システム監査技術者 2010年 午後1 問04
ポイント管理システムの監査に関する次の記述を読んで、設問1～4に答えよ。
D社は、家電品の量販店を全国に80店舗展開しており、店舗はすべて営業本部の管轄下にある。D社では、販売促進のため、昨年からポイントサービス制度を導入した。ポイントサービスの利用顧客は、商品購入時に獲得したポイントを、ほかの商品の購入金額に充当できる。また、D社のポイントを提携先企業のポイントと交換できたり、提携先企業のサービス申込み時にD社のポイントを獲得できたりする。
監査部は、ポイントサービス制度の運用を支える重要な情報システムであるポイント管理システムを監査することにした。
〔情報システムの概要〕
(1) ポイント管理システムの概要
① ポイント管理システムは、ポイントサービス制度の導入に伴い、昨年から稼働している。店舗の担当者は、顧客からの申込みに基づいて、顧客の氏名、連絡先などをポイント管理システムに入力する。この入力によって顧客コードが取得され、入力した内容は顧客ファイルに設定される。
② 商品購入時の獲得ポイントは、（商品購入金額×商品別基本ポイント率）＋（商品購入金額×店舗ごとの特別ポイント率）で計算し、顧客ファイルに設定される。
(2) 商品管理システムの概要
① 商品管理システムは、ポイント管理システムとデータ連携しており、D社が営業を開始した10年前から稼働している。家電品の入替えや販売方針の変更などがあると、商品管理本部の担当者が商品コード、販売期間などを商品管理システムに入力する。これらのデータは、商品マスタファイルに設定される。
② 商品管理システムで更新したデータは、日次バッチ処理でポイント管理システムに転送され、ポイント管理システムのファイルにも設定される。
(3) 基本ポイント率の設定
① 営業本部は、利益率、他社の販売状況などを考慮し、商品の販売開始前に基本ポイント率及び適用日を商品別に決定する。基本ポイント率は、販売期間内に変更されることがある。
② 決定又は変更された基本ポイント率及び適用日は、ポイント率設定書に記入され、営業本部長が承認する。
③ 営業本部の担当者は、ポイント率設定書に基づいてポイント管理システムに基本ポイント率及び適用日を入力する。入力した基本ポイント率及び適用日を基に、商品コード別基本ポイント率及び適用日がポイント率ファイルに設定される。
④ 設定された基本ポイント率及び適用日は、ログファイルに記録される。
(4) 特別ポイント率の設定
特別ポイント率の設定ルールは、前年の12月に決定される。例えば、今年の場合は、“同一月に1回だけ、1年間に3回まで、設定できる”と規定されている。
特別ポイント率の範囲、設定回数などは、ポイント率ファイルに設定される。
① 3％未満の特別ポイント率は、店長の権限で決定・入力される。
② 3％以上、5％以下の特別ポイント率は、営業本部長の権限で決定・入力される。
③ 特別ポイント率に関するチェックは、入力時にポイント管理システムで行う。今年の場合、コントロール目標及びチェック内容は、表のとおりである。問題がなければ、店舗ファイルに特別ポイント率が設定される。
〔提携に伴うポイント処理〕
(1) 提携に伴うポイント交換処理
D社の商品を購入して獲得したポイントは、提携期間内であれば、ビデオレンタル業者、航空会社などの提携先企業のポイントと交換できる。提携期間及びポイント交換率などは、営業本部の担当者がポイント管理システムに入力している。これらのデータは、提携先ファイルに設定される。顧客は、D社のWebサイトの専用ページから、提携先企業の企業コード、顧客コード、交換ポイントなどを入力し、ポイント交換を申し込む。システム上の処理は、次のとおりである。
① D社のポイント管理システムは、提携先企業の企業コードと交換ポイントについて、正確かどうかをチェックする。
② チェックの結果、問題がなければ、提携先企業のシステムに顧客コード、交換ポイントなどを送信する。
③ チェックの結果、問題があれば、エラーメッセージを専用ページに表示し、顧客に再入力を促す。表示されたエラーメッセージは、ログファイルに記録される。
(2) 提携に伴うポイント獲得処理
D社は引っ越し業者5社と提携している。その内容は、“D社の顧客は、提携期間内に提携先の引っ越し業者のWebサイトから引っ越しサービスを申し込むと、D社の一定のポイントを自動的に獲得できる”というものである。提携先の企業コード、提携期間、獲得ポイントなどは、営業本部の担当者がポイント管理システムに入力している。これらのデータは、提携先ファイルに設定される。システム上の処理は、次のとおりである。
① D社の顧客は、引っ越し業者のWebサイトの専用ページから、D社の顧客コードを入力する。
