応用情報技術者 試験情報＆徹底解説

https://www.ap-siken.com/kakomon/29_aki/pm11.html

R4秋試験に向けて勉強しているのですが、設問5の回答「先行発注と納品完了の権限を有する者を別にする」に対してご教示をいただきたいです。

私は「発注管理システムの入力と承認の権限を分離する」と回答したのですが、
模範解答では納品完了権限者を分離するということでした。
発注後、現物が納品された後に納品完了入力となるので、既に架空発注されてしまっていると
思うのですが、なぜそれが正解となるのでしょうか？
納品完了入力者が別ならそこで気付くので、納品された実物は返品するということでしょうか？

本来なら発注入力後の承認で否認されれば、架空発注自体発生しないと思うのですが
いかがでしょうか？

アドバイスを頂戴したくご協力よろしくお願いします。

設問５は、表２の項番３についての対策を聞いています。

問題点は、先行発注入力権限と納品完了入力権限の両方が営業担当者に与えられていることです。（表１より）
これを解消するには、権限を分けるのが適切だと思います。

入力と承認は

入力：営業担当者→承認：営業所長
入力：営業所長→承認：本社営業部長

なので分離されています。（表２項番２のコントロール）

そもそも発注システムに「承認」というプロセスはないのでは？
4.の(2)を見ると、入力後は承認なしに発注が行われるように読めます。
「新たに承認プロセスを作ったうえで、入力と承認の権限は分ける」という内容であれば、間違ってないようには思います。

No2の回答にある表2の項番2というのは受注システムの話なので、的が外れているかと。

この投稿は投稿者により削除されました。(2022.07.09 00:34)

この投稿は投稿者により削除されました。(2022.07.09 15:20)

この投稿は投稿者により削除されました。(2022.07.09 15:21)

何度も訂正してすみません。一晩寝て、頭の中を整理したので、再投稿します。

nsさん  こんにちは

ご指摘の件ですが、私は
4.特殊品の先行発注業務  と  5.先行発注した特殊品の受注業務  が連動していると考えました。
4.特殊品の先行発注業務の（3）で返却された後
仕入れ先では発注書により納品準備、J社では  「5.先行発注した特殊品の受注業務」が、平行して行われる。
4.特殊品の先行発注業務の（４）は、両方が揃ってから実行される。
と解釈しました。
4.(3)と(4)の間に5.(1)から(3)の文を挿入して読んでみてください。
いかがでしょうか。

boyonboyonさん

あなたの考え方は理解できました。
そのうえで、以下２点指摘させてください。

「4.と5.が連動している」「4.の(4)は両方が揃ってから実行される」
これらは問題文から明確に読み取れますか？読み取れるとしたら、どの部分ですか？

この設問では「小規模営業所では、営業担当者が『先行発注の入力』～『納品完了入力』までを一人で行えるため、不正な発注が可能である。これの対応として何をするべきか。」が問われています。
エムイーさんの「発注の入力と承認の権限を分離する」という回答に対して、
boyonboyonさんはNo2で「それはすでに分離されている」と返答しています。
この返答に基づけば、「現状でも不正な発注は不可能」、つまり表2の項番3の右半分にこのことが記載されてるはずだと思いますが、この点はいかがですか？

nsさん  こんにちは、

ご指摘の
>「4.と5.が連動している」「4.の(4)は両方が揃ってから実行される」
>これらは問題文から明確に読み取れますか？読み取れるとしたら、どの部分ですか？
ですが、本文には、ないと思います。なので、いろいろ考え迷った末、
「たぶんこうだったんじゃないか・・」と思ったことを書きました。

>と解釈しました。
>4.(3)と(4)の間に5.(1)から(3)の文を挿入して読んでみてください。
>いかがでしょうか。

は、そういうことなので、同意を求めているわけではありません。
nsさんに「あなたの考え方は理解できました。」とおっしゃていただけたので私の考え方が伝わってよかったです。

>「現状でも不正な発注は不可能」
の件ですが、現状では、発注後に受注業務になるので、発注自体は可能だと思います。
承認されるかどうかは、不明です。

nsさんが、私の返信の問題点を指摘していただいたおかげで、本文の深読みをすることができました。
読み直して考えると以前見逃していた箇所などに気づき理解が深まりました。
大変よい勉強になりました。ありがとうございます。

これからもご指導よろしくお願いいたします。

スレ主のエムイーさん  こんにちは、

私の不適切な返信で、思わぬ方向に話が進んでしまい申し訳ありません。
頭の中をもう一度整理して、スレ主さんへの再返信にしたいと思います。

>「発注管理システムの入力と承認の権限を分離する」
という回答につきましては、承認は受注管理システムの話なので、nsさんのおっしゃるとおり、
発注管理システムにはないと思います。
新たに発注管理システムに承認のプロセスを追加するというお考えでしたら、
先行発注の目的、「受注が確定する前に仕入先に発注しておかないと，納期に間に合わないことがある。」
の対策（承認前に発注する）が、実施されないので不適かと思います。
発注後、受注業務に移った後は、承認の権限の分離はできています。

「適切なコントロールが存在しない」のは、先行発注では、発注することが優先なので発注自体を止めることができないということ、私的には「適切なコントロールを入れられない」という認識です。

スレ主さんご指摘の
>納品完了入力者が別ならそこで気付くので、納品された実物は返品するということでしょうか？
これについては、別になっていればそこで気づきそうですね。


設問では、対策として
「①アクセス権限の観点からの改善案を提示する」
なので、アクセス権限を見ると、問題点は、先行発注入力権限と納品完了入力権限の両方が営業担当者に与えられていることです。（表１より）
これを解消するには、権限を分けるのが適切だと思います。


こんな返信でいかがでしょうか。

重ねて、不適切な対応をしたことをお詫び申し上げます。

皆様こんばんは

いいですねー。妥協せず模範解答に近づくためにはどうすればよかったのか振り返る。皆様の真剣さが伝わってきたのでわたしも参加させて下さい。

表2の項番3にもう既に答え書いてあります。
営業担当者が入力した先行発注について自ら納品完了入力もできる小規模営業所では顧客からの注文に基づかない不正が行われる恐れがある。
監査お約束の最少権限の原則、職務の分離という考え方が理解できていればこの一行で分かるはずです。
答えはわたしの場合「先行発注と納品完了する権限を分離する」（18文字）になりました。

更に付け加えさせて頂ければもっと分かり易いです。
４．特殊品の先行発注業務から小規模拠点にはいない営業事務担当者という文字を消して営業担当者に置き換えてみてください。先行発注から納品完了まで全て営業担当者ができてしまうのが分かりますね。
せっかく願客の注文に迅速に対応するために，各営業所での受発注処理に切り替えた結果、不正をやったらできてしまうシステムを作っていた、ということです。

エムイーさん
こんばんは

APのシステム監査はそんなに深く悩まなくても、割と分かり易いリスクが問題文に埋め込まれています。
もっと肩の力を抜いてシステム監査に向き合ってみてくださいませ。

boyonboyonさん
こんばんは

謝らなくてもいいです。技術的な議論、大いに意見を書き込みましょう！
間違っていた、正解だった、いずれにしてもお互い成長しています！