システム監査技術者 2015年午前2 問06

問題文

システムの開発、運用及び保守を担当者が1人だけで実施している企業におけるシステム監査に関する記述のうち、最も適切なものはどれか。

🖊️ 解答を隠して解いてみる

ア：開発、運用及び保守の実施状況を熟知している当該担当者に対するヒアリング結果だけを監査証拠にする。

イ：システム改修時の利用部門による動作確認及び責任者による承認の実施状況を確認できる監査手続にする。（正解）

ウ：適正な監査手続の実施が不可能であることを当然のこととして、監査意見を形成する。

エ：内部統制による牽制が十分であることを当然のこととして、監査計画を策定する。

🔒 解説は解答すると表示されます

開発・運用・保守を1人で担当すると、作業者自身が変更を行い、その結果を自分で確認することになり、誤りや不正を発見しにくくなるおそれがあります。担当者を分けることが難しい場合は、利用部門による動作確認や責任者による承認など、別の立場の人が確認する統制が有効です。

そのため、システム改修時に利用部門が動作を確認し、責任者が承認しているかを確認する監査手続を設けるイが適切です。担当者が1人であることを前提に、実際に機能している牽制や確認の手続を監査で確かめています。

担当者が1人であることのリスクを捉えます。
開発・運用・保守の職務分掌ができず、誤りや不正を相互に発見する機会が少なくなります。
リスクを補う統制に注目します。
利用部門による動作確認や、責任者による承認など、担当者以外の人が関与する手続があるかを確認します。
監査証拠と監査意見の扱いを確認します。
監査では、担当者の説明だけに頼らず、記録や承認履歴なども確かめます。また、監査手続が難しいと最初から決めつけず、実施可能な手続を検討します。

ア：誤りです。
担当者へのヒアリングは、監査証拠の一つにはなります。しかし、本人の説明だけでは客観性や十分性に欠ける場合があります。改修記録、動作確認の記録、承認履歴など、他の証拠も確認する必要があります。
イ：適切です。
担当者以外の利用部門や責任者による確認・承認が行われているかを調べることで、職務分掌が難しい場合の代替的な牽制が機能しているかを確認できます。
ウ：誤りです。
担当者が1人でも、監査手続を実施できないと決まるわけではありません。関連する記録や他部門の確認状況などを調べ、得られた監査証拠に基づいて監査意見を形成します。
エ：誤りです。
内部統制による牽制が十分であると、監査計画の段階で決めつけることはできません。牽制が存在するか、実際に運用されているかを確かめてから評価します。

担当者が1人なら、システム監査はできない
監査が不可能になるわけではありません。職務分掌の不足を補う確認・承認や、残された記録などを監査手続で確かめます。
担当者本人の説明が詳しければ、証拠として十分である
詳しい説明は参考になりますが、それだけに依存するのは適切ではありません。第三者が確認できる証跡との照合が重要です。
承認の仕組みがあれば、実際の運用確認は不要である
制度や手続が定められていることと、実際に運用されていることは別です。承認記録などを確認し、運用状況を確かめます。

担当者を分けて相互に確認する仕組みは、職務分掌による牽制です。小規模な組織などで職務分掌が難しい場合は、責任者の承認、利用部門によるテスト、定期的なログ確認などを組み合わせてリスクを抑えます。こうした仕組みは、職務分掌を完全に置き換えるものではなく、監査ではその設計と運用の両方を確認します。

Q. 監査では、担当者以外の人が関与した記録を確認すればよいですか？
A. 記録の確認は有効ですが、それだけで十分とは限りません。対象となる改修やリスクに応じて、動作確認の内容、承認者、承認の時期なども確かめます。

Q. 利用部門による動作確認は、なぜ重要なのですか？
A. 開発担当者とは異なる立場から、システムが利用者の要求どおりに動くかを確認できるためです。責任者の承認と合わせて、改修の妥当性を確認する手続になります。

関連キーワード: 職務分掌、代替統制、監査証拠、監査手続、変更管理

\ せっかくなら /

システム監査技術者を
クイズ形式で学習しませんか？

すぐに利用可能！