変更管理とは？

変更管理の意味

システムやサービスへの変更を、申請・影響評価・承認・実施・記録という手続に載せて統制するプロセス。承認されていない変更が本番環境へ入らないことを保証する、IT全般統制の中核。

変更管理の具体例

変更申請書に影響範囲とテスト結果、切り戻し手順を記載し、責任者の承認を得てから所定の手順でリリースする。

変更管理は試験でどう引っ掛けられる？

緊急変更も統制の対象。事後でよいので必ず申請・承認の記録を残す運用になっているかが監査の要点。

変更管理と関連する用語

• リリース及び展開管理
• 構成管理
• IT全般統制

変更管理が出た過去問

• ITILで定義されるサービスのライフサイクルにおける,サービストランジション段階の説明はどれか。

  正解：規定された要件と制約に沿って,サービスを運用に移行し,確実に稼働させることである。

  要点：サービストランジションは設計済みサービスを本番へ移行し稼働させる段階

  ITILのライフサイクルは、サービスストラテジ、サービスデザイン、サービストランジション、サービスオペレーション、継続的サービス改善で構成される。このうちサービストランジションは、設計されたサービスを本番環境へ移行し、要件と制約を満たした状態で確実に稼働させる段階である。変更管理やリリース管理、構成管理といったプロセスがここに属する。

  出典：平成28年度 春期 システム監査技術者試験 am2 問11（IPA）

• 固定資産管理システムに係るIT全般統制はどれか。

  正解：会計基準や法人税法などの改正を調査した上で,システムの変更要件を定義し,承認を得る。

  要点：IT全般統制は開発・変更・運用など業務処理統制の土台となる統制

  IT全般統制は、業務処理統制が有効に働くための土台となる統制で、システムの開発・変更管理、運用管理、アクセス管理、外部委託管理などが該当する。法改正を受けてシステムの変更要件を定義し承認を得る行為は変更管理の一環であり、IT全般統制に位置付けられる。個々の入力値の妥当性確認や照合作業は業務処理側の統制である。

  出典：平成29年度 春期 システム監査技術者試験 am2 問9（IPA）

• 固定資産管理システムに係るIT全般統制として,最も適切なものはどれか。

  正解：会計基準や法人税法などの改正を調査した上で,システムの変更要件を定義し,承認を得る。

  要点：IT全般統制は開発・変更管理など業務処理統制の土台を成す

  IT全般統制は、業務処理統制が有効に機能するための土台となる統制で、開発・変更管理、運用管理、アクセス管理、外部委託管理などが該当する。法改正を踏まえてシステムの変更要件を定義し承認を得る行為は変更管理そのものであり、IT全般統制に位置付けられる。個々の入力値の突合や実地照合は業務レベルの統制である。

  出典：令和1年度 春期 システム監査技術者試験 am2 問7（IPA）

• 固定資産管理システムに係るIT全般統制として、最も適切なものはどれか。

  正解：会計基準や法人税法などの改正を調査した上で、システムの変更要件を定義し、承認を得る。

  要点：変更管理など基盤を支える統制が全般統制、個別処理の担保は業務処理統制

  IT全般統制は個々の取引処理そのものではなく、業務処理統制が有効に機能する基盤を支える統制を指す。法改正を踏まえて変更要件を定義し承認を得るという手続は、プログラム変更管理の一環であり全般統制に当たる。一方、耐用年数入力時の突合、振替仕訳の起票、登録情報と棚卸結果の照合は、いずれも個別の取引処理の正確性を確保する業務処理統制である。

  出典：令和3年度 秋期 システム監査技術者試験 am2 問10（IPA）

• 金融庁“財務報告に係る内部統制の評価及び監査に関する実施基準（令和元年）”に基づき、今年度改修した“自動化されたITに係る業務処理統制（ITAC）”の整備状況が…

  正解：ITに係る全般統制が有効である。

  要点：IT全般統制が有効なら自動化統制は反復性が担保され評価を簡素化できる

  自動化された業務処理統制は、プログラムが変更されない限り同じ処理を繰り返すため、一度有効性を確かめれば結果が安定する。ただしこの前提が成り立つのは、プログラム変更管理やアクセス管理といったIT全般統制が有効に機能し、無断の変更が起きないことが担保されている場合に限られる。したがって全般統制が有効であることが、評価作業を簡素化できる条件となる。

  出典：令和4年度 秋期 システム監査技術者試験 am2 問10（IPA）