応用情報技術者過去問題 令和6年春期 午後問11
⇄問題文と設問を画面2分割で開く⇱問題PDF問11 システム監査
支払管理システムの監査に関する次の記述を読んで,設問に答えよ。
V社は大手の製造会社であり,2年前に12年間利用していた自社開発の債務管理システムから業務パッケージを利用した支払管理システムに移行した。そこで,内部監査室は,支払管理システムの運用状況に関するシステム監査を実施することにした。
〔支払管理システム及び関連システムの概要〕
支払管理システム及び関連システムの概要を図1に示す。![pm11_1.png/image-size:542×154](img/pm11_1.png)
監査担当者が予備調査で把握した内容は,次のとおりである。
監査担当者が,予備調査に基づき策定した監査手続案を表1に示す。
内部監査室長は,表1をレビューし,次のとおり監査担当者に指示した。
V社は大手の製造会社であり,2年前に12年間利用していた自社開発の債務管理システムから業務パッケージを利用した支払管理システムに移行した。そこで,内部監査室は,支払管理システムの運用状況に関するシステム監査を実施することにした。
〔支払管理システム及び関連システムの概要〕
支払管理システム及び関連システムの概要を図1に示す。
![pm11_1.png/image-size:542×154](img/pm11_1.png)
- 支払管理システムは業務パッケージの標準機能を利用し,約1年間で,企画,要件定義,業務パッケージ選定,設計,開発,テスト及びリリースの各段階を経て移行された。V社では,規程類に適合しない機能を採用する場合は,対応策を含めて,リスク委員会の承認を受ける必要がある。
- 会計システムは業務パッケージである。
- 調達管理システムは,10年前に構築した自社開発システムであり,各工場製造部の原料及び外注加工に関する見積依頼・発注・入荷・検収を管理している。検収入力で作成される調達実績データは,半月ごとに支払管理システムへ取り込まれる。
- 4年前に実施された債務管理システムのシステム監査では,規程類に適合した機能が導入され,運用されていると結論付けられ,指摘事項はなかった。
- 昨年実施された調達管理システムの監査では,取引先別の調達実績データの合計額が支払管理システムの支払予定データの合計額と一致していないことが発見された。これについて,調達管理システムには問題はなく,支払管理システムの運用状況の詳細な調査が必要と結論付けられ,経理部で調査中とのことである。
監査担当者が予備調査で把握した内容は,次のとおりである。
- 支払管理システムでは,業務パッケージの標準機能である利用者ID情報管理機能及びパスワード管理機能を利用している。承認された利用者ID申請書が情報システム部サポート担当に提出され,利用者ID情報が登録,変更,削除される。利用者ID情報には,利用者ID,利用者名,部署名,各メニューの利用権限などが含まれ,登録・変更・削除履歴は利用者ID更新ログに記録される。業務パッケージのパスワードポリシーの一部には,規程類に適合するようにパスワードポリシーを適用できない箇所があった。
- 支払管理システムに関連するプロセスは,次のとおりである。
- 経費精算などは,支払管理システムに支払申請入力を行い,承認者が承認入力を行うことで支払予定データが生成される。支払予定データは修正できないので,支払額を減額したい場合は,減額の支払申請を入力する。
- 支払規程によると,支払金額が一定額を超過する場合には,事業本部長の承認及び担当役員の承認が必要になる。支払管理システムには,一つの申請に対し複数の承認者を設定する機能がないので,承認入力後に承認者から必要な上位者に経理部宛のCCを含む電子メールで承認を受ける手続としている。
- 支払申請入力では,請求書・領収書などの証ひょう類を承認者に回付せず申請者が入力後に経理部に送付する。経理部は,支払予定データについて一定額超過の承認メールを含む証ひょう類に不備がないかチェックする。経理部は,証ひょう類に不備のある支払予定データについて,未承認の状態に変更することができ,その場合は,申請者に電子メールで通知される。また,各工場管理部は調達管理システムの調達実績データについて,取引先からの請求書とチェックしている。
