インシデント管理と問題管理はどう違うの。SLAって誰と誰の約束。監査人はなぜ独立していないといけない。サービスマネジメントや監査の用語で、こう迷ったことはありませんか。
結論から言えば、サービスマネジメント・システム監査は「暗記の方向さえ定まれば、短時間で得点を伸ばせる分野」です。応用情報技術者試験の午前では、マネジメント系の出題としてこの分野から毎回数問が問われます。午後でも「サービスマネジメント」や「システム監査」が選択問題のテーマになり、運用手順や監査の指摘事項を題材にした長文が出ます。午前で用語の役割分担を整理しておくと、午後の事例問題で「何が問題か」を素早く判断できます。
頻出テーマは、ITILとITサービスマネジメント、SLA/SLM、インシデント管理と問題管理の違い、変更・リリース・構成管理、サービスデスク、可用性とキャパシティ管理、ファシリティマネジメント、そしてシステム監査の手順・監査人の独立性・内部統制・BCP/BCMです。つまずきやすいのは、「サービスを早く復旧させる」インシデント管理と「再発の根本原因をなくす」問題管理の取り違え、そして監査人は被監査部門から独立していなければならないという原則です。それぞれの役割を「目的の違い」で押さえられているかを、ここで確かめましょう。
応用情報レベルで問われやすいテーマを10問に集めました。正解できなかった設問は、各設問の解説からたどれるリンクでサービスマネジメントや監査の記事に進んで補強を。
Q1. ITILが示すITサービスマネジメントの基本的な考え方として、もっとも適切なものはどれですか？
回答
解説
正解は「C」です。
ITILは、ITサービスの提供・運用に関するベストプラクティス（成功事例）を体系的にまとめたものです。ITサービスマネジメントは、利用者の視点に立ってサービスの品質を測り、継続的に維持・改善していく活動であり、ITILはその進め方の手引きとして使われます。
A は特定ツールの規格とする誤り、B は利用者満足を対象外とする誤り、D は見直さず固定運用するとする誤りであり、いずれも継続的改善を重視するITILの考え方に反するため適切ではありません。
Q2. サービスレベル合意（SLA）とサービスレベル管理（SLM）の関係の説明として、もっとも適切なものはどれですか？
回答
解説
正解は「A」です。
SLA（サービスレベル合意）は、提供するサービスの品質水準（稼働率や応答時間など）を、提供者と利用者の間で合意した取り決めです。SLM（サービスレベル管理）は、そのSLAで定めた水準を達成できているかを継続的に監視・評価し、未達があれば原因を分析して改善につなげる管理活動です。「合意（SLA）を結び、達成度を管理（SLM）する」という関係で整理できます。
B はSLAを社内手順書とする誤り、C はSLMが測定しないとする誤り、D は料金請求だけを定めるとする誤りであり、いずれも適切ではありません。
Q3. インシデント管理と問題管理の違いの説明として、もっとも適切なものはどれですか？
回答
解説
正解は「D」です。
インシデント管理は、サービスの中断や品質低下をできるだけ早く回復させることを目的とします。根本原因が分からなくても、回避策による暫定復旧でまずサービスを戻すのが特徴です。一方問題管理は、インシデントの背後にある根本原因を究明し、恒久対策によって再発を防ぐことを目的とします。「まず復旧（インシデント管理）、その後に原因究明（問題管理）」と整理すると分かりやすいです。
A はインシデント管理と問題管理の目的が逆、B は両者を同一とする誤り、C は要求受付や請求と混同した誤りであり、いずれも適切ではありません。
Q4. 変更管理・リリース管理・構成管理（CMDB）の役割分担の説明として、もっとも適切なものはどれですか？
回答
解説
正解は「B」です。
変更管理は、変更がサービスに与える影響を評価し、実施の可否を承認する活動です。リリース管理は、承認された変更を本番環境へ計画的に展開（リリース）し、確実に稼働させる活動です。構成管理は、ハードウェアやソフトウェアなどの構成要素（CI）とその関係を構成管理データベース（CMDB）で正確に維持する活動です。「承認（変更管理）→展開（リリース管理）→情報の維持（構成管理）」という分担で整理できます。
A は変更管理が承認を担わないとする誤り、C は変更管理とリリース管理の役割が逆、D は構成管理を暫定復旧と混同した誤りであり、いずれも適切ではありません。
Q5. サービスデスクとその組織形態に関する説明として、もっとも適切なものはどれですか？
回答
解説
