データベースの直接修正に関して、監査人が、システム監査報告書で報告すべき指摘事項はどれか。ここで、直接修正とは、アプリケーションソフトウェアの機能を経由せずに、特権IDを使用してデータを追加、変更又は削除することをいう。

選択肢

• ア更新ログ上は、アプリケーションソフトウェアの機能を経由したデータ更新として記録していた。
• イ事前のデータ変更申請の承認、及び事後のデータ変更結果の承認を行っていた。
• ウ直接修正の作業終了時には、直接修正用の特権IDを無効にしていた。
• エ利用部門からのデータ変更依頼票に基づいて、システム部門が直接修正を実施していた。

正解と解説

正解：ア 更新ログ上は、アプリケーションソフトウェアの機能を経由したデータ更新として記録していた。

特権IDによる直接修正は、通常の業務処理の統制を迂回する操作なので、誰が何をいつ変更したかを事実どおりに記録し追跡できることが不可欠である。更新ログにアプリケーション経由の更新として記録されていれば、直接修正の事実が隠れてしまい、事後の検証も責任追跡もできなくなる。これは統制上の重大な欠陥であり、監査人が指摘すべき事項に当たる。

選択肢ごとの解説

• ア正解。直接修正の事実が記録から判別できず、追跡可能性が損なわれるため指摘対象となる。
• イ事前承認と事後承認が行われているのは適切な統制であり、指摘事項ではない。
• ウ作業終了後に特権IDを無効化するのは望ましい運用である。
• エ依頼票に基づく実施は手続として妥当であり、それ自体は問題ではない。

同じ分野の他の問題

• システム監査基準(令和5年)に基づくシステム監査において,リスク評価に基づいた監査計画の策定で考慮すべき事項として,適切…2025年度 秋期 午前II 問25
• 金融庁“財務報告に係る内部統制の評価及び監査に関する実施基準（令和5年）”によれば、“記録した取引に漏れ、重複がないこと…2025年度 春期 午前II 問25
• アクセス管理に関する内部統制のうち,金融庁“財務報告に係る内部統制の評価及び監査に関する実施基準(令和5年)”におけるI…2024年度 秋期 午前II 問25
• 金融庁“財務報告に係る内部統制の評価及び監査に関する実施基準(令和5年)”における、ITに係る全般統制に該当するものとし…2024年度 春期 午前II 問25
• JIS Q 20000-1:2020（サービスマネジメントシステム要求事項）を適用している組織において、サービスマネジメ…2023年度 秋期 午前II 問24