データベースの直接修正に関して,監査人がシステム監査報告書で報告すべき指摘事項はどれか。ここで,直接修正とは,アプリケーションの機能を経由せずに,特権IDを使用してデータを追加,変更又は削除することをいう。

選択肢

• ア更新ログを加工して,アプリケーションの機能を経由した正常な処理によるログとして残していた。
• イ事前のデータ変更申請の承認,及び事後のデータ変更結果の承認を行っていた。
• ウ直接修正の作業時以外は,使用する直接修正用の特権IDを無効にしていた。
• エ利用部門からのデータ変更依頼票に基づいて,システム部門が直接修正を実施していた。

正解と解説

正解：ア 更新ログを加工して,アプリケーションの機能を経由した正常な処理によるログとして残していた。

特権IDによる直接修正は、アプリケーションの統制を迂回する行為であるため、申請・承認と作業記録の保全が統制の要となる。更新ログを書き換えて通常処理を装っていたのであれば、実施した事実そのものを隠蔽したことになり、証跡の信頼性が失われて事後の検証も不可能になる。これは統制上の重大な欠陥であり、監査人が指摘すべき事項である。

選択肢ごとの解説

• ア正しい。作業の痕跡を偽って通常処理に見せかける行為は証跡の改ざんであり、統制を根本から損なう。
• イ事前申請の承認と事後の結果承認は、直接修正に対する適切な統制であり指摘には当たらない。
• ウ必要なとき以外は特権IDを無効にしておくのは望ましい運用である。
• エ利用部門の依頼票に基づき実施することは、根拠を残した適切な手続である。

同じ分野の他の問題

• システム監査基準(令和5年)に基づくシステム監査において,リスク評価に基づいた監査計画の策定で考慮すべき事項として,適切…2025年度 秋期 午前II 問25
• 金融庁“財務報告に係る内部統制の評価及び監査に関する実施基準（令和5年）”によれば、“記録した取引に漏れ、重複がないこと…2025年度 春期 午前II 問25
• アクセス管理に関する内部統制のうち,金融庁“財務報告に係る内部統制の評価及び監査に関する実施基準(令和5年)”におけるI…2024年度 秋期 午前II 問25
• 金融庁“財務報告に係る内部統制の評価及び監査に関する実施基準(令和5年)”における、ITに係る全般統制に該当するものとし…2024年度 春期 午前II 問25
• データベースの直接修正に関して、監査人が、システム監査報告書で報告すべき指摘事項はどれか。ここで、直接修正とは、アプリケ…2023年度 秋期 午前II 問25