システム監査技術者試験 平成21年度春期

問1 では，ERP パッケージの特性及びその利用環境から抽出されるリスク，コントロール及び監査手続につ いて出題した。設問の意図に沿わない解答が多く，全体として，正答率は低かった。 設問2 は，初期インストール時以外にはDB 用ID を使用して作業をしなくて済むという，ERP パッケージ 特有の状況を踏まえたコントロールを解答してほしかったが，一般的なパスワード仕様など，リスクに対応す るコントロールを適切に記述できていない解答が多く見られた。また，ユーザID とDB 用ID の違いを理解し ていない解答も散見された。 設問3 は，申請がされないと元の部署で権限が削除されないことを読み取って，有効期限の設定などの予防 的なコントロールの必要性を理解した解答を期待した。しかし，引継ぎ期間の必要性や役職に応じた利用権限 の設定など，問題文を理解していないため正答を導けないケースが散見された。発見的コントロールよりも予 防的コントロールの方がより確実にリスクを低減できることをぜひ理解しておいてもらいたい。 設問4 は，外部保管データからリカバリできないというリスクに対するコントロールを問うているにもかか わらず，障害対策のコントロールや業務継続計画の策定など，本文や表2 の内容と関係のない解答が多かっ た。

問2 では，金融商品取引法に基づく内部統制報告制度における財務報告の信頼性を確保するための内部統制 の有効性の評価について出題した。 設問1 は，自己評価の限界を踏まえて解答されており，おおむね正解率が高かった。しかし，入手したチェ ックリストの信頼性が低い理由やその解決策が具体的でない解答が散見された。 設問2(1)では，未受信一覧表を利用した手作業の業務統制として，未受信一覧表が正確に出力されているこ とを前提に，未受信一覧表に出力された店舗への対処を含めて解答してほしかった。 設問2(2)では，債権入金データの入力の正当性について，店舗管理システムの利用者であるA 社と店舗管理 システムの機能の提供者であるB 社の現実的な役割及び責任を理解すれば解答できる問題である。これに対 し，B 社のコントロールとして，入力データの内容のチェックや責任者が承認したことの確認などの解答が散 見された。 設問3 は，スプレッドシートへのダウンロードの手順が記載されている事項は限られているので，おおむね 正解率が高かった。ただし，題意と異なる情報の改ざんなどの正当性に関する解答やリスクの内容が明示され ていない解答が散見された。

問3 では，通信販売業の顧客管理システムを例にとり，コントロールを確認する監査手続や，情報システム に係るコントロールの不備について出題したが，設問1 や設問2 の正答率がやや低かった。 設問1 は，名寄せ機能の不備を利用して意図的に注文限度額の制約を無効にすることがポイントであるが， 意図的であることを理解していない解答が散見された。 設問2 では，通信販売課長の許可を得ない特別注文が行われていないかどうかを確認するための監査手続を 出題したが，特別注文申請書が存在しないケースを考慮していない解答や，通信販売課長が許可した証跡に言 及していない解答が目立った。 設問3(2)は，正答率が高く，“オペレータ以外の者”が情報システム部員であることを問題文中から読み取 った解答が多かった。しかし，アクセスログの採取やチェックは発見的コントロールであるにもかかわらず， 予防的コントロールと誤解して“不正アクセスを防止できない”というような解答も見受けられた。

問4 では，システム開発の監査において基本となる知識を問うた。 設問１は，監査人の独立性問題について適切に解答している例は多かったが，抜き打ち監査の実施について は，なぜ不適切かの理由があいまいなものも多く見受けられた。 設問2 も正答率は高かったが，ユーザによるレビューの必要性そのものを理解できていない解答が散見され た。 設問3 は，問題文1 ページにわたるコントロール状況の記述から不備と思われる点を探し出す問題である。 意図的に複数の不備を組み込んでおいたために，正解を見つけ出すのはさほど困難ではなかったと思われる。 多くの受験者が解答例に挙げたどちらかを解答していた。 設問4 は監査手続の不十分さを問う問題であるが，“質問だけ”では不十分であることを指摘している解答 は多かったものの，不十分である理由を記述できていない解答も多く見られた。

全体として，一般論を展開しただけの論述が目立った。出題趣旨から大きく外れたり，問題文を言い換えた だけであったりした論述は論外としても，設問の趣旨を十分に理解し，受験者自らの経験や考えを反映するよ うに心掛けてもらいたい。また，論述内容の意味のない重複，不要な空行，専門用語の誤りなどがないように 注意してもらいたい。

問1（シンクライアント環境のシステム監査について）は，最も選択率が低かった。本問の選択者の多く は，シンクライアントの導入，又はその検討に携わった経験をもつと考えられる。設問ア及びイについては， 自らの経験を踏まえた具体的な内容の論述が多く見られた。しかし，設問ウで監査手続を適切に論述している 解答は非常に少なかった。監査の観点や監査手順だけ，又はリスク対策だけの論述，監査について何も触れて いない論述などが散見された。

問2（システム監査におけるログの活用について）は，内部統制報告制度への対応と関連付けた解答が多か った。設問イで求めた監査目的とログの関係，及び設問ウで求めたログ活用のメリットについては，多くの受 験者が論述できていた。一方，設問イで求めたログ入手時の留意事項については，技術的な留意事項を論述し ている受験者が多く，監査証拠とするための要件を論述できている受験者は少なかった。

問3（企画・開発段階における情報システムの信頼性確保に関するシステム監査について）は，オーソドッ クスなテーマであることから最も選択率が高かった。しかし，運用段階における監査についての論述や，プロ ジェクト管理，個人情報漏えい対策についての論述など，設問の趣旨から外れた解答が目立った。設問イ，ウ では，設問アで述べた情報システムとの関係を踏まえずに，一般的な内容にとどまった論述が多かった。設問 ウでは監査実施上の留意点についての論述を求めたが，監査手続だけの論述も多く見受けられた。