システム監査技術者 2009年 午後1 問04
システム開発の監査に関する次の記述を読んで、設問1～4に答えよ。
K社は自動車部品メーカであり、内部監査部にシステム監査室が設置されている。システム監査室では、近年の業務量の増大から、システム監査担当者を増員することになり、システム開発部のS氏が配属された。S氏は、入社以来、一貫してシステムの企画、開発を担当してきたが、システム監査については全く経験がない。
〔監査対象の選定と監査計画概要の策定〕
S氏はシステム監査室のE室長から、システム監査対象を選定し、監査計画の概要を作るように指示された。具体的には、最近カットオーバしたシステムのうち、一定規模以上の開発が行われたものを対象に、開発が適切に行われたかどうかについて、コントロールの整備状況と運用状況を評価する。
まずS氏は、候補となるシステムを選定し、開発の期間、工数、業務上の重要性などの観点から比較表を作成し、スコアリングによる評価を行った。評価の観点やスコアリング手法は、E室長からの助言を基にしている。その結果、生産管理システムと受注管理システムが同スコアとなった。S氏は、異動の直前に生産管理システムの開発に深く関与しており、かつての部下が現在も同システムの保守を担当している。そこでS氏は、システムについても保守の担当者についても熟知している生産管理システムを、監査対象に選定した。
次にS氏は、監査計画の概要を作成した。今回の監査は、対象部門に事前に通知しない抜き打ち方式で行うことにした。S氏は、システム開発部に所属していたときに、抜き打ち監査で多くの指摘を受けた経験があり、効果的な方法と考えたからである。
これらについてS氏がE室長に説明したところ、幾つかの問題点があることを指摘された。最終的にE室長は、受注管理システムの監査を指示した。
〔ヒアリング結果〕
受注管理システムは、旧システムが業務処理量の増大と度重なる機能追加に対応できなくなったので、再構築をして3か月前にカットオーバした。
S氏は、システム監査室が使用しているシステム監査チェックリストを基に、受注管理システムについてヒアリングを行い、その結果を表1にまとめた。
表1の作成過程において、S氏は、E室長に次のように報告した。
“システム監査チェックリストには、移行計画はユーザ部門によるレビューを受けているかという項目があるが、受注管理システムでは営業課のレビューが実施されていないので、コントロールの不備と考えられる。”
それに対してE室長は、“リスクを考えると、この状況は必ずしも不備とは言い切れない”と指摘した。むしろ表1には、S氏が報告したものとは別に、コントロールの不備があると指摘した。
〔運用状況の評価〕
S氏は、表1に挙げられたコントロールが有効に実施されているかどうかについて、運用状況の評価を行うことにした。表2は、表1中の項番Ⅱ①～④のコントロール状況に対して、S氏が考えた監査手続の抜粋である。
表2を見たE室長は、S氏に対して、監査手続として不十分なものがあると指摘した。
設問1：
問題文を見る〔監査対象の選定と監査計画概要の策定〕において、E室長がS氏に指摘したと考えられる問題点を二つ挙げ、それぞれ40字以内で述べよ。
模範解答
①：異動直前に対象システムの開発に関与しており、監査人の独立性が不十分である。
②：抜き打ち方式は、コントロール状況を確認するヒアリングには不適切である。
解説
解答の導き方
設問は、監査対象の選び方と監査方法の決め方について、E室長が問題と考えた点を二つ特定するものです。
-
監査対象の選び方を確認します。
S氏は候補システムを比較し、生産管理システムと受注管理システムが同スコアになった後、「生産管理システムの開発に深く関与」していたことなどを理由に、生産管理システムを選んでいます。監査人自身が開発に関与したシステムを監査すると、自分の過去の判断や作業を評価することになり、客観的な評価が難しくなるおそれがあります。かつての部下が保守を担当している点も、対象システムや担当者との近さを示しています。したがって、システムへの詳しさを選定理由にするのではなく、監査人の独立性・客観性を保てる対象を選ぶべきです。このため、E室長が受注管理システムの監査を指示したことにつながります。 -
抜き打ち方式を選んだ理由と、今回の監査目的を照らし合わせます。
S氏は、以前に抜き打ち監査で多くの指摘を受けた経験から、今回も効果的だと考えています。しかし、今回の目的は、開発が適切に行われたかについて、コントロールの整備状況と運用状況を評価することです。ヒアリングや資料の確認を通じて開発手順や承認などの状況を確かめる監査では、関係者へのヒアリングや確認資料の準備が必要になります。そのため、抜き打ち方式にすることが適切とは限りません。過去に別の監査で指摘が多かったことだけを根拠にせず、今回の監査目的に合った方法を選ぶ必要があります。よって、コントロール状況を確認するヒアリングに抜き打ち方式を採用した点が、もう一つの問題です。
誤りやすいポイント
- 対象システムをよく知っていることを、監査人として適任であることと混同しないようにします。知識があると監査を進めやすい一方、自分が関与した開発を評価する場合は独立性・客観性が損なわれるおそれがあります。