② 引っ越し業者のシステムは、自社の企業コード及び入力されたD社の顧客コードを、D社のポイント管理システムに送信する。
③ D社のポイント管理システムは、引っ越し業者のシステムから受信したデータをチェックした後、顧客のポイントを加算する。
〔監査の内容（抜粋）〕
(1) 基本ポイント率に関する監査
① 監査担当者は、基本ポイント率が適切にポイント管理システムに設定されているかどうかを確かめるために、ポイント管理システムのファイルを用いて監査手続を行った。
② 監査担当者は、ポイントサービスのシステムのインタフェースにおいて、基本ポイント率に関し、データが整合しているかどうかを確かめるために、監査手続を行った。
(2) 提携に伴うポイント交換処理に関する監査
監査担当者は、ポイント交換の申込みにおいて、提携先企業の企業コードの入力ミスを防止するためのコントロールについて、整備状況及び運用状況に関する監査手続を行った。
(3) 提携に伴うポイント獲得処理に関する監査
監査担当者は、提携に伴うポイント獲得処理で、D社のシステムが、受信データについて、ポイント管理システムのファイルを参照し、提携内容に対応したチェックを行っているかどうかを確かめた。
設問1：
問題文を見る表中のa、bに該当するチェック内容を、それぞれ30字以内で述べよ。
模範解答
a：3%未満は店長権限、3%以上は営業本部長権限での入力か。
b：同一月に1回だけ、1年間に3回までの設定か。
解説
解答の導き方
この表は、特別ポイント率の入力時に、どのような観点でチェックするかを問うています。まず、コントロール目標ごとに、確認すべき内容を整理します。
-
正当性では、入力者や決定者が、その処理を行う権限をもっているかを確認します。本文では「3％未満の特別ポイント率は、店長の権限で決定・入力される」とされ、「3％以上、5％以下の特別ポイント率」は営業本部長の権限とされています。したがって、特別ポイント率の区分に応じた権限者が入力しているかが、aに入ります。
-
正確性のチェック内容は、表に「5%以下の正の数か。」と既に示されています。これは、入力された値が数値として許容範囲内かを確認するものです。
-
準拠性では、定められたルールに従っているかを確認します。今年の設定ルールは「同一月に1回だけ、1年間に3回まで、設定できる」です。よって、設定回数がこのルールに従っているかが、bに入ります。
誤りやすいポイント
- 正当性と正確性を混同しないようにします。率の値が数値として範囲内かは正確性、権限をもつ人が入力したかは正当性です。
- 準拠性では、率の数値範囲ではなく、設定ルールに従っているかを確認します。
- aでは、3％未満と3％以上で権限者が分かれる点が重要です。3％ちょうどは「3％以上」に含まれます。
- 5％以下という数値上の条件は、表の正確性のチェック内容に示されています。権限者の区分と混ぜて答えないようにします。
FAQ
Q: 3％ちょうどの場合、どちらの権限になりますか？
A: 「3％以上」に含まれるため、営業本部長の権限です。
A: 「3％以上」に含まれるため、営業本部長の権限です。
Q: 設定回数のルールは、なぜ準拠性に当たるのですか？
A: 設定回数が、あらかじめ定められた運用ルールに従っているかを確認するためです。
A: 設定回数が、あらかじめ定められた運用ルールに従っているかを確認するためです。
Q: 「5%以下の正の数か。」は、なぜ正当性ではないのですか？
A: このチェックは入力値の数値範囲を確かめるものであり、入力者の権限を確かめるものではないからです。
A: このチェックは入力値の数値範囲を確かめるものであり、入力者の権限を確かめるものではないからです。
関連キーワード: 入力統制、アクセス権限、妥当性チェック、業務ルール、正当性、準拠性
設問2：
問題文を見る〔監査の内容（抜粋）〕の(1)-①、②において、監査担当者が行った監査手続を、それぞれ45字以内で述べよ。
模範解答
(1)-①：ポイント率設定書とログファイルを照合し、基本ポイント率及び適用日の合致を確認する。
(1)-②：商品マスタファイルとポイント率ファイルを照合し、商品コードの整合を確認する。
解説
解答の導き方
この設問では、基本ポイント率について行った二つの監査手続を、それぞれの監査目的と照合するデータから考えます。
まず(1)-①は、基本ポイント率がポイント管理システムに適切に設定されているかを確かめる監査です。本文には、基本ポイント率と適用日を記入したポイント率設定書を営業本部長が承認し、設定された基本ポイント率と適用日はログファイルに記録されるとあります。したがって、承認された内容と実際にシステムへ設定された内容を比べる必要があります。ポイント率設定書とログファイルを照合し、基本ポイント率だけでなく適用日も合致していることを確認する手続になります。
