令和3年度 秋期 システム監査技術者試験 午後Ⅱ 問題 問1 RPAを利用した業務自動化における開発・運用・保守のリスクと監査（論述）
マネジメントシステム監査
学習ガイド
ユーザ部門がRPAでロボットを開発し、業務処理を自動化する事例を、システム監査人の立場で論じる午後II問題です。設問アでは自動化の概要と期待される効果、開発・運用・保守の体制を示します。設問イでは、業務処理の選定誤りやテスト不足、運用ルールの不明確さなどのリスクと、それを下げるコントロールを対応させて書きます。設問ウでは、そのコントロールが機能しているかを確かめる監査手続を具体的に述べます。
この記事で押さえる論点
- RPAを利用した業務処理の自動化の概要と、開発・運用・保守の体制を説明できる
- ユーザ部門主導の開発や運用に潜むリスクを特定し、対応するコントロールを述べられる
- 特定したコントロールが適切に機能しているかを確かめるための監査手続を具体的に設計できる
出題情報
- 出題
- 2021(R3)秋 システム監査技術者 午後II 問1
- 配点
- 100点満点
- 模範解答
- 未公表(採点基準と解説から解答の方向性を読み取る)
出題趣旨・採点講評(IPA 公表)
働き方改革の推進，テレワークの拡大などに伴い，RPAを利用した業務処理の自動化の事例が増えてきている。RPAには，ドラッグアンドドロップなどの比較的簡単な操作でソフトウェアロボット（以下，ロボットという）を開発できるという特徴があるので，ユーザ部門でも容易に導入することができる。
一方で，ユーザ部門は，情報システムの開発，運用及び保守には必ずしも精通しているわけではない。したがって，ユーザ部門だけでロボットを開発し，運用及び保守するには，さまざまなリスクが生じる。
本問では，システム監査人として，RPAを利用した業務処理の自動化において，ロボットの開発，運用及び保守に関わるリスクを低減するためのコントロールが適切に機能しているかどうかを確かめるための知識・能力などを問う。
システム監査技術者試験では，問1で監査手続の作成について，問2でシステム監査計画の策定について，システム監査人としての知識と能力・見識を問うているが，問題文の趣旨と設問の内容を踏まえずに論述している解答が散見された。また，システム担当者の立場で論述している解答も目立った。システム監査人の立場から，どのようなリスクを想定し，コントロールの適切性などをどのように確かめればよいと考えるか，経験と考えに基づいて，具体的に論述するように心掛けてほしい。
問1では，ユーザ部門がRPAを導入して業務処理を自動化する場合のリスクとコントロール及び監査手続を求めたが，システム部門やベンダ委託によるツール導入の一般的な開発，運用・保守の内容にとどまり，RPAの特徴を踏まえた論述になっていない解答が多かった。問題文の趣旨と設問の内容を踏まえて，論述してほしい。
問題本文
RPAツールを利用した業務処理の自動化に関する監査について
近年，少子高齢化に伴う労働人口の減少，働き方のニーズの多様化などの課題に対して，企業などには働き方改革の推進が求められている。また，広域災害，感染症拡大などの状況下において，テレワークの活用も広がっている。
このような中，RPAツール（以下，RPAという）を導入する事例が増えてきている。RPAを利用してソフトウェアロボット（以下，ロボットという）を開発することによって，これまでPC上で人手を介して行っていた一連の業務処理を自動化することができる。また，RPAには，自動化したい業務処理の操作を記録する機能のほか，標準的な部品なども用意されているので，ユーザ部門でもドラッグアンドドロップなどの比較的簡単な操作でロボットを開発することができるという特徴もある。
一方で，ユーザ部門は，情報システムの開発，運用及び保守には必ずしも精通しているわけではない。したがって，ユーザ部門がRPAを導入してロボットを開発する場合，例えば，自動化の対象とする業務処理の選定を誤ったり，テストパターンが不足したりするなどのおそれがある。また，開発したロボットの運用管理，改変対応などの，運用及び保守体制・ルールなどが明確でないことから，ロボットが正しく稼働しなくなることもある。