- 調達実績データから支払予定データを生成するには支払先マスターに調達連携用の支払先(以下,調達用支払先という)を登録しておく必要がある。調達用支払先は,調達管理システムに関する支払業務以外では利用しない。
- 支払管理システムでは,半月ごとの調達実績データの取込処理によって,支払予定データが生成される。取込処理の実行時にエラーがあった場合は,情報システム部でエラー対応を行う。一方,エラーではないが支払先マスターに調達用支払先が未登録などの場合は,保留ファイルに格納される。経理部は保留ファイルに対し,支払先マスター登録などの対応後に保留ファイルの更新処理を実行する一連の作業を行う。
- 原料・外注加工費は半月ごとに支払が行われるので,調達管理システムでの検収入力が遅れ,次回の取込処理となってしまうと支払遅延となる。そこで,支払遅延とならないように工場製造部の申請に基づき,工場管理部は,当該取引先に対応した調達用支払先を利用して追加の支払申請入力を行う。また,次回の取込処理までに重複防止のための減額の支払申請入力が必要となる。
- 経理部は,作業が完了した支払予定データに対して振込データ作成画面で対象範囲を指定して,銀行に送信する振込データを作成する。
監査担当者が,予備調査に基づき策定した監査手続案を表1に示す。
![pm11_2.png/image-size:582×331](img/pm11_2.png)
- 表1項番2の監査手続は,予備調査の結果を踏まえると不備が発見される可能性が高い。これに対応する追加手続としてa段階でbが行われていたかどうかについての監査手続を含めるべきである。
- 表1項番3の監査手続だけでは,監査要点を十分に評価できない。cに対する作業について評価する監査手続を追加すること。
- 表1項番4の監査手続だけでは,監査要点を十分に評価できない。支払金額がdの支払予定データについては,監査手続を追加すること。
- 表1項番5について,支払予定データに対して経理部のeが振込データ作成前に完了していることを確かめる監査手続を追加すること。
- 昨年度のシステム監査での発見事項については,表1の項番fで確かめている。その他,差異が発生する可能性のある次の二つの事象に関する監査要点及び監査手続を追加すること。
- 調達管理システムと異なる支払申請入力において,間違ってgを利用してしまった。
- 支払遅延防止として追加の支払申請入力した後に,hを行わなかった。
設問1
〔監査手続の作成〕のa~dに入れる適切な字句をそれぞれ10字以内で答えよ。
解答入力欄
- a:
- b:
- c:
- d:
解答例・解答の要点
- a:業務パッケージ選定 (9文字)
- b:リスク委員会の承認 (9文字)
- c:保留ファイル (6文字)
- d:一定額を超過する場合 (10文字)
解説
業務パッケージである支払管理システムを題材に、システム監査の基本的な理解が問われていますが、手作業を含めた業務プロセスは比較的平易であり、システム監査の理解が十分でなくとも、問題文を丁寧に読み解けば、解答する語句をピックアップできる問題です。システムの概要説明、予備調査で判明した事実の説明、監査手続についての問題点を解明するという流れは例年通りです。
〔abについて〕
項番2の監査手続は、支払管理システムのパスワードポリシーが、V社のパスワード規程に準拠しているかどうかを確認するというものです。この点については、〔支払管理システムの運用の概要〕(1)に「業務パッケージのパスワードポリシーの一部には,規程類に適合するようにパスワードポリシーを適用できない箇所があった」と記載されていて、予備調査において既に不備の存在が予測されています。
これに対応して追加する監査手続であることを踏まえて本文を読むと、〔支払管理システム及び関連システムの概要〕(1)で「規程類に適合しない機能を採用する場合には,対応策を含めて,リスク委員会の承認を受ける必要がある」という管理策が存在することがわかります。パスワード管理機能は業務パッケージの標準機能であり、カスタマイズ等が実施されずに適合しない状態そのままで運用されているわけですから、導入時におけるこのコントロールが適切に行われたかどうかを確認すべきです。これが本調査において追加すべき監査手続となります。つまり「何が」に相当する空欄bには「リスク委員会の承認」が当てはまります。