一方、(1)-②は、ポイントサービスのシステムのインタフェースで基本ポイント率に関するデータが整合しているかを確かめる監査です。商品管理システムの商品マスタファイルには商品コードなどが設定され、基本ポイント率は商品コード別にポイント率ファイルへ設定されます。また、商品管理システムのデータは日次バッチ処理でポイント管理システムに転送されます。そこで、商品マスタファイルとポイント率ファイルを照合し、両ファイルの商品コードが整合していることを確認します。これにより、基本ポイント率が商品と正しく対応しているかを確かめられます。
このように、①は承認された設定内容とシステムに記録された設定内容の照合、②はシステム間で扱う商品コードの整合性の確認という違いがあります。
誤りやすいポイント
- ①でポイント率設定書だけを確認しても、承認された値が実際にシステムへ設定されたかは分かりません。設定結果が記録されたログファイルとの照合が必要です。
- ①では基本ポイント率だけでなく、設定の適用日も確認します。値が正しくても、適用日が異なれば意図しない期間に適用されるおそれがあります。
- ②を①と同じく、ポイント率設定書とログファイルの照合としてしまわないようにします。②の焦点は、ポイント管理システムと商品管理システムの間のデータの整合性です。
- 商品マスタファイルとポイント率ファイルを照合する際は、商品コードが商品と基本ポイント率を結び付ける共通の項目である点を押さえます。
FAQ
Q: なぜ①ではログファイルを使うのですか？
A: 本文に、設定された基本ポイント率と適用日がログファイルに記録されるとあるためです。承認済みのポイント率設定書と照合することで、実際の設定内容を確認できます。
A: 本文に、設定された基本ポイント率と適用日がログファイルに記録されるとあるためです。承認済みのポイント率設定書と照合することで、実際の設定内容を確認できます。
Q: ②では基本ポイント率の数値そのものを照合しないのですか？
A: ②の監査目的は、インタフェースにおけるデータの整合性を確かめることです。商品マスタファイルとポイント率ファイルに共通する商品コードを照合し、基本ポイント率が正しい商品に対応付けられているかを確認します。
A: ②の監査目的は、インタフェースにおけるデータの整合性を確かめることです。商品マスタファイルとポイント率ファイルに共通する商品コードを照合し、基本ポイント率が正しい商品に対応付けられているかを確認します。
Q: 二つの監査手続を区別するポイントは何ですか？
A: ①は「承認された設定と実際の設定が一致するか」、②は「システム間で商品を識別するデータが一致するか」という監査目的の違いです。
A: ①は「承認された設定と実際の設定が一致するか」、②は「システム間で商品を識別するデータが一致するか」という監査目的の違いです。
関連キーワード: 監査証拠、ファイル照合、インタフェース、データ整合性、アクセスログ
設問3：
問題文を見る〔監査の内容（抜粋）〕の(2)において、監査担当者が運用状況に関して行った監査手続を、40字以内で述べよ。
模範解答
存在しない企業コードを入力し、該当するエラーメッセージの表示を確認する。
解説
解答の導き方
-
問われているのは、企業コードの入力ミスを防止するコントロールの「運用状況」を確かめる監査手続です。コントロールが適切に設計されているかを確認するだけでなく、実際の処理で期待どおりに働くかを確かめる必要があります。
-
ポイント交換の処理では、顧客が専用ページに提携先企業の企業コードなどを入力し、ポイント管理システムが「提携先企業の企業コードと交換ポイントについて、正確かどうかをチェック」します。問題がある場合は、エラーメッセージを専用ページに表示します。
-
このチェックが実際に働くかを確かめるには、正しい企業コードではなく、チェックにより問題が検出される入力を試します。存在しない企業コードなら、提携先の企業コードとして扱えないため、チェックが反応するはずです。
-
そこで、存在しない企業コードを入力し、その入力に対応したエラーメッセージが表示されることを確認します。これにより、企業コードの誤りをシステムが検出し、利用者に知らせる処理が実際に行われるかを確かめられます。
誤りやすいポイント
- 正しい企業コードを入力して正常に処理されることを確かめても、誤ったコードを検出するコントロールの運用状況は確認できません。
- チェック機能の仕様書やプログラムだけを確認するのは、主にコントロールの設計・整備状況の確認です。実際に動作することを確かめるには、入力を行って結果を観察します。
- エラーメッセージがログファイルに記録されることだけでなく、問題文に示された処理どおり、専用ページに表示されることを確認します。
