平成25年度春期 システム監査技術者 午後Ⅰ 問4

問4　販売プロセスに関するシステム監査について、次の記述を読んで、設問1～5に答えよ。 X 社は、生活雑貨用品メーカであり、販売先は量販店、卸業者である。X社では、受注から出荷、請求・債権管理に至る販売プロセスに関連する一連のシステムについて、監査部がシステム監査を行うことになった。 〔販売プロセスに関連するシステムの概要及びその環境〕 X 社の販売プロセスは、複数のシステムの密接な連携によって処理されている。販売プロセスに関連するX社のシステムは、表1のとおりである。 表1　システム一覧 表1に示す各システムは、導入時期も、ハードウェア、OSなどのインフラも異なっている。受注システムと会計システムの開発・保守に関しては、本社システム部は直接関与していない。また、システム管理規程、情報セキュリティ規程などの情報システムに関する管理規程・手順書は、概括的であり、利用者IDなどの申請フォームの記載もなく、パスワードの桁数などの具体的な数値も記載されていない。 〔販売プロセスの流れ〕 販売プロセスのシステム監査の現場責任者であるY氏は、予備調査によって販売プロセスの概要を次のように整理した。販売プロセスに関連するシステム間の情報・データの流れは、図1のとおりである。 図1　販売プロセスに関連するシステム概要 （1）各システムには、個別にアクセスコントロール機能が組み込まれている。利用者は、システムごとに申請を行い、適切な責任者の承認を受ける。各システムの管理部署は、申請に基づき、利用者IDの登録・削除を行う。 （2）ほとんどの顧客からの注文情報は、EDIシステムを経由して受信し、受注システムで受注データを生成する。しかし、EDIシステムを利用していない顧客及びEDIシステムで対応できない緊急注文に対しては、受注センタのオペレータが、ファックスで注文を受け付け、受注システムに注文情報を入力する。 （3）受注データは、1日に3回バッチ処理し、出荷指示データとして倉庫に送られる。倉庫業務は、倉庫業者に外部委託している。倉庫業者は、倉庫で独自の倉庫システムを使用し、出荷指示データに基づいて、出荷作業を行っている。 （4）倉庫業者から送信されてきた出荷実績データを1日に2回受信し、販売システムで売上単価情報に基づいて売上データが生成される。 （5）顧客ごとに設定された請求締め日を基準とし、各請求締め日の翌日に、販売システムにおいて請求データが生成される。生成された請求データを基に、請求書が発行され、顧客にEDIシステム又はファックス・郵便で送られる。 （6）会計システムでは、当日生成された請求データを取り込み、項目チェックを行った後に、債権データ及び仕訳データが生成される。項目チェックでエラーが検出されたトランザクションは、エラーリストに出力され、経理部で修正して、会計システムに入力される。 （7）月次ベースでは、販売システムと会計システムの売上高は、一致していなければならない。そこで、経理部は、会計システムに計上されていない売上データについて、販売システムからEUCで月次リストを出力し、対応している。 〔監査実施計画書案〕 Y氏は、予備調査の結果に基づいて、監査実施計画書案として、監査目的、監査範囲、監査担当者の割当て、監査要点及び監査手続を次のとおり策定した。 （1）監査目的は、販売関連情報である売上データ、債権データ及び仕訳データの信頼性の確認である。また、監査範囲は、表1のシステムを対象とする。 （2）システムごとにそれぞれ監査担当者を割り当て、各監査担当者はシステム管理部署に往査し、作業を実施する。また、作業終了日に、監査結果について被監査部署に十分な説明を行い、現場での作業を完了させる。 （3）策定した監査要点及び監査手続の抜粋は、表2のとおりである。 表2　監査要点及び監査手続（抜粋） 〔監査実施計画書のレビュー〕 監査部長は、監査実施計画書案をレビューし、次の事項に関してY氏に再検討を指示した。 （1）監査手続①aの実施に当たっては、各監査担当者の事前の統一した理解が必要なので、監査担当者への詳細なガイダンスを作成すべきである。 （2）監査手続①cの実施に当たっては、個々の監査担当者だけでは適切に評価できないおそれがあるので、各監査担当者が入手した情報を関連付けて総合的に判断する手続が必要である。 （3）監査要点②を満足させるためには、倉庫業者が使用している独自の倉庫システムを監査対象に含めることを検討すべきである。倉庫システムの監査が不可能ならば、自社システムで信頼性を高めるための追加的なコントロール機能を導入できるかどうか、現場で検討すべきである。 （4）監査要点③について、請求データの会計システムへのインタフェース処理が適切に運用されているか確かめるためには、監査手続③aだけでは不十分である。監査手続を追加すべきである。 設問1〔監査実施計画書のレビュー〕の（1）について、各監査担当者の事前の統一した理解が必要な理由を、40字以内で述べよ。 設問2〔監査実施計画書案のレビュー〕の（2）で指摘した、“適切に評価できない”理由を、40字以内で述べよ。 設問3〔監査実施計画書案のレビュー〕の（3）について、“自社システムで信頼性を高めるための追加的なコントロール”として考えられる機能を、45字以内で述べよ。 設問4〔監査実施計画書案のレビュー〕の（4）について、追加すべきであると指摘している監査手続を、40字以内で述べよ。 設問5　表2の監査手続③bの実施において、“月次リスト”に含まれていることを確かめるべき売上データを、35字以内で述べよ。