- 生産管理システムと受注管理システムが同スコアであるため、どちらを選んでもよいと考えるのは早計です。選定後に監査人の関与状況も確認する必要があります。
- 抜き打ち監査が常に不適切、または常に効果的だと決めつけないことが大切です。適切な方式は、監査の目的や確認したい事実によって異なります。
- 過去に指摘が多かったという経験だけでは、今回の監査に抜き打ち方式が適している根拠にはなりません。
FAQ
Q: 対象システムについて詳しい監査人は、監査に参加しない方がよいのですか。
A: 詳しいこと自体が問題なのではありません。監査人自身が開発などに関与していた場合、自己評価となって客観性が損なわれるおそれがあるため、対象の選定や監査担当者の割当てに配慮します。
A: 詳しいこと自体が問題なのではありません。監査人自身が開発などに関与していた場合、自己評価となって客観性が損なわれるおそれがあるため、対象の選定や監査担当者の割当てに配慮します。
Q: 抜き打ち監査は、どのような場合にも不適切ですか。
A: いいえ。抜き打ちにするかどうかは目的次第です。事前通知によって実態を確認しにくくなるおそれがある場合には有効なことがありますが、今回のように開発時のコントロール状況をヒアリングなどで評価する監査では、目的との適合性を検討する必要があります。
A: いいえ。抜き打ちにするかどうかは目的次第です。事前通知によって実態を確認しにくくなるおそれがある場合には有効なことがありますが、今回のように開発時のコントロール状況をヒアリングなどで評価する監査では、目的との適合性を検討する必要があります。
Q: 監査対象は、スコアが高いシステムから選べばよいのですか。
A: スコアは選定の判断材料ですが、それだけで決めるとは限りません。監査人の独立性・客観性や、監査の目的に合った証拠を得られるかも考慮します。
A: スコアは選定の判断材料ですが、それだけで決めるとは限りません。監査人の独立性・客観性や、監査の目的に合った証拠を得られるかも考慮します。
関連キーワード: システム監査、監査人の独立性、客観性、監査計画、監査手続
設問2：
問題文を見る〔ヒアリング結果〕において、E室長がS氏の報告内容は必ずしも不備とは言い切れないと指摘した理由を、45字以内で述べよ。
模範解答
開発三課と営業課の合同リハーサルは、ユーザ部門のレビューの代替的統制と考えられるから
解説
解答の導き方
S氏は、チェックリストにある「移行計画はユーザ部門によるレビューを受けているか」という項目に対し、営業課によるレビューがないことを不備と考えています。ただし、チェックリストどおりの手続が行われていないことだけで、直ちにコントロールの不備とは判断できません。その手続が防ごうとしているリスクを、別の方法で抑えられているかも確認します。
移行計画で抑えたいリスクの一つは、実際の業務に合わない計画のまま移行が進み、問題が発生することです。表1のⅤ②には、「開発三課と営業課が合同でリハーサルを実施」し、そこで発生した問題点に対応できるよう移行計画を修正した後、X課長とY課長が承認したとあります。
つまり、営業課は書面を形式的にレビューする方法ではなく、リハーサルに参加して計画を実際に確かめ、問題点を反映した計画を承認しています。このため、ユーザ部門によるレビューと同じリスク低減の目的を果たす、代替的なコントロールと考えられます。営業課によるレビューがないという事実だけでは、不備とは言い切れないと判断できます。
誤りやすいポイント
- チェックリストに記載された手続が、そのまま行われているかだけで判断することです。監査では、コントロールの目的と、それが抑えるリスクも確認します。
- 「リハーサルを実施した」という事実だけで、レビューの代わりになると考えることです。この場合は、営業課が参加し、発生した問題点を移行計画に反映し、計画が承認されている点が根拠です。
- ユーザ部門が計画書を直接確認する方法でなければ、必ず不備だと考えることです。目的を満たす別のコントロールが機能していれば、不備とは限りません。
FAQ
Q: チェックリストの項目が実施されていなければ、必ず不備ですか？
A: 必ずしもそうではありません。その項目が抑えるリスクを、別の有効なコントロールで抑えているかを確認します。
A: 必ずしもそうではありません。その項目が抑えるリスクを、別の有効なコントロールで抑えているかを確認します。
Q: このリハーサルがレビューの代わりと考えられるのはなぜですか？
A: 営業課がリハーサルに参加し、見つかった問題点を計画に反映した後、計画が承認されているためです。
A: 営業課がリハーサルに参加し、見つかった問題点を計画に反映した後、計画が承認されているためです。
関連キーワード: 代替的統制、リスク評価、移行計画、リハーサル、内部統制
設問3：
問題文を見る〔ヒアリング結果〕において、E室長は、S氏が挙げたものとは別に、コントロールの不備があると指摘した。表1中の該当する項番を挙げ、E室長が指摘したと考えられる内容を、35字以内で述べよ。
模範解答
①：項番：Ⅰ②
内容：Y課長に要件定義書のコピーを送付するだけで、承認を得ていない。
②：項番：Ⅳ①
内容：ユーザ部門に将来の業務処理量の予測を確認すべき
