応用情報技術者 試験情報＆徹底解説

(2) 利用者IDの更新(登録・変更・削除)
 利用者IDの更新は，各支店及び営業管理部のシステム管理者が実施している。
①支店の利用者IDの更新については，ID申請書に利用者本人が必要事項を記入し，支店長の承認を受けた後，当該支店のシステム管理者に渡している。（略）
②営業管理部の利用者IDの更新については，ID申請書に利用者本人が必要事項を記入し，本人が所属する課の課長の承認を受けた後，営業管理部のシステム管理者に渡している。（略）

管理者メニューの利用権限が与えられているのは，各支店及び営業管理部のそれぞれ1名(以下，システム管理者という)である。

支店では,利用者ID数が少ないので,各支店のシステム管理者が住宅販売システムの権限マスタ一覧画面で,利用者ID,利用者名,所属及び役職を照会し,画面上で,直接確認作業を行っている。このとき,支店に在籍していない従業員の利用者IDが発見された場合は,支店長の承認を得て画面上で権限マスタデータを更新している。

支店では限られた従業員だけに利用者IDが与えられており、ID申請書があるのもその従業員分だけです。監査手続①では、承認済みのID申請書と権限マスタデータを照合するため、確認範囲はID申請書に基づく更新（登録・変更・削除）に限られます。

ここで、T社の利用者ID棚卸しに着目すると、「支店では，…，各支店のシステム管理者が…，画面上で，直接確認作業を行っている。このとき，支店に在籍していない従業員の利用者IDが発見された場合は，支店長の承認を得て画面上で権限マスタデータを更新している」とあります。ここでは、ID申請書を経由しない例外的な運用が認められています。画面を見ながら1件ずつその場で支店長に確認する手続きだと考えられ、申請書がないため、支店長の承認の記録も残りません。このような運用では次のようなリスクがあります。
・システム管理者が勝手に不正な更新を行う
・支店長が嘘をつき、不正な更新を行わせる
このような不正な更新のリスクが現実化しても、承認済みのID申請書との照合だけでは検出することができません。これが設問の求める答えとなります。