システム監査

要点と定義

システム監査は、独立かつ客観的な立場の監査人が、情報システムに係るリスクへの対応を検証・評価し、保証や助言を通じて組織の目標達成と利害関係者への説明責任を支援する活動である。監査人は監査に必要な情報や協力を関係者に求められるが、情報セキュリティ方針を決定したり、被監査部門に改善を命じたりする立場ではない。

監査は、計画、実施、報告、フォローアップの流れで行う。フォローアップでは、改善提案や改善計画に対する措置が適切かつ適時に実施されているかを確認する。改善の実施や計画の策定は被監査部門が担い、監査人は状況確認や助言を行う。

監査手続では、監査目的に応じて資料の閲覧、質問、観察などを使い分け、結論を裏付ける監査証拠を集める。予備調査は監査対象の概要やリスク認識を把握する段階であり、本調査では対象の実態をより詳しく調べる。

適用条件と例

クラウドサービスの導入を監査するとき、保存情報の消失リスクに関しては、事業者の信頼性と事業・サービスの継続性を検討しているかを確認する。

外部委託を監査する場合は、委託側が必要な管理状況を確認できるよう、監査権限などを契約で定める。受託側要員のアクセス管理や、委託した開発の品質管理状況も監査対象になり得る。

開発プロジェクトの移行判定を監査する場合は、本番稼働の判断を支える品質報告書などを確認する。

在庫データの網羅性を確かめる例として、入庫・出庫記録に自動で連番を付け、欠番や重複を調べられる統制を確認する。

誤りやすい点

監査人の独立性を保つには、改善を自ら実施・管理したり、具体策を命令したりせず、被監査部門の責任者に方策を助言する。改善が計画より遅れている場合も、監査人は遅れを取り戻す方策を助言し、実施主体にはならない。