解説
解答の導き方
表1では、各コントロール目標と、実際に行われている手続を照らし合わせます。目標を満たしていない手続があれば、その項番がコントロールの不備に当たります。
まず、Ⅰの目標は、要件定義書について「開発担当責任者及びユーザ部門責任者によって承認されること」です。Ⅰ①には開発手順に従って作成されていることが書かれていますが、承認の状況はⅠ②で確認します。そこでは、X課長の承認後にY課長へコピーを送付するとあります。コピーの送付は、内容を確認して承認を得ることとは異なります。したがって、Y課長の承認を得ていない点が不備であり、該当する項番はⅠ②です。
次に、Ⅳの目標は、業務処理量を見込んだ容量設計や処理性能設計が適切に行われることです。Ⅳ①では、開発三課が過去の実績データを基に業務処理量を見積もっています。しかし、過去の実績だけでは将来の業務処理量を適切に見込めるとは限りません。将来の業務の変化を把握しているユーザ部門に、将来の業務処理量の予測を確認する必要があります。この不備に該当する項番はⅣ①です。
誤りやすいポイント
- コピーを送付したことを、ユーザ部門責任者の承認を得たことと同じだと考えないようにします。送付と承認は別の手続です。
- 過去の実績データを使っているだけで、将来の業務処理量も適切に見積もれているとは判断できません。将来の見込みをユーザ部門に確認しているかがポイントです。
- S氏が報告した移行計画のレビューとは別の不備を問われています。表1の各項番について、目標と実際の状況を照合します。
FAQ
Q: Y課長に要件定義書を送付した後、承認を得た可能性はありませんか？
A: 表1には、X課長の承認後にY課長へコピーを送付したことしか記載されていません。承認の記載がないため、目標を満たしていないと判断します。
A: 表1には、X課長の承認後にY課長へコピーを送付したことしか記載されていません。承認の記載がないため、目標を満たしていないと判断します。
Q: 過去の実績を基にした業務処理量の見積りは、常に不適切ですか？
A: 過去の実績を使うこと自体が不適切なのではありません。将来の業務処理量を見込むために、ユーザ部門の予測も確認する必要があります。
A: 過去の実績を使うこと自体が不適切なのではありません。将来の業務処理量を見込むために、ユーザ部門の予測も確認する必要があります。
Q: 移行計画のレビューが実施されていない点も、不備ではないのですか？
A: 表1では、開発三課と営業課が合同でリハーサルを行い、移行計画を修正した後にX課長とY課長が承認しています。そのため、レビューが行われていないと直ちには判断できません。
A: 表1では、開発三課と営業課が合同でリハーサルを行い、移行計画を修正した後にX課長とY課長が承認しています。そのため、レビューが行われていないと直ちには判断できません。
関連キーワード: 要件定義、ユーザ承認、業務処理量見積り、容量設計、コントロール評価
設問4：
問題文を見る模範解答
項番：Ⅱ③
理由：テスト担当者への質問だけでは、すべての問題点が適切に対応されたことの確証が得られないから
解説
解答の導き方
表1のⅡ③では、「テスト段階で発見された問題点のすべてについて、原因が究明、解決されている」ことが求められています。つまり、問題点が一部でも漏れていないことに加え、それぞれの原因が調べられ、適切に解決されたことを確かめる必要があります。
これに対し、表2のⅡ③の監査手続は、テスト担当者への質問によって確認する方法です。担当者から説明を聞くだけでは、問題点のすべてが把握されているか、原因究明や解決が適切に行われたかを、客観的な証拠によって確かめられません。
したがって、不十分な監査手続に対応する項番はⅡ③です。問題点の一覧、原因分析や修正の記録、修正後の再テスト結果などを確認し、問題点が漏れなく解決されていることを裏付ける必要があります。
誤りやすいポイント
- 質問も監査手続の一つですが、回答を得るだけでは、記録や証拠による裏付けにならない場合があります。
- 「問題点が解決された」という説明を聞くだけでは、問題点の全件が対象になっているか、解決内容が適切かまでは確認できません。
- 表1のⅡ③が求めているのは、問題点の原因究明と解決です。監査手続も、その両方を確かめられるかという観点で判断します。
FAQ
Q: 質問による確認は、監査手続として使えないのですか？
A: 質問も情報を得る方法として使えます。ただし、この場合は質問だけでは十分な裏付けにならないため、問題点の記録や解決の証拠などと照合する必要があります。
A: 質問も情報を得る方法として使えます。ただし、この場合は質問だけでは十分な裏付けにならないため、問題点の記録や解決の証拠などと照合する必要があります。
Q: 解決済みの記録を確認すれば十分ですか？
A: 解決済みという記録だけでなく、問題点の全件が管理されていることや、原因究明・修正後のテストが適切に行われたことも確認する必要があります。
A: 解決済みという記録だけでなく、問題点の全件が管理されていることや、原因究明・修正後のテストが適切に行われたことも確認する必要があります。
関連キーワード: 監査証拠、運用状況評価、質問、証憑突合、再テスト
