平成27年度春期 システム監査技術者 午後Ⅰ 問2

監査目的と証拠の結び付きを確かめる

監査の検討では、何を確かめたいのかという目的と、実施する手続で得られる証拠とが対応しているかを一つの軸として見ることが大切です。各要素の妥当性は、その手続で本当に結論を支えられるかという観点で判断していきましょう。

この問題で問われていること

委託先の管理状況を監査する場面では、監査人が入手できる証拠の性質を意識する必要があります。手続が監査要点の確認に足りているかを、証拠の出所や確からしさの面から検討してください。

視点

監査手続の十分性とは、監査要点ごとに、結論を裏付けるだけの証拠をその手続で得られるかという問題です。一般に、証拠は誰がどのように作成し、監査人がどの経路で入手したかによって確からしさが変わると整理されます。確かめたい事項と、手続から得られる証拠が示せる事項とを並べてみて、両者のあいだに隙間がないかを考えるのが基本的な検討の進め方です。

確認ポイント

• その監査要点で確かめたい事項を、自分の言葉で一文に言い換えられるか
• 検討している手続から得られる証拠が、その事項のどこまでを示せるのかを説明できるか
• 証拠の作成者や入手経路を踏まえ、結論を支えるのに足る確からしさがあるかを考えたか

解説

B社が通販システムの保守をP社に委託し、P社がさらに再委託している状況で、情報セキュリティ管理状況を監査する問題です。テストデータの受け渡し、委託先従業員への教育、再委託先の変更という三つの場面について、監査要点と監査手続、改善提案を問題文の手順・資料・時期から導きます。

問題の全体像

B社は通販システムの保守をP社に委託しています。P社はクレジットカード決済機能の保守を再委託しており、再委託先は今年1月にQ社からR社へ変わりました。同業他社の委託先で決済情報が漏えいしたことを受けて、内部監査部長がシステム監査チームに監査を指示しました。出題趣旨では、外部委託された業務の情報セキュリティ管理を監査するにあたり、適切な監査要点と監査手続を立て、有効な改善提案ができるかを問うとしています。採点講評でも、情報セキュリティ管理状況の監査における要点・手続・改善提案を扱った問題だと説明されています。表1（テストデータ作成手順）、表2（P社の情報セキュリティ確認書）、表3（監査手続書）を突き合わせて読むことが解答の鍵です。

設問1

表3項番2の監査手続では、受領書ファイルに保管されたデータ依頼書の写しと、P社保守業務担当課長の確認印がある受領書を照合し、テストデータ番号が一致していることを確かめます。これは表1の手順⑩⑪に当たります。手順⑩⑪では、B社通販課員が、P社から返送された受領書に対応するデータ依頼書の写しがあることを確かめ、両者を合わせて受領書ファイルに保管します。つまり、この監査手続で立証できるのは、委託元のB社通販課員が、依頼されたテストデータを委託先が受領したことを確認しているかどうかです。公式解答例でも、B社通販課員が、依頼されたテストデータを業務委託先が受領したことを適切に確認しているかを監査要点としています。採点講評によると、委託先への送付や委託先での受領そのものを監査要点にした解答が見られました。求められているのは、委託元での受領確認です。答案には「B社通販課員（主体）」「依頼したテストデータの委託先での受領」「適切に確認しているか」の三つを入れて、50字以内にまとめます。

設問2

表3項番1の監査要点は、B社通販課長が送付するテストデータにマスク処理がされていることを確認しているかどうかです。しかし、監査手続はデータ依頼書の写しにある課長の確認印を見るだけです。これでは、課長が実際にマスク処理の正常終了を確かめてから押印したことまでは立証できません。表1の手順③では、B社通販課員が専用ツールを使ってマスク処理を行います。手順④によると、マスク処理が正常に終了すると、テストデータがCD-Rに出力され、テストデータ番号が記載されたマスク処理結果票が作成されます。この結果票は課員が手で作るものではありません。さらに手順⑤では、その番号をデータ依頼書に記入します。したがって、データ依頼書の写しとマスク処理結果票を照合してテストデータ番号の一致を確かめれば、マスク処理が正常に終了したことの裏付けを得られます。公式解答例でも、空欄bは「マスク処理結果票」です。

設問3①

表2項番1で、P社は「業務体制図に記載した受託業務担当の従業員に対して、教育実施記録のとおり着任時に情報セキュリティ教育を実施している」と回答しています。添付資料のうち、業務体制図には氏名・役割・着任年月が、教育実施記録には従業員氏名・教育内容・教育実施年月が記載されています。一つ目の確認事項は、氏名を手がかりに両者を照合し、教育が漏れなく行われているか（網羅性）を確かめることです。公式解答例では、業務体制図上の全ての従業員について教育実施記録があるかを挙げています。採点講評によると、情報セキュリティ確認書の確認項目をそのまま書き写した解答が見られました。照合する二つの資料を使って何を確かめるのかを、具体的に書く必要があります。

設問3②

二つ目は、教育が適切な時期に行われているか（適時性）の確認です。P社の回答は「着任時に」教育を実施しているというものです。業務体制図には着任年月が、教育実施記録には教育実施年月があるので、同じ従業員について二つの年月を照合すれば、着任時に教育したことを確かめられます。公式解答例では、従業員の着任年月と教育実施年月が一致しているかを挙げています。①（全員が受講しているか）と②（着任時に受講しているか）で観点が重ならないように、それぞれ30字以内で書き分けます。

設問4

予備調査(2)によると、P社保守業務担当では正社員の一部が毎年4月に異動し、契約社員の一部も契約更改のたびに入れ替わっています。一方、表2の添付資料は12月時点の業務体制図と教育実施記録であり、本調査は4月に行われます。12月時点の資料同士を照合しても、その時点の従業員しか確認できません。12月より前に担当を離れた人や、12月より後、特に4月の異動で着任した人は対象から漏れます。そのため、受託業務を担当した従業員全員について教育の実施を確かめたことにはなりません。公式解答例では、受託業務担当の従業員に対する教育実施記録を網羅的に確認する必要があるからだとしています。採点講評では、委託先の体制が変わる時期と監査資料が作成された時期のずれを考えさせる設問だと説明されています。また、再委託先に対する教育実施状況の確認を理由にした解答は題意に沿わないと指摘されています。答案には「担当者が入れ替わる」「資料は特定時点のもの」「従業員全員を網羅的に確認する必要がある」という要素を入れて、45字以内にまとめます。

設問5

外部委託管理規程では、情報セキュリティ確認書の提出時期を契約締結時と年1回（12月）に限っています。そのため、今年1月に再委託先がQ社からR社へ変わっても確認書が提出されず、本調査では、B社システム部がR社の管理状況を確認していないことが分かりました。表2項番2の添付資料も、以前の再委託先であるQ社の確認書のままです。この問題は、定期提出の時期と体制変更の時期がずれることから生じています。そこで、体制が変わったときに随時提出させる規定を加えます。公式解答例では、再委託先など委託業務の体制が変更された場合に、速やかに情報セキュリティ確認書を提出させるとしています。答案には「提出のきっかけ（再委託先などの体制変更時）」と「速やかに確認書を提出させる」の二つを入れて、50字以内にまとめます。

学習のポイント

監査手続で確認印を見るだけでは不十分な理由を、照合すべき資料・資料の作成時期・体制変更の時期から具体的に考えることが学習の重点です。