空欄aについては、本文中に支払管理システムの導入に至る一連のプロセス(企画,要件定義,業務パッケージ選定,設計,開発,テスト及びリリース)が記載されていて、『この中から選べ』という出題者からのメッセージが読み取れます。この一連のプロセスのうち、適合しない機能を採用するという判断が行われるのは業務パッケージ選定の段階ですので、リスク委員会の承認もこの段階で行われることになります。したがって、空欄aには「業務パッケージ選定」が当てはまります。
∴a=業務パッケージ選定
b=リスク委員会の承認
〔cについて〕
項番3の監査要点は、支払予定データが調達実績データから適切に作成されていることの確認です。支払予定データが調達実績から作成されるプロセスについては、〔支払管理システムの運用の概要〕(2)の④と⑤で説明されています。④⑤の記載事項の要点は次のとおりです。
∴c=保留ファイル
〔dについて〕
項番4の監査要点は、経費精算などの支払予定データが適切に承認されていることの確認です。支払申請入力と承認のプロセスについては、〔支払管理システムの運用の概要〕(2)の①~③で説明されています。①~③のうち承認に関する記載事項の要点は次のとおりです。
申請・稟議・承認などが電子メールで行われることは多いですが、電子メールを利用した承認は、システムに組み込まれた機能で行われる場合と比較して、送受信時に不適切な介入や改ざん、共謀による不正行為が発生するリスクが大きいと言えます。このため、通信記録の保全など適切なコントロールが行われているかどうかの確認が重要となります。
∴d=一定額を超過する場合
〔abについて〕
項番2の監査手続は、支払管理システムのパスワードポリシーが、V社のパスワード規程に準拠しているかどうかを確認するというものです。この点については、〔支払管理システムの運用の概要〕(1)に「業務パッケージのパスワードポリシーの一部には,規程類に適合するようにパスワードポリシーを適用できない箇所があった」と記載されていて、予備調査において既に不備の存在が予測されています。
これに対応して追加する監査手続であることを踏まえて本文を読むと、〔支払管理システム及び関連システムの概要〕(1)で「規程類に適合しない機能を採用する場合には,対応策を含めて,リスク委員会の承認を受ける必要がある」という管理策が存在することがわかります。パスワード管理機能は業務パッケージの標準機能であり、カスタマイズ等が実施されずに適合しない状態そのままで運用されているわけですから、導入時におけるこのコントロールが適切に行われたかどうかを確認すべきです。これが本調査において追加すべき監査手続となります。つまり「何が」に相当する空欄bには「リスク委員会の承認」が当てはまります。
空欄aについては、本文中に支払管理システムの導入に至る一連のプロセス(企画,要件定義,業務パッケージ選定,設計,開発,テスト及びリリース)が記載されていて、『この中から選べ』という出題者からのメッセージが読み取れます。この一連のプロセスのうち、適合しない機能を採用するという判断が行われるのは業務パッケージ選定の段階ですので、リスク委員会の承認もこの段階で行われることになります。したがって、空欄aには「業務パッケージ選定」が当てはまります。
∴a=業務パッケージ選定
b=リスク委員会の承認
〔cについて〕
項番3の監査要点は、支払予定データが調達実績データから適切に作成されていることの確認です。支払予定データが調達実績から作成されるプロセスについては、〔支払管理システムの運用の概要〕(2)の④と⑤で説明されています。④⑤の記載事項の要点は次のとおりです。
- 支払予定データを生成するには、支払先マスターに調達用支払先を登録しておく必要がある
- 支払予定データは、半月ごとに調達管理システムから調達実績データを取り込むことで生成される
