平成30年度春期 システム監査技術者 午前Ⅱ 問9

統制が働く時点と根拠を見極める

アプリケーションコントロールを学ぶ際は、個々の統制がどの段階で機能し、何を手掛かりに誤りや不正を発見・防止するのかを整理すると理解しやすくなります。問われている内容をこの観点に当てはめて検討してみましょう。

この問題で問われていること

問われているのは、アプリケーションコントロールを処理の流れの中に位置づけたとき、その統制が処理の前・途中・後のどこで機能し、何を材料にしているかという観点です。定義の暗記よりも位置づけの理解が鍵になります。

視点

アプリケーションコントロールは、業務システムの入力・処理・出力に組み込まれる統制の総称です。同じ目的の統制でも、誤りを未然に防ぐものと、発生した誤りを後から発見するものとでは、働く時点や必要な材料が異なります。ある手段がどちらに当たるかは、名称の印象ではなく、その手段を実行するために何がすでに存在している必要があるかを考えると判断しやすくなります。

確認ポイント

• その手段は処理の結果が出る前でも実行できるか、結果が出てから初めて実行できるかを考える
• その手段を実行するのに、どのような情報や記録が手元にそろっている必要があるかを整理する
• 名称や用語の印象だけで判断せず、処理の流れのどこに置かれる統制かを自分の言葉で説明できるか確かめる

正解

ウ

解説

正答はウ。経理部門が債権残高の集計処理結果を利用して事後的に異常を検証するには、売掛債権回転期間のような指標を算出し、前年同期の状況と照らして異常な変化を確認する方法が有効です。

理由

正答はウです。売掛債権回転期間の前年同期比較チェックは、債権残高の集計処理結果を用いて、過去の同時期と比べた異常な変動の有無を経理部門が事後的に確認できる。集計後の結果を分析する検出的な統制に該当する。

比較

アとイは債権データの生成時や入力時に行う照合・形式確認であり、エは権限のある操作に限定するアクセス統制です。いずれも重要な統制だが、出力された債権残高の集計結果を使って事後的に異常を検証する方法ではありません。

選択肢ア

これは不正解だよ。得意先コードを用いた得意先マスタと債権データとの自動マッチングは、債権データを生成する時点で、コードの対応関係や入力内容を確認する処理である。集計処理結果が出力された後に、債権残高の異常を分析する事後検証には該当しない。

選択肢イ

これは不正解だよ。債権データの金額項目のフォーマットチェックは、金額が定められた形式で入力・処理されているかを確認するものである。データ生成時の誤入力や形式不備を防ぐ統制であり、出力済みの債権残高を事後的に分析して異常を発見する方法ではない。

選択肢ウ（正解）

これは正解だよ。スプレッドシートを用いた売掛債権回転期間の前年同期比較チェックは、債権残高の集計処理結果を利用して、前年同期からの異常な変動を経理部門が事後的に確認できる。集計後の結果を分析する検出的な検証方法である。

選択肢エ

これは不正解だよ。正規の権限者による操作に限定するアクセスコントロールは、権限のない利用者による操作を防止するためのアクセス管理である。操作主体の正当性を確保する統制であり、出力された債権残高の集計結果から異常の有無を事後的に検証する方法ではない。

学習のポイント

事後的な異常検証と、処理前に行う予防的統制を区別して理解する。