システム監査技術者 2025年 午後1 問03
IT投資計画の監査に関する次の記述を読んで、設問に答えよ。
R社は、中堅の食料品製造・販売業者である。R社では、近年のデジタル化の波に対応して企業変革を推進するべく、新規のIT投資計画を複数策定している。監査部は、IT投資計画が適切に作成され、経営陣に十分な判断材料が提供されているかどうかをテーマにシステム監査を行うことにした。今期計画されているIT投資案件の中から経営陣からも期待が高い案件である、基幹システムとデータ連携を行う消費者向けオンラインショッピングシステム（以下、ECシステムという）の構築案件を監査対象として選定した。
〔予備調査の結果〕
監査部は予備調査として、“IT投資計画書”の閲覧、DX推進室を中心とした関係者へのインタビューを実施し、ECシステムのIT投資計画（以下、本計画という）の概要を調査した。その結果は次のとおりである。
(1) 導入目的
ECシステムは、社外から人材を採用して新設されたDX推進室がシステムオーナーとなり、営業本部及び情報システム部と協力して導入する予定である。ECサイトを構築し、販売チャネルの拡大による売上増大、販売データなどを基にした新商品開発の意思決定の迅速化を行うことによって中期経営計画で定めた売上増大及び利益率向上を図るものである。
(2) システム概要
① ECシステムは大手ベンダーS社製のECパッケージをカスタマイズして導入する予定である。ECパッケージを採用することによって標準的な機能や定期的なバージョンアップが提供され、またR社として初めてIaaS上に構築されるシステムとなる。ECシステム及び基幹システムの概要は図1のとおりである。
② ECシステムの稼働直後は、一部商品から試験的に利用を開始し、その後対象商品を拡大していく計画である。ECシステムで使用するIaaSの処理能力、ストレージ容量などのリソースは、ECシステムの対象商品及び利用者の増加に応じて増強していく予定である。
③ 既存の基幹システムはオンプレミスで開発・導入したシステムである。本計画では、IaaS上のECシステムの導入・カスタマイズ、基幹システムのデータとIaaS上のECシステムのデータを連携する機能（以下、データ連携機能という）の開発を、S社に外部委託する。
④ ECシステムと基幹システムとのデータ連携は、基幹システムの改修をできるだけ抑える方針であり、リアルタイムではなく日次のファイル連携処理で行う計画になっている。なお、基幹システム側の改修は情報システム部が行う計画であるが、情報システム部の業務が多忙であることから、改修範囲は要件定義段階で特定することになっている。
⑤ ECパッケージのカスタマイズは、R社独自の商品カテゴリの構成変更や決済方法の追加、配送条件の個別設定などが予定されている。本番稼働後に、ECシステムの利用状況や効果などを踏まえて、DX推進室と営業本部が協力して追加のカスタマイズを予定している。
(3) IT投資の評価
① R社では“投資管理規程”においてIT投資の評価基準として回収期間法を採用している。本計画の投資回収見込みは表1のとおりである。投資回収見込みによれば、データ連携機能の開発を含むECシステムの開発導入投資額と毎年のランニングコストは、計画どおりに売上増大及び利益率向上が実現すれば3年間で回収できる見込みである。R社では投資判断基準としての回収期間について5年以内を目安としており、それよりも短い期間で回収可能と評価されている。
② 開発導入投資額はS社が作成した見積り資料を基にDX推進室が算定したものである。
③ ランニングコストの内訳は、IaaSの利用料、ECパッケージの保守契約費用である。IaaSの利用料は、使用する処理能力やストレージ容量などに応じた従量制による課金となっている。ECパッケージの保守契約の対象は、サポートデスクの問合せ対応及び問題発生時の調査・対応だけである。
④ 利益増加見込みは、経営会議で報告されたR社における過去の販売実績データ及びS社が他社事例を基に作成した平均的な売上増加率に基づき、DX推進室が独自に試算したものである。ECシステムを活用した販路拡大によって見込まれる売上増大、販売データなどを基にした新商品開発による利益率向上を予測し、試算した。
