システム監査技術者 2009年 午前2 問10

職務の分離【午前2解説】

正解の理由

解法ステップ

1. 「職務の分離」が、相互牽制によって不正や誤りを防ぐ考え方だと確認します。
2. 分離することで、担当者が自分の作業を自分で実行・確認できてしまう状態を防げるか考えます。
3. 開発者が本番環境での運用まで行うリスクに対応しているアを選びます。

選択肢別の誤答解説

• ア：正解です。 開発と運用を分けることで、プログラムの変更と実行を同じ担当者が行うリスクを低減します。
• イ：誤りです。 検品と検品結果の入力を分けることは、受入業務での牽制策になり得ます。ただし、この設問で問われている職務分離の代表例は、システムの開発部門と運用部門の分離です。
• ウ：誤りです。 搬入の確認と入力を分けることも、業務上のチェック方法になり得ます。しかし、開発と運用のように、システムに関する重要な役割を分離する例ではありません。
• エ：誤りです。 システムの始動と送金操作を別の担当者にするのは、二人で確認する運用などの対策に当たります。この設問では、開発と運用の分離を示すアが適切です。

よくある誤解

• 単に作業を二人で分ければ、常に職務の分離として適切だと思うこと
  どの作業を、どのようなリスクを防ぐために分けるのかが重要です。
• 開発担当者が運用も行っても、担当者が同じなら効率的だと思うこと
  効率だけでなく、プログラム変更の承認や実行を独立して確認できる体制が必要です。
• 職務の分離と、二人での確認を同じものだと考えること
  二人で確認することも牽制策ですが、職務や権限を継続的に分けることとは区別して考えます。

補足コラム

FAQ