開発その１（システムライフサイクルの監査）

システムライフサイクルの監査／開発／設計／
システムライフサイクルの監査／開発／プログラミング／
システムライフサイクルの監査／開発／テスト／

今回はシステムライフサイクルの「開発」のチェックリスト作成に挑戦します。チェックの観点は「ここから始めるIT監査」（社団法人日本内部監査協会編）によるものです。開発の構成は、

1. 設計
2. プログラミング
3. テスト
4. 移行
   
5. プロジェクト・マネジメント

となっています。今回は１．設計と２．プログラミング、３．テストについてチェックリストの作成に挑戦します。

  必要な統制

1. 要求仕様書
2. プログラム仕様書
   
3. プログラミングルール
   
4. テスト仕様書
5. 障害記録

  チェックリスト

1. 設計
1. 入出力仕様、業務処理仕様、セキュリティ仕様、障害・災害対策の検討は、ユーザー要件に基づいて行われているか
• 仕様検討の会議の記録から、入出力仕様、業務処理仕様、セキュリティ仕様、障害・災害対策の検討にユーザー部門の参加があることを確認
2. ピーク時のデータ量を想定した処理時間や応答時間が考慮されているか
• 要求仕様書に、データ量の想定や達成すべき処理時間・応答時間が記載されていることを確認
  
3. 関連するシステムの間のインターフェース、サブシステム間の整合性に関して検討が行われているか
• 要求仕様書に、関連するシステムに関する事項が掲載されていることを確認
  
4. 障害・災害発生時の代替機能、復旧時間、復旧手順・復旧作業等の、障害・災害対策の検討がされているか
• 要求仕様書に、障害・災害発生時の対策と対応基準について記載されていることを確認
  
5. システム設計の成果物が明確になっており、内容について、関係部門によるレビューが行われているか
• プログラム仕様書に、予定成果が記載されていることを確認
• ヒアリング等で関係部門が予定成果について認識していることを確認
  
2. プログラミング
1. プログラミングは定められた標準にしたがって行われているか
• プログラミングルールが存在していることを確認
• 開発部門のミーティング記録からプログラミングルールの確認が行われていることを確認
  
2. プログラム仕様書に基づき、プログラミング内容のレビューが行われているか
• 開発部門のミーティング記録からプログラミング内容のレビュー実施を確認
  
3. プログラム・テストの予想結果は事前に明らかにされているか
• テスト仕様書にプログラムテストの予想結果が記載されていることを確認
  
4. プログラム・テスト・ケースは網羅的に作成されているか
• プログラム・テスト・ケースの選定基準を確認
  
3. テスト
1. ユーザーを含めたテスト体制・役割・テスト・スケジュール、テスト実施項目は明確にされているか
• テスト仕様書に、ユーザーテストの仕様が記載されていることを確認
  
2. テスト結果の検証方法が明確にされているか
• テスト仕様書に、テスト結果の検証方法が記載されていることを確認
  
3. テストの実施には、ユーザーが参加し、ユーザーによるテスト結果の検証が行われているか
• 開発部門のミーティング記録からユーザーの参加と結果検証の実施を確認
  
4. テストで発生した障害は、速やかに原因が分析されているか、また、記録されているか
• 開発部門で管理する障害の記録を確認
  

開発の監査について、監査人にプログラミングそのものの知識を求めるべきではないと思いますが、ソフトウェアの開発工程に関する知識は必要だと思います。