令和5年度秋期 システム監査技術者 午後Ⅰ 問3

リスクと確認事項の対応関係を考える

システム監査の本調査では、想定したリスクに対して何を確かめれば統制の有効性を判断できるかが問われます。記述されている状況から懸念点を読み取り、それを確かめる手段として筋が通っているかという一つの観点で検討してみましょう。

この問題で問われていること

設問ごとに、どのような事象が起きると困るのか（リスク）と、その事象が防止・発見されているかを確かめるために監査人が入手すべき証拠は何か、の二つを結び付けて考えることが中心になります。

視点

監査の本調査は、予備調査で把握した状況を踏まえ、リスクごとに統制が整備・運用されているかを証拠に基づいて確かめる段階です。外部のサービスを利用する場合も、利用する組織の責任で管理する部分と委託先に依存する部分があります。懸念がどちらの部分に関わるかを意識すると、確かめる対象と確認の相手を整理しやすくなります。

確認ポイント

• 記述の中から、放置すると何が起きるかという懸念点を自分の言葉で言い表せるか
• その懸念が現実になっていないことを示すには、どんな記録や証拠を見ればよいか考えたか
• 確認する行為と懸念の内容が、対象・時点・範囲の点で食い違っていないか見直したか

解説

クラウドで再構築されたD社の人材管理システムを題材に、予備調査で分かった問題（異動情報の更新遅延、受講歴の網羅性、追加資格の自由入力、DX人材の登録人数が管理者の評価項目であること、各職場で増えた作業）から、本調査で確かめるべきリスクと統制を導く問題です。公式解答例では、いずれも問題文中の具体的な記述を根拠にしたリスクや確認事項が示されています。

問題の全体像

D社は業務効率と利便性の向上を目的に人材管理システムを再構築しました。監査部は、その目的どおりにシステムが活用されているかを監査します。図1のとおり、システムには人事情報管理、目標管理、スキル管理、タレント管理の四つの機能があります。機能ごとに入力元（異動管理表、受講実績表、従業員入力、管理者入力など）と閲覧者の範囲が決まっています。人事部と情報システム部へのインタビューでは、次の問題が挙がりました。異動時に上長の役職と氏名を手作業で入力するため数日かかること、受講歴の一部をスプレッドシートからアップロードしていること、追加資格の名称入力に決まりがないこと、DX人材の登録人数が管理者の評価項目であること、各職場の作業が増えたことです。出題趣旨では、再構築されたシステムの有効活用と、それに伴って新たに生じた課題やリスクを理解してシステム監査を行う能力を問うとされています。採点講評では、全体の正答率は平均的だったとされています。

設問1

着目するのは、処遇情報は各従業員の上長とその上位の管理者だけが閲覧できるという制限です。上長の役職と氏名は基本情報として管理されており、異動時には異動管理表への手作業入力に数日かかります。多数の従業員が異動すると、基本情報への反映も数日遅れます。上長関係に基づく閲覧権限の更新も遅れると、異動後もしばらくは旧上長などが本来は権限のない処遇情報を閲覧できてしまいます。だから監査チームは、閲覧権限が異動日に更新されるかを確認しようとしているのです。公式解答例では、人事情報の更新が遅いため、異動後は権限のない情報を閲覧できることをリスクとしています。採点講評では、単に人事情報の閲覧というだけでなく、人事異動に伴う閲覧権限の変更を理解してリスクを明確に捉えることが求められています。35字以内に収めるには、更新遅延という原因と、異動後に権限外の情報を閲覧できるという結果の二つを入れます。

設問2

基本情報が適時に更新されない原因は、人事部インタビューの(1)に書かれています。アップロードの前に、異動管理表へ上長の役職と氏名を手作業で入力しており、その作業に数日かかっているという記述です。したがって、確かめるべき対処は、この手作業の入力を速くすることです。公式解答例では、上長の役職と氏名を入力する作業の迅速化を検討していることとされています。答案では、原因の作業（上長の役職と氏名の入力）と、その迅速化を検討していることを、確認事項の形で書きます。

設問3

受講歴は更新のたびに本人へ通知され、本人が内容を確認します。これにより、登録された内容が正しいか（正確性）は確かめられます。しかし、受講実績表のデータが漏れなくアップロードされたか（網羅性）は、本人確認だけでは分かりません。網羅性を確かめる典型的な統制は、入力元と登録結果の件数を照合することです。公式解答例では、アップロード件数と“受講実績表”のデータ件数の照合作業が手順にあることを確かめるとされています。採点講評でも、正確性は確保できているが網羅性は確保できているとはいえないという説明を踏まえ、どのような統制が期待されるかを理解するよう求めています。35字以内には、照合する二つの件数と、照合作業が手順書にあることを入れます。

設問4

情報システム部インタビューの(2)には、新設された資格で検索すると、実際には取得していても結果に表示されない場合があると書かれています。その原因は、資格マスターにない資格を従業員が追加資格として自由に入力しており、名称の決まりがなく略称などで入力されることがある点です。リスクを低減するには、入力された追加資格の名称を統一し、マスターで管理する必要があります。公式解答例では、追加資格について人事部が入力内容を確認した上で資格マスターに登録することとされています。40字以内には、対象が追加資格であること、人事部が入力内容を確認すること、資格マスターに登録することの三つを入れます。

設問5

問題文の「入力された情報の用途から」がヒントです。DX人材の部署ごとの登録人数は経営幹部の関心事項であり、管理者に対する評価項目になっています。そのため、登録する管理者には人数を増やしたいという動機が生じます。公式解答例では、管理者が良い評価を得るために選定基準に適合しない者を登録してしまうことをリスクとしています。採点講評では、業務上のリスクには単なるミスや過失だけでなく、良い評価を得たいという動機が不適切な行動を引き起こす場合もあると指摘されています。40字以内には、良い評価を得たいという動機と、選定基準に適合しない者の登録という行為の両方を入れます。

設問6

業務効率向上の効果が過大に算定されるおそれの根拠は、情報システム部インタビューの(3)にあります。人事部を介していた業務を各職場で行えるようになった一方で、人事に関わる情報の入力やその確認など、新たに各職場で行う作業も増えています。人事部側の削減効果だけを数えると、効果は実際より大きく見えます。公式解答例では、各職場で増えた作業も考慮して業務効率を算定していることを確認すべきとされています。採点講評では正答率が低かったとされ、業務効率向上の効果算定はシステム導入に不可欠な活動であり、その監査の観点をよく理解しておくよう求めています。30字以内には、各職場で増えた作業を考慮して効果を算定していることを入れます。

学習のポイント

インタビュー結果と本調査の検討項目を対応付けることが重要です。そのうえで、正確性と網羅性の違い、動機に起因する不正リスク、効果算定で見落とされやすいコストを意識して、監査の観点を具体的に書く練習をしましょう。