⑤ ECシステムが本番稼働した1年後に、DX推進室と営業本部が本計画の投資評価を実施し、経営陣へ報告する予定である。
〔本調査に向けた監査手続の検討〕
監査部は、予備調査の結果を踏まえて、本調査に向けて、次のように監査手続の検討を行っている。
(1) ECシステムはECパッケージを導入する計画となっている。システム概要で把握した内容を基にすると、ECパッケージの保守契約費用に必要な項目が網羅的に含まれていないリスクがあるので、確認する必要がある。
(2) ECシステムと基幹システムのデータ連携について、表1の開発導入投資額だけでは、支出額が低く計上されるリスクがあるので、追加の確認が必要である。
(3) ECシステムは当社として初めてIaaS上に構築するシステムであり、不正アクセスによる情報漏えいなどのリスクがある。S社のECパッケージを導入するに当たり、ECシステムの情報セキュリティ対策に漏れが生じないようにする必要がある。その観点からR社の情報セキュリティ対策に係る支出額が適切に計上されていることを確認する必要がある。
(4) 表1の利益増加見込みは、DX推進室が独自に試算した売上増大及び新商品の開発による利益率向上の実現可能性が十分に検討されていることが重要と考えられる。それについて追加の確認が必要である。
(5) ECシステムの本番稼働後における本計画の投資評価が不十分となるおそれがある。十分な投資評価が行われるのかどうかを確認する必要がある。
設問1：
問題文を見る〔本調査に向けた監査手続の検討〕(1)について確認すべきことを、45字以内で具体的に答えよ。
模範解答
ECパッケージのバージョンアップ及びカスタマイズ部分の改修費用が含まれていること
解説
解答の導き方
この設問では、ECパッケージの保守契約費用について、必要な費用項目が網羅されているかを確認します。ポイントは、保守契約の対象として記載されている作業と、ECシステムで予定されている作業を照らし合わせることです。
まず、ランニングコストの内訳には「ECパッケージの保守契約費用」があります。一方、その保守契約の対象は「サポートデスクの問合せ対応及び問題発生時の調査・対応だけ」とされています。つまり、記載されている保守契約の範囲だけでは、ほかの保守関連費用が含まれているとは判断できません。
次に、ECパッケージについては「定期的なバージョンアップ」が提供されます。バージョンアップに伴う作業や費用が見積りに含まれているかを確認する必要があります。
さらに、商品カテゴリの構成変更や決済方法の追加などのカスタマイズが予定されており、本番稼働後にも追加のカスタマイズを行う計画です。これらのカスタマイズ部分は、パッケージのバージョンアップ時などに改修が必要になる可能性があるため、その改修費用も確認対象になります。
したがって、保守契約の対象として明記されている問い合わせ対応や問題調査だけでなく、バージョンアップとカスタマイズ部分の改修に必要な費用が見積りに含まれているかを確認します。
誤りやすいポイント
- 保守契約費用がランニングコストに計上されているだけで、必要な費用がすべて含まれていると判断しないことです。契約対象は問い合わせ対応と問題発生時の調査・対応に限られています。
- パッケージのバージョンアップが提供されることと、その作業費用まで保守契約に含まれることは別です。
- カスタマイズの導入費用だけに注目し、本番稼働後のカスタマイズ部分の改修費用を見落とさないようにします。
FAQ
Q: 問い合わせ対応や問題発生時の調査・対応の費用を、改めて確認する必要はありますか？
A: それらは保守契約の対象として記載されています。この設問では、対象に含まれていると確認できないバージョンアップやカスタマイズ部分の改修費用に注目します。
A: それらは保守契約の対象として記載されています。この設問では、対象に含まれていると確認できないバージョンアップやカスタマイズ部分の改修費用に注目します。
Q: バージョンアップは提供されるとあるので、費用も保守契約に含まれるのではありませんか？
