システム監査技術者 2018年 春期 午後I 問題

共通の文章

問2データ分析システムの監査に関する次の記述を読んで,設問1て5に答えよ。 サービス業のP社は,昨年,社内の各種活動の実績を把握して,新たな施策を立 案し,実施する活動を進めていくことを目的として,データ分析システムを構築し た。このシステムは様々なテーマでの活用が期待できるが,P社は業務の効率向上と ともに,従業員の満足度を高めるための“働き方改革"”を当面の優先テーマとした。 データ分析システムは,経営企画部がシステムオーナとなって企画し,情報シス テム部が開発と運用を行っており,COMBI,図1のとおりである。このシステ Lik,構築してから1年経過したので,P社では構築目的の達成状況を確かめるため に,監査室によるシステム監査を実施することにした。 |*myah|inert| データ蓄積基盤 eeーーーー テムスタwe 図1データ分析システムの概要 [情報システム部長へのヒアリング] システム監査人は,予備調査として,データ分析システムについて,情報システ ム部長へのヒアリングを行った。その結果は,次のとおりである。 (1)データの収集 ①情報システム部には,業務システム課,基盤システム課及び管理課がある。 データ分析システムは,業務システム課が運用しており,次の四つのシステム からデータを月次で収集し,蓄積している。 (ア)勤怠管理システム(運用担当:業務システム課) (イ)人事管理システム(運用担当:業務システム課) —6 Pans (ウ)スケジュール管理システム(運用担当:基盤システム課) (エ)認証基盤システム(運用担当:基盤システム課) ②スケジュール管理システムは,各従業員の日々の予定と,会議室の予約を管 理している。このシステムから,現在はスケジュールデータとして,部署ごと の会議の合計時間だけを収集しているが,今後は,更に詳細なデータ項目(会 議ごとの参加者と時間など)を収集する予定である。 (2)データ分析システムの運用 ①P社の各部門が,収集したデータの利用を希望する場合には,最初に情報シス テム部が,実際のデータの一部をサンプルデータとして抽出して提供し,利用 を希望する部門が分析を試行する。意図した分析が可能なことを確認できたら, 利用を希望する部門から経営企画部へ“データ利用申請書"を提出し,その後, 定常的に利用する。 @P社では,対象システムごとに,サービスレベルを5段階に区分して設定して いる。各サービスレベルに応じて,障害発生時の停止時間の水準を,上位から 順に5分,1時間,9時間,1日,4日と定め,併せてバックアップ体制を設け ている。データ分析システムは,業務システム課が運用している他のシステム と同様に,上位から2番目のサービスレベルが設定され,障害発生時の停止時 間は1時間となっている。 (3)データの分析・活用 各利用部門は,データ鞭積基盤のデータを基に,データ分析ツールを使用して, 月次の定型レポート及び随時の分析レポートを作成している。 [経営企画部長へのヒアリング] システム監査人は,更に予備調査として,データ分析システムの構築の経緯と活 用状況について,経営企画部長へのヒアリングを行った。その結果は,次のとおり である。 (1)経営企画部が,データ分析システムの構築について,経営幹部で構成される投 資委員会へ提案した際には,データの収集について,次のような議論があった。 A委員からは,“関連しそうなデータをできるだけ多く収集し,分析を繰り返す ことによって,どのように活用するかを検討すればよい"”という意見があった。 mi それに対し,B委員からは,“分析の目的が曖昧なままデータを収集すると,収集 に時間と手間が掛かる一方で,成果が得られない可能性が高い"と指摘する意見 があった。 (2)“働き方改革"の施策は,間接業務の効率向上,在宅勤務を含む多様な勤務制 度の導入,情報共有環境の整備,会議の効率向上など,多岐にわたっている。例 えば,会議の効率向上の内容は,次のとおりである。 ①全ての会議の参加者・時間・頻度を見直し,1人当たりの会議時間を低減する。 ②会議の目的に応じて,“アイディア創出”,“意思決定”及び“情報共有"に区 分し,“情報共有”の会議のうち30%は電子メールなどで代替して削減する。 ③データ分析ツールを利用して,会議の実績を目的別・部署別に集計した“会 議開催実績表"を作成し,①と②の施策の進捗状況を把握できるようにする。 (3)現在行っているデータ分析は,P社の基幹業務(営業・サービスなど)とは異な り,1日停止したとしても,事業運営に支障を来すことはない。当面は月次でデー タ分析を行い,業務の傾向を把握することによって,価値のある知見が得られる と考えている。 (4)データ分析システムを有効に活用するために,BA,各利用部門の代表者を集 OC,活用検討会を開催している。そこでは,各利用部門がデータ分析システム の利用状況を報告し,併せて今後の利用ニーズを提案する。また,情報システム 部からは,データの収集状況(ニーズに対応して必要となった新規のデータが, 予定どおり収集できているかどうかなど),及び今後の収集予定を報告する。 (AMA OER) システム監査人は,予備調査の結果を受けて,本調査を行った。その結果は,次 のとおりである。 (1)データの収集 スケジュールデータは,現在はスケジュール管理システムの本番運用中のサー バから収集している。今後,更に詳細なデータタ項目を収集する場合は,運用面の リスクがある。その対策として,システム監査人は,本番運用中のサーバとは別 にレプリケーションサーバを構築して,そこからデータを収集する方法を検討す る必要があると考えた。 ーg一 (2)データ分析システムの運用 ①利用部門から“データ利用申請書"が提出された後に,経営企画部は申請者 を個人情報の取扱者として登録し。データの受渡し内容を記録して保管してい る。しかし,システム監査人は,この運用方法では,個人情報管理に関わるコ ンプライアンスを確保するためには不十分と考え,必要なコントロールの有無 をヒアリングによって確かめた。 ②P社では,システム構築時に開催している要件検討会において,対象システム のサービスレベルを設定している。システム監査人は,データ分析システムの サービスレベルが,業務要件に見合っていることを確かめるために,要件検討 会の議事録を閲覧した。その結果,業務停止の影響について検討せずに,業務 システム課が運用している他のシステムと同じサービスレベルが設定されてい ることが分かった。システム監査人は,このままでは,適切にシステムを運用 する上でリスクがあると考え,改善を求めることとした。 (3)データの分析・活用 QO 【経営企画部長へのヒアリング]のQ①で,B委員から指摘された“成果が得 られない可能性”が低減しているかどうかを文書で確認した結果,適切な対処 が行われていた。 ②各部門において,分析結果を活用した会議の見直しが行われているかどうか を確かめるために,会議の効率向上について状況を確認した。

共通の文章

販売管理システムの監査に関する次の記述を読んで,設問1ー4に答えよ。 S社は,日用品の卸売会社である。S社では,得意先からのED発注への切替要請 及び受注業務の効率向上に対応するため,販売管理システムの更新を行うことにな つた。 これまでのシステム監査では,現在の販売管理システムについて特に指摘事項は なかったが,システムの更新によって新たな情報システムリスクが発生し,コント ロールの見直しが必要になることが考えられる。そこで,S社の内部監査部は,販売 管理システム更新の要件定義が終わった段階で。システム監査を実施することにし Ro 〔現在の販売管理業務の概要] 現在の販売管理業務の概要は,次のとおりである。 (1)受注 S社では,得意先からファックス又は電子メールで注文を受け付けている。 受注事務担当者は,注文内容を販売管理システムに受注入力する。入力された 得意先コード,商品コード,与信限度額,及び在庫引当の可否を販売管理システ ムで自動チェックする。このとき,在庫不足で注文の全数を引き当てられない場 合は,その都度得意先に不足分の納品が遅れることを連絡し,了解を得ている。 このように納品が分かれる場合は,販売管理システムには,元となった注文内容 を複数の受注データに分割して入力する。販売管理システムによるチェックの結 果,エラーがなければ仮受注データとして記録される。 受注責任者が受注の可否を判断して承認入力を行うことによって,受注確定と なる。受注確定後は受注内容の変更はできない。 