説明
国際組織がグローバル データ プライバシー ポリシーを展開しようとする場合、情報システム監査人が最も懸念するのは、現地の規制がポリシーと矛盾する可能性があることです。データ プライバシー規制は国や地域によって異なり、個人データの収集、処理、保存、転送、開示方法について異なる要件や矛盾する要件を課す場合があります。組織は、グローバル データ プライバシー ポリシーが、事業を展開する各管轄区域で適用される現地の規制に準拠していることを確認する必要があります。そうしないと、法的制裁や評判の低下に直面するリスクがあります。要件が不合理になる場合もありますが、これはコスト ベネフィット分析に基づいて行うべきビジネス上の決定であるため、情報システム監査人にとって大きな懸念事項ではありません。
このポリシーは既存のアプリケーション要件と矛盾する可能性がありますが、これは IS 監査人にとって深刻な懸念事項ではありません。これは、ポリシーに合わせてアプリケーションを変更または更新することで解決できます。ローカル管理者がポリシーを受け入れない場合もありますが、これは IS 監査人にとって重大な懸念事項ではありません。これは、ポリシーとその利点に関する適切なトレーニングと認識を提供することで軽減できます。参考資料:
CISA レビューマニュアル、第 27 版、406-4071 ページ
CISA レビューの質問、回答、説明データベース、質問 ID: 2592

法務部門によるレビューを受けていないサードパーティ契約は、クライアントに重大な法的および財務上のリスクをもたらすため、監査人の最大の懸念事項です。サードパーティ契約は、クライアントとアウトソーシングされた給与計算プロバイダーの間で締結される法的拘束力のある契約であり、サービスの範囲、条件、および条件を定義します。サードパーティ契約は、適用される法律や規制に準拠していること、クライアントの利益と権利が保護されていること、および両当事者の役割と責任が明記されていることを確認するために、法務部門によるレビューを受ける必要があります。法務部門によるレビューを受けていないサードパーティ契約には、クライアントにとって不利、曖昧、または矛盾する条項が含まれている場合があります。たとえば、次のようになります。
* 給与計算サービスの品質、適時性、正確性を指定していない、不十分または不明確なサービス レベル契約 (SLA)。
* セキュリティおよび機密保持規定が不十分または曖昧で、クライアントのデータや情報が不正アクセス、使用、開示、紛失から保護されていない。
* 顧客に過度の経済的負担を課す可能性のある、不当または過剰な料金、罰金、または負債。
* 監査権が制限されているか、またはまったくないため、クライアントが給与計算プロバイダーの内部統制の有効性とコンプライアンスを検証できない可能性があります。
* 柔軟性に欠ける、または制限的な解約条項により、クライアントが解約したり、別の給与計算プロバイダーに切り替えたりする能力が制限される可能性があります。
法務部門によるレビューを受けていないサードパーティ契約は、クライアントを次のようなさまざまなリスクにさらす可能性があります。
* 契約違反やパフォーマンスの問題をめぐる給与計算プロバイダーとの法的紛争または訴訟。
* 給与計算に関連する税金、労働、その他の法律や規制に違反した場合の規制上の罰金または制裁。
* 給与計算プロバイダーによるエラー、詐欺、または過失による金銭的損失または損害。
* 給与計算の誤りや遅延による評判の失墜や顧客の不満。
したがって、情報システム監査人は、法務部門によってレビューされていないサードパーティ契約について非常に懸念し、アウトソーシングされた給与計算プロバイダーとの契約に署名または更新する前に、クライアントに法律相談を求めることを推奨する必要があります。
顧客がユーザー アクセス権を定期的に確認していないことは、給与システムに対する適切なアクセス制御が欠如していることを示している可能性があるため、中程度の懸念事項です。ユーザー アクセス権とは、給与システム内のデータや情報にアクセス、表示、変更、または削除するためにユーザーに付与される権限です。顧客はユーザー アクセス権を定期的に確認し、ユーザーの役割と責任に合致していること、およびユーザーが役割を変更したり組織を離れたりしたときに取り消されたり変更されたりしていることを確認する必要があります。
クライアントによって定期的に確認されていないユーザー アクセス権があると、給与データや情報への不正アクセスや不適切なアクセスが発生する可能性があり、機密性、整合性、可用性が損なわれる可能性があります。
給与処理コストが IT 予算に含まれていない場合、給与処理のための IT リソースの適切な計画と割り当てが不足している可能性があるため、それほど大きな問題ではありません。給与処理コストとは、手数料、料金、税金、罰金など、アウトソーシングされた給与サービスを使用することでクライアントが負担する費用です。給与処理コストは、適切に見積もられ、監視され、管理されるように、IT 予算に含める必要があります。給与処理コストが IT 予算に含まれていない場合、給与処理に予期しないコストや過剰なコストが発生し、クライアントの収益性とキャッシュ フローに影響する可能性があります。
サードパーティ契約がベンダー管理ポリシーに準拠していないことは、クライアントのベンダー管理ポリシーと実際のベンダー選択および評価プロセスが一致していないことを示している可能性があるため、懸念度は低いです。ベンダー管理ポリシーは、ベンダーの選択、監視、評価、および終了方法など、クライアントがベンダーとの関係を管理する方法を規定する一連のガイドラインと手順です。ベンダー管理ポリシーは、クライアントのビジネス目標、リスク許容度、および規制要件と一致している必要があります。サードパーティ契約がベンダー管理ポリシーに準拠していないと、ベンダーのパフォーマンスやサービス品質が最適ではなくなる可能性がありますが、必ずしも契約違反や法律違反を意味するわけではありません。

報告されたインシデントの数。インシデント管理は、インシデントが特定され、調査され、根本原因が特定され、再発を軽減するための制御が実施されることを保証することです。重大なインシデントが特定され、報告されなければ、迅速な解決は重要ではありません。

セクション: 情報システムの取得、開発、実装
説明/参照:
タイムボックス管理は、ソフトウェアの定義と展開のためのプロジェクト管理手法です。
比較的短く固定された期間内に、事前に決められた特定のリソースを使用して成果物を作成します。
ソフトウェアの品質と納期要件をバランスよく満たす必要がある。
プロジェクトマネージャーはある程度の柔軟性を持ち、裁量権を使ってプロジェクトの範囲を決定します。
タイムボックス管理は、プロトタイピングやRAPIDアプリケーションを実現するために使用できます。
主要な機能を短期間で提供する開発タイプ。
誤った回答は次のとおりです。
クリティカルパス法 - クリティカルパス法（CPM）は、一連のプロジェクトをスケジュールするためのアルゴリズムです。
活動
ガントチャート - ガントチャートは、1910年代にヘンリー・ガントが開発した棒グラフの一種で、
プロジェクトスケジュール。ガントチャートは、ターミナル要素の開始日と終了日、および概要を示します。
プロジェクトの要素。ターミナル要素と要約要素は作業分解構造を構成する。
プロジェクトの。現代のガントチャートでは依存関係（つまり、優先順位ネットワーク）関係も表示されます。
ガントチャートは、進捗率を使用して現在のスケジュール状況を表示するために使用できます。
ここに示すように、陰影と垂直の「TODAY」線が表示されます。
機能ポイント分析 - 機能ポイント分析（FPA）は、ISO認定の測定方法です。
情報システムの機能的規模。機能的規模は、情報システムで実現される機能の量を反映している。
ビジネスにおいてユーザーに関連し、認識されるものである。これは、ビジネスで使用されるテクノロジーとは無関係である。
システムを実装します。
この質問を作成するために、以下の参考資料が使用されました:
CISA レビューマニュアル 2014 ページ番号 154