A: 「提供される」ことだけでは、費用の扱いまでは分かりません。保守契約や見積りの範囲に含まれているかを確認する必要があります。
A: 「提供される」ことだけでは、費用の扱いまでは分かりません。保守契約や見積りの範囲に含まれているかを確認する必要があります。
Q: なぜカスタマイズ部分の改修費用も対象になるのですか？
A: 独自のカスタマイズが予定されており、パッケージのバージョンアップなどに伴って改修が必要になる可能性があるためです。
A: 独自のカスタマイズが予定されており、パッケージのバージョンアップなどに伴って改修が必要になる可能性があるためです。
関連キーワード: パッケージ保守、バージョンアップ、カスタマイズ、保守契約、ランニングコスト
設問2：
問題文を見る〔本調査に向けた監査手続の検討〕(2)について、本調査で実施すべき監査手続を、50字以内で答えよ。
模範解答
開発導入投資額の見積り資料を査閲し、基幹システムの改修に係る投資額が考慮されているか確かめる。
解説
解答の導き方
-
まず、確認対象がデータ連携に関するどの費用かを整理します。図1では、ECシステムと基幹システムの間にデータ連携機能があり、本文では連携を日次のファイル処理で行う計画です。
-
連携機能の開発はS社に外部委託する一方、基幹システム側の改修は情報システム部が行う計画です。さらに、その改修範囲は要件定義段階で特定することになっています。したがって、S社の見積り資料に基づいて算定された開発導入投資額に、情報システム部が行う基幹システムの改修費用まで含まれているとは限りません。
-
本文でも、表1の開発導入投資額だけでは支出額が低く計上されるリスクがあるとしています。そこで本調査では、S社の見積り資料を査閲し、基幹システムの改修に係る投資額が考慮されているかを確かめます。単にデータ連携機能の開発費を確認するだけでは、別途行われる基幹システム側の改修費用の見落としを確認できません。
誤りやすいポイント
- データ連携機能の開発費だけを確認し、基幹システム側の改修費用を見落とすことです。両者は担当する組織が異なります。
- 「改修範囲は要件定義段階で特定」とあるため、改修内容が未確定であることを理由に、費用の確認を後回しにすることです。ここでは、見積りに改修費用が考慮されているかを監査手続として確認します。
- ランニングコストや利益増加見込みを調べることです。この設問で確認するのは、開発導入投資額に基幹システムの改修に係る投資額が含まれているかどうかです。
FAQ
Q: データ連携機能の開発費が見積りに含まれていれば十分ですか。
A: いいえ。基幹システム側の改修は情報システム部が行う計画なので、その改修に係る投資額も考慮されているかを確認する必要があります。
A: いいえ。基幹システム側の改修は情報システム部が行う計画なので、その改修に係る投資額も考慮されているかを確認する必要があります。
Q: なぜS社の見積り資料を確認するのですか。
A: 本文では、開発導入投資額はS社が作成した見積り資料を基にDX推進室が算定したとあります。したがって、その資料を査閲することで、投資額の算定に基幹システムの改修費用が反映されているか確認できます。
A: 本文では、開発導入投資額はS社が作成した見積り資料を基にDX推進室が算定したとあります。したがって、その資料を査閲することで、投資額の算定に基幹システムの改修費用が反映されているか確認できます。
Q: 基幹システムの改修範囲が決まっていない場合は、何を確認しますか。
A: 改修内容が確定しているかではなく、開発導入投資額の見積りに改修に係る投資額が考慮されているかを確認します。
A: 改修内容が確定しているかではなく、開発導入投資額の見積りに改修に係る投資額が考慮されているかを確認します。
関連キーワード: 投資見積り、システム改修、データ連携、外部委託、システム監査
設問3：
問題文を見る〔本調査に向けた監査手続の検討〕(3)について、R社の情報セキュリティ対策に係る支出額が適切に計上されていることを確認する上で、S社との関係でどのような点に留意すべきか。35字以内で答えよ。