正解は「C」です。
サービスデスクは、利用者からの問い合わせや障害連絡を受け付ける単一の窓口（SPOC）として機能します。組織形態には、利用者の近くに置くローカルサービスデスク、1か所に集約する中央サービスデスク、担当者が地理的に離れていても通信網で結んで1つの窓口のように運用するバーチャルサービスデスクなどがあります。
A は開発部門とする誤り、B はローカル型の説明がバーチャル型の内容になっている誤り、D は中央型の説明が分散・非共有になっている誤りであり、いずれも適切ではありません。
Q6. システムの可用性を表す稼働率と、MTBF（平均故障間隔）・MTTR（平均修理時間）の関係の説明として、もっとも適切なものはどれですか？
回答
解説
正解は「A」です。
MTBF（平均故障間隔）は故障せずに動き続ける平均時間、MTTR（平均修理時間）は故障してから復旧するまでの平均時間です。稼働率は「動いていた時間 ÷ 全体の時間」であり、MTBF ÷（MTBF＋MTTR）で求められます。したがって、MTBFが長い（故障しにくい）ほど、またMTTRが短い（早く直る）ほど、稼働率は高くなります。
B は分子が逆で計算式が誤り、C は MTBF と MTTR の意味を取り違えた誤り、D はキャパシティ管理が将来需要を見越して継続的に行う活動である点に反する誤りであり、いずれも適切ではありません。
Q7. データセンタなどのファシリティマネジメントで用いる無停電電源装置（UPS）の役割として、もっとも適切なものはどれですか？
回答
解説
正解は「D」です。
UPS（無停電電源装置）は、停電や瞬間的な電圧低下（瞬停）が起きても、内蔵した蓄電池から一定時間にわたり電力を供給し続ける装置です。その間に、システムを安全にシャットダウンしたり、自家発電装置へ切り替えたりする時間を確保します。データセンタでは、UPSに加えて空調・電源・耐震など、設備全体を適切に維持するファシリティマネジメントが重要になります。
A は空調設備とする誤り、B は通信回線の装置とする誤り、C は停電時に電力を遮断して強制停止させるという逆の説明であり、いずれも適切ではありません。
Q8. システム監査の一般的な手順の説明として、もっとも適切なものはどれですか？
回答
解説
正解は「B」です。
システム監査は、まず監査計画を策定し、予備調査で対象システムや業務の概要を把握します。続く本調査で、ヒアリングや資料確認によって監査証拠を集め、その内容を監査調書に記録します。これらをもとに監査報告書を作成して経営者などに報告し、最後に指摘事項の改善状況を確認するフォローアップを行います。
A は手順の順序が逆、C は監査証拠を記録せず監査調書を作らないとする誤り、D はフォローアップを行わないとする誤りであり、いずれも適切ではありません。
Q9. システム監査人に求められる独立性・客観性に関する説明として、もっとも適切なものはどれですか？
回答
解説
正解は「C」です。
システム監査人には、監査対象から独立した立場で公正・客観的に評価することが求められます。自らが構築や運用に関与したシステムを自分で監査すると、身内を甘く評価する恐れがあり独立性を損なうため避けるべきです（自己監査の禁止）。また、客観性を保つには、印象ではなく集めた監査証拠に基づいて結論を導く必要があります。なお監査には内部監査と外部監査などの種類があります。
A は運用担当との兼務を是とする誤り、B は被監査部門の指揮を受けるとする誤り、D は証拠によらず主観で判断するとする誤りであり、いずれも独立性・客観性に反するため適切ではありません。
Q10. 内部統制・IT統制と、BCP/BCM（事業継続）の関係の説明として、もっとも適切なものはどれですか？
回答
解説
正解は「A」です。
内部統制は、業務の有効性・効率性、財務報告の信頼性、法令遵守などを確保するために組織へ組み込む仕組みです。ITを利用した業務に統制を組み込むIT統制も、その重要な一部です。一方BCP（事業継続計画）/BCM（事業継続管理）は、災害・大規模障害・感染症などの緊急時にも重要業務を中断させない、または許容時間内に早期復旧させるための計画と継続的な管理活動です。
B は内部統制を個人の心構えに限定する誤り、C はBCPの目的を平常時の効率に限定する誤り、D はIT統制を内部統制と無関係とする誤りであり、いずれも適切ではありません。
サービスマネジメントや監査・統制の基礎をあらためて確認したい時は、ITILとサービスマネジメントとは や システム監査とは、BCP・事業継続とは も参考になります。