問1 オープンAPI態勢の監査

金融機関と外部の事業者との間の安全なデータ連携は,オープンAPI によって可能になる。一方で,金融機関のデータ,システムへの接続仕様などを公開することになり,セキュリティの確保やオープンAPI が稼働するサーバの負荷の増大といった課題が生じる。 本問では,オープンAPI 態勢を題材として,オープンAPI 態勢の各機能において生じるリスクの知識,及びリスクに応じたコントロールを識別する能力,また,それらのコントロールの有効性を検証するために必要な監査証跡を特定し,監査手続を導き出す能力を問う。

問1 では,オープンAPI 態勢を題材として,オープンAPI 態勢の各機能において生じるリスク,及びリスクに応じたコントロール,また,それらのコントロールの有効性を検証するために必要な監査証跡と監査手続について出題した。全体として正答率は平均的であった。 設問2 は,(ii)の正答率が低かった。新旧両方のAPI を継続して存続させる旨の解答が散見された。IB サービスの向上など,API の仕様を変更する意味及び必要性を理解してほしい。 設問3 は,正答率が平均的であった。API サーバの負荷状況,接続遮断などの各種イベント発生状況,オープンAPI 経由のアクセス状況がまとめられたオープンAPI 運用報告書が,監査証拠として最も適しているが,各種のログといった明確でない解答が少なからず見られた。適切な監査証拠を特定し,それを基に監査手続を行う能力は監査人にとって必須であるので,ぜひ身に付けてほしい。 設問4 は,やや正答率が低かった。一般的なリスクベースアプローチについての解答が多く見られた。問題文に“アクセストークンに基づくリスクベースアプローチ”とあるので,趣旨に沿って解答してほしい。