平成27年度春期 システム監査技術者 午前Ⅰ 問21

監査手続を見直す一つの視点

入力統制の監査手続を考えるときは、手続そのものの名称に引きずられず、確認したい統制上の主張と、それを支える証拠の対応関係を一つずつ丁寧に順序立てて整理してみましょう。

この問題で問われていること

検討の焦点を、統制が意図した状態にあるかを判断するために、どの証拠をどの観点で確かめるかという対応関係に絞り、手続の目的と確認結果の結び付きを丁寧に見直してください。

視点

監査手続を評価するときは、目的、対象、証拠、実施時点、記録のつながりを整理し、各要素が同じ確認目的に向いているかを落ち着いて確認します。具体的な結論ではなく、根拠の対応を考えることが大切です。

確認ポイント

• 確認したい統制上の主張が、手続の目的として明確になっているか
• 得られる証拠が、その目的を判断する材料として適切に結び付いているか
• 実施時点や記録の残り方が、確認結果の解釈に影響しないか

正解

イ

解説

エディットバリデーションチェックは、入力されたデータが定められた形式や条件に適合するかを確認する機能です。監査では、例外データや異常データを実際に入力し、チェックが適切に働くかを確かめる。

理由

エディットバリデーションチェックは、入力値の形式、範囲、内容などを検査し、異常や例外に対して検出・拒否・警告を行う機能です。そのため、実際に例外データや異常データを入力して、想定どおり動作するかを確認する。

比較

ログイン可否の確認はアクセス権限、入力原票の承認印の確認は承認手続、件数照合は入力漏れや処理結果の完全性を確認する監査手続です。いずれも入力値の妥当性判定機能を直接検証するものではありません。

選択肢ア

これは不正解だよ。許可された担当者以外のログイン可否を試す手続は、利用者認証やアクセス権限の統制を確認するものです。入力されたデータの形式・範囲・内容が妥当かを判定するエディットバリデーションチェックの機能を、直接検証する方法にはなっていません。

選択肢イ（正解）

これは正解だよ。実際に例外データや異常データを入力すれば、入力値に対するチェックが設定どおり働き、不適切な値を検出・拒否・警告できるかを直接確かめられます。したがって、エディットバリデーションチェックの機能検証として適切です。

選択肢ウ

これは不正解だよ。入力原票に承認印があるかを確認する手続は、データ入力前に必要な承認が得られているかという業務上の承認統制を確認するものです。入力値そのものの形式や内容をシステムが検査する機能の検証にはなりません。

選択肢エ

これは不正解だよ。入力対象データの件数とプルーフリスト上の合計件数を照合する手続は、入力漏れや処理結果の完全性を確認するものです。個々の入力値が許容条件に適合するかを判定するエディットバリデーションチェックの動作確認とは対象が異なります。

学習のポイント

入力統制の目的と、監査手続が直接検証する対象を対応付ける。