平成28年秋期 午後問11 設問4について質問です。

解説を読むと[利用者ID棚卸リスト]と[権限マスタデータ]が回答のように思いますが、IPAの回答は[権限マスタ]と[ID管理台帳]となっています。何故でしょうか？

【解説抜粋】
各課の課長が承認したものは、チェックや訂正事項を記載した後に承認印を押した 「利用者ID棚卸リスト」 です。それと照合する先は実際のデータの登録状況、すなわち、「権限マスタデータ」となります。

項番3の監査手続きでは、システム管理者の変更作業が適切に行われたかを確認することになるので、答えとしては[権限マスタ]と[ID管理台帳]の組合せが適切ですね。

ご指摘を受けて解説を以下のように見直しました。

監査手続の項番(2)③のb、cがある文中に「手続きが不十分なので」と記載されていますので、営業管理部における利用者ID棚卸について記載された〔住宅販売システムの予備調査〕(3)②から不十分な点を探します。

営業管理部における利用者ID棚卸の手順は次の通りです。

1.システム管理者は、ID管理台帳のコピーを利用者ID棚卸リストとして配布する
2. 各課の課長は、利用者ID棚卸リストにチェックをし、訂正事項があれば記載して承認する
3. システム管理者は、利用者ID棚卸リストの訂正事項を基に修正のためのID申請書を起票する
4. システム管理者は、営業管理部長の承認を得てID管理台帳と権限マスタデータを更新する

上記の手順では、各課の課長及びシステム管理者の誤謬（または不正）が起こり得ます。各課の課長が訂正事項を誤って書き込んでも細かなチェックする体制がありませんし、システム管理者による更新作業が確実に行われたことを保証するコントロールがないからです。各課の課長が行った作業の適切性については監査手続きの項番(2)②で確認することになっているので、③ではシステム管理者の作業についての適切性を確認する監査手続が必要となります。

システム管理者の作業は、承認済みのID申請に基づきID管理台帳及び権限マスタデータを更新することですので、監査においては更新済みのID管理台帳と権限マスタの内容が最終的に一致していることを確認する必要があります。

一方、各支店における利用者ID棚卸では、システム管理者が画面を見ながら支店長の承認を得て権限マスタを更新している（支店長が更新作業を確認している）ので、上記のような問題は起こりません。

URL: https://www.ap-siken.com/kakomon/28_aki/pm11.html

これでいかがでしょうか？

午後の解説をがんばって充実させているので、しっかり読んでくれている人がいると思うと嬉しいです。他にも不自然な箇所があればご指摘をいただければ幸いです。