Step.4 システム監査の実施

事例：変更管理の妥当性を監査する手続を検討する

ある省では、過去に起きた失敗事例等から、運用・保守業務において、ＰＪＭＯが主体的に変更管理を行っていないことで、設計書等のドキュメント類と実際のシステム構成、運用業務内容等に不整合が生じてインシデント発生時への対応の遅れが発生することや、発注者が承認していない設定変更により障害を発生させる要因となることを大きなリスクとして捉えていました。

そこで、ＰＭＯは、システム監査として、変更管理の妥当性を中心に確認することとしました。監査で確認する内容は次のようなものです。


あるプロジェクトの監査を行うことになった担当者は、監査内容の決定に先立って、そのプロジェクトが現在どのような状況か、どのような関係者・体制でプロジェクトを運用しているか、変更管理のプロセスはどうなっているか、どの程度の変更が発生しているかを知るために、予備調査として次のようなことを行いました。

【予備調査の内容】

• プロジェクトの内容、全体の計画、体制がわかる資料（例：プロジェクト計画書）をＰＪＭＯより提出してもらい、内容を確認

• 保守・運用の具体的な内容がわかる資料（例：運用・保守計画書、運用・保守設計書）をＰＪＭＯより提出してもらい、内容を確認

• 変更管理のルールがわかる資料（例：運用・保守管理要領）をＰＪＭＯより提出してもらい、内容を確認

• 昨年度・今年度の変更実績がわかる資料（例：変更管理簿）をＰＪＭＯより提出してもらい、内容を確認

予備調査の結果から、そのプロジェクトが運用・保守で変更を行う際に、次のような手続で変更管理を行っていることがわかりました。

1. 変更が必要になった場合は、運用・保守定例で起案し、ＰＪＭＯから変更内容の承認を受ける。承認されたら、変更管理簿に記載する。

2. 変更に関する設計書等の修正が完了したら、ＰＪＭＯに机上でのレビューを依頼する。

3. 変更に関する検証（テスト等）が完了したら、ＰＪＭＯに結果を本番反映の計画も含めて運用・保守定例で報告し、ＰＪＭＯの承認を受ける。承認を受けたら、変更管理簿に記載する。

4. 変更が完了したら、ＰＪＭＯに報告し、変更管理簿を更新する。

予備調査の結果を受けて、監査の担当者は、監査手続を作成しました。以下に、システム構成の変更管理に係る監査チェック項目の具体例をご紹介します。

【監査チェック項目例】

監査体制は、この監査手続書に従って、資料精査やインタビュー、観察等の実地調査を進めていきます。

事例：ある省でのシステム監査の効果向上への取り組み

ある省では、プロジェクトの管理プロセスが標準ガイドライン及び省で定めたルールに準拠しているかを評価するシステム監査を実施しています。

過去のシステム監査では、ＰＪＭＯのシステム監査に対する理解が低いことやプロジェクトが多忙であることから、監査に前向きではなく、指摘に対しては表面上の改善が行われるだけ、というようなことが散見されました。

そこで、ＰＭＯは、次のような取り組みを行いました。

【改善提案の工夫】

この監査では、監査結果報告書にてルールに対する不適合を指摘することとなりますが、改善提案では単なる是正にとどまらず、現状よりも効率的かつ効果的な管理となるような提案とすることを心掛けます。ＰＪＭＯとの監査結果の共有の場では、ＰＪＭＯが改善案をイメージできるよう、他のプロジェクトのやり方や改善施策等を具体的に伝えたり、ＣＩＯ補佐官等の持つ知見を伝えたりすることで、ＰＪＭＯが前向きな改善を行えるようにします。

【報告ルートの明確化】

ＰＪＭＯに対して、監査結果の報告先が府省ＣＩＯや情報化推進委員会等であることを明確にします。これは、監査責任者を通して現場の課題感を直接幹部に伝えられるという点で、ＰＪＭＯにとってもメリットがあります。

また、上記以外にも、研修等を通して、ＰＪＭＯにシステム監査の必要性や効果を伝えるよう努めています。

様式例：システム監査報告書のひな形

システム監査報告書のひな形を本章別紙としてまとめています。