FAQ
Q: なぜ、入力ミスを想定した適当な文字列ではなく、存在しない企業コードを入力するのですか？
A: 存在しない企業コードなら、登録された提携先企業のコードとして認識されないため、企業コードのチェックが働くべき状況を明確に作れます。
A: 存在しない企業コードなら、登録された提携先企業のコードとして認識されないため、企業コードのチェックが働くべき状況を明確に作れます。
Q: エラーメッセージの内容まで確認する必要がありますか？
A: 監査手続では、企業コードの誤りを知らせるエラーメッセージが表示されることを確認します。問題文から特定の文言までは分からないため、文言を推測して確認項目に加える必要はありません。
A: 監査手続では、企業コードの誤りを知らせるエラーメッセージが表示されることを確認します。問題文から特定の文言までは分からないため、文言を推測して確認項目に加える必要はありません。
Q: ログファイルを確認するだけでは不十分ですか？
A: ログファイルの記録は補足的な証拠になりますが、利用者にエラーを知らせる処理の運用状況を確かめるには、画面に表示されることも確認します。
A: ログファイルの記録は補足的な証拠になりますが、利用者にエラーを知らせる処理の運用状況を確かめるには、画面に表示されることも確認します。
関連キーワード: コントロールテスト、運用状況評価、入力チェック、異常系テスト、エラーメッセージ
設問4：
問題文を見る〔監査の内容（抜粋）〕の(3)において、監査担当者が確かめたチェック内容を、35字以内で述べよ。
模範解答
受信したデータの企業コードが、提携先ファイルに存在するか。
解説
解答の導き方
-
設問は、提携に伴うポイント獲得処理で、監査担当者が確認した「チェック内容」を尋ねています。まず、処理で受け取るデータを整理します。
-
本文には、提携先の引っ越し業者が「自社の企業コード及び入力されたD社の顧客コード」をD社のポイント管理システムに送信するとあります。つまり、D社のシステムが受信するデータには、送信元である企業のコードと、ポイントを加算する顧客のコードが含まれます。
-
次に、照合先となるファイルを確認します。提携先の企業コードや提携期間、獲得ポイントなどは「提携先ファイルに設定される」とあります。したがって、受信した企業コードが提携先として登録されているかどうかは、このファイルを参照して確認できます。
-
監査担当者が確かめたのは、受信データをポイント管理システムのファイルと照合し、提携内容に対応したチェックをしているかどうかです。この処理でまず確認すべきなのは、受信した企業コードが提携先ファイルに存在するかどうかです。顧客コードの確認やポイントの加算処理そのものではなく、提携先として登録された企業からのデータかを確認する点が問われています。
誤りやすいポイント
- 受信データに顧客コードも含まれるため、顧客コードの存在確認を答えにしがちです。しかし、模範解答が問うているチェックは、提携先ファイルを使った企業コードの確認です。
- 「受信データをチェックする」とだけ書くと、どのデータを何と照合するのかが明確になりません。企業コードと提携先ファイルの対応を示すことが重要です。
- 提携期間や獲得ポイントも提携先ファイルに設定されますが、この設問で確認したチェック内容として求められているのは、企業コードがファイルに存在するかどうかです。
FAQ
Q: 企業コードが提携先ファイルに存在することを確認するのは、何を防ぐためですか？
A: 提携先として登録されていない企業からのデータを受け付け、ポイントを加算してしまうことを防ぐためです。
A: 提携先として登録されていない企業からのデータを受け付け、ポイントを加算してしまうことを防ぐためです。
Q: 顧客コードの確認も必要ではないのですか？
A: 顧客コードの確認も処理上必要になり得ます。ただし、この設問では、監査担当者が確認したチェック内容として、受信した企業コードと提携先ファイルとの照合が問われています。
A: 顧客コードの確認も処理上必要になり得ます。ただし、この設問では、監査担当者が確認したチェック内容として、受信した企業コードと提携先ファイルとの照合が問われています。
Q: 提携期間の確認も提携内容に対応したチェックに含まれますか？
A: 提携期間も提携先ファイルに設定されているため、期間内の申込みかを確認するチェックに利用できます。ただし、この設問の模範解答に対応するのは企業コードの登録確認です。
A: 提携期間も提携先ファイルに設定されているため、期間内の申込みかを確認するチェックに利用できます。ただし、この設問の模範解答に対応するのは企業コードの登録確認です。
関連キーワード: 入力チェック、マスタファイル、データ照合、インタフェース監査、監査証拠