受注処理は,毎日午後4時に締め切られる。その後,受注事務担当者は販売管 理システムから受注伝票を出力し,得意先からのファックス又は電子メールの注 文内容と照合し,漏れや誤りがないことを確認する。 (2)出荷 確定した受注データに基づいて,出荷指示データが生成され,納品日・得意先 ごとの出荷指示リスト及び納品書が各配送センタにおいて出力される。・ ー10一 配送センタでは,出荷指示リストに基づいて,得意先ごとに商品をそろえると ともに,配送車両の手配を行う。 出荷業務担当者は,出荷当日中に出荷完了入力を行う。何らかの事情で出荷指 示どおりに出荷できない場合には,即座に出荷保留入力を行い,受注責任者に連 絡する。 〔新しい販売管理業務の概要] 内部監査部は,予備調査において,新しい販売管理システムの要件定義の責任者 に対するヒアリング,及び要件定義書などの関係資料のレビューを行った。その結 果,販売管理業務は次のとおり変更される予定であることが分かった。 (1)受注 主要得意先の一つである大手スーパーマーケットのQ社からの要請によって,Q 社からの受注は全てEDI CHD.EDIによる受発注成立の条件は,Q社とのEDI 取引契約書に定められている。受注データを毎日午前6時に受信し,新しい販売 管理システムで受注内容の自動チェックを行う。エラーとなった受注データは,Q 社に受注エラーとして送信される。エラーにならなかった受注データは,受注確 定として処理される。 Q社以外の得意先からの受注業務は,現在の販売管理業務の処理と同様とする。 ただし,1件当たりの受注金額が10万円未満の受注データについては,受注責任 者の承認を不要とし,受注入力が完了した時点で受注確定とする。 (2)出荷 確定した受注データに基づいて,出荷指示データが生成される。このとき,得 意先から指定された納品場所,MAA,及び在庫の状況から,適切な配送センタ と出荷日時が自動的に決定され,出荷指示データに付加される。この付加処理は, 納品場所,納品日,営業日カレンダ,配送業者,配送所要時間などを設定した配 送マスタによって行われる。 出荷日の前日に,各配送センタに出荷指志リスト及び納品書に加えて,現品票 が出力される。現品票には,受注番号などを示すQRコードが印刷されており,出 荷時にQRコードリーダで読み取って,出荷完了入力が行われる。また,出荷日の 当日に,処理された出荷完了処理の内容を一覧にした出荷完了リストが出力され |ー11一 る。 [予備調査結果の検討] 内部監査部の監査チームリーダのK Kit,本調査の計画を立案するため,監査メ ンバのN氏,T氏と予備調査結果について検討を行った。そのときの会話(一部) は,次のとおりである。 K氏:EDIによる受注では,受注責任者による承認が行われませんが,問題はないで すか。 N氏:Q社とのEDI取引契約書で受発注成立の条件が詳細に定められていて,その 条件を満たしている受注は承認されたものとして取り扱うことになっていま す。したがって,| a』|が受注責任者による承認に代わるコントロール として機能すると考えられます。 KK:そうすると,監査手続はどのようにすべきですか。 N氏:|b|と|<|とを照合して,EDIによる|q|を確かめる ことになります。 K氏:それから,ED]受注以外の受注で1件当たり10万円未満の受注データについ ては,受注責任者の承認が省略されることになりますが,リスクはないです か。 N氏:少額受注についてはこれまで問題が発生していないことから,リスクは極め て小さいと判断されたのではないでしょうか。また,受注業務の効率向上を 図ることも,目的の一つになっています。 TH:しかし,10万円未満の不適切な受注もあり得るでしょうし,10万円以上の受 注の承認を回避するために| e|というようなリスクが考えられます。 受注業務の効率向上の観点から,1件ごとの承認を省略する場合でも,例えば といったコントロールが必要なのではないでしょうか。 K氏:出荷完了処理についてですが,出荷業務担当者による手入力からQRコードの 読取り入力に変更されます。これに関する要件定義段階での監査では,何を 確かめればよいのですか。 TH:QRコードの読取り漏れは売上計上の誤りに直結するので,要件定義書を査閲 ー12一 し| g|を監査手続とします。