システム監査技術者 2009年 午後1 問03

　M社は、健康食品の通信販売業者である。M社では、顧客管理システムが通信販売事業を支える重要な基盤となっている。内部監査部の監査人は、顧客管理システムに係る統制に不備がないかどうかについて、監査を実施することにした。 　 〔通信販売業務の概要〕 (1) 受注 　顧客は、電話、郵便、ファックス、電子メール又はWeb注文システムを使ってM社に注文する。M社では、顧客からの注文をWeb注文システムで受けた場合、受注データを電子メールで通信販売部に送信する。通信販売部のオペレータは、顧客管理システムを使用して、受注や問合せ対応などの処理を行う。オペレータは、通信販売部員に限定されている。 (2) 配送 　商品の配送は、宅配業者に委託している。ルームシェアや2世帯住宅などで姓の異なる人たちが同居している場合や、表札がない場合もあるので、宅配業者は、受取人を厳密に確認できないことがある。 (3) 代金回収 　代金の支払は、後払い方式を採用している。その理由は、顧客の購買意欲を妨げないこと、代金引換払い（代引き）では手数料を負担しなければならないことなどである。したがって、商品を受け取った顧客は、商品に同梱された振込用紙を使って、郵便局、銀行又はコンビニエンスストアで代金を支払う。 　 〔顧客管理システムの概要〕 (1) システム構成 　顧客管理システムは、アプリケーションサーバ（以下、APサーバという）及びデータベースサーバ（以下、DBサーバという）で構成されている。M社では、Web注文システムと顧客管理システムをデータ接続すると、情報漏えいなどのリスクが大きいと判断し、データ接続をしていない。Web注文システムから通信販売部に送信された電子メールの内容は、オペレータが顧客管理システムに手入力している。 　なお、大量のデータを扱う処理は、情報システム部員がDBサーバにアクセスして行っている。 (2) 主要機能 　顧客管理システムには、顧客情報管理、注文管理、入金管理、配送管理などの機能がある。また、顧客情報（顧客ID、氏名、住所、電話番号、メールアドレス、与信枠など）、注文履歴、入金履歴、問合せ履歴などが蓄積されている。 (3) 顧客の名寄せ機能 　オペレータが注文を受けて、氏名、住所及び電話番号を手入力すると、顧客管理システムの名寄せ機能によって、電話番号から“－（ハイフン）”を除去し、住所の“丁目”と“番地”の間に“－”を挿入するなどの変換を行ってから、すべての入力事項と一致する顧客レコードが検索される。該当する顧客が登録されている場合には、顧客情報や注文履歴などが表示され、登録されていない場合には、入力された顧客情報と自動採番された顧客IDを含む顧客レコードが作成されて、その内容が表示される。 (4) 受注・問合せ対応処理 　受注や問合せ対応などの処理は、顧客管理システムに表示された情報を基に、オペレータが行う。オペレータには、使用できる機能ごとに“参照だけ可能”又は“参照及び更新が可能”のいずれかの権限が与えられている。 (5) ログ機能 　オペレータが顧客管理システムを使用すると、オペレータのユーザID、時刻、表示画面ID、顧客ID、発行したSQL文、正常又はエラーの処理結果などを含む、APサーバのアクセスログが採取される。DBサーバにもログ機能が実装されているが、オペレータの操作との対応付けが難しいので、DBサーバのアクセスログは採取していない。 　 〔与信管理機能と特別注文の取扱い〕 (1) 与信管理機能 　健康への関心の高まりと商品の評判の良さを背景に、ここ数年M社の商品の人気は高く、大量に注文する顧客も少なくない。ところが、昨年、大量に注文した顧客から代金を回収できなかったことがあった。そのことを契機に、与信管理を強化することになった。その一環として、顧客ごとの注文限度額（＝与信枠－未収金額）を管理する与信管理機能を、顧客管理システムに追加した。 (2) 特別注文の取扱い 　注文限度額を超えた注文（以下、特別注文という）については、警告メッセージを表示し、オペレータが画面上の“許可”ボタンをクリックすると注文を受け付ける仕組みになっている。特別注文の場合には、次のような手順で処理される。 　① オペレータは、“特別注文申請書”を通信販売部の通信販売課長に提出する。 　② 通信販売課長は、“特別注文申請書”に“許可”又は“却下”の記載と押印を行い、“特別注文申請書”を所定の場所に保管する。 　③ オペレータは、通信販売課長の判断に従って、“許可”又は“却下”ボタンをクリックして、処理を続行する。 　④ “許可”又は“却下”の結果は、顧客管理システムの注文履歴に記録される。 　 〔C社への業務委託〕 　M社では、健康食品の受注増大に対応するために、営業時間外の受注や問合せ対応業務をC社に委託し、夜間及び休日の体制を充実させることにした。これに伴って、C社の受注・問合せ対応要員もオペレータとして、C社内からM社の顧客管理システムを使って、顧客情報、注文履歴、入金履歴、問合せ履歴などを参照・更新できるようにした。ただし、C社のオペレータは、特別注文を取り扱わない。また、C社のオペレータは、M社のオペレータとの業務引継ぎや連絡のために、委託された時間帯以外でも顧客管理システムを使用できる。 　 〔アクセスログに関する統制〕 　M社では、C社への業務委託を契機に、顧客管理システムに関する統制を見直し、アクセスログに関しては次のような統制を行うことにした。 　① 〔顧客管理システムの概要〕(5)のとおり、APサーバのアクセスログを採取する。 　② 通信販売課長は、C社に業務を委託した時間帯のアクセスログに、異常な行動が記録されていないか、翌日チェックする。