応用情報技術者 2011年 春期 午後 問12

解答の論理構成

• 〔監査計画〕(1)
  “予備調査において、管理対象を特定するために、aの確認を行う。”
  管理対象かどうかは登録簿を見れば一目瞭然です。本文には “管理者は、管理対象となる表計算ファイルを表計算ファイル管理簿（以下、管理簿という）に登録し、…” とあり、管理簿が判定の根拠帳票であることが明示されています。
  ➜ a＝ク「表計算ファイル管理簿」
• 〔監査計画〕(3)
  “ヒアリングでは、表計算ファイルのbを理解し、守っているかどうかを質問する。”
  経理部では “表計算ファイルの管理規程が制定されている。” と記述されています。監査で最も確認したいのは、その規程が現場で遵守されているかどうかです。
  ➜ b＝ア「管理規程」
• 〔監査計画〕(6)
  “管理対象の表計算ファイルのcの周期と状況を確認する。”
  管理規程には “管理対象の表計算ファイルについては、管理レベルに応じたバックアップを行う。” とあります。周期（いつ取るか）と状況（実際に取れているか）を確認する対象はバックアップしか該当しません。
  ➜ c＝カ「バックアップ」
• 〔監査計画〕(7)
  “管理対象の表計算ファイルの［　d　］と保管場所のディレクトリのアクセス権の一致を確認する。”
  規程には “管理者は、表計算ファイルの使用権限をもつ使用者を管理簿に記載する。” とあり、ファイル単位のアクセス制御をディレクトリ権限と突き合わせるのは使用権限の適合性チェックです。
  ➜ d＝エ「使用権限」

誤りやすいポイント

• 事前評価（ウ）を選びたくなるが、本文中に“事前評価”という手続自体が登場しない。監査では既存簿票（管理簿）を使うのがセオリー。
• (6)で“入力・変更の禁止”を選ぶ誤答が多い。禁止設定はファイル内部設定であり「周期」という言葉がそもそも合わない。
• (7)で“表計算ファイル”そのものとアクセス権を比較しようとして迷う。比較対象は“使用権限”という抽象化された権限情報である点を見落としやすい。

FAQ

解答の論理構成

• 監査計画(2)
  「繁忙期に当たるので、経理部員の3分の1に当たる4名を無作為に抽出して調査対象とし、そのほかの部員へのヒアリングは行わない。」
  ➔ 無作為抽出では“作成者”が含まれない可能性がある。
• 監査計画(4)
  「調査対象となった管理対象の表計算ファイルの作成者に、管理規程の運用に関する状況を確認する。」
  ➔ (4)を実施するには、(2)で選ばれた部員の中に“作成者”が含まれている必要がある。
• したがって、(2)の抽出方法が(4)の前提と矛盾し得るため、監査室長は「管理対象の表計算ファイル作成者」と「それ以外」を分けて抽出するよう指示した。

誤りやすいポイント

• 「作成者が12名中5名いるから無作為でも当たるだろう」と楽観する
• (5)や(6)と混同し、ファイル確認作業との矛盾だと誤解する
• 「群を分けて抽出」の意図をサンプリングの均質化（統計的理由）と取り違える

FAQ

解答の論理構成

1. まず、問題文では
   「①管理レベル“低”の表計算ファイルは、ほかの表計算ファイル中の一覧表内の係数を外部データとして参照している。参照先の表計算ファイルは管理対象外であった」
   と述べており、管理対象外ファイルの内容が結果に影響する構造であることを示しています。
2. さらに管理規程には
   「管理対象の表計算ファイルについては、管理レベルに応じたバックアップを行う」
   とある一方で、参照先は“管理対象外”であるため規程による保護や監視が未実施です。
3. したがって、参照先ファイルの値（係数）が意図せず、あるいは不正に変更されても検知されず、財務諸表の重要な数字に誤りが波及する恐れがあります。
4. この論理から、リスクは「外部参照している係数が不正に変更され、検定科目(勘定科目)へ誤った数値が反映される」ことになります。