- 取込み処理でエラーが発生した場合は、情報システム部がエラー対応する
- エラー以外の理由で支払予定データが生成できない場合は保留ファイルに格納され、経理部が対応後に保留ファイルの更新処理を行う
∴c=保留ファイル
〔dについて〕
項番4の監査要点は、経費精算などの支払予定データが適切に承認されていることの確認です。支払申請入力と承認のプロセスについては、〔支払管理システムの運用の概要〕(2)の①~③で説明されています。①~③のうち承認に関する記載事項の要点は次のとおりです。
- 支払申請入力について、承認者が承認入力を行うことで支払予定データが生成される
- 支払金額が一定額を超過する場合、事業本部長および担当役員の承認が必要となる。この承認は、承認者が経理部宛のCCを含む電子メールを上位者に送信することによって行われる
- 経理部は、証ひょう類に不備がある場合、支払予定データを未承認の状態に変更する
申請・稟議・承認などが電子メールで行われることは多いですが、電子メールを利用した承認は、システムに組み込まれた機能で行われる場合と比較して、送受信時に不適切な介入や改ざん、共謀による不正行為が発生するリスクが大きいと言えます。このため、通信記録の保全など適切なコントロールが行われているかどうかの確認が重要となります。
∴d=一定額を超過する場合
設問2
〔監査手続の作成〕のeについて,どのような作業を確かめるべきか,適切な字句を20字以内で答えよ。
解答入力欄
- e:
解答例・解答の要点
- e:証ひょう類に不備がないかのチェック (17文字)
解説
〔eについて〕
〔支払管理システムの運用の概要〕(2)の⑦に、振込データは、作業完了した支払予定データから経理部が作成すると記載されているので、支払予定データに対して経理部が振込データ作成前に完了させておくべきことを⑦以前から探します。経理部が主語になっている文を探すと、「保留ファイルの更新処理」と「一定額超過の承認メールを含む証ひょう類に不備がないかチェック」の2つが見つかります。「保留ファイルの更新処理」が完了していることの確認は、漏れのチェックにつながるもので、表1項番5に記載の監査手続における確認対象となります。したがって、空欄eには「証ひょう類に不備がないかのチェック」が当てはまります。
支払管理システムでは、支払申請が承認された場合、その時点で支払予定データが生成されます。その後、経理部がチェックし、証ひょう類に不備があれば未承認に変更する流れです。V社では「証ひょう類を承認者に回付せず,申請者が入力後に経理部に送付する」運用なので、承認段階では不備を発見できず、不備の発見は経理部のチェックによることになります。このため、承認済みでも不備のある支払予定データが存在する可能性があり、これを適切に管理しないと、不適切な振込データが作成されるおそれがあります。したがって、振込データの作成前に、経理部による証ひょう類のチェックが完了していることの確認が必要となります。
∴e=証ひょう類に不備がないかのチェック
〔支払管理システムの運用の概要〕(2)の⑦に、振込データは、作業完了した支払予定データから経理部が作成すると記載されているので、支払予定データに対して経理部が振込データ作成前に完了させておくべきことを⑦以前から探します。経理部が主語になっている文を探すと、「保留ファイルの更新処理」と「一定額超過の承認メールを含む証ひょう類に不備がないかチェック」の2つが見つかります。「保留ファイルの更新処理」が完了していることの確認は、漏れのチェックにつながるもので、表1項番5に記載の監査手続における確認対象となります。したがって、空欄eには「証ひょう類に不備がないかのチェック」が当てはまります。
支払管理システムでは、支払申請が承認された場合、その時点で支払予定データが生成されます。その後、経理部がチェックし、証ひょう類に不備があれば未承認に変更する流れです。V社では「証ひょう類を承認者に回付せず,申請者が入力後に経理部に送付する」運用なので、承認段階では不備を発見できず、不備の発見は経理部のチェックによることになります。このため、承認済みでも不備のある支払予定データが存在する可能性があり、これを適切に管理しないと、不適切な振込データが作成されるおそれがあります。したがって、振込データの作成前に、経理部による証ひょう類のチェックが完了していることの確認が必要となります。
