法務部門によるレビューを受けていないサードパーティ契約は、クライアントに重大な法的および財務上のリスクをもたらすため、監査人の最大の懸念事項です。サードパーティ契約は、クライアントとアウトソーシングされた給与計算プロバイダーの間で締結される法的拘束力のある契約であり、サービスの範囲、条件、および条件を定義します。サードパーティ契約は、適用される法律や規制に準拠していること、クライアントの利益と権利が保護されていること、および両当事者の役割と責任が明記されていることを確認するために、法務部門によるレビューを受ける必要があります。法務部門によるレビューを受けていないサードパーティ契約には、クライアントにとって不利、曖昧、または矛盾する条項が含まれている場合があります。たとえば、次のようになります。
* 給与計算サービスの品質、適時性、正確性を指定していない、不十分または不明確なサービス レベル契約 (SLA)。
* セキュリティおよび機密保持規定が不十分または曖昧で、クライアントのデータや情報が不正アクセス、使用、開示、紛失から保護されていない。
* 顧客に過度の経済的負担を課す可能性のある、不当または過剰な料金、罰金、または負債。
* 監査権が制限されているか、またはまったくないため、クライアントが給与計算プロバイダーの内部統制の有効性とコンプライアンスを検証できない可能性があります。
* 柔軟性に欠ける、または制限的な解約条項により、クライアントが解約したり、別の給与計算プロバイダーに切り替えたりする能力が制限される可能性があります。
法務部門によるレビューを受けていないサードパーティ契約は、クライアントを次のようなさまざまなリスクにさらす可能性があります。
* 契約違反やパフォーマンスの問題をめぐる給与計算プロバイダーとの法的紛争または訴訟。
* 給与計算に関連する税金、労働、その他の法律や規制に違反した場合の規制上の罰金または制裁。
* 給与計算プロバイダーによるエラー、詐欺、または過失による金銭的損失または損害。
* 給与計算の誤りや遅延による評判の失墜や顧客の不満。
したがって、情報システム監査人は、法務部門によってレビューされていないサードパーティ契約について非常に懸念し、アウトソーシングされた給与計算プロバイダーとの契約に署名または更新する前に、クライアントに法律上のアドバイスを求めることを推奨する必要があります。
顧客がユーザー アクセス権を定期的に確認していないことは、給与システムに対する適切なアクセス制御が欠如していることを示している可能性があるため、中程度の懸念事項です。ユーザー アクセス権とは、給与システム内のデータや情報にアクセス、表示、変更、または削除するためにユーザーに付与される権限です。顧客はユーザー アクセス権を定期的に確認し、ユーザーの役割と責任に合致していること、およびユーザーが役割を変更したり組織を離れたりしたときに取り消されたり変更されたりしていることを確認する必要があります。
クライアントによって定期的に確認されていないユーザー アクセス権があると、給与データや情報への不正アクセスや不適切なアクセスが発生する可能性があり、機密性、整合性、可用性が損なわれる可能性があります。
給与処理コストが IT 予算に含まれていない場合、給与処理のための IT リソースの適切な計画と割り当てが不足している可能性があるため、それほど大きな問題ではありません。給与処理コストとは、アウトソーシングされた給与サービスを使用することでクライアントが負担する費用 (手数料、料金、税金、罰金など) です。給与処理コストは、適切に見積もられ、監視され、管理されるように、IT 予算に含める必要があります。給与処理コストが IT 予算に含まれていない場合、給与処理に予期しないコストや過剰なコストが発生し、クライアントの収益性とキャッシュ フローに影響する可能性があります。
サードパーティ契約がベンダー管理ポリシーに準拠していないことは、クライアントのベンダー管理ポリシーと実際のベンダー選択および評価プロセスが一致していないことを示している可能性があるため、懸念度は低いです。ベンダー管理ポリシーは、ベンダーの選択、監視、評価、および終了方法など、クライアントがベンダーとの関係を管理する方法を規定する一連のガイドラインと手順です。ベンダー管理ポリシーは、クライアントのビジネス目標、リスク許容度、および規制要件と一致している必要があります。サードパーティ契約がベンダー管理ポリシーに準拠していないと、ベンダーのパフォーマンスやサービス品質が最適ではなくなる可能性がありますが、必ずしも契約違反や法律違反を意味するわけではありません。

プロトタイプ システムは、時間とコストを大幅に節約できますが、いくつかの欠点もあります。多くの場合、内部管理が不十分で、変更管理が非常に複雑になり、当初意図されていなかった機能や追加機能がシステムに追加されることが多々あります。

リカバリ ポイント目標 (RPO) とは、データ損失インシデントが発生した場合に、最後に成功したバックアップから復元までの最大経過時間です。組織で定義されたデータ バックアップおよび復元手順を確認するときは、組織が最新の成功したバックアップまでデータを復元できるようにするために、RPO を考慮することが重要です。

情報システム監査人の質問に対する回答が文書化された手順や職務記述書によって確認されない場合、情報システム監査人はコントロールのテストの範囲を拡大し、追加の実質的なテストを含める必要があります。存在するコントロールが不十分であるか十分であるかを示す証拠はありません。以前の監査に大きく依存したり、監査を一時停止したりすることは、既存のコントロールの妥当性に関する現在の知識を提供しないため、不適切なアクションです。