平成21年度春期 システム監査技術者 午前Ⅱ 問1

削除確認で見る監査証拠の視点

削除確認では、対象の母集団がどの範囲と基準で作られているか、また照合に使う証拠が独立した記録として追跡できるかを、問題文の条件に沿って一つずつ整理します。手続の目的と証拠の対応が崩れていないかにも注意します。

この問題で問われていること

今回の検討では、削除対象を集めた母集団と、実際の確認を支える照合証拠の対応関係だけに焦点を置きます。期間、範囲、作成者、追跡可能性を同じ基準で確認してください。

視点

監査手続を考えるときは、まず何を網羅的に確認する集まりなのかを定義し、その後で別記録との対応、対象期間、証跡の出所と改変可能性を整理します。目的に対して証拠の粒度が合っているかを確認し、断定は記録で裏づけられる範囲に留めます。

確認ポイント

• 母集団の対象範囲・期間・抽出基準が、確認目的と一致しているか
• 照合証拠がどの記録に由来し、誰がいつ作成・保持したか追跡できるか
• 母集団と証拠を結び付ける識別子や記録の対応が、途中で曖昧になっていないか

正解

ウ

解説

退職者の全件を母集団とし、その一人一人が利用者IDリストから削除されているかを確認する手続が最も適切です。したがって正答はウです。

理由

退職によって権限を失う者を確認するには、人事発令簿に記載された退職者全件を母集団にする。そこから利用者IDリストを照合すれば、退職者が削除されずに残っている事実を直接確認できる。

比較

アクセス権限削除申請書や利用者IDリストの更新履歴を起点にすると、申請漏れや記録漏れによって本来確認すべき退職者が母集団から外れる可能性がある。監査では対象者側の全件性を優先する。

選択肢ア

これは不正解だよ。削除申請書を全件確認しても、退職者について申請書が作成されていない場合は検証対象から漏れる。申請書が存在する人だけを母集団にするため、退職による権限喪失者全体が削除されたことを確認できない。

選択肢イ

これは不正解だよ。最新の利用者IDリストに残っている利用者を起点にすると、既に削除された人や、申請書が作成されていない退職者を確認できない。また、残存者に削除申請書がないことは、退職者の削除状況を直接示すものではない。

選択肢ウ（正解）

これは正解だよ。人事発令簿にある退職者の全件を母集団にし、各退職者が利用者IDリストから削除されているかを照合するため、退職による権限喪失者の削除漏れを網羅的に確認できる。

選択肢エ

これは不正解だよ。利用者IDリストの更新履歴を全件確認しても、退職者の削除に関する更新が記録されていない場合や、記録が不完全な場合を把握できない。更新履歴ではなく、退職者全件を基準に削除状況を確認する必要がある。

学習のポイント

監査では、確認対象の母集団を漏れなく定義することが重要です。