システム監査人は，このような状況を踏まえて，RPAを利用した業務処理の自動化において，ロボットの開発，運用及び保守に関わるリスクを低減するためのコントロールが適切に機能しているかどうかを確かめる必要がある。
あなたの経験と考えに基づいて，設問ア〜ウに従って論述せよ。
設問と解答・解説
設問ア
あなたが関係する組織において計画又は実施しているRPAを利用した業務処理の自動化において，その概要と期待される効果，ロボットを開発，運用及び保守するための体制を，800字以内で述べよ。
模範解答
模範解答は公表されていません。下の採点基準と解説から、解答に求められる要素を読み取ってください。
採点基準
- 17点: RPAの特徴（ユーザ部門での容易な開発など）を踏まえた業務概要、期待される効果、および開発・運用・保守体制が非常に具体的に記述されている。
- 8点: 3要素（自動化の概要・期待される効果・ロボットを開発，運用及び保守するための体制）のうち一つが欠けている、またはRPAの特徴を踏まえた具体性が不足している。
- 0点: 白紙、RPAを利用した業務処理の自動化を題材としていない、または3要素の大半が欠けている。
- 17点: 設問で求められている「概要」「効果」「体制」が全て網羅され、それぞれが矛盾なく論理的に構成されている。
- 8点: 要素の一部が欠落している、または要素間の関連が不明確である。
- 0点: 白紙、または論理構成が破綻している。
解説
本問は、RPA（Robotic Process Automation）を利用した業務処理の自動化において、システム監査人としてリスクを低減するためのコントロールとその監査手続を評価する能力を問う問題です。設問アでは、その前提となる対象業務の概要と体制について論述します。
高得点のポイント
- 対象業務の概要と効果の具体性: どのような業務をRPAで自動化したのか（または計画しているのか）を具体的に説明し、それによって得られる効果（作業時間削減、品質向上など）を明確に記述する。
- RPAの特徴を踏まえた体制: 一般的なシステム開発（システム部門やベンダ中心）ではなく、「ユーザ部門でもドラッグアンドドロップなどの比較的簡単な操作でロボットを開発することができる」というRPAの特徴を反映した開発・運用・保守体制（例：ユーザ部門が開発主体となり、システム部門がガイドラインや基盤を提供する体制など）を具体的に記述する。
- 設問の要求事項の網羅: 「自動化の概要」「期待される効果」「ロボットを開発，運用及び保守するための体制」の3つの要素を漏れなく記述する。
設問イ
設問アで述べた業務処理の自動化において，ロボットの開発，運用及び保守に関わるリスクを低減するためには，どのようなコントロールが必要か。リスクと関連付けて，700字以上1,400字以内で具体的に述べよ。
模範解答
模範解答は公表されていません。下の採点基準と解説から、解答に求められる要素を読み取ってください。
採点基準
- 11点: 開発、運用、保守の各段階に関するリスクと、それを低減する具体的なコントロールが明確かつ適切に記述されている。
- 5点: リスクとコントロールは記述されているが、内容が抽象的であるか、開発・運用・保守の一部段階に関する記述が不足している。
- 0点: リスクまたはコントロールの記述が不十分であるか、RPAの文脈に合致していない。
- 11点: 設問アの状況に即しており、提示されたリスクに対してコントロールが有効に機能するよう論理的に関連付けられている。
- 5点: 関連付けはされているが、設問アの状況との繋がりが薄い、またはリスクに対してコントロールが十分に対応しきれていない部分がある。
- 0点: リスクとコントロールが対応していない、または論理的な関連性が見られない。
- 11点: RPA特有のリスク（ユーザ部門開発等）を踏まえた、非常に具体的で実現可能・説得力のあるコントロールが提示されている。
