システム監査の実施とフォローアップ

要点と定義

システム監査は、独立かつ客観的な立場の監査人が、情報システムに関するリスクへの対応を検証・評価し、保証や助言を通じて組織の目標達成などを支援する活動である。監査は、計画、実施、報告、フォローアップの流れで行う。監査手続は、監査項目について証拠を入手するために実施する具体的な手続である。監査証拠は監査の結論を裏付ける情報であり、結論の裏付けには十分かつ適切な証拠が必要となる。監査調書は、実施した調査や手続、入手した情報、発見した事実、所見や判断を整理して記録したもので、監査の結論を支える基礎資料となる。システム監査基準は監査人の行為規範を示し、システム管理基準などは監査上の判断尺度として用いることができる。

適用条件と例

監査人は監査対象の実態を予備調査で把握し、それを踏まえて本調査の手続を選ぶ。手続は監査項目に関する証拠を得るために行い、目的に応じて複数の方法を組み合わせる。例えば、受注伝票の入力漏れや重複を確かめるには、元の伝票とシステム出力の一覧を照合し、その照合記録を確認する。アジャイル開発でも、監査目的に照らして十分かつ適切であれば、成果物や記録を証拠として扱える。監査後は対象部門などが作成した改善計画と実施状況を確認し、必要なフォローアップを行う。

監査人は監査対象の改善状況を確認するが、改善計画を自ら作成する立場ではない。改善計画は監査対象部門や改善責任部門などが作成し、監査人はその後の対応をフォローアップする。

フォローアップでは、改善提案に対して監査対象部門がどのように対応しているかを確認する。改善の指示、改善プロジェクトの管理、実施計画の策定は監査対象側が担い、監査人は改善状況をモニタリングする。

監査手続とは、監査項目について十分かつ適切な証拠を得るために実施する手続である。計画や進捗の管理、報告書の作成、監査チームの編成は、証拠を入手するための個々の手続とは区別される。

システム監査基準は、監査業務の品質を確保し、有効かつ効率的な監査を行うための監査人の行為規範である。監査対象を評価する判断尺度には、システム管理基準などを用いることができる。

監査調書は、監査で実施した内容や判断を記録し、監査の客観性を確保するとともに結論を支える合理的な根拠となる。所見や結論に至った根拠も記録し、適切に保管する。

監査証拠として使える情報は、管理用文書として体裁が整ったものに限られない。監査目的に照らして十分かつ適切かを評価する。予備調査で実態を把握してから本調査を行い、必要な証拠を得るために複数の手続を組み合わせることがある。