5.2運用・保守の統制評価

システムは稼働後こそ長期間運用され、日々のジョブ実行・プログラム変更・障害対応・バックアップが継続します。監査人は、これらの運用・保守プロセスにコントロールが整備され、記録（証跡）が残り、実際に運用されているかを評価します。特に、緊急対応の名のもとに承認や記録を省いた変更が横行していないか、バックアップが取得されるだけでなく復旧できることが検証されているかといった、運用現場で形骸化しやすい統制の実効性を、証跡を証拠として確かめる視点が問われます。

5.2.1運用・保守の主要統制

• 変更管理＝本番環境へのプログラム／設定変更を、要求→影響分析→承認→テスト→適用→記録という手順で統制する仕組み。監査人は変更要求書と承認証跡を証拠として査閲し、承認を経ない変更（無統制変更）が本番に反映されていないかを評価する。緊急変更についても、事後でよいので承認・記録の手続が定められ、実際に運用されているかを確かめる。
• 構成管理＝ハードウェア・ソフトウェア・設定の構成情報を正確に把握・維持する統制。監査人は構成情報が実態と一致しているか（台帳と現物の突合）を確かめ、不整合があれば発見統制の欠如や運用の形骸化を疑う。ジョブ管理＝バッチジョブの実行スケジュール・依存関係・異常終了時の再実行手順が定義され、実行結果（ログ）が監視されているか。
• インシデント管理＝障害の検知・記録・対応・再発防止を統制する仕組み。監査人はインシデント記録が漏れなく残り、重大度に応じたエスカレーションと恒久対策が実施されているかを評価する。バックアップ＝データの定期取得だけでなく、取得したバックアップから実際に復旧できることの検証（リストアテスト）と、遠隔地保管等の設計が重要。