システム監査技術者 2015年 午後1 問03
経営情報システムの監査に関する次の記述を読んで、設問1~4に答えよ。
A社は照明機器の製造販売会社であり、自動車用照明、電子機器用照明及び一般照明の三つの事業本部がある。各事業本部は、それぞれ国内外の製造子会社及び販売子会社を所管している。
A社では、事業本部によって、重視する管理指標、管理水準などが異なっており、子会社を含めたグループ経営管理の障害となっていた。こうした状況を改善するために、A社は中期経営計画において、“企業グループとしての経営管理レベルの向上”を全社で取り組むべき経営課題と位置付け、諸施策を実施してきた。その一環として、A社及び全子会社を対象とする経営情報システムを導入し、昨年度から稼働させている。
A社の内部監査部では、本年度の監査計画に基づき、経営情報システムの開発目的の達成状況を監査することになった。
〔経営情報システムの開発経緯〕
1.従来の状況
従来、各事業本部が、それぞれ所管する主要子会社を含む事業の状況について分析資料を作成し、毎月第15営業日に開催される経営会議で報告を行っていた。しかし、事業本部ごとに独自の管理指標を用いて分析を行っており、経理部から報告される月次決算数値との整合性も考慮されていなかった。また、各事業本部では、分析資料の作成に当たって、所管する主要子会社が表計算ソフトで作成した各種資料を電子メールで収集しており、集計や取りまとめに多くの工数を要していた。
2.経営情報システムの開発目的
“企業グループとしての経営管理レベルの向上”のための施策として、既に検討が開始されていた連結経営管理指標の設定、決算早期化などの関連する他の諸施策と連携して、経営情報システムの開発が企画された。企画書に記載された開発目的は、次のとおりである。
(1) 事業状況の分析作業の効率向上を図り、経営会議の開催を毎月第8営業日に早期化できること
(2) 各事業本部は、所管する全ての子会社を含む事業状況を、経営会議で報告できること
(3) 経営会議で報告する事業状況の分析は、連結経営管理指標に基づいていること、及び月次決算数値との整合性を確保すること
(4) 各事業本部及び各子会社が、それぞれの特性に応じた独自の分析を行えること
3.開発プロジェクト
経営情報システムの開発計画は取締役会で承認され、開発プロジェクトが発足した。開発プロジェクトの体制は、次のとおりである。
・プロジェクト責任者:経営企画担当のS取締役
・プロジェクトリーダ:情報システム部のT氏
・サブリーダ:各事業本部から各1名、経理部から1名、経営企画部から1名
・作業チーム:各サブリーダが、それぞれの所属部門の中で数名を選抜して編成
事業本部が所管する全ての子会社に対するプロジェクトの説明、作業依頼、研修などは、各事業本部の作業チームが行うこととされた。
〔経営情報システムの概要〕
経営情報システムは、大きく分けて、“経営管理指標レポート”と“フリー分析”の二つの機能から構成されている。
(1) 経営管理指標レポート
連結経営管理指標の定型レポート(以下、KPIレポートという)を自動生成する機能である。KPIレポートは、全社連結、事業本部連結、各会社の3階層で構成され、毎月第5営業日に閲覧が可能になる。製品別・地域別、前期対比・予実対比などの条件を指定して閲覧することができる。
(2) フリー分析
売上、利益、在庫、生産、資金など、事業活動上の重要なデータを様々な視点から自由に分析する機能である。これらのデータは関連する複数のシステムから日々収集されている。フリー分析には、次の二つの利用目的がある。
① 各事業本部及び各子会社の担当者が、日常の業務管理に必要な分析やレポート作成を行う。
② 各事業本部及び各子会社が、毎月第5営業日に提供されるKPIレポート上の経営管理指標の予算との差異や異常値の原因などについて経営会議で説明するために、詳細な分析を行う。各事業本部及び各子会社は、分析結果に基づいて、第6営業日中に、経営情報システムの月次報告の画面から説明文や図表を入力して登録する。短時間で月次報告の登録作業を完了するために、KPIレポートが提供される前から分析作業に着手する必要がある。各事業本部では、自事業本部及び所管の各子会社のKPIレポートと月次報告から、経営会議報告資料を作成する。
(3) 利用履歴の管理
“経営管理指標レポート”及び“フリー分析”では、利用できる機能及び閲覧できるデータの範囲は利用者ごとに設定されている。各機能及びデータへのアクセスの状況はアクセスログに記録され、各事業本部では、自事業本部及び所管の子会社の利用者ごとの利用状況の分析ができるようになっている。
