平成21年度春期 システム監査技術者 午後Ⅰ 問4

監査目的と手続の対応を確かめる

システム開発監査の検討では、監査人が何を確かめたいのかという目的やリスクを先に捉え、そのために選ばれた対象・評価・手続が、その目的に対して十分な根拠を与えるものになっているかという一つの観点で整理すると考えやすくなります。

この問題で問われていること

問われている場面で、監査人がどのリスクや目的に対応しようとしているのかを読み取り、記述された計画や手続がその目的に対する証拠を実際に得られるものかどうかを、自分の言葉で説明できるかを確認することが中心になります。

視点

監査の計画、コントロールの評価、監査手続は、どれも監査の目的や想定されるリスクに結び付けて考えます。ある行為が監査として意味を持つかどうかは、その行為によって得られる情報が、確かめたい事柄を裏付ける根拠になるかどうかで判断します。行為の名称や一般的な印象で判断せず、目的と得られる証拠とのつながりをたどる姿勢が大切です。

確認ポイント

• その場面で監査人が確かめようとしている目的やリスクが何かを、自分の言葉で一文にまとめられるか
• 検討している計画や手続から、どのような情報や証拠が得られるのかを具体的に想像できるか
• 得られる情報が、最初にまとめた目的やリスクに対する根拠として本当に結び付いているかを確かめたか

解説

システム開発部から異動してきた新任監査人S氏が、監査対象の選定、監査計画、統制の評価、監査手続の設計で誤りやすい点を問う問題です。出題趣旨によると、独立した立場にあるべきシステム監査人の基本姿勢を理解しているかが問われています。公式解答例の要点は次の四つです。設問1は、独立性が不十分なことと、ヒアリングに抜き打ち方式が適さないこと。設問2は、合同リハーサルがユーザ部門レビューの代わりになる統制であること。設問3は、Ⅰ②の承認がないことと、Ⅳ①でユーザ部門に将来の業務処理量を確認していないこと。設問4は、Ⅱ③の手続がテスト担当者への質問だけでは確証を得られないことです。

問題の全体像

K社のシステム監査室に、システム開発部から監査未経験のS氏が配属されました。S氏は最初、自分が異動直前まで開発に関与した生産管理システムを監査対象に選び、抜き打ち方式で監査する計画を立てました。最終的にE室長の指示で、受注管理システムを監査することになりました。S氏はチェックリストを基にヒアリングを行い、統制の状況を表1にまとめました。そのうえで、表1のⅡ①～④について、運用状況を評価する監査手続を表2のように考えました。表2を見ると、Ⅱ①はテスト計画、Ⅱ②は各テスト工程の実施結果、Ⅱ④はUATの実施結果をそれぞれ閲覧して確認する手続です。一方、Ⅱ③だけはテスト担当者に質問して確認する手続になっています。出題趣旨によると本問は、IT部門出身の新任監査人が陥りがちな問題点を題材にしています。独立した立場にあるべきシステム監査人としての基本姿勢を理解しているかが問われています。各設問では、E室長の指摘の根拠を問題文や表の記述から特定することが求められます。

設問１(1)

着目点は「S氏は，異動の直前に生産管理システムの開発に深く関与しており，かつての部下が現在も同システムの保守を担当している」という記述です。S氏はシステムにも担当者にも詳しいことを選定理由にしていますが、監査人が自分の関与した成果物を評価すると、客観的な判断ができなくなるおそれがあります。公式解答例では、異動直前に対象システムの開発に関与しており、監査人の独立性が不十分である点を挙げています。答案では「対象システムへの直前の関与」と「独立性が不十分」の二つを40字以内に収めます。設問1の二つの解答は、どちらを(1)・(2)に書いても対応できる構成です。

設問１(2)

