令和2年度10月 システム監査技術者 午前Ⅱ 問9

監査指摘は基準と実態の差から考える

監査上の指摘事項は、あるべき統制の姿と実際に行われている運用とのずれとして整理できます。何が基準になるのかを先に定め、その基準に照らして示された状況を一つずつ確かめる姿勢で臨みましょう。

この問題で問われていること

問われているのは、特権を用いた例外的な作業について、監査人が問題と判断すべき状態を見極める力です。統制の目的から逆算し、目的の達成を妨げる状態かどうかという一点に絞って検討してください。

視点

内部統制を評価するときは、まずその統制がどのようなリスクを低減するために置かれているのかを確認します。次に、そのリスクが実際の運用で十分に抑えられているかを考えます。指摘事項とは、統制の目的が果たされずリスクが残っている状態を指すと捉えると、判断の軸がぶれにくくなります。

確認ポイント

• この統制が低減しようとしているリスクは何かを、自分の言葉で説明できるか
• 示された状況で、そのリスクが残ったままになっていないかを確かめたか
• 自分の判断の根拠を、統制目的と結び付けて説明できるか

正解

ア

解説

正解はア。直接修正の実態を隠し、通常のアプリケーション処理によるログに見せかけることは、監査証跡の信頼性を損なう重大な統制上の問題です。

理由

直接修正は特権IDでデータを操作するため、通常のアプリケーション処理で作られるログとは別に、実際の変更を追跡できる統制が必要です。更新ログを加工して正常処理に見せる行為は、監査証跡を偽装し、事後検証を困難にする。

比較

イ、ウ、エはいずれも、直接修正を管理するための手続や運用を示している。一方、アは記録を実態と異なる形に加工しており、変更の真正性や追跡可能性を損なうため、監査人が指摘すべき事項に該当する。

選択肢ア（正解）

これは正解だよ。更新ログを加工し、アプリケーションソフトウェアを経由した正常処理によるログに見せかけると、実際に特権IDで直接修正した事実を追跡できなくなる。監査証跡の信頼性を損なう不適切な行為であり、指摘事項となる。

選択肢イ

これは不正解だよ。事前にデータ変更申請を承認し、事後にも変更結果を承認することは、直接修正を統制するための手続である。変更の必要性と結果を確認する機会を設けており、設問が求める不適切な指摘事項には当たらない。

選択肢ウ

これは不正解だよ。直接修正の作業時以外に専用の特権IDを無効にすることは、不要な期間の利用を制限する統制である。特権IDの不正利用や誤操作の機会を減らす措置であり、監査上問題となる行為ではない。

選択肢エ

これは不正解だよ。利用部門からのデータ変更依頼票に基づき、システム部門が直接修正を行う運用は、依頼内容と実施担当を記録する統制である。正当な依頼に基づく変更を管理する方法であり、ログの偽装とは異なる。

学習のポイント

直接修正では、承認手続だけでなく、変更記録が実際の操作を正確に示すかを確認する。