解説

受発注処理の変更を題材に、小規模な事業拠点における職務の兼務と不十分なアクセスコントロールに起因するリスクの識別と改善策が問われています。問題文は長文で、かつ、業務の流れが複雑です。このような場合は、システム名（受注管理システム、…）、担当者（営業担当者、営業事務担当者、…）、ドキュメント（発注書、受領書、…）に別々のマークを付けながら読むと、後で問題文を読んだときに振り返りやすくなります。また、問題文に書かれていなくとも、システム監査が対象としている内部統制の考え方を踏まえておく必要があります。

〔aについて〕
aは、営業所における受注業務におけるリスクとコントロールを記載した項にあるので、〔受発注業務の概要〕の中で営業所での受注業務について記載された 1. を読み込みます。すると、営業担当者が注文書を受領しているか否かで2通りの処理が行われていることがわかります。このうちのどちらの場合に「架空受注が行われるおそれが」あって、それを防ぐ対策として、営業事務担当者が「受注データを抽出し、営業所長に報告するとともに営業担当者に督促」するのかを考えると、注文書なしで受注仕様書が提出される場合となります。

注文書なしの場合でも、営業担当者は納品日までに必ず納品書を入手しなければならない取り決めになっています。項番1のリスクコントロールでは、納品日前に注文書がないという異常をチェックすることで架空受注を防止することを目的としています。

aの前後の文脈を考えると適切な字句は 注文書なし になります。

∴注文書なし

解説

〔b、cについて〕
2つの空欄は、小規模営業所の受注業務におけるリスクとコントロールを記載した項にあるので、〔小規模営業所での受発注業務〕を読み込みます。

「営業事務担当者がいないので，受発注業務に関する職務分掌が他の通常の営業所とは異なっている」と記載され、受注管理システム及び発注管理システムの各入力業務のアクセス権限の表が示されています。リスクには「両方を単独で行うことができる場合」と記載されていますので、アクセス権限が与えられている職責が複数の入力業務で重複している組み合わせを選びます。表1を見ると、小規模営業所では営業所長に「項番1 受注仕様書の入力」と「項番2 受注表の承認入力」の両方のアクセス権限が与えられています。これだと、営業所長が同じ受注について入力と承認を行うことができるため内部不正のリスクが考えられます。職務分掌の観点から言えば、入力者と承認者は別にしなければなりません。よって、b、cには、1 及び 2 が入ります。

∴b、c＝1、2（順不同）

解説

〔dについて〕
設問2では、営業所長が受注の入力と承認を単独でできることが問題となりました。dには、このリスクをコントロールするための策について適切な字句が入ります。

受注承認についてのJ社のルールを確認すると、受注金額が100万円未満の場合は営業所長の承認、100万円以上の場合は営業部長に加えて本社営業部長の承認が必要とされています。つまり、小規模営業所において内部不正リスクがある業務は、営業所長が単独で入力と承認可能な100万円未満の受注に限定されます。

内部統制では、入力者と承認者を別人にするコントロールが機能するようにしなければならず、営業所長が入力したものを同じ営業所長が承認していれば適切とは言えません。この解決策として、小規模営業所の営業所長が行った受注入力については、受注金額が100万円未満のものについても、上長にあたる本社営業部長の承認を要するというコントロールが導けます。

∴営業所長が入力した

解説

〔eについて〕
「先行発注」とは、〔受発注業務の概要〕の「2.受注品目の種類」より、特殊品について「受注が確定する前に発注処理が行われる」ことです。そのリスクについて問われているので「4.特殊品の先行発注業務」に記載されている手順から答えを探します。

「特殊品は，受注が確定する前に仕入先に発注しておかないと，納期に間に合わないことがある。その場合は，仮受注仕様書に基づいて先行発注を行う」との記載があり、この手順が原則であることがわかります。ところが、表2の項番3で指定されているリスクは、顧客からの注文に基づかない不正な発注が行われるということです。その原因とされているのが、リスクを記載した文の前半のeを含む箇所になります。

まず、"連携"という文脈からeに入るのは業務または業務処理を行うシステムであることを予想できます。小規模営業所における先行発注の業務において、顧客からの注文に基づかない不正な発注が起こりうる原因を「4.特殊品の先行発注業務」から探すと、

• 営業担当者が仮受注仕様書を作成する
• 営業担当者が仮受注仕様書の内容を発注管理システムに入力して、発注書を作成する
• 営業担当者が発注書を送付し、仮受注仕様書は営業担当者に返却される

というように、受注管理システムで確定した受注データを基に物流管理システム出庫指図処理が行われる汎用品、同じく受注管理システムで確定した受注データを基に発注処理が行われる特殊品(自動発注)とは異なり、先行発注では発注時に受注管理システムへの入力がなされない手順になっていることがわかります。受注管理システムへの入力がいつ行われるかというと、営業担当者が顧客から注文書を入手した後（発注後）です。

上長による受注入力の承認は、受注管理システムへの入力時に行われるため、営業担当者が先行発注入力を行う小規模営業所では、別の人に確認されることなく単独で発注業務が完了してしまいます。これは、①受注管理システムへの入力→②受注承認→③発注 となっている汎用品・特殊品(自動発注)では、起こり得ないことです。

つまり、先行発注業務が受注管理システムと連携していないことが、営業担当者による不正発注が起こりうるリスクになっています。

∴e＝受注管理システム

解説

「4.特殊品の先行発注業務」の(1)と(2)より、営業担当者が仮受注仕様書を作成して発注管理システムに入力し、入力された情報を基に、発注管理システムによって発注書が作成されるまでは営業所長のチェックが入っていないことに着目します。その後、「営業事務担当者は，発注書を仕入先に送付し，仮受注仕様書を営業担当者に返却」しますので、営業担当者はノーチェックで発注ができ、そのうえ、納品完了入力までできてしまいます。問われている改善案とは、このリスクが実際には起きないようにする業務手順を新たに作り出すこと、すなわち、コントロールを効かせるということです。

それは設問3と同じく、入力者と承認者を別人にするということです。リスクに「営業担当者が入力した先行発注について自ら納品完了入力もできる」と記載され、これを防ぐコントロールが現状にないのであれば、これを別人に行わせればよいことになります。

∴先行発注と納品完了の権限を有する者を別にする