応用情報技術者過去問題令和7年春期午後問11(システム監査)

応用情報技術者過去問題令和7年春期午後問11

問11　システム監査

勤務管理に関連するシステムの監査について，次の記述を読んで，設問に答えよ。

　小売業を営むW社では，本社及び支社の部署，店舗など(以下，部店という)で，合計約3,000人の従業員が勤務している。従業員の勤務日，勤務時間帯などは，所属する部店，職種などによって異なっており，勤務管理システムで管理している。勤務管理システムは，人事管理システム，給与計算システムなどと連携しており，勤務形態の多様化，連携するシステムの改変などに伴って，随時保守が必要である。勤務管理に関連するシステムの概念図を図1に示す。

　内部監査部長は，システム監査チームに対して，勤務管理に関連するシステムを監査するよう指示した。システム監査チームは，X年5月に予備調査を行い，次の事項を把握した。

〔勤務管理の概要〕

人事部は，勤務管理規程に基づき，従業員一人当たりの毎月の標準勤務時間を部店別及び職種別に定め，全社勤務時間管理表に記載している。標準勤務時間は，例えば，営業企画部の企画職では，1月180時間，2月165時間，店舗の販売職では，1月140時間，2月130時間，店舗の事務職では，1月160時間，2月150時間などである。
標準勤務時間を超過した勤務時間(以下，超過勤務時間という)に対しては，給与規程に定めた超過勤務手当が支払われる。
従業員の毎月の勤務日数，勤務時間などの記録(以下，勤務記録という)は，翌月7日を確定日としている。
TRに従業員用ICカードを読み取らせることによって，従業員が部店に入室した時刻(以下，TR開始時刻という)及び部店から退室した時刻(以下，TR終了時刻という)がTR管理システムに登録される。
従業員は，TR開始時刻及びTR終了時刻を参考にして，勤務記録の確定日までに，勤務開始時刻及び勤務終了時刻を勤務管理システムに登録する。
人事部は，一部の従業員について，X年10月からテレワークでの勤務を認める予定である。テレワークでの勤務の場合，従業員は，PCの稼働開始時刻(以下，PC開始時刻という)及び稼働終了時刻(以下，PC終了時刻という)を参考にして，勤務開始時刻及び勤務終了時刻を勤務管理システムに登録する。
X年10月からは，勤務形態について，例えば，次のような一定の組合せが認められる。
1. 8時～12時：部店勤務，13時～17時：テレワーク
2. 9時～11時：テレワーク，12時～15時：部店勤務，16時～18時：テレワーク

〔勤務管理に関連するシステムの概要〕

人事部は，全社勤務時間管理表に基づき，勤務管理システムに標準勤務時間を手作業で登録する。
勤務管理システムは，TR管理システムからTR開始時刻及びTR終了時刻を日次バッチ処理で取り込み，従業員別の勤務実績画面に表示する。TR開始時刻と勤務開始時刻の差，又はTR終了時刻と勤務終了時刻の差が一定時間以上の場合，勤務実績画面に警告メッセージ(以下，時差確認メッセージという)を表示する。
勤務管理システムのテレワーク対応では，PC管理システムからPC開始時刻及びPC終了時刻を日次バッチ処理で取り込み，勤務実績画面に表示する予定である。また，時差確認メッセージの表示条件は，①PC開始時刻と勤務開始時刻の差，又はPC終了時刻と勤務終了時刻の差が一定時間以上の場合などを想定している。
従業員の超過勤務時間は，人事管理システムから月次バッチ処理で連携された従業員の所属部店及び職種，人事部が登録した標準勤務時間に基づき，算出される。
給与計算システムは，勤務記録の確定日の夜間バッチ処理で，勤務記録を勤務管理システムから取り込み，給与支給額を算出する。

〔勤務管理に関連するシステム障害〕

W社では，発生したシステム障害について，発生日，事象，重要度，直接原因，根本原因，暫定対応，恒久対応などを障害管理データベースに登録し，随時更新している。
障害管理データベースを閲覧した結果，X年1月に，勤務管理に関連するシステム障害が発生していたことが分かった。X年2月末日時点における障害管理データベースの登録内容(抜粋)を表1に示す。
さらに障害管理データベースを閲覧した結果，表1に示すシステム障害と同様の根本原因であるシステム障害がX年4月に再発していた。