〔予備調査の概要〕
今回の監査は、内部監査部のK氏が担当することになった。
予備調査では、企画書の閲覧、及び経営企画担当のS取締役へのインタビューを行った。企画書には、経営情報システムの開発に関して必要十分な事項が記載されており、開発計画は所定の手続に従って適切に承認されていた。S取締役によれば、経営情報システムの開発計画はスケジュールどおり進捗し、10月1日の運用開始から特に重大なトラブルもなく稼働している、とのことであった。
インタビューの際、S取締役から“経営情報システム利用状況調査報告書”(以下、調査報告書という)を入手した。調査報告書は、稼働後の利用状況に関して、プロジェクトリーダのT氏と5名のサブリーダが実施した調査結果の報告書であり、その概要は図1のとおりである。
〔監査手続書の作成〕
K氏は、予備調査の結果を踏まえて監査手続書の作成に着手した。監査手続の検討に当たっては調査報告書を参考にしたが、(a)監査の実施に当たって監査証拠として全面的に依拠するには問題があると考えた。
また、K氏は図1の(2)調査の結果③に記載されている登録遅延などの原因は事業本部にあるのではないかと考え、各事業本部に対するインタビューにより、二つの事項を確認するための監査手続を設定した。
設問1:
問題文を見るK氏は、経営情報システムの開発目的に照らして、図1の(2)調査の結果の記載内容だけでは不十分であると考えた。追加して記載すべきと考えた内容を50字以内で述べよ。
模範解答
“各事業本部及び各子会社が、それぞれの特性に応じた独自の分析を行えること”に関する調査結果
解説
解答の導き方
-
この設問では、経営情報システムの開発目的と図1の(2)調査の結果を照らし合わせ、調査結果に含まれていない内容を考えます。
-
開発目的には、経営会議の早期化、全子会社を含む事業状況の報告、連結経営管理指標と月次決算数値との整合性に加えて、「各事業本部及び各子会社が、それぞれの特性に応じた独自の分析を行えること」があります。
-
図1の結果には、経営会議の開催日、連結経営管理指標や決算数値との整合性、子会社の月次報告の登録状況、システムトラブルについて記載されています。一方、各事業本部や各子会社が特性に応じた独自の分析を実際に行えているかは示されていません。
-
システム概要では、フリー分析を各事業本部や各子会社が日常の業務管理に用いたり、KPIレポートの差異や異常値の原因を詳しく分析したりすることが説明されています。したがって、追加すべきなのは、この分析機能を通じて開発目的の一つである独自分析が実現できているかについての調査結果です。
誤りやすいポイント
- 子会社の登録遅延や報告内容の不十分さに注目し、月次報告の状況を追加すべきと考えることです。その状況は図1の結果③に既に記載されています。
- システムトラブルが減少していることを、開発目的の達成状況をすべて確認できていることと混同することです。安定稼働と、利用者が独自の分析を行えていることは別の観点です。
- フリー分析の機能があることだけで、独自分析の目的が達成されたと判断することです。機能の存在だけでなく、各事業本部や各子会社が実際に活用できているかを調査する必要があります。
- KPIレポートの利用状況と、特性に応じた独自の分析の実施状況を同じものとして扱うことです。定型レポートの確認だけでは、独自分析が行えているかは分かりません。
FAQ
Q: 開発目的のうち、特に追加調査が必要なのはなぜですか?
A: 図1の結果は、会議開催や数値の整合性、月次報告、システムトラブルを扱っていますが、各事業本部や各子会社による独自分析の状況を扱っていないからです。
A: 図1の結果は、会議開催や数値の整合性、月次報告、システムトラブルを扱っていますが、各事業本部や各子会社による独自分析の状況を扱っていないからです。
Q: フリー分析の利用者数やアクセス回数を調べれば十分ですか?
A: 利用状況を把握する手掛かりにはなりますが、それだけでは特性に応じた独自分析が行えているかは分かりません。分析の実施状況や目的に沿った活用状況を確認する必要があります。
A: 利用状況を把握する手掛かりにはなりますが、それだけでは特性に応じた独自分析が行えているかは分かりません。分析の実施状況や目的に沿った活用状況を確認する必要があります。
Q: KPIレポートに関する調査結果があれば、独自分析の確認もできていますか?
