システム監査技術者 2009年 午後1 問02

　A社は、外食産業界では中堅規模の上場会社（12月末決算）である。全国に300店舗をもち、サービス内容・形態（以下、店種という）は多種に及んでいる。A社は、平成21年12月末時点で財務報告に係る内部統制報告制度が適用される。そのため、売上高のうち店舗売上高の勘定科目に関して、内部監査部のシステム監査の一環として、IT全般統制及びIT業務処理統制の評価を実施することにした。そこで、内部監査部のF君は、店舗販売プロセスの概要を把握し、システム監査計画を作成した。 　 〔店舗販売プロセスの概要〕 　A社の店舗販売プロセスの概要は、図のとおりであり、各店舗に設置されているPOSシステム、B社のASPサービスである店舗管理システム、売上明細データが保存されているDWHシステム及び会計システムから構成されている。また、店舗管理システムには、A社のPC（以下、ASP端末という）からアクセスできる。 　B社のASPサービスは、過去に重大なトラブルもなく、信頼性が高いことから、外食産業界で広く利用されている。ただし、B社の財務報告に係る内部統制の評価に関する知識や経験は必ずしも十分ではない。

(1) POSシステム 　A社では、各店舗に設置されているPOSシステムに売上が入力される。売上データは、店舗のPOSシステムで締め処理を行った後、店舗管理システムに送信される。締め処理は、店舗の休日を除き、毎日2回行われる。また、POSシステムのソフトウェア及びネットワークの保守は、すべてB社に委託している。 (2) 店舗管理システム（ASPサービス） 　店舗管理システムがPOSシステムから受信した売上データによって、売上明細DBが更新される。また、クレジットカード会社や顧客への債権に関する売上データによって、債権残高DBが更新される。 　① POSシステムからの売上データ受信が完了しているかどうかは、店舗管理システムから出力される未受信一覧表を利用して確認している。 　② 債権残高DBから出力される債権残高リストは、債権帳簿として利用されている。経理部では、ASP端末から債権入金データ入力と店舗管理システムのデータ修正入力を行っている。B社の店舗管理システムには、これらの入力データ承認機能がある。 　③ 過去2か月間の売上に関する明細リストや集計リストは、検索機能を利用してASP端末から出力することができる。 　④ ASP端末からアクセスできるメニューや機能は、ユーザID及びパスワードで制限・管理されている。ユーザIDは、B社から貸与された顧客別管理者IDを利用して、承認された依頼書に基づいて、A社内でメンテナンスが行われている。 　⑤ A社で異常が発見された場合は、A社の情報システム部を経由してB社に連絡する。 (3) DWHシステム 　DWHシステムは、店舗管理システムの売上明細DBから日次の自動バッチ処理で売上明細データを取得し、保存している。DWHシステムの開発、保守及び運用は、A社の情報システム部が行っている。 　① 店舗の売上分析や顧客分析は、DWHシステムに保存されている売上明細データに基づいて、分析ツールを利用して行っている。 　② 営業部は、分析ツールを利用して、週次で店種別に集計される売上合計表をスプレッドシートにダウンロードする。売上合計表を作成する際には、その都度、データの範囲や集計項目などの条件を設定する必要がある。作成された売上合計表は、電子メールで経理部に回付される。 (4) 会計システム 　会計システムは、市販のソフトウェアパッケージであり、経理部がサーバを含めて管理している。経理部では、売上合計表に基づいて店舗売上高の勘定科目に関する仕訳伝票を起票し、手入力する。 　 〔システム監査計画の要旨〕 　F君は、システム監査の実施に際して、外部での研修で入手したIT全般統制のチェックリスト（以下、チェックリストという）を利用できると考えた。 　F君が作成したシステム監査計画の抜粋は、次のとおりである。 (1) 店舗管理システム 　① IT全般統制の評価は、チェックリストを使ってB社で行ってもらい、その結果を12月末決算日時点の評価結果とする。できるだけ早く結果を把握したいので、チェックリストの回収はその年の6月とする。 　② B社のIT全般統制を評価すれば、店舗管理システムの信頼性を評価できるので、店舗管理システムに関するIT業務処理統制については評価しない。 (2) DWHシステム 　① 仕訳伝票の基になる売上合計表のコントロールに関しては、ダウンロード後のスプレッドシートのアクセス制限とバックアップについて評価を行う。 　② 情報システム部の開発、保守及び運用に対しては、IT全般統制の評価を行う。 　 〔システム監査計画のレビュー〕 　内部監査部長は、F君が作成したシステム監査計画をレビューして、次のような点について見直すことを指示した。 　① B社のIT全般統制について、チェックリストを回収して評価するだけでは不十分である。 　② 店舗管理システムについては、次の点を再検討すべきである。 　・未受信一覧表を使ったコントロールのように、ITと手作業が一体となったコントロールの場合には、手作業によるコントロールも評価すべきである。 　・店舗管理システムのIT業務処理統制については評価しないとしているが、IT業務処理統制を含めて実施すべきである。この場合、A社とB社がそれぞれに責任を負うコントロールを明確にしておく必要がある。 　③ DWHシステムからスプレッドシートへのダウンロードに関する完全性及び正確性に関するコントロールを評価すべきである。