　内部監査部長は，システム監査チームから予備調査の結果報告を受けて，X年7月に実施予定の本調査での監査手続について，次のとおり指示した。

〔内部監査部長の指示〕

勤務管理システムにおいて，標準勤務時間の登録がaであることから，ITに係るbが適切に組み込まれているか，確認すること。
〔勤務管理に関連するシステムの概要〕(3)において，時差確認メッセージの表示条件について，下線①のほかに，cのdを想定しているか，確認すること。
〔勤務管理に関連するシステム障害〕(3)を考慮したとき，eシステムが，fを防止するために適切な内容で，gまでに改修されていたか，確認すること。

設問1

〔内部監査部長の指示〕(1)について，答えよ。

本文中のaに入れる適切な字句を，5字以内で答えよ。
本文中のbに入れる適切な字句を，10字以内で答えよ。

解答入力欄

- a：
- b：

解答例・解答の要点

a：手作業 (3文字)

b：入力コントロール (8文字)

解説

勤務管理に関連するシステムの運用、保守段階における監査を題材として、システム監査の着眼点と手続きについての基本的な理解が問われています。予備調査で把握された業務とシステムの概要を基にして、監査手続きの内容が問われる流れは例年通りですが、監査実施以前に発生した障害が絡んでいるのは目新しいところです。業務プロセス及び複数システム間のデータの流れは複雑でなく、問題文を丁寧に読み解けば、解答する語句をピックアップできる問題です。設問2に関しては答えを絞りづらい印象です。

〔aについて〕
空欄aには「標準勤務時間の登録」に関する語句が入ります。また、空欄aの直後は「であることから」と続くため、「標準勤務時間の登録＝a」となる字句が入ることがわかります。

本文中から「標準勤務時間の登録」に関する記述を探すと、〔勤務管理に関連するシステム概要〕(1)に「人事部は，全社勤務時間管理表に基づき，勤務管理システムに標準勤務時間を手作業で登録する」と記述されています。予備調査で確認された表1の障害（人事システム）は、人事部の入力ミスが根本原因とされており、手作業での入力がある勤務管理システムに関しても同様のリスク要因があると読み取れます。したがって、空欄aには「手作業」が妥当します。

∴a＝手作業
〔bについて〕
空欄bには監査手続で確認すべきポイントが入ると考えられます。「a：手作業・・・」に続く文なので、手作業による入力ミスという会計処理上のリスクに対し、適切なリスク対応が業務プロセスに組み込まれているかどうかを検証することになります。

ITに係る業務処理統制の監査では、一般的に次の点が有効に整備・運用されているかの確認を行います。
- 入力情報の完全性、正確性、正当性等が確保されているか
- エラーデータの修正と再処理の機能が確保されているか
- マスタ・データの正確性が確保されているか
- システムの利用に関する認証・操作範囲の限定など適切なアクセス管理がなされているか
表1によると、人事管理システムでは手作業が原因で発生した障害に対し、「職種に関する入力コントロール」を改修することで恒久対応としています。これは、手作業ミスへの対策として入力コントロールが有効であることを示しています。同じことが勤務管理システムにも当てはまるため、同様の入力コントロールが行われているかをチェックすることになります。したがって、空欄bには「入力コントロール」が妥当します。

人事管理システムでは、システム改修後のX年4月にも同じような問題が起きており、入力コントロールへの対応が不十分であることが伺えるため、監査では優先的に調べるべきと言えます。

∴b＝入力コントロール

設問2

〔内部監査部長の指示〕(2)について，答えよ。

本文中のcに入れる適切な字句を，5字以内で答えよ。
本文中のdに入れる適切な字句を，10字以内で答えよ。

解答入力欄

- c：
- d：

解答例・解答の要点

c：勤務形態 (4文字)

d：一定の組合せ (6文字)

