情報セキュリティ監査・法務・先端技術監査重要度:★★★出題: AM2・PM1・PM2

RPA（業務自動化ロボット）導入・運用の監査

あーるぴーえーどうにゅううんようのかんさ / Robotic Process Automation (RPA) Governance and Audit

定型業務を自動化するRPA（ソフトウェアロボット）について、野良ロボット（未登録・管理不全ロボット）の発生防止、ロボット用IDの権限管理、連携先システムの画面変更時の停止対策、および異常終了時の検知を検証する監査です。

3行速習ポイント

定型業務を自動化するRPA（ソフトウェアロボット）について、野良ロボット（未登録・管理不全ロボット）の発生防止、ロボット用IDの権限管理、連携先システムの画面変更時の停止対策、および異常終了時の検知を検証する監査です。
利用部門（EUC）が手軽に作れる反面、作成者の異動・退職でブラックボックス化しやすく、誤動作時に大量の不正データを短時間で生み出すリスクがあります。
試験対策：午後I（令和元年問1「RPA導入のシステム監査」）で丸ごと1問出題されたほか、ローコード・EUC監査の代表例として午後IIでも頻出です。

図解

図RPA（業務自動化ロボット）のライフサイクル統制と監査の4要点プロセス・手順フロー

開発承認・専用ID付与から他システム変更連携・棚卸までのガバナンス

▶ 進行順序：1. 台帳・移行統制➔2. 専用ID・権限統制➔3. 変更連携統制➔4. 監視・定期棚卸

11. RPA対象業務の選定と台帳登録・本番移行審査

台帳・移行統制

野良ロボット化を防ぐ登録義務付けとテスト・ドキュメント確認

RPA管理台帳と実行環境のロボット一覧を突合し、未承認のロボットが稼働していないか、また仕様書とテスト結果が審査されてから本番稼働しているか確認する。

22. ロボット専用アカウントの割当と認証情報の保護

専用ID・権限統制

人間の個人ID流用禁止と最小権限・パスワード暗号化管理

ロボットごとに識別可能な専用IDが付与され（個人IDの埋め込み禁止）、必要最小限のアクセス権限と暗号化された資格情報ストアが利用されているか確認する。

33. 操作対象システムの変更管理プロセスとの連携

変更連携統制

連携先システムの画面・項目変更によるロボット誤動作の未然防止

基幹システム等の変更管理手続において、変更影響範囲にRPAが含まれる場合にRPA管理部門へ事前通知し、ロボット側の修正・テストを行う手順があるか確認する。

44. 実行ログ監視・異常時代替手順と定期棚卸

監視・定期棚卸

エラー停止時の即時検知・手作業切替と不要ロボットの廃棄

ロボットの実行結果ログが毎回確認されているか、異常停止時に業務を継続する代替手順があるか、および定期棚卸で不要ロボットや管理者不在が解消されているか確かめる。

💡 午後I令和元年問1では、RPAの「導入基準・台帳管理」「アカウント管理」「エラー処理・ログ管理」「対象システムの変更管理との連携」が体系的に問われました。

概要と本質

定型業務を自動化するRPA（ソフトウェアロボット）について、野良ロボット（未登録・管理不全ロボット）の発生防止、ロボット用IDの権限管理、連携先システムの画面変更時の停止対策、および異常終了時の検知を検証する監査です。利用部門（EUC）が手軽に作れる反面、作成者の異動・退職でブラックボックス化しやすく、誤動作時に大量の不正データを短時間で生み出すリスクがあります。

重要ポイント・コア概念

ロボット台帳への一元登録と作成・変更承認、ロボット専用アカウントの付与（作成者個人IDの流用禁止）、およびスクリプト内のパスワード平文埋め込み禁止の確認
操作対象システム（Web画面や基幹システム）の仕様変更情報がRPA管理者へ事前に共有される連携体制、およびロボット異常終了時のアラート通知と手動代替手順の確認
定量的効果・監査目標例：全社RPAロボット台帳と実行ログの突合監査を実施し、個人IDを流用していたロボット8体の専用ID化とシステム改修事前通知フローの確立を完了