受注管理の職務分掌

商品Zの受注管理システムにおける「職務分掌(Segregation of Duties)」に関する問題です。 〔職務分掌の要件分析〕 内部統制の原則に基づき,「注文内容の入力」を行う担当者と,「入力結果を照合して承認する」責任者は厳格に分離されなければなりません。自社(A社)の販売責任者は,自社担当者が入力した注文だけでなく外部委託先が入力した注文も含めて「全件の閲覧権限と承認権限」を持ちますが,不正防止のために自ら「入力権限」を持つことは認められません。したがって,閲覧権限・承認権限を持ち,入力権限を持たない権限設定(ア)が正解です。 販売責任者が入力権限も持ってしまうと,自ら入力して自ら承認する架空取引等の不正を防止できません。 委託先入力分の閲覧権限がないと,全体の受注状況を統制・承認できません。 承認権限を持たない設定では販売責任者の業務を遂行できません。

A社の商品Zの受注管理では,販売担当者が注文内容をJシステムへ入力し,販売責任者が注文と入力結果を照合して承認する。入力者とは別の利用者が承認し,販売責任者は全業務の情報を閲覧できる。業務の一部をB社へ委託し,B社入力分はA社が承認し,A社入力分はA社販売責任者が承認する。

表1 操作権限案

利用者

閲覧

入力

承認

a

○

○

(省略)

○

○

(省略)

○

(省略)

○

○

○は操作権限が付与されることを示す。

表1中のaに入れる適切な字句を選べ。

出典情報セキュリティマネジメント試験 科目A・B サンプル問題 科目B 問59
ア
Z 販売課の販売責任者
イ
Z 販売課の販売担当者
ウ
Z 販売課の要員
エ
商品 Z の B 社販売責任者
オ
商品ZのB社販売担当者