∴e=証ひょう類に不備がないかのチェック
設問3
〔監査手続の作成〕のfに入れる最も適切な監査要点を表1の中から選び,表1の項番で答えよ。
解答入力欄
- f:
解答例・解答の要点
- f:3
解説
〔fについて〕
昨年度のシステム監査での発見事項は、「取引先別の調達実績データの合計額が支払管理システムの支払予定データの合計額と一致していない」というものです。表1の監査要点のうち、これを確かめているのは、調達実績データから支払予定データが生成されるプロセスを確認する項番「3」です。
∴f=3
昨年度のシステム監査での発見事項は、「取引先別の調達実績データの合計額が支払管理システムの支払予定データの合計額と一致していない」というものです。表1の監査要点のうち、これを確かめているのは、調達実績データから支払予定データが生成されるプロセスを確認する項番「3」です。
∴f=3
設問4
〔監査手続の作成〕のg,hに入れる適切な字句をそれぞれ10字以内で答えよ。
解答入力欄
- g:
- h:
解答例・解答の要点
- g:調達用支払先 (6文字)
- h:減額の支払申請入力 (9文字)
解説
〔gについて〕
支払申請入力に関連して、調達実績データと支払予定データの差異が発生する可能性を考えます。
〔支払管理システムの運用の概要〕(2)を読むと、支払管理システムの支払先マスターには、調達用支払先とそれ以外の支払先の両方が登録されていると考えられます。「調達用支払先は,調達管理システムに関する支払業務以外では利用しない」とされていますが、経費精算などそれ以外の支払申請において、調達用支払先を誤って利用してしまった場合、その調達先に対する支払予定額が増えます。これにより、合計額の差異が発生することになります。したがって、空欄gには「調達用支払先」が当てはまります。
∴g=調達用支払先
〔hについて〕
支払遅延防止のために追加の支払申請入力に関連して、調達実績データと支払予定データの差異が発生する可能性を考えます。
支払期日に間に合わせるために追加の支払申請入力を行った場合、次回の取込処理までに重複防止のための減額の支払申請入力が必要とされていて、これを行えば取引先ごとの合計額について帳尻が合います。しかし、これを怠った場合、取込処理により重複して支払予定データが作成されることとなり、調達実績データよりも支払予定額が多くなってしまいます。これにより、合計額の差異が発生することになります。したがって、空欄hには「減額の支払申請入力」が当てはまります。
∴h=減額の支払申請入力
支払申請入力に関連して、調達実績データと支払予定データの差異が発生する可能性を考えます。
〔支払管理システムの運用の概要〕(2)を読むと、支払管理システムの支払先マスターには、調達用支払先とそれ以外の支払先の両方が登録されていると考えられます。「調達用支払先は,調達管理システムに関する支払業務以外では利用しない」とされていますが、経費精算などそれ以外の支払申請において、調達用支払先を誤って利用してしまった場合、その調達先に対する支払予定額が増えます。これにより、合計額の差異が発生することになります。したがって、空欄gには「調達用支払先」が当てはまります。
∴g=調達用支払先
〔hについて〕
支払遅延防止のために追加の支払申請入力に関連して、調達実績データと支払予定データの差異が発生する可能性を考えます。
支払期日に間に合わせるために追加の支払申請入力を行った場合、次回の取込処理までに重複防止のための減額の支払申請入力が必要とされていて、これを行えば取引先ごとの合計額について帳尻が合います。しかし、これを怠った場合、取込処理により重複して支払予定データが作成されることとなり、調達実績データよりも支払予定額が多くなってしまいます。これにより、合計額の差異が発生することになります。したがって、空欄hには「減額の支払申請入力」が当てはまります。
∴h=減額の支払申請入力
![問11成績](img/pm11_result.png)