システム監査技術者 2018年 午後1 問03

　S社は、日用品の卸売会社である。S社では、得意先からのEDI発注への切替要請及び受注業務の効率向上に対応するため、販売管理システムの更新を行うことになった。 　これまでのシステム監査では、現在の販売管理システムについて特に指摘事項はなかったが、システムの更新によって新たな情報システムリスクが発生し、コントロールの見直しが必要になることが考えられる。そこで、S社の内部監査部は、販売管理システム更新の要件定義が終わった段階で、システム監査を実施することにした。 　 〔現在の販売管理業務の概要〕 　現在の販売管理業務の概要は、次のとおりである。 (1) 受注 　S社では、得意先からファックス又は電子メールで注文を受け付けている。 　受注事務担当者は、注文内容を販売管理システムに受注入力する。入力された得意先コード、商品コード、与信限度額、及び在庫引当の可否を販売管理システムで自動チェックする。このとき、在庫不足で注文の全数を引き当てられない場合は、その都度得意先に不足分の納品が遅れることを連絡し、了解を得ている。このように納品が分かれる場合は、販売管理システムには、元となった注文内容を複数の受注データに分割して入力する。販売管理システムによるチェックの結果、エラーがなければ仮受注データとして記録される。 　受注責任者が受注の可否を判断して承認入力を行うことによって、受注確定となる。受注確定後は受注内容の変更はできない。 　受注処理は、毎日午後4時に締め切られる。その後、受注事務担当者は販売管理システムから受注伝票を出力し、得意先からのファックス又は電子メールの注文内容と照合し、漏れや誤りがないことを確認する。 (2) 出荷 　確定した受注データに基づいて、出荷指示データが生成され、納品日・得意先ごとの出荷指示リスト及び納品書が各配送センタにおいて出力される。 　配送センタでは、出荷指示リストに基づいて、得意先ごとに商品をそろえるとともに、配送車両の手配を行う。 　出荷業務担当者は、出荷当日中に出荷完了入力を行う。何らかの事情で出荷指示どおりに出荷できない場合には、即座に出荷保留入力を行い、受注責任者に連絡する。 　 〔新しい販売管理業務の概要〕 　内部監査部は、予備調査において、新しい販売管理システムの要件定義の責任者に対するヒアリング、及び要件定義書などの関係資料のレビューを行った。その結果、販売管理業務は次のとおり変更される予定であることが分かった。 (1) 受注 　主要得意先の一つである大手スーパーマーケットのQ社からの要請によって、Q社からの受注は全てEDIで行う。EDIによる受発注成立の条件は、Q社とのEDI取引契約書に定められている。受注データを毎日午前6時に受信し、新しい販売管理システムで受注内容の自動チェックを行う。エラーとなった受注データは、Q社に受注エラーとして送信される。エラーにならなかった受注データは、受注確定として処理される。 　Q社以外の得意先からの受注業務は、現在の販売管理業務の処理と同様とする。ただし、1件当たりの受注金額が10万円未満の受注データについては、受注責任者の承認を不要とし、受注入力が完了した時点で受注確定とする。 (2) 出荷 　確定した受注データに基づいて、出荷指示データが生成される。このとき、得意先から指定された納品場所、納品日、及び在庫の状況から、適切な配送センタと出荷日時が自動的に決定され、出荷指示データに付加される。この付加処理は、納品場所、納品日、営業日カレンダ、配送業者、配送所要時間などを設定した配送マスタによって行われる。 　出荷日の前日に、各配送センタに出荷指示リスト及び納品書に加えて、現品票が出力される。現品票には、受注番号などを示すQRコードが印刷されており、出荷時にQRコードリーダで読み取って、出荷完了入力が行われる。また、出荷日の当日に、処理された出荷完了処理の内容を一覧にした出荷完了リストが出力される。 　 〔予備調査結果の検討〕 　内部監査部の監査チームリーダのK氏は、本調査の計画を立案するため、監査メンバのN氏、T氏と予備調査結果について検討を行った。そのときの会話（一部）は、次のとおりである。 　K氏：EDIによる受注では、受注責任者による承認が行われませんが、問題はないですか。 　N氏：Q社とのEDI取引契約書で受発注成立の条件が詳細に定められていて、その条件を満たしている受注は承認されたものとして取り扱うことになっています。したがって、aが受注責任者による承認に代わるコントロールとして機能すると考えられます。 　K氏：そうすると、監査手続はどのようにすべきですか。 　N氏：bとcとを照合して、EDIによるdを確かめることになります。 　K氏：それから、EDI受注以外の受注で1件当たり10万円未満の受注データについては、受注責任者の承認が省略されることになりますが、リスクはないですか。 　N氏：少額受注についてはこれまで問題が発生していないことから、リスクは極めて小さいと判断されたのではないでしょうか。また、受注業務の効率向上を図ることも、目的の一つになっています。 　T氏：しかし、10万円未満の不適切な受注もあり得るでしょうし、10万円以上の受注の承認を回避するためにeというようなリスクが考えられます。受注業務の効率向上の観点から、1件ごとの承認を省略する場合でも、例えばfといったコントロールが必要なのではないでしょうか。 　K氏：出荷完了処理についてですが、出荷業務担当者による手入力からQRコードの読取り入力に変更されます。これに関する要件定義段階での監査では、何を確かめればよいのですか。 　T氏：QRコードの読取り漏れは売上計上の誤りに直結するので、要件定義書を査閲しgを監査手続とします。