システム監査技術者試験 | Not a passenger in life

スポンサーサイト

2011.06.26 Sunday
-
-

この広告は60日以上更新がないブログに表示されております。
新しい記事を書くことで広告を消すことができます。

システム監査技術者試験関連リンク集

受験の申込、出題範囲の確認
・情報処理推進機構：情報処理技術者試験

勉強のモチベーション維持、向上
・資格取得でNoリスク・Highリターン　（ASCII.jp －キャリア：ITエンジニアのためのスキルアップ研究より）

参考書・問題集
・情報処理教科書　システム監査技術者
　※amazon.co.jpより「情報処理教科書システム監査技術者」で検索

監査、IT統制関連書籍
・図解一番はじめに読む内部監査の本
・図解 IT統制入門

基準・指針・ガイドライン等
・新「システム監査基準」、「システム管理基準」　（経済産業省より）
・システム管理基準追補版(財務報告に係るIT統制ガイダンス）　（経済産業省より）

勉強法全般
・システム監査技術者試験勉強法　（人知らずしてより）
・合格体験記（システム監査技術者）　（情報処理技術者試験☆合格への道より）
・資格取得のための効率的な勉強法　（情報処理技術者試験☆合格への道より）
・システム監査技術者試験対策　（システム監査技術者試験に合格する。使いこなす。より）

午後Ｉ対策
・午後1の勉強方法　（システム監査技術者試験に合格する。使いこなす。より）

午後ＩＩ対策
・論文特別講座　（情報処理技術者試験☆合格への道より）
・システム監査技術者合格のまとめ　（The sky is the limit!より）
・「失敗」から学ぶ合格の秘訣　IT資格不合格体験記　（日経BP社より）

午後ＩＩ　論文例
・平成１４年度　問１　システム監査における監査調書の作成と整備について
　問題　論文　（情報処理技術者試験☆合格への道より）

・平成１７年度　問１　システム監査の品質確保について
　問題　論文　（情報処理技術者試験☆合格への道より）

・平成１９年度　問１　システム監査におけるＩＴの利用について
　問題および論文　　（情報処理技術者試験☆合格への道より）

・平成２０年度　問２　内部統制報告制度におけるシステム監査について
　問題および論文　（Not a passenger in lifeより）

午後ＩＩ　論文ネタ探し
・内部統制.jp ： ITpro　（日経BP社より）

Check

合格時の再現論文（システム監査技術者）

平成２０年度春期　システム監査技術者試験　午後Ⅱ問２
内部統制報告制度におけるシステム監査について

　適切な財務報告の要請や利害関係者への説明責任の高まりなどに伴い、経営者に対して，財務報告の信頼性を確保するための内部統制の整備・運用とともに、その有効性の評価及び報告が求められている。特に，多くの業務プロセスにおいて情報システムが利用されていることから、ITにかかわる内部統制の整備・運用の状況を評価し，その有効性を確かめることはますます重要になっている。
　金融商品取引法に基づく内部統制報告制度では、入出力データの完全性・正確性・正当性を確保するためのIT業務処理統制が重要となる。このIT業務処理統制は，情報システムの開発・保守時の変更管理や外部委託管理、アクセス管理などのIT全般統制に不備があると，有効に機能しなくなることがある。例えば、開発環境と本番環境が分離されていなかったり，ライブラリが適切に管理されていなかったりすると、プログラムの変更や本番移行が適切に行われず，結果として入出力データの処理エラーや不正なプログラム実行などが生じるおそれがある。
　したがって、IT業務処理統制を有効に機能させるためには，コンピュータ及びネットワークの構成や外部委託の有無などの、情報システムの運営上の環境や特徴を踏まえたIT全般統制が適切に整備・運用されていなければならない。
　このような状況を踏まえて，システム監査人は、ITにかかわる内部統制の有効性について監査を実施する必要がある。
　上記に基づいて，設問ア～ウについてそれぞれ述べよ。

設問ア
あなたが携わった情報システムにおいてIT業務処理統制が有効に機能しない場合、その業務にどのような影響を及ぼすか。800字以内で述べよ。

設問イ
設問アで述べた情報システムについてIT全般統制の有効性を監査する場合の監査手続を、情報システムの運営上の環境や特徴と関連付けて、具体的に述べよ。

設問ウ
設問イのIT全般統制に不備が発見された場合に、システム監査人が設問アの IT業務処理統制の有効性を確かめる上で留意すべき点を、具体的に述べよ。

※以下の回答は、情報処理技術者試験の論文用紙と同様に、全角２５文字で改行しています。

１．私が携わった組織およびＩＴ業務処理統制について
１．１　携わった組織　
　Ａ社は、国内の生命保険会社である。Ａ社は非上場企
業であるが、生命保険会社として上場企業と同等の情報
開示が求められている社会的背景を踏まえ、これまで金
融商品取引法における四半期報告制度など各種会計制度
の変更にも対応を実施してきた。
　今般、会社法や金融商品取引法にて一定の条件を満た
す企業に内部統制の整備とその報告が義務付けられるこ
ととなったが、Ａ社においても社会的な信頼向上を目的
として、財務報告に関わる内部統制整備について同法に
準拠して対応することとした。
１．２　ＩＴ業務処理統制が有効に機能しない場合の影
響
　ＩＴ業務処理統制とは、個々のアプリケーションシス
テムにおいて、開始した取引が承認、入力され、漏れな
く記録、処理、出力されることを確保するための統制活
動と定義される。
　財務報告の信頼性を確保するためには、財務情報を適
切に処理する会計システムが存在し、かつそれが適切に
統制されている必要がある。ただし、Ａ社の会計システ
ムにおいては保険料収納、保険金支払、資産管理、購買
管理、人事給与等のシステムから出力される財務情報が
入力される。よって、財務報告の信頼性確保においては、
これら各システムのＩＴ業務処理統制についても有効に
機能していることが求められる。
　例えば、Ａ社の従業員が自らの営業成績のために架空
の保険契約を成立させる入力をシステムに対して行うこ
とが可能であった場合、保険料収納システムでは架空の
売上（保険料収入）が計上される恐れがある。結果、会
計システムに誤った財務情報が入力され、財務報告の信
頼性を確保できないといった影響が考えられる。

