システム監査

要点と定義

システム監査は、独立かつ客観的な立場の監査人が情報システムに係るリスクへの対応を検証・評価し、保証や助言を通じて組織の目標達成と説明責任に寄与する活動である。監査は、計画、実施、報告、フォローアップの流れで行う。監査証拠は、監査の結論を裏付けるために必要な情報であり、結論には十分かつ適切な証拠が必要である。監査調書は、調査・検証・評価の情報と結論に至る過程を整理して文書化したもので、報告書作成の基礎となる。監査手続は、監査項目について証拠を入手する具体的な手順を指す。母集団は標本抽出と結論の対象となるデータ全体、許容逸脱率は統制からの逸脱について受け入れられる上限割合である。サンプリングリスクは、試査の結果に基づく結論が母集団全体を調べた場合の結論と異なる可能性をいう。可監査性は、情報システムの統制を監査人が検証できるよう設計・運用されている性質である。

適用条件と例

監査手続は、監査項目を確かめるために監査証拠を入手・評価する具体的な方法であり、文書や記録の閲覧、インタビュー、突合・照合、ウォークスルー、統計的サンプリングなどがある。起票された取引の入力状況を確かめる例では、元伝票と入力後の記録を照合し、漏れや重複を調べる。サンプリングでは、母集団全体から標本を抽出して結論を導く。統制テストで許容逸脱率を使う場合、それは受け入れ可能な統制逸脱の上限を表し、標本数の決定に用いる指標となる。可監査性を確保するには、統制の有効性を監査できるよう情報システムが設計・運用されている必要がある。システム監査規程は監査の権限や体制に関わるため、組織の経営者が最終承認する。開発委託の監査では、委託者が要件定義に基づいて納品成果物のユーザ受入テストを行っているかを確認する。改善提案や監査対象先の改善計画はフォローアップの対象となり、監査人は改善状況を確認する。

改善勧告は、監査人が監査証拠に基づいて改善の必要性を判断し、調査結果に事実誤認がないか監査対象部門に確認した上で記載する。改善の実現可能性も考慮する。

起票された元伝票と入力後のプルーフリストを照合し、照合の記録を確かめることで、伝票が入力されたか、同一伝票が重複して処理されていないかを確認できる。これは監査証拠を得るための突合・照合手続の適用例である。

許容逸脱率は、監査人が受け入れられる内部統制からの逸脱割合の上限であり、統制テストの標本数を決める際に用いる。サンプリングリスクは試査の結果から母集団全体について誤った結論に至る可能性であり、母集団は結論の対象とするデータ全体である。統計的サンプリングは無作為抽出と確率論に基づく評価を用いる。

可監査性とは、情報システムが監査可能なように設計・運用され、監査人がコントロールの有効性などを検証できる性質である。監査人の能力や監査部門の協力は、システム自体の可監査性の定義とは異なる。