模範解答
R社の情報セキュリティ対策の責任範囲が明確になっていること
解説
解答の導き方
設問は、情報セキュリティ対策に関する支出額を確認する際、S社との関係で何に注意するかを問うています。確認の中心は、対策の有無だけでなく、R社が負担する対策費用が漏れなく投資額に含まれているかです。
本文では、ECシステムを「当社として初めてIaaS上に構築する」とされています。また、ECシステムの導入・カスタマイズなどはS社に外部委託する計画です。このため、R社とS社のどちらがどの情報セキュリティ対策を実施し、その費用を負担するのかを明確にしておく必要があります。
さらに、ECパッケージの保守契約の対象は「サポートデスクの問合せ対応及び問題発生時の調査・対応だけ」です。保守契約があるからといって、必要な情報セキュリティ対策もすべてS社が担うとは限りません。分担が曖昧なままだと、R社が実施すべき対策の費用が計上されないおそれがあります。
したがって、S社との間でR社が担う情報セキュリティ対策の責任範囲が明確になっていることに留意します。
誤りやすいポイント
- S社にシステム構築を委託するため、情報セキュリティ対策もすべてS社が担うと考えてしまうことです。
- 保守契約に問題発生時の調査・対応が含まれることを、セキュリティ対策全般も含まれることと混同することです。
- 対策の実施状況だけを確認し、R社が負担すべき対策費用が投資額に含まれているかという観点を見落とすことです。
FAQ
Q: なぜS社との責任分担を確認する必要があるのですか？
A: 分担が不明確だと、R社が実施・負担すべき対策の費用を特定できず、支出額が不足して計上されるおそれがあるためです。
A: 分担が不明確だと、R社が実施・負担すべき対策の費用を特定できず、支出額が不足して計上されるおそれがあるためです。
Q: 保守契約に問題発生時の対応が含まれていれば、別途の確認は不要ですか？
A: 不要とはいえません。本文で示されている保守契約の対象だけでは、情報セキュリティ対策全般が含まれるとは判断できないため、S社との責任範囲を確認します。
A: 不要とはいえません。本文で示されている保守契約の対象だけでは、情報セキュリティ対策全般が含まれるとは判断できないため、S社との責任範囲を確認します。
関連キーワード: 責任分界、情報セキュリティ、IaaS、外部委託、委託先管理
設問4：
問題文を見る〔本調査に向けた監査手続の検討〕(4)について、本調査で実施すべき監査手続を、40字以内で答えよ。
模範解答
営業本部にインタビューし、試算結果の妥当性を確認していることを確かめる。
解説
解答の導き方
-
まず、監査手続の検討(4)が確認対象としているのは、表1の「利益増加見込み」です。問題文では、売上増大と新商品の開発による利益率向上の実現可能性が十分に検討されているかを確認する必要があるとしています。したがって、投資回収期間の計算や支出額ではなく、利益増加の予測が妥当かどうかを確かめる手続を考えます。
-
利益増加見込みは、R社の過去の販売実績データや、S社が他社事例を基に作成した平均的な売上増加率を使い、DX推進室が独自に試算したものです。しかし、過去の実績や他社の平均値を使っていても、R社の販売チャネル拡大や新商品開発で同様の成果が得られるとは限りません。試算の前提がR社の実情に合っているかを確認する必要があります。
-
その確認に適しているのが、営業の実情を把握し、ECシステムの導入にも関わる営業本部へのインタビューです。販売増加の見込みや新商品による利益率向上が、実際の営業計画などに照らして妥当と判断されているかを確かめます。
-
監査人が確認するのは、単に数値の計算が合っているかではありません。営業本部へのインタビューを通じて試算結果の妥当性が確認されていることを確かめるのが適切です。
誤りやすいポイント
- 表1の投資回収見込みが3年間であることだけを根拠に、投資判断が妥当だと判断してしまうこと。ここで問われているのは、利益増加見込みの実現可能性です。
- DX推進室が試算した数値や計算式だけを確認すること。計算が正しくても、売上増大や利益率向上の前提が妥当とは限りません。