２．ＩＴ全般統制の有効性を監査するための監査手続
　ＩＴ全般統制とは、多数のアプリケーションシステム
に関連し、情報システムの適切な継続的運用の確保を支
援することによって、ＩＴ業務処理統制を有効に機能さ
せるための方針や手続と定義される。
　Ａ社においては、前述したとおり、会計システムおよ
び関連する各システムが財務報告の信頼性に関わってい
る。それらシステムのＩＴ業務処理統制が有効に機能す
るためには、ＩＴ全般統制が適切に整備・運用されてい
る必要がある。　
　ＩＴ全般統制の有効性を監査するにあたっては、まず
財務報告の信頼性に関わる各システムのＩＴ業務処理統
制を明らかにした。次に、それらＩＴ業務処理統制の評
価に関連するＩＴ全般統制を識別し、評価を行うことと
した。
　以上の流れにより識別された、Ａ社の財務報告に関わ
るＩＴ全般統制のうち、主要なものを以下に述べる。
（１）開発・保守業務の全般統制
　開発・保守業務におけるリスクとしては、財務報告に
関わるシステムにおいて、不正なプログラムが本番環境
で稼動するということが考えられる。このリスクに対す
る統制として、特に以下の整備・運用状況を確認した。
・システムの変更にあたっては、ユーザ部門が改変を依
頼し、システム部門が作業をするといった職務分掌が図
られているか（システム部門がユーザ部門に無断で改変
を行うことがないか）
・システム部門によるプログラムの変更作業と本番への
移行作業について職務分掌が図られているか
　監査手続としては、システムの変更管理に関する業務
記述書などの規程を入手し、統制の整備状況を確認した。
また、過去のシステム改変の証跡（申請文書、システム
ログ等）を入手し、統制の運用状況を確認した。
（２）セキュリティ管理業務の全般統制
　セキュリティ管理業務におけるリスクとしては、財務
報告に関わる各システムのデータ全般の改竄が考えられ
る。このリスクに対する統制として、特に以下の整備・
運用状況を確認した。
・各データへのアクセスＩＤは、所属や職位に応じた権
限設定がなされ、業務上必要な者にのみ付与されている
か
・管理者ＩＤなど特別な権限を持つＩＤが業務上不要な
人間に付与されていたり、複数の人間で共用されていた
りする場合にそれを検知できる仕組み（データ変更の申
請書と、実際の変更ログを突合するなど）はあるか
　監査手続としては、ＩＤ管理に関する業務記述書など
の規程を入手し、統制の整備状況を確認した。また、Ｉ
Ｄ一覧と従業員名簿の突合の実施、データへのアクセス
の証跡（申請文書、システムログ等）の確認などにより、
統制の運用状況を確認した。

３．ＩＴ全般統制に不備が発見された場合の留意点
　ＩＴ全般統制の整備・運用状況に不備がある場合、個
々のシステムのＩＴ業務処理統制が有効に機能しなくな
る恐れがある。したがって、発見されたＩＴ全般統制の
不備は通常、早急に改善することが求められる。
　一方で、そのＩＴ全般統制の不備が財務報告の信頼性
確保にあたって、どの程度のリスクとなるのか評価し、
よりリスクの大きい不備から優先して改善を行うといっ
た、リスクアプローチの観点も重要である。なお、財務
報告の信頼性に与えるリスクの評価にあたっては、その
金額の大きさや発生確率などのほか、財務諸表のどの勘
定項目に影響を与えるのかといった点を評価項目とする
ことが考えられる。
　Ａ社のＩＴ全般統制においてはセキュリティ管理業務
に不備が発見された。Ａ社の各支社では各月の締め日間
近になると、新規保険契約の申込情報をシステムに大量
に入力する事務が発生する。この際、一部の支社では限
られた端末で再ログオンの手間無く効率的に入力作業を
行うために、申請用と承認用のＩＤを複数の従業員が共
用する実態が見られた。
　前述の通り、このＩＴ全般統制の不備は、架空の新規
契約を成立させ、最終的にＡ社の財務報告の信頼性確保
に影響を与えることが考えられる。
　しかし、申込情報の入力後、実際に新契約が成立する
までの間に、本社部門での二重三重のチェック事務が存
在し、架空の契約を成立させないためのコントロールが
有効に機能していることが監査の結果、判明した。
　よって、監査報告書においては、このＩＴ全般統制の
不備を早急な改善事項として指摘することは見送り、他
のよりリスクの大きい不備を改善事項とすることとした。
（以上）

（設問ア：約800字、設問イ・ウ：約1,975字）

論文用紙とは別に配布される質問票での回答（一部）は以下の通りです。

あなたの所属部門
１．内部監査部門　２．企業のシステム部門　３．企業のシステム利用部門
４．監査サービス／コンサルティング部門
→１を選択

あなたの担当業務
１．システム監査実施　２．システム監査対応　３．システム利用
４．システム開発・運用　５．その他
→１を選択

あなたの役割
１．責任者　２．チームリーダ　３．チームサブリーダ　４．担当者
→４を選択

Check