自ら業務アプリを構築する際、アプリの乱立（野良アプリ化）や情報漏えい・属人化を防ぐ統制を検証する監査です。
短期間・低コストという利点を潰さないよう、アプリの規模・難易度・取扱データの機密性に応じた段階的な管理ルールが求められます。
試験対策：午後I（令和5年問2、平成31年問1）および午後II（令和3年問1）で出題された現代的テーマです。「申請負担と統制のバランス」「類似アプリの重複確認」「本番データ参照権限と操作ログ保全」を記述します。

図解

図ローコード／ノーコード開発のリスク区分と段階的ガバナンス統制2軸×4象限マトリクス

アプリの規模・難易度と取扱データ機密性に応じた管理強度の設計

↕【縦軸】取り扱うデータの機密性・本番データ連携：上段: 個人情報・機密データ・本番DB直接参照↔下段: 一般内部データ（非機密）

↔【横軸】アプリの規模・処理の複雑度・影響範囲：左列: 小規模・難易度が低い（個人・小チーム）──▶右列: 大規模・難易度が高い（部門横断・基幹連携）

【左上・象限1】厳格統制・IT部門共同開発（大規模・高難度 × 機微データ）

IT部門承認必須

全社横断業務や顧客個人情報・決済データを扱うアプリ

情報システム部門の事前審査・アーキテクチャ承認を必須とし、本番DBへのアクセス権限制御、脆弱性診断、および操作ログの改ざん防止保管を厳格に適用する。

【右上・象限2】データ権限・ログ重点統制（小規模 × 機微・本番データ連携）

権限・ログ審査

機能は単純だが基幹システムや人事・顧客データを参照するアプリ

開発手続は標準テンプレートで迅速化しつつ、権限を与えるべきでない利用者が本番環境データを参照できないかのアクセス制御とログ保全を重点検証する。

【左下・象限3】設計標準・引継ぎ重点統制（中規模・部門共通 × 一般業務データ）

標準文書・重複確認

部門内で複数人が日常利用し継続的な保守が必要なワークフロー等

作成者の異動・退職でブラックボックス化しないよう、標準フォーマットを用いた設計ドキュメントの作成と類似アプリの重複チェックを義務付ける。

【右下・象限4】軽量申請・台帳登録のみ（小規模・低難度 × 部門内非機密データ）

簡易申請・台帳登録

チーム内の定型集計や簡易タスク管理など影響範囲が限定的なアプリ

短期間・低コストの利点を生かすため事前審査を簡略化し、アプリ管理台帳への登録と定期的な利用有無の棚卸のみで自律的な活用を促す。

💡 午後I令和5年問2では「開発申請手続による利用部門の負担増リスク」「類似アプリの有無確認」「操作ログが改ざん・消去されないよう保護すること」が出題されています。

概要と本質

事業部門（ユーザ部門）がローコード／ノーコード開発ツールやRPA・表計算マクロを用いて自ら業務アプリを構築する際、アプリの乱立（野良アプリ化）や情報漏えい・属人化を防ぐ統制を検証する監査です。短期間・低コストという利点を潰さないよう、アプリの規模・難易度・取扱データの機密性に応じた段階的な管理ルールが求められます。

重要ポイント・コア概念

申請・承認と重複防止：開発申請時に既存の類似アプリの有無を確認して乱立を防ぐとともに、小規模・低難易度アプリには簡易手続を適用して利用部門の負担増を抑える工夫
セキュリティ・保守性の統制：開発環境やアプリから権限のない利用者が本番データを参照できないアクセス制御、標準設計ドキュメントの整備、および操作ログの改ざん・消去防止
定量的効果・監査目標例：ローコード開発管理基準を整備して全社アプリ台帳登録と本番データ参照権限審査を義務付け、未管理のシャドーITアプリ35件を統合・適正化