- S社の他社事例に基づく平均的な売上増加率を、そのままR社にも当てはまると考えること。他社の平均値がR社の実情に合うかを確認する必要があります。
- 営業本部へのインタビューを、試算結果と結び付けずに行うこと。確認の目的は、売上増大や利益率向上の試算が妥当かどうかです。
FAQ
Q: なぜDX推進室ではなく、営業本部へのインタビューが必要なのですか。
A: DX推進室が独自に試算した利益増加見込みについて、営業の実情を把握している営業本部の見解を確認するためです。
A: DX推進室が独自に試算した利益増加見込みについて、営業の実情を把握している営業本部の見解を確認するためです。
Q: インタビューでは、どのような点を確認しますか。
A: 販売チャネルの拡大による売上増大や、新商品開発による利益率向上の見込みが、実際の営業計画などに照らして妥当かを確認します。
A: 販売チャネルの拡大による売上増大や、新商品開発による利益率向上の見込みが、実際の営業計画などに照らして妥当かを確認します。
Q: 試算の計算が正しければ、十分な確認といえますか。
A: いいえ。計算の正しさだけでなく、計算の前提となる売上や利益率の見込みが実現可能かを確かめる必要があります。
A: いいえ。計算の正しさだけでなく、計算の前提となる売上や利益率の見込みが実現可能かを確かめる必要があります。
関連キーワード: 投資評価、売上予測、利益率、監査証拠
設問5：
問題文を見る〔本調査に向けた監査手続の検討〕(5)について、十分な投資評価を行うために必要と考えられることを、35字以内で答えよ。
模範解答
本番稼働した2年後以降についても投資対効果の評価を行うこと
解説
解答の導き方
本番稼働後の投資評価を十分に行うために、いつまで評価を続ける必要があるかを考えます。
本文では、投資評価を行う時期として「本番稼働した1年後」が予定されています。一方、表1では、初期の支出に対して稼働後の利益増加分を積み上げても、稼働１年目の投資回収見込みは▲24,500、稼働２年目は▲14,500であり、稼働３年目に0となっています。つまり、計画上は投資を回収するまでに3年間を見込んでいます。
そのため、稼働１年後の評価だけでは、その時点までの実績は確認できても、残りの期間で利益増加が続き、投資を回収できるかまでは確認できません。投資対効果を十分に評価するには、稼働２年後以降も、実際の支出や利益増加を確認しながら評価を続ける必要があります。
誤りやすいポイント
- 稼働１年後に評価する予定があることだけで、十分な投資評価ができると考えてしまうことです。表1の投資回収見込みは稼働３年目まで示されています。
- 初年度の利益増加だけを確認し、投資回収までの見通しを評価しないことです。予定した利益増加が継続するかも確認する必要があります。
- 投資評価の時期ではなく、評価を担当する部署や報告先を答えてしまうことです。この設問では、稼働１年後以降も評価を行う必要性が問われています。
FAQ
Q: なぜ稼働１年後の評価だけでは不十分なのですか？
A: 表1では投資回収が稼働３年目の見込みです。稼働１年後の実績だけでは、残りの期間で投資を回収できるか判断できません。
A: 表1では投資回収が稼働３年目の見込みです。稼働１年後の実績だけでは、残りの期間で投資を回収できるか判断できません。
Q: 稼働２年後以降は、何を評価すればよいですか？
A: 実際の支出や利益増加を計画と照らし合わせ、投資対効果が見込みどおりに推移しているかを確認します。
A: 実際の支出や利益増加を計画と照らし合わせ、投資対効果が見込みどおりに推移しているかを確認します。
Q: 稼働３年目に一度評価すれば十分ですか？
A: 計画上の回収時期は目安です。実際に回収できたかを含め、投資対効果を把握できるよう稼働２年後以降も評価を行う必要があります。
A: 計画上の回収時期は目安です。実際に回収できたかを含め、投資対効果を把握できるよう稼働２年後以降も評価を行う必要があります。
関連キーワード: 投資対効果、回収期間法、投資評価、ランニングコスト、キャッシュフロー