誤りやすいポイント

• 「管理レベル“低”だから影響も小さい」と短絡的に判断し、参照先の重要度を見落とす。
• “外部データ参照”をリンク先ファイルのコピーと誤解し、改ざんリスクを低く見積もる。
• 「バックアップが毎週あるから安心」と考え、リアルタイムの改ざん検知や変更管理を軽視する。

FAQ

解答の論理構成

1. 指摘事項の文脈確認
   【問題文】の指摘事項は
   “・［　e　］は定期的に実施されているが、［　f　］が使用する表計算ファイルの［　g　］に対しては、現在実施されていない。［　e　］では適切とはいえない。”
   と書かれています。ここから「定期的に実施されているが適切ではない」という趣旨であることが分かります。
2. 監査で判明した事実との照合
   【監査の実施】には
   “ファイルは、すべて経理部のファイルサーバに保管され、毎週金曜日に定期的なバックアップが確実に実施されている。”
   さらに
   “経理部のH係長は、ほぼ毎日、データを入力して管理レベル“中”の表計算ファイルを更新している。”
   とあります。
   すなわち「定期的に実施されている」もの＝“毎週金曜日のバックアップ”であり、しかし“ほぼ毎日更新されるH係長のファイル”に対してはバックアップ周期が粗すぎる、という状況です。
3. 各空欄の決定
   ①［　e　］
   ・前述の通り、定期的に行われている作業で監査が不十分と指摘したいもの＝“バックアップ”。
   → 解答群「ケ：バックアップ」を選択。
   ②［　f　］
   ・監査で「ほぼ毎日更新」している人物は“H係長”。
   → 解答群「イ：H係長」を選択。
   ③［　g　］
   ・不適切と評価された理由は「ほぼ毎日更新なのに週1回しかバックアップしていない」という“更新と保護のギャップ”。
   ・よって“何に対して未実施か”は“更新頻度”に見合うバックアップ。
   → 解答群「オ：更新頻度」を選択。
4. まとめ
   以上より
   e：ケ
   f：イ
   g：オ
   が論理的に導かれます。

誤りやすいポイント

• 「外部参照」を答案に入れてしまう
  → 外部参照は別の指摘事項（管理対象外ファイル）で登場するが、ここではバックアップの話題。
• 人物を「G課長」と誤認
  → G課長のファイルは“入力・変更の禁止が未設定”が問題点。バックアップと関係しない。
• 「入力・変更の禁止」を［　g　］に入れてしまう
  → “更新頻度に応じたバックアップ”が趣旨であり、セル保護の話題ではない。

FAQ

解答の論理構成

1. 【問題文】の “表1　表計算ファイルのセキュリティ対策（抜粋）” で、管理レベル“中”の対策として
   　「表計算ソフトのもつセキュリティ機能を用いて、使用者の入力部分以外のセルに対する入力・変更を禁止する。」
   　と定められています。
2. しかし〔監査の実施〕で
   　「G課長が使用している管理レベル“中”の表計算ファイルは、入力部分以外のセルに対する入力・変更の禁止が設定されていない。」
   　という違反が確認されています。
3. さらに〔指摘事項〕で
   　「セルに対する②入力・変更の禁止の設定が解除されているものがある。」
   　と明示され、これが改善対象であることが示されています。
4. この違反は、ファイルの作成者や使用者が自由に “設定→解除→再設定” を行えてしまう運用上の欠陥に起因します。
5. したがって管理規程に “入力・変更の禁止” の設定・解除を使用者自身に行わせない仕組みを追加することで、再発防止と内部統制の強化が図れます。
6. 以上より、h には
   　「入力・変更の禁止の設定・解除を使用者以外の者が行う。」
   　を盛り込むのが最適解となります。

誤りやすいポイント

• “設定だけ” を第三者に任せ、“解除” をユーザができるようにする解答は失点になります。解除も制限しなければ意味がありません。
• 「管理レベル“高”のみに適用」と誤認し、“中”“低”を対象外にする記述を入れると規程不備になります。
• 指摘事項②に直接対応する文言を求められていることを忘れ、バックアップやログ取得の強化を提案してしまうケースがあります。

FAQ