システム監査の実施と品質

要点と定義

システム監査は、独立かつ客観的な立場の監査人が、情報システムに関するリスクへの対応を検証・評価し、保証や助言を通じて組織の目標達成と説明責任を支援する活動です。監査人は倫理、専門的能力、正当な注意、秘密保持を守ります。監査業務の品質管理は、監査業務と監査結果の品質を確保するために行い、監査結果の適正性を確保することが目的の一つです。計画の立案、情報の機密保持、情報システムの品質向上は、それぞれ重要ですが、品質管理の主な目的そのものとは区別します。

監査の流れは、監査計画の策定、監査の実施、監査報告とフォローアップです。監査の実施では、まず予備調査で業務や管理状況、リスクの全体像を把握し、その後、本調査で具体的な手続を適用して証拠を集め、評価・結論へ進みます。予備調査で得た情報は、本調査の範囲や方法を定める材料になります。監査証拠は結論の裏付けとなる情報であり、調査や評価の過程は監査調書に整理して保管します。

試査は、母集団から一部を抽出して監査手続を行い、その結果を母集団全体の判断に用いる方法です。全件を調べる方法とは異なります。統計的サンプリングでは無作為抽出を行い、サンプル評価から母集団について結論を出す際に確率論を用います。サンプル数の多さだけで統計的か非統計的かが決まるわけではありません。経験的判断を加味した抽出は非統計的サンプリングです。

コンピュータ支援監査技法は、監査にコンピュータや監査用ソフトウェアを利用する方法です。稼働中のオンライン処理を使ったテスト、並行シミュレーションやスナップショットなどによるプログラムロジックの分析、コード比較による変更の検証、監査ソフトウェアなどによるデータ抽出は、それぞれ目的が異なります。手法名と確認したい対象を対応させて選びます。

マネジメントシステム監査では、監査を行う立場によって第一者、第二者、第三者の区別があります。組織内部の監査は第一者、顧客などが取引先を監査するものは第二者、独立した審査機関による審査は第三者に当たります。委託先が子会社でも、委託元が顧客として監査する関係なら第二者監査です。

適用条件と例

予備調査では、管理者や担当者への質問、アンケート、文書確認などで対象の概要やリスク認識を集めます。たとえば新しい購買システムの監査なら、予備調査で承認の流れや例外処理の有無を聞き、本調査では記録や操作を具体的に確かめます。監査手続書に基づく詳細な確認や、証拠に基づく指摘事項の整理は、予備調査と区別します。

試査の結果から母集団を判断するときは、抽出方法と評価結果の両方を考慮します。たとえば取引記録から無作為に抽出し、承認の有無を確認する場合、統計的サンプリングでは抽出結果を確率論に基づいて母集団へ推定します。抽出件数が多くても、監査人の経験で対象を選んだだけなら統計的サンプリングとはいえません。