A: できているとは限りません。KPIレポートは定型レポートであり、そこから必要に応じて詳細な分析を行えているかは別に確認します。
A: できているとは限りません。KPIレポートは定型レポートであり、そこから必要に応じて詳細な分析を行えているかは別に確認します。
関連キーワード: 経営情報システム、フリー分析、KPI、システム監査、監査証拠
設問2:
問題文を見る図1の(2)調査の結果③の状況を放置しておくことは重大な経営上のリスクとなる可能性がある。具体的にどのようなリスクが想定されるかを、45字以内で述べよ。
模範解答
子会社の重要な情報が経営会議資料に適切に反映されず、誤った経営判断を行うリスク
解説
解答の導き方
-
図1の(2)調査の結果③では、月次報告の登録が遅れる子会社や、報告内容が不十分な子会社があると分かります。これは、経営会議で使う子会社の情報が、期限までにそろわなかったり、必要な内容を欠いたりする可能性を示しています。
-
月次報告は、KPIレポート上の差異や異常値の原因などを説明するために登録されます。また、各事業本部は、KPIレポートと月次報告を基に経営会議報告資料を作成します。そのため、月次報告が遅れたり不十分だったりすると、子会社の重要な状況やその原因が、経営会議資料に適切に反映されないおそれがあります。
-
経営会議で不十分な情報に基づいて判断すると、実態に合わない対応を選ぶ可能性があります。したがって、想定するリスクは、子会社の重要な情報が経営会議資料に適切に反映されず、誤った経営判断につながることです。
誤りやすいポイント
- 登録遅延そのものを、リスクの結論にしないようにします。問われているのは、その状況によって生じる経営上の影響です。
- 「資料作成が遅れる」だけでは、経営上のリスクまで示せていません。資料の内容が不十分になることで、経営判断にどのような影響が及ぶかまで考えます。
- システムの障害や情報漏えいを挙げるのは適切ではありません。本文で問題となっているのは、子会社の月次報告の遅延や内容不足です。
FAQ
Q: 登録が遅れること自体が、経営上のリスクではないのですか?
A: 登録遅延は原因となる状況です。経営上のリスクとしては、その結果、必要な情報が経営会議資料に間に合わず、判断を誤る可能性まで述べます。
A: 登録遅延は原因となる状況です。経営上のリスクとしては、その結果、必要な情報が経営会議資料に間に合わず、判断を誤る可能性まで述べます。
Q: KPIレポートがあれば、月次報告が不十分でも問題ないのではありませんか?
A: KPIレポートで数値を確認できても、差異や異常値の原因などの説明が不足することがあります。数値だけで状況を正しく理解できない場合、判断を誤るおそれがあります。
A: KPIレポートで数値を確認できても、差異や異常値の原因などの説明が不足することがあります。数値だけで状況を正しく理解できない場合、判断を誤るおそれがあります。
Q: 「誤った経営判断」は必ず起きるという意味ですか?
A: 必ず起きるという断定ではなく、情報が適切に反映されない場合に起こり得るリスクを示しています。
A: 必ず起きるという断定ではなく、情報が適切に反映されない場合に起こり得るリスクを示しています。
関連キーワード: 経営判断、情報の完全性、月次報告、連結経営管理
設問3:
問題文を見る〔監査手続書の作成〕で、K氏が本文中の下線(a)のように考えた理由を、50字以内で述べよ。
模範解答
開発プロジェクトの当事者が作成した調査報告書であり、調査の客観性が担保されないから
解説
解答の導き方
-
この設問では、K氏が調査報告書を監査証拠として全面的に信頼できないと考えた理由を問われています。調査結果の内容が正しいかどうかだけでなく、誰がどのような立場で調査したのかに注目します。
-
調査報告書は、「プロジェクトリーダのT氏と5名のサブリーダが実施した調査結果」です。T氏とサブリーダは、経営情報システムの開発プロジェクトに関わった当事者です。
-
開発に関わった当事者自身が、システムの稼働後の状況を調査して報告しているため、調査結果を第三者の立場から客観的に評価したとは限りません。自分たちが関与した開発や運用を評価することになるため、評価に偏りが生じる可能性があります。
-
したがって、調査報告書だけに頼るのではなく、監査人が別の証拠を入手して確認する必要があります。理由は、開発プロジェクトの当事者による調査であり、調査の客観性が担保されないからです。
誤りやすいポイント
- システムに重大なトラブルがなく稼働しているという説明だけを理由にしないようにします。問われているのは、調査結果の内容ではなく、監査証拠としての信頼性に関わる理由です。
- 調査報告書の調査期間や調査項目の不足を理由にするのではなく、調査を実施した人の立場に着目します。
- 当事者が調査したことから、直ちに報告内容が虚偽だと決めつけてはいけません。客観性が確保されていると判断できず、全面的には依拠できないという説明が適切です。
FAQ
Q: 開発プロジェクトの当事者が作成した報告書は、監査証拠として使えないのですか?
