システム監査技術者：2018年　午後Ⅰ　問3

データ分析システムの監査

販売管理システムでの小規模な改修で生じるリスクとコントロールについての出題。
IPAの平成30年(2018年)度　春期試験　午後Ⅰ問題リンク

IPAの解答例

設問1： a: 販売管理システムによるEDI受注内容のチェック

設問2： (1) b: EDI取引契約書
　　　　　 c: 要件定義書
　　　　(2) d: 受発注成立の条件のすべてが受注データのチェック要件として定義されていること

設問3： e: 1件当たり10万円以上の受注を10万円未満の受注に分割して入力する
　　　　f: 定期的に10万円未満の受注の一覧表を出力し、受注責任者がチェックする

設問4： ｇ: 出荷指示リストと出荷完了リストとの突合が行われるようになっていることを確認すること

残念な解答例

設問1： a: EDI取引契約書の受発注成立条件と受注内容の自動チェック

設問2： (1) b: EDI取引契約書
　　　　　 c: 要件定義書
　　　　(2) d: 要件定義書に書かれている受注内容のチェック処理とEDI取引契約書との整合性

設問3： e: 不正な価格設定や値引、分割受注により1回の受注金額を10万円未満に調整する
　　　　f: 10万円未満の複数受注データを一覧表示し比較可能とし、一括承認を可能とする

設問4： ｇ: 新業務フローに出荷指示リストと出荷完了リストを突合せてチェックする記載の確認

解答の検討

設問1 a

受注責任者の承認に代わるコントロールが問われている。
[現在の販売管理業務の概要]の(1)に「受注責任者が受注の可否を判断して承認入力を行うことによって、受注確定となる」と記載されている。[新しい販売管理業務の概要]の(1)では「新しい販売管理システムで受注内容の自動チェックを行う」とあり、これが「コントロール」に対応すると気づく必要がある。よって「販売管理システムによるEDI受注内容のチェック 」が正解。

設問2
(1) b,c

EDI受注内容のチェックのコントロールについて、妥当性を確認する監査手続きで、照合する文書名を答える設問。
まず、[新しい販売管理業務の概要]の(1) に「受発注成立の条件は、Q社とのEDI取引契約書に定められている」とあるため、一つは「EDI取引契約書」。もう一つは、設問の冒頭部分に「要件定義が終わった段階」とあるので、「要件定義書」。

(2) d

EDI受注内容のチェックのコントロールについて妥当性を確認する監査手続きで、 確かめる事項を問う設問。
「受発注成立の条件は、Q社とのEDI取引契約書に定められている」ので、その条件の一つひとつがEDIの自動チェック仕様に反映されており、漏れていないことを確認する監査手続きとなる。したがって、「受発注成立の条件のすべてが受注データのチェック要件として定義されていること 」が正解。

設問3
e

受注責任者の承認が省略されると、10万円以上の受注の承認を回避するために、何らかの不正が行われるリスクが防止できなくなる。それは何か。
[現在の販売管理業務の概要]の(1)に、在庫不足などで納品が分かれる場合は、「元となった注文内容を複数の受注データに分割して入力する」と記述されている。これを悪用して、1件の受注金額を分割することにより、10万円未満にし、受注責任者の承認を回避することが考えられる。
よって、「 1件当たり10万円以上の受注を10万円未満の受注に分割して入力する 」となる。

f

1件の受注金額を分割することにより、10万円未満にし、受注責任者の承認を回避する不正をチェックするコントロールが問われている。
これは同一顧客・同一受注日の10万円未満の受注の中に不自然なものがないかを、一覧表で確認するのが有効と思われる。
したがって、「定期的に10万円未満の受注の一覧表を出力し、受注責任者がチェックする 」となる。

設問4　g

T氏は、出荷時のQRコードの読取り漏れがないことを確認するコントロールが必要であると言っている。それを調べる監査手続きを答える設問。
[新しい販売管理業務の概要]の(2) に、「出荷日の前日に、各配送センタに出荷指示リスト」が出力されるとある。また、「出荷日の当日に、処理された出荷完了処理の内容を一覧にした出荷完了リストが出力される」とある。この「出荷指示リスト」と「出荷完了リスト」を突合せて漏れがないことを確認すればよい。
「出荷指示リストと出荷完了リストとの突合が行われるようになっていることを確認すること」が正解。
IPAの講評には「確認する対象だけを記述した回答が多かった。監査手続きを記述する阿合、確認する対象に加え、確認するポイント、適用する監査手法を含める必要がある」 とある。