解説

〔aについて〕
本問では財務報告に係る内部統制の監査がテーマになっていますが、財務報告に係る内部統制については、金融庁「財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準」があるので、これに依拠して監査を実施することができます。

「財務報告に係る内部統制の評価及び監査の基準」では、適切な財務情報を作成するための要件として以下の6つが挙げられています。

• 実在性 … 資産及び負債が実際に存在し、取引や会計事象が実際に発生していること
• 網羅性 … 計上すべき資産、負債、取引や会計事象を全て記録していること
• 権利と義務の帰属 … 計上されている資産に対する権利及び負債に対する義務が企業に帰属していること
• 評価の妥当性 … 資産及び負債を適切な価額で計上していること
• 期間配分の適切性 … 取引や会計事象を適切な金額で記録し、収益及び費用を適切な期間に配分していること
• 表示の妥当性 … 取引や会計事象を適切に表示していること

本文中では、このうち実在性を除く5つについて記載があるので、空欄には残る「実在性」が当てはまります。

なお、財務報告統制に関する知識がない場合は、以下のように考えます。
「･･･不正や誤謬(びゅう)が発生した場合に，a，網羅性，権利と義務の帰属，評価の妥当性，期間配分の適切性，表示の妥当性といった…」
という文脈から考えて"○○性"という言葉が当てはまると考えられます。選択肢のうち"○○性"は「ウ：実在性」と「オ：独立性」の2つです。この文章は「適切な財務情報を作成するための要件のうち…」と続いています。適切な財務情報を作成するための要件としては「実在性」が該当すると考えられます。

∴a＝ウ：実在性

〔bについて〕
ITに係る業務処理統制とは、業務を管理するシステムにおいて、承認された業務が全て正確に処理、記録されることを確保するために業務プロセスに組み込まれたITに係る内部統制です。

「財務報告に係る内部統制の評価及び監査の基準」では、ITに係る業務処理統制の具体例として以下の4つが挙げられています。

• 入力情報の完全性、正確性、正当性等を確保する統制
• 例外処理（エラー）の修正と再処理
• マスタ・データの維持管理
• システムの利用に関する認証、操作範囲の限定などアクセスの管理

したがってbには「マスタデータの維持管理」が当てはまります。

∴b＝キ：マスタデータの維持管理

なお、"資産の保全"・"法令遵守"は内部統制の目的、"統制環境"・"モニタリング"・"リスクの評価と対応"は内部統制の基本的要素という点から除外できると思います。

参考URL: 財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準
　https://www.fsa.go.jp/news/r1/sonota/20191213_naibutousei/1.pdf

解説

評価手法の名称と留意点について問われています。

〔名称について〕
システム監査基準(平成30年)によれば、監査手続の手法には、チェックリスト法、ドキュメントレビュー法、インタビュー法、ウォークスルー法、突合・照合法、現地調査法、コンピュータ支援監査技法などがあります。

下線部を確認すると、「取引の発生時点から手作業や情報システムによる処理を経由して最終的に財務報告に反映されるまでのプロセスを追跡することで文書化の内容を検証」とあります。このような監査手法は「ウォークスルー」と呼ばれ、システム監査基準では「データの生成から入力、処理、出力、活用までのプロセス、及び組み込まれているコントロールを、書面上で、又は実際に追跡する技法」と定義されています。

∴ウォークスルー

〔留意点について〕
ウォークスルー法を採用する際に留意点のうち不適切なものを選択します。各記述について次のことが言えます。

• 記載のとおりです。リスクコントロールマトリックスにあるコントロールごとに進めていると、例えば与信限度額に関するコントロールは番号1と6と7にあるため、話が飛びやすくなります。
• 記載のとおりです。事前に質問事項や依頼文書のリストを参加者に伝えておくと、参加者が事前に内容を把握することができ、効率よく進められます。
• 記載のとおりです。日ごろから業務にかかわっている担当者は、慣れにより潜在しているリスクや統制の弱点を見過ごしがちです。
• 誤りです。ウォークスルー法では、ある取引を対象とし、始まりから終わりまでを追跡するので非常に手間が掛かります。評価対象数を増やすと作業負荷が増え、同種の取引を調査しても無意味ですので、単に数を増やせば良いというものではありません。
• 記載のとおりです。プロセス全体や関連する情報システムに詳しい人員が参加しないと、適切な評価を行えません。

∴評価の対象とする取引数は，作業負荷などを考慮した上で，できるだけ多く選択することが望ましい。

解説

ヒアリング結果のうち、ユーザIDに関係するものを抜き出します。

〔業務課へのヒアリング〕
(3) ユーザIDの登録・削除は，上長の承認を得て，管理課に提出する。
(4) 受注担当者が不在や外出のときには，あらかじめ用意していた共有のユーザIDを使って受注入力する。

〔経理課へのヒアリング〕
(1) ユーザIDの登録・削除は，上長の承認を得て，管理課に提出する。

〔管理課へのヒアリング〕
(1) 管理課担当者は，四半期に一度，ユーザIDとアクセス権の棚卸しを実施する。（中略）承認時に内容の不備を発見したときには，管理課長が修正入力と承認をしている。

このうち、ユーザID管理の観点から問題となり得るのは〔業務課へのヒアリング〕(4)と〔管理課へのヒアリング〕(1)です。

まず、〔業務課へのヒアリング〕(4)については、共有のIDが存在していては、不特定多数の人が操作可能になるため、ユーザIDでアクセス権を制限している意味がありません。誰か操作を行ったかの特定ができないので、内部不正を行う隙を与えることになるからです。
次に、〔管理課へのヒアリング〕(1)については、管理課長が入力を承認のいずれも自分で行えてしまうことが、職務の分掌、内部牽制の観点から不適切です。現状では管理課長により不正入力のためのコントロールが欠落しています。

以上よりこの2点が指摘事項となります。

∴①共有のユーザIDが存在し，担当者不在時の受注入力に使用されている
　②管理課長がユーザIDとアクセス権の変更と承認の両権限をもっている

解説

リスクコントロールマトリックスと〔業務課へのヒアリング〕を比較して、リスクコントロールマトリックスには規定されているものの、実際にはその通りに運用されていないものを解答します。

〔業務課へのヒアリング〕(5)を見ると「変更依頼書が承認されると，それ以降は変更後の与信限度額まで入力できる」とあります。一方、リスクコントロールマトリックスの番号6では「与信限度額を超える場合は（中略）当該受注案件に限って入力することができる」とあります。承認をもらって与信限度額を超える入力した場合、与信限度額の引上げはその入力限りのものですから、本来であれば、その後与信限度額を元に戻さなくてはなりません、しかし元に戻す措置はなく、一年に一度の定期見直しまで増額された与信限度額が適用され続けています。この状態だと、本来の与信限度額を超えた受注が入力がされてしまうおそれがある点が問題となります。

∴番号6
　変更した与信限度額が当該受注案件に限定されていない