システム監査技術者 2011年 午後1 問04

　D社は製薬会社であり、研究開発費の予算管理を支援するプロジェクト予算システム（以下、予算管理システムという）を運用している。D社の研究開発費は売上高の約20％にも上ることから、監査室は予算管理システムのコントロールの有効性に関するシステム監査を実施することにした。 　 〔予算管理システムの概要〕 　予算管理システムはD社で開発され、研究開発プロジェクトで必要な物品・サービスの調達及びプロジェクト別予算実績を管理している。システムオーナは、研究開発センタ長であり、研究開発センタ内の五つの研究部（各研究部は、それぞれ研究開発を行う約10の課と庶務担当で構成）と購買部が利用している。 　予算管理システムの概要は、図1のとおりである。担当者マスタでは、利用者ID、利用者名、所属部署、役職、権限レベル、パスワードなどの情報が管理されている。また、プロジェクト基礎情報（以下、PJ基礎情報という）では、プロジェクト名、プロジェクト番号、目的、期間、リーダ名、リーダの利用者ID、予算、実績などの情報が管理されている。

〔アクセス権限〕 　入力画面へのアクセス権限は、担当者マスタ及びPJ基礎情報に基づいて、表1のように設定される。

　(1) 担当者マスタは、人事システムから人事異動（退職を含む）データを日次で受信し、自動的に更新される。担当者マスタの初期権限レベルは、役職が部長であれば“部長”権限が設定され、それ以外は“一般”権限が設定される。一方、“管理者”権限は自動的に設定されないので、担当者マスタ登録後に庶務担当の中から部長が任命した社員（以下、管理者という）に付与する。また、社員のパスワードは、定期的な変更などによって適切に管理されている。 　(2) 人事システムに登録されていない派遣社員のために、各課に“一般”権限の利用者ID（以下、派遣用IDという）が一つ作成され、課内の複数の派遣社員が共有している。また、派遣用IDのパスワードの管理は、各課長に任されている。 　(3) 担当者マスタの追加登録、権限レベルの変更などは、部長の承認を受けた担当者マスタ更新依頼書に基づいて管理者が入力を行う。“管理者”権限の利用者IDのアクセスログはすべて保存され、週次で詳細ログレポートを出力し、不正なアクセスがないかを部長がチェックしている。 　(4) PJ基礎情報は、リーダに任命された課長が申請入力を行い、部長がリーダからの申請に対してPJ基礎情報承認入力を行う。これによって、“リーダ”権限が任命された課長に付与される。この段階で、当該プロジェクトにおいて発注処理が可能となる。 　 〔発注処理〕 　各プロジェクトで必要な物品などを発注する。 　(1) 発注品目、内容、数量及びプロジェクト番号を発注入力すると、発注申請データが生成される。発注品目は、物品マスタと照合され、物品マスタの単価情報に基づいて発注金額が自動的に設定される。物品マスタは、仕入先との価格交渉の結果に基づいて、購買部がメンテナンスし、各研究部は追加・変更できない。 　(2) 発注申請データに対して承認入力を行うと、承認者名及び承認済フラグが設定される。このとき、PJ基礎情報の予算残高と比較し、予算残高の範囲内であれば、発注確定フラグが設定され、発注確定データが作成される。 　(3) 予算残高を超えた発注に対しては、部長が特別承認入力を行う。ただし、部長は不在の場合が多いので、部長が口頭で指示し、管理者が行うことも多い。 　 〔検収処理〕 　納品された物品と納品書は、庶務担当から発注の申請者に渡され、検収処理が行われる。 　(1) 発注の申請者は物品と納品書の内容を確認し、発注確定データを照会して検収入力を行う。ただし、発注確定データを超える数量・金額の検収入力を行うことはできない。検収入力を行うと、発注確定データに検収番号及び検収フラグが設定され、購買実績データが生成される。このとき、購買実績額をPJ基礎情報の実績額に加算し、予算残高を減額する。 　(2) 検収入力後、発注の申請者は、納品書に検収番号を記入し、庶務担当に回付する。庶務担当は、回付された納品書の検収番号に基づいて、照会画面で購買実績データの品名と金額を照合し、検収入力が正しいかどうかを確認する。 　(3) 購買実績データは、日次の夜間バッチ処理で会計システムに渡され、決済条件に従って本社経理部が支払処理を行う。 　 〔監査結果の検討〕 　監査室では、予備調査及び本調査の結果に基づいて指摘事項を列挙し、システムオーナと指摘事項について意見交換を行い、それぞれの見解を表2のようにまとめた。