(1/2)システム監査に関連する資格は複数ある。システム監査を実施する人員確保という面から、それぞれの資格の特徴を考察してみよう。▼公認システム監査人2004年1月から5回にわたり、「システム監査入門」という連載を行ってきました。その中で、組織体経営における情報システムの重要性の高まりに応じて、システム監査の導入・実施の必要性が増しているというお話しをしました。システム監査は任意監査であり、導入・実施は組織体の長の意思決定によりますが、組織体が今後置かれるであろう環境を考えたとき、避けては通れません。任意監査ということは、極端な話、誰が実施しても構いません。はいっても、システム監査の実施には高い専門能力が求められ、実際には誰でもできるというものではありません。外部の専門家にシステム監査を依頼するとき、どのような基準で依頼する人を選定したらよいのでしょうか?システム監査に関するいくつかの資格がありますが、それぞれの資格の概要・特徴と併せて、システム監査を効果的に実施するための人材育成・活用の在り方について整理します。システム監査関連資格のいろいろシステム監査技術者システム監査に関連した資格の代表といえるのが、「システム監査技術者」です。センターが行っています。「システム監査技術者試験」は、その試験体系の一部を構成しています。さまざまな役割・レベルの情報化人材を育成・評価する試験制度であり、図1の体系からも分かるように、システム監査技術者は開発・運用側と利用側の双方から独立した立場(システム監査人の客観性の保証)に位置付けられています。システム監査人を育成するプロセスとして、ITの経験者に監査スキルを身に付けさせる、監査の経験者にITのスキルを身に付けさせるという2つがありますが、前者の方が短期間で一定レベルのシステム監査人を育成できます。おける情報化人材のキャリアパスが示されており、前述したシステム監査技術者の育成プロセスに対応しています。「システム監査技術者試験」の詳細については、試験センターのWebサイトをご参照ください。試験は年1回4月に行われ、選択式の午前問題、記述式の午後?問題、論述式の午後?問題を1日で試験します。合格率は6?7%とかなりの難関であり、合格者の平均実務経験は10年以上、平均年齢は30歳代後半となっています。先のキャリアパスが示されていることもあり、受験者・合格者の大半はIT部門で経験を積んできた人たちになっています。Association)が認定している民間資格です。先の「システム監査技術者試験」がIT分野で活動してきた人がシステム監査人になることを想定した資格であるのに対し、CISAはどちらかというと、監査法人などで監査の仕事をしてきた人に、一定のIT知識を身に付けさせ、システム監査ができる人材を育成し認定することに目的を置いた制度といえます。CISA資格を取得するためのプロセスは、次のような形になっています。CISA試験の詳細についてはISACA東京支部のWebサイトをご参照ください。CISA試験は全世界共通の試験で、年1回6月に実施されます。日本で受験する場合には、日本語に翻訳された問題で受験することができます。4時間で選択式の問題200問に解答するという試験であり、試験分野は次のようになっています。内容IS監査プロセス組織のITおよび業務システムが適切にコントロール、モニター、評価されていることを確認するため、一般に受け入れられたIS監査標準やガイドラインに従ってIS監査を行うプロセスを評価する。ISの管理、計画および組織ISの管理、計画、組織に関わる戦略、ポリシー、スタンダード、手続、および関連する実践内容を評価する。組織の技術上、運営上のインフラが適切に組織の業務目的をサポートすることを確認するため、その導入および継続的管理の効果と効率を評価する。情報資産が許可なしに使用、開示、変更されたり、損傷、損失を受けないように保護するための組織上の業務用件を満たすことを確認するため、論理的、環境上の、およびITインフラ関連のセキュリティを評価する。災害時の業務オペレーションと情報処理の継続に関する文書化され、伝達され、テストされた計画を策定し維持するためのプロセスを評価する。方法論とプロセスについて評価する。業務プロセス評価およびリスク管理リスクが組織の業務目的に従って管理されることを確認するため、業務システムとプロセスについて評価する。選択式のみの試験ということもあり、合格率は60%近く、「システム監査技術者試験」に比べたら、はるかに合格しやすい試験といえます。CISA試験合格後の認定申請についても、ISACA東京支部のホームページで詳細を確認してください。CISAには認定を受けた後の継続教育が義務付けられており、毎年、一定時間の継続教育を受けたことをISACAに報告し承認を受けないと、資格を維持することができません。研究・普及などを目的に活動を行っています。内部監査の啓もう・普及活動の一環として、定められた講習を受け、定められた認定基準(論文審査)をクリアした人に「内部監査士」の資格を付与しています。試験ではなく講習と論文によって認定を受けられる資格であり、取得することは難しくありません。個人で取得するというケースは少なく、組織体が内部システム監査人育成のための教育の一環として活用しているケースがほとんどです。システム監査人育成プロセスでいうと、監査の専門家にITの知識を持たせることでシステム監査人を育成するプロセスに対応しています。Webサイトをご参照ください。先に国家試験としての「システム監査技術者試験」について述べましたが、「システム監査技術者試験」に合格した人がすぐにシステム監査を実践できるかというと、大部分の人はできません。いうのは、「システム監査技術者試験」の項でも触れましたが、この試験区分は情報化人材の最上位レベルに位置付けられており、情報システムの仕事をしてきた人の最終キャリアパスとして考えられているからです。合格者の多くが、情報システムの経験は豊富ですがシステム監査は実施したことのない人たちです。「システム監査技術者試験」は一度合格してしまえば、その後の継続教育などのフォローがなく、合格者がシステム監査を実施できる能力・知識を維持しているかどうかは判断できません。検討が行われ、平成11年6月の中間報告で次のような答申が出されました。平成11年6月中間報告システム監査人がユーザ(この場合、システム監査をうけようとするものを指す)の信頼を得るためには、単なる知識等に習熟するのみならず、実践的監査経験を積むことが重要である。(システム監査技術者試験)に合格した上で、一定の有効な実務経験を積んだことを確認することにより、システム監査人として認定する制度の創設を検討する。出典:日本システム監査人協会この答申を受けて、日本システム監査人協会が制度化し、現在運営を行っているのが「公認システム監査人制度」です。中で、システム監査の実践能力・経験があると認められる人に認定を与える制度です。一度認定を受けた後も、実践能力の維持および新しい知識の修得のために、継続教育を義務付けています。なく、認定要件は厳しくなりますが、CISAやITコーディネータなどの資格者も対象としています。広告に関するお問い合わせメールマガジンSpecialインデックスRSSfacebooktwitter利用規約ITmediaはアイティメディア株式会社の登録商標です。