着目点は、S氏が「対象部門に事前に通知しない抜き打ち方式」を選び、その理由を自分が指摘を多く受けた経験に置いている点です。今回の監査では、まずヒアリングによって統制がどう整備されているかを確認します（実際にその後、ヒアリングで表1を作成しています）。ヒアリングでは、責任者や担当者の時間を確保し、関係資料を準備してもらう必要があります。事前に通知しなければ、必要な説明や資料を得にくくなります。公式解答例では、抜き打ち方式はコントロールの状況を確認するヒアリングには不適切だとしています。答案では「抜き打ち方式」と「ヒアリングによる統制状況の確認に不適切」を40字以内で結び付けます。

設問２

S氏は、移行計画に営業課（ユーザ部門）のレビューがないことを不備だと報告しました。これに対しE室長は、リスクを考えると必ずしも不備とは言い切れないと指摘しています。着目点は表1のⅤ②です。そこには、開発三課と営業課が合同でリハーサルを行い、見つかった問題点に対応できるよう移行計画を修正したうえで、X課長とY課長が承認したと書かれています。ユーザ部門が関与しないことで移行計画に業務上の問題が残るリスクは、この合同リハーサルと両課長の承認で低減されていると考えられます。公式解答例では、開発三課と営業課の合同リハーサルがユーザ部門レビューの代替的統制と考えられるから、としています。答案では「合同リハーサル（ユーザ部門の参加）」と「ユーザ部門レビューの代替的統制」を45字以内に入れます。

設問３(1)

表1のコントロール目標Ⅰは「要件定義書は，開発担当責任者及びユーザ部門責任者によって承認されること」です。ところが項番Ⅰ②では、X課長（開発担当責任者）が承認した後、Y課長（ユーザ部門責任者）には要件定義書のコピーを送付しているだけです。ユーザ部門責任者の承認がなく、目標を満たしていません。公式解答例では、項番Ⅰ②を挙げ、内容を「Y課長に要件定義書のコピーを送付するだけで，承認を得ていない」としています。答案では、Y課長への送付だけで承認がないことを35字以内で示します。設問3の二つの解答は、どちらを(1)・(2)に書いても対応できる構成です。

設問３(2)

着目点は二つあります。一つは、受注管理システムを再構築した理由が「旧システムが業務処理量の増大と度重なる機能追加に対応できなくなった」ことである点です。もう一つは表1のⅣ①で、業務処理量の見積りを「過去の実績データを基に開発三課が実施している」点です。業務処理量の増大が再構築のきっかけだったのに、過去の実績だけで見積もると、今後の業務の伸びを反映できないおそれがあります。将来の業務量を最もよく把握しているのはユーザ部門です。Ⅳ②・Ⅳ③の設計や負荷テストもⅣ①の見積りに基づくので、見積りの前提が誤っていれば後の工程も有効になりません。公式解答例では、項番Ⅳ①を挙げ、ユーザ部門に将来の業務処理量の予測を確認すべきだとしています。答案では「ユーザ部門」「将来の業務処理量の予測」「確認」を35字以内に入れます。

設問４

表2の各手続を比べると、Ⅱ①・Ⅱ②・Ⅱ④はテスト計画や実施結果などの文書を閲覧して確認しています。一方、Ⅱ③だけは「テストで発見された問題点が漏れなく解決されていたかを，テスト担当者に質問して確認する」手続です。表1のⅡ③の内容は、テスト段階で発見された問題点の「すべて」について原因が究明され、解決されていることです。担当者の口頭の回答だけでは、すべての問題点に適切に対応したことを裏付けられません。公式解答例では、項番Ⅱ③を挙げ、理由を「テスト担当者への質問だけでは，すべての問題点が適切に対応されたことの確証が得られないから」としています。答案の核心は、質問だけに頼る手続では、全ての問題点に適切に対応したことの確証を得られないという点です。これを50字以内でまとめます。

学習のポイント

監査人の独立性、監査の方式が監査手続に合っているか、代替的統制の考え方、コントロール目標と実際の状況との照合、監査手続の種類（閲覧・質問など）と証拠の強さを、それぞれ事例の記述と結び付けて説明できるようにすることが重点です。