平成29年度春期 システム監査技術者 午後Ⅱ 問1

内部不正監査で見る証跡の信頼性

内部不正は正規の権限や日常の業務環境に結び付いて起こり得るため、技術面と組織面の双方について、監査手続が何を確かめ、得た証拠をどう評価するものかを整理して考える。

この問題で問われていること

設問イ・ウでは、内部者による権限悪用を想定し、監査人が確認する対象、証拠の入手方法、確認結果の評価が、内部不正の特徴とどう結び付くかを一つの観点として整理する。

視点

内部不正対策を考えるときは、対策の名称を並べるのではなく、誰がどのような立場で不正を行い得るか、その事実を監査人がどの資料や手続で確かめるのかを対応付ける。技術的対策と組織的対策では確認対象が異なるため、対象の性質に応じて証拠の入手方法や評価の観点を整理する。

確認ポイント

• 内部者が正規の権限を持つことによる確認上の難しさ
• 監査で見る対象と、得られた証拠の信頼性の関係
• 技術面と組織面を混同せず、設問ごとの範囲を保つ

解説

内部不正は業務上の正当なアクセス権限を悪用して情報を窃取・改ざんするため、外部不正とは異なる防止・発見の難しさがある。設問では、重要システムの影響を示した上で、技術的対策と組織的対策の監査手続を具体化する。

問題の全体像

問題文は、従業員などが業務遂行のために持つアクセス権限を悪用し、情報の不正取得や改ざんを行う内部不正を扱っている。外部者や無権限者による不正アクセスよりも、正当な権限を持つ者の行為は防止・発見が難しい点が中心論点です。そのため、技術的対策だけでなく、規程、労働環境、発生時の対応手順、教育や遵守施策などの組織的対策も必要になる。設問アでは重要な情報システムと被害を設定し、設問イでは技術的対策、設問ウでは組織的対策について、実施状況を確認する監査手続を論述する。採点講評でも、一般的な対策の列挙ではなく、権限を有する者による内部不正という特徴を踏まえることが重視されている。

設問ア

800字以内で、まず自分が携わった組織の情報システムを具体的に設定する。対象となる業務、利用者、扱う情報、アクセスの仕組みなどを示し、なぜ内部不正が起きると重大な影響になるのかを説明する。影響は、情報漏えい、情報の改ざん、業務停止などの直接的な損害だけでなく、顧客や取引先からの信用低下、組織の管理態勢や従業員のモラルへの疑念といった社会的・経営的な損害まで含めると、問題文の趣旨に沿う。後続の設問イ・ウと関連付けるため、どの情報や権限が内部不正の対象になり得るかを明確にし、技術的対策と組織的対策の両方を検討できる題材にする。

設問イ

700字以上1、400字以内で、設問アのシステムに対する技術的対策を、監査手続として具体的に書く。例えば、権限設定や職務上必要な範囲との整合性、権限の付与・変更・削除、アクセス記録の取得・保管・点検などを対象とし、規程、設定情報、権限一覧、アクセスログなどの証拠を閲覧・照合する流れを示します。重要なのは、外部からの無権限アクセスだけを想定しないことです。内部不正では、正当な権限を持つ従業員が業務目的を逸脱して閲覧、持出し、改ざんする可能性があるため、権限保有者の不自然な利用や記録から発見できるか、記録が改ざんされにくく監査に利用できるかを確認する観点が必要になる。採点講評では、アクセス権の限定やアクセスログ取得などの一般的な記述は多かった一方、権限を有する者による不正アクセスを踏まえた留意点が不足する答案が少なくなかったとされる。したがって、対策名の列挙ではなく、確認対象、確認方法、内部不正を踏まえた評価観点まで一連で記述する。

設問ウ

700字以上1、400字以内で、組織的対策の実施状況を確認する監査手続を具体化する。規程や手順の整備状況、内部不正発生時の報告・調査・被害拡大防止の手順、教育や周知の実施状況、規程遵守を確認する仕組みなどを対象にし、規程の閲覧、教育記録や受講状況の確認、運用記録・インタビュー・実施結果の照合など、監査人が何を確かめるかを書く。内部不正の動機には組織や上司への不満、金銭目的などがあり、不正を行える環境や正当化できる状況を放置することも誘因になるため、単に規程があるかだけでなく、職務の分離など内部統制が機能しているか、従業員に営業秘密などの重要情報が明示されているか、相談・報告しやすい環境があるかという観点が重要です。採点講評では、規程整備や教育の記述は多かったが、職務分離や秘密情報の明示まで踏み込んだ答案は少なかったとされる。また、対策が法令などに準拠しているかという問題文の観点も、監査手続の評価項目として含める。

学習のポイント

内部不正の特徴を起点に、技術面・組織面の監査手続を具体的な証拠とともに書く力を養う。