システム監査の手続と評価

要点と定義

システム監査は、独立かつ客観的な立場の監査人が、情報システムに係るリスクへの対応を検証・評価し、保証または助言を通じて組織の目標達成や説明責任を支援する活動である。監査は計画、実施、報告、フォローアップの流れで行い、監査証拠を入手・評価して結論を形成する。インタビュー法は関係者への口頭の質問と回答によって情報を得る技法であり、ウォークスルー法はデータの生成から入力、処理、出力、活用までの過程と、そこに組み込まれたコントロールを追跡する技法である。監査証拠は監査の結論を裏付ける情報であり、十分かつ適切な証拠を得る必要がある。

適用条件と例

監査目的に応じて手続を選ぶ。関係者から口頭で情報を得る場合はインタビュー法、データの生成から活用までの流れと組み込まれたコントロールを追う場合はウォークスルー法を用いる。伝票の入力漏れや重複を確かめるには、元の伝票とシステム出力を照合し、対応を確認する方法がある。クラウド上の情報消失リスクを検討するときは、サービス提供者の信頼性やサービス継続性を確認する。改善の遅れがあれば、原因や対策の実施状況を確認する。保証型と助言型は監査要請者などのニーズを踏まえて調整し、利害関係者が多い事業・システムでは保証型監査と結果の開示が有用となる場合がある。

クラウド上に保存した情報の消失リスクを検討する際は、サービス提供者の信頼性と事業・サービスの継続性が判断材料となる。これらは提供者の撤退やサービス停止に伴う情報消失の可能性に関係する。

インタビュー法は、監査人が関係者に口頭で問い合わせ、回答を得る監査技法である。現地調査の実施時期やCAATに用いるソフトウェアの種類を一律に限定するものではなく、チェックリスト法は監査人がチェックリストを用いて確認する技法である。

起票された伝票の入力漏れや重複を確かめるには、元の伝票とシステムから出力した一覧を照合し、対応関係を確認する。例外取引の承認記録や入力チェックの確認は、それぞれ別の統制目的に関する手続である。

ウォークスルー法では、データの生成から入力、処理、出力、活用までの流れと、その過程に組み込まれたコントロールを、書面上または実際に追跡する。テストデータ法、インタビュー法、文書の点検とは目的と方法が異なる。

フォローアップでは、改善措置の実施状況を確認し、計画から遅れている場合はその原因や対策の状況を把握する。改善策の実行を指示したり、監査人自身が改善活動を担ったりするのではなく、状況を確認して評価する。