令和4年度 秋期 システム監査技術者試験 午前Ⅱ 問1

解説

IT関連のデューデリジェンスとは，企業買収・合併（M&A）などの重要な意思決定を行う際に，対象企業の情報システムの価値やリスクを事前に調査・評価することです。システムの老朽化度合いや技術的負債，ライセンス契約の状況，セキュリティ上の脆弱性などを把握し，買収価格の算定や統合計画に反映させる目的で実施されます。日常業務プロセスの信頼性確保やセキュリティリスクマネジメントの構築，個人情報保護法令の遵守確保は，いずれも通常の情報システム管理・内部統制の枠組みで継続的に行われる活動であり，デューデリジェンスそのものの説明ではありません。

選択肢ごとの解説

• ア正しい。企業買収などの重要な判断を行う場合に，買収などの対象となる企業の情報システムの価値やリスクを評価することが，情報システムを対象としたデューデリジェンスです。
• イ誤り。情報システムの入力，処理など日常業務プロセスの信頼性を確保することは，業務処理統制など通常のシステム運用管理の目的であり，デューデリジェンスの説明ではありません。
• ウ誤り。情報セキュリティに係るリスクマネジメントを構築することは，ISMSなどの継続的な管理活動であり，買収時などに限定して実施されるデューデリジェンスとは異なります。
• エ誤り。データにおける個人情報保護などの法令遵守を確保することは，コンプライアンス管理の一環であり，デューデリジェンスそのものの定義ではありません。