不正な取引とは、情報やデータを欺いたり、操作したり、不当に偽ったりして、不正な利益や利点を得る取引のことです1。不正な取引は、金銭的損害、法的責任、評判の失墜、業務の中断など、組織に重大なリスクと損失をもたらす可能性があります2。
エンタープライズ リソース プランニング (ERP) システムは、会計、財務、人事、サプライ チェーン、在庫、顧客関係管理など、組織の中核となるビジネス プロセスと機能をサポートする統合ソフトウェア アプリケーションです3。ERP システムは、ビジネス トランザクションの効率、正確性、セキュリティを向上させることができますが、次のような不正なトランザクションに対して脆弱になる可能性もあります。
* 偽のベンダーや顧客を作成し、偽の請求書や支払いを処理する
* 財務または会計データや報告書を操作または偽造すること
* 重要または機密性の高い情報や記録の変更または削除
* アクセス権限または資格情報の悪用または誤用
* システム制御やセキュリティ対策を回避または侵害する4
ERP システム内で不正な取引を防止する手順の設計は、統制環境に基づいて行う必要があります。統制環境とは、組織全体で内部統制を実行するための基礎となる一連の標準、プロセス、構造のことです。統制環境は、次の要素で構成されます。
* 内部統制と倫理的行動に対するリーダーシップのコミットメントと姿勢を反映するトップの姿勢
* 内部統制の役割と責任、報告ライン、権限レベルを定義する組織構造
* 人事方針と実践。スタッフが内部統制のための適切なスキル、能力、インセンティブを備えていることを保証する。
* 組織の目的と取引に対する潜在的なリスクと脅威を特定し評価するリスク評価プロセス
* 管理活動とは、取引における誤りや不正行為を防止、検出、または修正するための具体的なポリシー、手順、メカニズムです。
* 内部統制と意思決定のための信頼性が高くタイムリーなデータと情報を提供する情報通信システム
* 内部統制のパフォーマンスと有効性を測定および報告し、継続的な改善を確実にする監視および評価活動。ERP システム内で不正な取引を防止するための手順の設計を統制環境に基づいて行うことで、組織は次のことが可能になります。
* 内部統制と不正防止に関する組織の目的、価値観、期待に沿った手順を確実に実施する
* 取引およびERPシステムに関与するスタッフおよび関係者に明確で一貫したガイダンスと指示を提供します。
* 取引とERPシステムのリスクと脆弱性を軽減するために、適切かつ適切な管理と安全策を実施する
* 手順と ERP システムのコンプライアンスと有効性を監視および評価し、問題やギャップを特定して対処します。参考文献 = 不正行為とは何か?、不正行為リスク管理 - AICPA、ERP とは何か?、ERP 不正行為: 防止方法 - ERP Focus、[COSO - 制御環境 - Deloitte]、[COSO を使用して IT 制御を評価する方法 - Journal of Accountancy]

は不正解です。ビジネス プロセス所有者は通常、ビジネス プロセスに対するリスクを効果的に特定できません。彼らには公平になる能力がなく、リスクを評価するための適切なスキルやツールがない可能性があります。回答:B は不正解です。監査担当者はリスク評価に関する適切なビジネス知識を持たない可能性があり、そのためリスクを適切に特定できません。定期的な監査がビジネス活動の妨げになることもあります。回答:D は不正解です。主要なリスク指標を監視し、その結果をリスク レジスタに記録しても、既知および特定されたリスクに関する洞察しか得られず、まだ特定されていないリスクなどの不明瞭なリスクは考慮されません。

セクション: ボリューム D
説明/参照:

リスク イベントとは、目標の達成に潜在的な影響を与える特定の出来事または変化のことです。
リスク イベントは、肯定的なものも否定的なものもあり、組織の内部または外部に発生することもあります。リスク イベントは、現実的なリスク シナリオを作成するための基礎となります。リスク シナリオは、リスク イベントの起こり得る結果を示す仮想的な状況です。リスク シナリオは、リスクの性質、発生源、原因、およびリスク発生の潜在的な影響と可能性を理解し、伝えるのに役立ちます。リスク シナリオは、リスク対応とリスク管理の有効性をテストするためにも使用できます。
その他のオプションは、現実的なリスク シナリオを作成する場合、リスク イベントほど役に立ちません。バランス スコアカード (A) は、組織の目標、ビジョン、戦略に対するパフォーマンスを測定する戦略的管理ツールです。リスク イベントやその結果に関する具体的な情報は提供されません。リスク アペタイト (B) は、組織が目標達成のために受け入れるリスクの量と種類です。
リスク マップは、リスク イベントやそのシナリオを説明するものではなく、リスク許容度と受容度を示します。リスク マップは、組織のリスク プロファイルをグラフィカルに表現したもので、さまざまなリスクの発生可能性と影響の関係を示します。リスク マップは、リスク イベントやそのシナリオの詳細やコンテキストを提供するものではなく、リスクの相対的な順位付けと優先順位を示します。