- 5点: コントロールは提示されているが、一般的なシステム統制の域を出ず、RPA特有の事情に対する説得力にやや欠ける。
- 0点: 監査手続（設問ウの内容）を誤って記述している、またはコントロールの内容が非現実的で説得力がない。
解説
設問イでは、設問アで設定した状況を前提として、ロボットの「開発」「運用」「保守」の各段階に潜むリスクと、それを低減するためのコントロール（統制活動）を論述します。
高得点のポイント
- 全段階（開発・運用・保守）の網羅: 「開発段階」のリスクとコントロールだけでなく、「運用段階」および「保守段階」についても漏れなく記述する（採点講評で指摘されている一般的な誤答を避ける）。
- リスクとコントロールの明確な関連付け: どのようなリスクが存在し、それを防ぐ・発見するためにどのようなコントロールが必要なのかを、セットで具体的に記述する。
- RPA特有のリスクへの対応: 問題文にある「自動化の対象とする業務処理の選定を誤ったり」「テストパターンが不足したりする」「運用管理，改変対応などの，運用及び保守体制・ルールなどが明確でない」といった、RPA特有のリスク（野良ロボット化、属人化、誤動作など）に対する効果的なコントロール（例：開発標準の策定、ロボット台帳の管理、システム部門によるレビューなど）を具体的に記述する。
設問イでは，コントロールが具体的でなかったり，開発段階のリスクとコントロールだけを論述していたり，監査手続を論述していたりする解答が散見された。
設問ウ
設問イで述べたコントロールが適切に機能しているかどうかを確かめるための監査手続について，700字以上1,400字以内で具体的に述べよ。
模範解答
模範解答は公表されていません。下の採点基準と解説から、解答に求められる要素を読み取ってください。
採点基準
- 11点: 誰から、どのような資料を入手し、どのように確認するのか（閲覧、質問、突合など）といった監査手続が非常に具体的に記述されている。
- 5点: 監査手続は記述されているが、確認方法が「確認する」などの抽象的な表現に留まり、具体性にやや欠ける。
- 0点: 監査手続が記述されていない、または監査手続ではなく「実施結果」や「改善提案」が記述されている。
- 11点: 設問イで挙げた全てのコントロールに対して、それを検証するための適切な監査手続が漏れなく、かつ整合して記述されている。
- 5点: 設問イのコントロールに対応する監査手続が記述されているが、一部のコントロールに対する手続が抜けている、または対応関係が不明確である。
- 0点: 設問イのコントロールと全く関係のない監査手続が記述されている、または著しい矛盾がある。
- 11点: 客観的な監査証拠（文書、記録、ログなど）に基づき、コントロールの有効性を的確に判断できる実効性の高い監査手続となっている。
- 5点: 監査手続は妥当であるが、主に質問等に依存しており、客観的な証拠に基づく実効性の観点でやや説得力に欠ける。
- 0点: システム監査人としての客観的な視点が欠如しており、手続として成立していない。
解説
設問ウでは、システム監査人の視点から、設問イで提示したコントロールが「適切に機能しているかどうか」を確かめるための監査手続を論述します。
高得点のポイント
- 監査「手続」の具体的な記述: 「監査の手順」や「監査の結果（発見事項）」、「改善提案」を書くのではなく、「何を・どのような手段で（閲覧、質問、観察、突合など）確かめるか」という監査手続そのものを具体的に記述する。
- 設問イとの完全なリンク: 設問イで挙げた各コントロールに対して、それぞれが機能していることを検証するための手続が1対1、あるいは明確な対応関係をもって論理的に記述されている。
- 証拠の確かさ: 単に担当者に「質問する」だけでなく、「ロボット管理台帳と実際の稼働状況を突合する」「テスト結果報告書の承認印を閲覧する」など、客観的な監査証拠に基づく実効性のある手続を記述する。
また，設問ウでは，監査手続が具体的でなかったり，監査の手順や実施結果，改善提案の論述であったりする解答が目立った。