解説

〔cdについて〕
〔内部監査部長の指示〕(2)は時差確認メッセージの表示条件に関するものなので、部店勤務とテレワークの場合でメッセージ表示条件を整理します。

部店勤務：TR開始・終了時刻と勤務入力時刻の差が一定以上の場合
テレワーク：PC開始・終了時刻と勤務入力時刻の差が一定以上の場合

部店勤務だけ、もしくはテレワークだけで働く場合は、これらの表示条件で問題はありません。しかし、現状の勤務管理システムで従業員が入力するのは"勤務開始時刻"と"勤務終了時刻"だけであることから、(7)①②のように部店勤務とテレワークを組み合わせた働き方では、次のような問題が起こります。

【①の場合】
従業員は勤務開始時刻を8時、勤務終了時刻を17時で登録する。

TR管理システムからTR時刻（開始13時、終了17時）を取り込んだ際、TR開始時刻と勤務開始時刻が離れているためメッセージが表示される
PC管理システムからPC時刻（開始8時、終了12時）を取り込んだ際、PC終了時刻と勤務終了時刻が離れているためメッセージが表示される

【②の場合】
従業員は勤務開始時刻を9時、勤務終了時刻を18時で登録する。

TR管理システムからTR時刻（開始12時、終了15時）を取り込んだ際、開始と終了の両方に対してメッセージが表示される
PC管理システムからPC時刻（開始9時、終了11時）を取り込んだ際、PC終了時刻と勤務終了時刻が離れているためメッセージが表示される。PC管理システムからPC時刻（開始16時、終了18時）を取り込んだ際、PC開始時刻と勤務開始時刻が離れているためメッセージが表示される

テレワーク勤務はX年10月から始まる予定で、現在（X年5月）時点ではまだ行われていません。もし勤務管理システムが部店勤務とテレワークを組み合わせた働き方を想定していない場合、前述のような警告メッセージが繰り返し表示される可能性があります。内部監査部長が懸念しているのはこの点であると考えられます。

勤務管理システムをテレワークに対応させるには、1日の中で複数の勤務形態で働く場合に、勤務形態ごとの開始・終了時刻を従業員に入力させ、それを取り込んだ時刻と照合するなど特別な仕組みが必要です。以上より、勤務管理システムのテレワーク対応における時差確認メッセージの表示条件で想定すべきものとは、「勤務形態」が「一定の組合せ」の場合であると結論付けられます。

∴c＝勤務形態
　d＝一定の組合せ

設問3

〔内部監査部長の指示〕(3)について, 答えよ。

本文中のeに入れる適切な字句を，5字以内で答えよ。
本文中のfに入れる適切な字句を，15字以内で答えよ。
本文中のgに入れる適切な字句を，10字以内で答えよ。

解答入力欄

- e：
- f：
- g：

解答例・解答の要点

e：人事管理 (4文字)

f：従業員の職種の誤登録 (10文字)

g：X年3月末日 (6文字)

解説

空欄eには改修の必要があるとされたシステムの名称が、空欄fにはシステム改修の目的が、空欄gにはシステムの改修期限がそれぞれ入ります。

〔ef〕
表1を見ると、障害の内容は、給与計算システムで誤った給与支払額が計算されたことです。障害の直接の原因となったのは、勤務管理システムから給与計算システムに連携された超過勤務時間のデータですが、その根本原因は「人事部が、人事システムに一部の従業員の職種を誤登録したこと」とされています。これを受けた恒久対応として、人事管理システムにおいて、従業員の職種に関する入力コントロールの改修が予定されていたことがわかります。

空欄eに入るのは改修が必要であったシステムの名称なので「人事管理」、空欄fにはシステム改修の目的が入るので障害の根本原因である「従業員の職種の誤登録（を防止）」が妥当します。

∴e＝人事管理
　f＝従業員の職種の誤登録

〔g〕
障害管理データベースには、従業員の職種に関する入力コントロールはX年3月末日までに改修する予定と登録されていました。しかし〔勤務管理に関連するシステム障害〕(3)では、X年4月にも同様の根本原因であるシステム障害が再発したことが明らかになっています。予定どおりに適切な改修が実施されていれば、再発は起こらなかったはずです。このことから、改修が予定どおり行われていない、または改修内容が不十分だった可能性を疑うことになります。したがって、空欄gには改修の期限とされていた「X年3月末日」が妥当します。

∴g＝X年3月末日

令和7年春期午後問題一覧

問1　問2　問3　問4　問5　問6　問7　問8　問9　問10　問11　採点講評