システム監査のノート

• ネット証券会社E社
  • 近年システム障害が多発している　←　障害低減に向けて取り組みをしているが改善が進まない

　　⇒　システム障害の再発防止について監査を実施することになった

1. 利用者が障害を発見したらヘルプデスクへコール
2. ヘルプデスクが障害ＤＢを検索し、解決できるならば回答しておわり。

1. 利用者が障害を発見したらヘルプデスクへコール
2. ヘルプデスクが障害ＤＢを検索し、解決できない
   1. 問題の切り分けができる場合は各チーム（HWチーム、NWチーム、APチーム）へコール
   2. 判断がつかない場合は「監視チーム」へコール　⇒　監視チームにて判断し該当のチームへコールする
3. 該当のチームにて障害対応が完了したら、

• システム障害報告書の作成
• 監視チームとヘルプデスクへ完了報告を実施

• 月次ミーティングで報告を行う
  • 原因分析、再発防止策の適切性などを協議する

　　　　↓
ミーティングの結果を受けて責任者の承認のうえ対策は実施される
※効果測定の結果確認も、その後の月次ミーティングで実施する

（ア）システム障害が漏れなく障害報告書にきさいされていること
　　　↓
予備調査の結果から、
報告書に記載のない障害が存在しうる。＝　障害が保守チームに報告されずに対応が完了したケース


（イ）システム障害報告書の記載項目/内容が必要かつ十分であること
（オ）再発防止策が承認後に実施されていること
　　　↓
（イ）の報告書について必要な記載項目が足りない可能性がある

• 承認を行った日付
• 防止策を実際に行った日付

　　　↓

月次ミーティングの議事録で開催日と出席者を確認する。
さらにパッチ適用のシステム日付と比較し、時系列に問題ないか確認する

（ウ）防止策検討にあたり、原因分析の結果が十分かつ妥当か

サンプリングした報告書には、障害発生の根本原因が示されていない

• 「障害が発生していないので対応しなくてよいと判断した」と記載されている

　　　　↑
根本原因とはいえないので、この判断根拠を確認する必要がある
　　　　↓

システム担当者にインタビューして最新パッチを適用しなかった理由を確認する

現在の実施要領では対応ができない、あるいは遅れるケースがありえる。
⇒

緊急性を要するものなど、再発防止策を月次ミーティング前に実施しなければならないケース