システム監査の実施と証拠

要点と定義

システム監査では、独立かつ客観的な立場から情報システムに関わるリスクへの対応を検証・評価し、保証や助言を通じて組織の目標達成を支援します。監査は、計画、実施、報告、フォローアップの流れで進みます。

フォローアップで改善の遅れが分かった場合、監査人は状況を確認し、被監査部門の責任者に対応策を助言します。改善策を決定・実施する責任は同部門にあり、監査人が実施を指示したり改善活動に加わったりすると、独立性や客観性を損なうおそれがあります。

監査証拠は、監査の結論を裏付けるために必要な情報です。監査証跡は、情報システムの入力から処理、出力までを追跡できる記録や仕組みです。監査調書は、監査人が調査・評価した情報や結論に至る過程を整理して記録するものです。証跡は証拠として使える場合がありますが、証拠や調書と同じ意味ではありません。

過去の出題で扱った補足として、サンプリングの母集団は結論の対象となるデータ全体です。サンプリングリスクは、サンプルに基づく結論が母集団全体を調べた結論と異なる可能性を指します。許容誤謬率は、内部統制からの逸脱について監査人が受け入れられる上限率で、サンプル数の計画に用いられます。統計的サンプリングは確率論に基づいて抽出・評価する方法です。

シラバスでは、システム監査基準を監査人の倫理などに関わる基準として扱い、システム管理基準などを監査上の判断尺度を定める際の客観的な参照先として挙げています。過去の出題で扱った補足として、平成16年版システム監査基準の前文は、監査人の行為規範として監査業務の品質を確保し、有効かつ効率的に監査を行う目的を説明していました。これは同版についての説明です。

適用条件と例

記録の網羅性を確かめるときは、記録すべき取引が漏れなく残っているかに着目します。たとえば入庫・出庫記録に連番を付け、欠番や重複を確認する方法は、記録漏れを見つける手掛かりになります。承認や発注の適時性を確かめるだけでは、記録の網羅性を直接確かめたことにはなりません。

過去の出題で扱った補足として、ITF法は、本番稼働中のシステム内に監査用の口座などを設けてテストデータを処理し、あらかじめ用意した正しい結果と照合する方法です。テストデータ法では、監査結果を利用する前に、テスト対象プログラムのロジックが本番稼働中のものと同一かを確認します。