経営戦略・システム監査・法務

経営戦略の策定では、内外環境の分析フレームワークが午前問題で繰り返し出題される。SWOT分析は自社の強み(Strength)・弱み(Weakness)と外部環境の機会(Opportunity)・脅威(Threat)を整理する手法である。ポーターの競争戦略論からは、業界の収益性を新規参入の脅威・代替品の脅威・買い手の交渉力・売り手の交渉力・既存競合者間の敵対関係の五つの力で分析するファイブフォース分析、事業活動を主活動と支援活動に分解して付加価値の源泉を特定するバリューチェーン分析、コストリーダーシップ・差別化・集中の三つの基本戦略が問われる。アンゾフの成長マトリクスは製品と市場をそれぞれ既存・新規の2軸で分け、市場浸透・市場開拓(新規市場×既存製品)・製品開発(既存市場×新規製品)・多角化の四つの成長戦略に分類する。各フレームワークの軸の名称と象限の対応は、選択肢の入替えに耐えられる精度で暗記する必要がある。

プロダクトポートフォリオマネジメント(PPM)はボストンコンサルティンググループが提唱した手法で、市場成長率と相対的市場占有率の2軸により事業を花形・金のなる木・問題児・負け犬に分類する。市場成長率が低く占有率が高い「金のなる木」は追加投資を抑えて資金の供給源とし、その資金を「問題児」に投入して「花形」への育成を狙うのが定石である。バランススコアカード(BSC)はキャプランとノートンが提唱し、財務・顧客・内部ビジネスプロセス・学習と成長の四つの視点で戦略目標と業績評価指標を結び付ける。関連用語として、最終目標の達成度を測るKGI(重要目標達成指標)、その達成過程を定量的に測るKPI(重要業績評価指標)、目標達成に決定的な影響を与えるCSF(重要成功要因)の区別が頻出である。顧客関係の強化を図るCRM、供給連鎖全体を最適化するSCM、経営資源を統合管理するERPといった経営管理システムの目的の違いも定番の出題である。

システム監査は、専門性と独立性を備えたシステム監査人が、情報システムに係るガバナンス・マネジメント・コントロールを点検・評価・検証し、保証を与え又は助言を行う活動である。実務上の拠り所は経済産業省の「システム監査基準」と「システム管理基準」(いずれも令和5年改訂)であり、前者は監査人の行為規範、後者は監査上の判断尺度を与える。システム監査人には、被監査部門から身分上独立していること(外観上の独立性)と、公正かつ客観的な立場で判断すること(精神上の独立性)の双方が求められる。監査の実施は、監査計画の策定後、予備調査で監査対象の実態を把握し、本調査でチェックリスト法・ドキュメントレビュー法・インタビュー法などの監査技法によって監査証拠を入手し、評価・結論へと進む。監査の実施記録である監査調書は、監査の結論の合理的な裏付けとして体系的に整理・保存しなければならない。

システム監査人は、監査報告書に監査の概要・指摘事項・改善提案(改善勧告)を記載して監査の依頼者に提出し、報告後は改善提案に対する改善の実施状況を確認して改善を促進するフォローアップを行う。ここで改善の実施そのものは被監査部門の責任であり、監査人が自ら改善を実施すると独立性を損なうという点がひっかけとして頻出である。内部統制については、金融商品取引法(24条の4の4)に基づく内部統制報告制度(いわゆるJ-SOX)により、上場会社は財務報告に係る内部統制を経営者が評価し報告する義務を負う。内部統制の基本的要素は統制環境・リスクの評価と対応・統制活動・情報と伝達・モニタリング・ITへの対応の六つであり、ITへの対応はIT全般統制とIT業務処理統制に区分される。職務の分離による相互牽制や監査証跡(ログ)の確保といった統制の具体例も午後問題を含めて問われる。

知的財産権では著作権法と特許法の保護対象の違いが最頻出である。著作権法上、プログラムは著作物として保護されるが、プログラム言語・規約(プロトコル)・解法(アルゴリズム)は保護対象外である(著作権法10条3項)。法人の発意に基づき従業員が職務上作成するプログラムの著作者は、契約や勤務規則に別段の定めがない限り法人となる(15条2項・職務著作)。保護期間は原則として著作者の死後70年、法人著作は公表後70年である。特許法上の発明は「自然法則を利用した技術的思想の創作のうち高度のもの」と定義され、職務発明(35条)は契約や勤務規則により特許を受ける権利をあらかじめ使用者に帰属させることができる。不正競争防止法は、秘密管理性・有用性・非公知性の三要件を満たす営業秘密の不正な取得・使用・開示を禁止し、限定提供データの保護も規定する。新規性・進歩性は特許の登録要件であり、営業秘密の要件と混同させる出題に注意する。

セキュリティ関連法規では、不正アクセス禁止法が、他人の識別符号(ID・パスワード)を無断で入力してアクセス制御機能を回避する行為に加え、他人の識別符号の不正取得・不正保管、フィッシングサイトの開設、識別符号を無断で第三者に提供する助長行為までを処罰対象とする点を押さえる。刑法168条の2以下の不正指令電磁的記録に関する罪(いわゆるウイルス作成罪)は、正当な理由なくマルウェアを作成・提供・供用する行為を処罰する。個人情報保護法は令和2年改正(2022年4月全面施行)により、要配慮個人情報の漏えいや1,000人を超える漏えい等、個人の権利利益を害するおそれが大きい事態が生じた場合の個人情報保護委員会への報告と本人への通知が法的義務となり(現行法26条)、仮名加工情報の制度も導入された。令和3年改正では官民の制度が一元化されている。復元・識別可能性の異なる仮名加工情報と匿名加工情報の区別、サイバーセキュリティ基本法の目的も出題実績がある。

労働・取引関連法規では、システム開発の外部委託における契約形態の理解が問われる。請負契約(民法632条)では受託者が仕事の完成義務を負い、成果物の種類・品質が契約の内容に適合しない場合には契約不適合責任(2020年施行の民法債権法改正により瑕疵担保責任から再構成)を負う。準委任契約(民法656条)では受託者は善管注意義務(644条)の下で事務を処理し、完成義務は負わないが、改正民法では成果完成型の報酬方式(648条の2)も明文化された。労働者派遣では雇用関係は派遣元と労働者の間にあり、業務上の指揮命令は派遣先が行う。請負・準委任で発注者が受託者の労働者を直接指揮命令すると偽装請負として労働者派遣法等に抵触する。このほか、受託中小事業者への代金支払遅延等を規制する下請法(令和7年改正により2026年1月から中小受託取引適正化法へ改組)、労働基準法の裁量労働制、製造物責任法(PL法)、独占禁止法、シュリンクラップ契約等のソフトウェア取引も出題されている。