A: 使えないとは限りません。ただし、当事者による調査結果だけに全面的に依拠せず、監査人が他の資料や記録と照合して確かめる必要があります。
A: 使えないとは限りません。ただし、当事者による調査結果だけに全面的に依拠せず、監査人が他の資料や記録と照合して確かめる必要があります。
Q: この設問では、調査結果が間違っていたと判断する必要がありますか?
A: いいえ。報告内容が間違っていると断定するのではなく、調査した人が開発プロジェクトの当事者であるため、客観性を十分に確認できない点を述べます。
A: いいえ。報告内容が間違っていると断定するのではなく、調査した人が開発プロジェクトの当事者であるため、客観性を十分に確認できない点を述べます。
関連キーワード: 監査証拠、証拠の信頼性、客観性、監査の独立性
設問4:
問題文を見る〔監査手続書の作成〕で、K氏が設定した監査手続において確認することになった二つの事項を、それぞれ35字以内で述べよ。
模範解答
①:各子会社に対して、月次報告の研修を適切な時期に実施していること
②:アクセスログを利用し、各子会社の利用状況を分析していること
解説
解答の導き方
-
確認対象は、子会社による月次報告の登録遅延や内容の不十分さです。図1の調査結果③には「登録が遅れる子会社や報告内容の不十分な子会社がある」とあります。この状況について、事業本部側で必要な支援や利用状況の把握ができているかを確認する必要があります。
-
開発プロジェクトでは、各事業本部の作業チームが、所管する子会社への説明や作業依頼、研修を担当することになっています。また、子会社は第6営業日中に月次報告を登録します。そのため、各子会社が期限内に適切な報告を登録できるよう、月次報告に関する研修を適切な時期に実施しているかが確認事項になります。
-
さらに、システムではアクセスログを記録し、各事業本部が所管の子会社の利用者ごとの利用状況を分析できます。事業本部がこの機能を使って子会社の利用状況を把握していれば、システムの利用が不十分な利用者を見つけ、支援につなげられます。そこで、アクセスログを利用して各子会社の利用状況を分析しているかも確認します。
誤りやすいポイント
- 登録遅延や報告内容の不十分さを、子会社だけの責任と決めつけないことが重要です。事業本部が担う研修や利用状況の把握が適切かを確認します。
- 研修の有無だけでなく、月次報告の登録に間に合う適切な時期に実施しているかがポイントです。
- アクセスログは、報告内容そのものの正しさを直接証明するものではありません。ここでは、子会社の利用状況を事業本部が把握・分析しているかを確認します。
FAQ
Q: なぜ研修の実施時期まで確認するのですか?
A: 子会社には第6営業日中の登録が求められるため、登録作業に必要な知識を、作業に取り掛かる前に得られるよう研修が行われているかを確認するためです。
A: 子会社には第6営業日中の登録が求められるため、登録作業に必要な知識を、作業に取り掛かる前に得られるよう研修が行われているかを確認するためです。
Q: アクセスログの分析は、月次報告の遅れや不備とどう関係しますか?
A: 利用者ごとの利用状況を把握することで、必要な機能を十分に使えていない利用者などに気付き、事業本部からの支援につなげられるためです。
A: 利用者ごとの利用状況を把握することで、必要な機能を十分に使えていない利用者などに気付き、事業本部からの支援につなげられるためです。
Q: システムのトラブル状況を確認するのではないのですか?
A: システム自体のトラブルだけでなく、事業本部が担う子会社への研修や利用状況の分析が適切に行われているかを確認する設問です。
A: システム自体のトラブルだけでなく、事業本部が担う子会社への研修や利用状況の分析が適切に行われているかを確認する設問です。
関連キーワード: システム監査、監査手続、利用者教育、アクセスログ、利用状況分析




