システム監査

要点と定義

システム監査は、独立かつ客観的な立場の監査人が、情報システムに関するリスクへの対応を検証・評価し、目的に応じて保証や助言を行う活動です。監査人は結論を裏付ける情報を集めて評価します。監査は計画、実施、報告とフォローアップの流れで進みます。

監査の実施では、予備調査で既存資料を閲覧し、対象の業務やシステム、役割分担などを把握します。監査項目や手続、日程を定める個別監査計画とは目的が異なります。

試査は、母集団から一部を抽出して調べ、その結果を母集団全体の評価に使う方法です。全件を確認する方法とは異なり、抽出した証拠からどこまで判断できるかを考えます。

システム監査の対象は、個別のコントロールやマネジメントに加えてガバナンスにも及びます。監査の目的と対象範囲は、監査規程などの文書や監査計画で明確にします。

適用条件と例

過去の出題で扱った補足として、平成30年版のシステム管理基準に関する設問では、経営陣による評価・指示・モニタリングの枠組みをEDMモデルとして扱いました。これは当時の基準に基づく説明です。

ガバナンス、マネジメント、コントロールは、問われている活動の範囲や役割で区別します。過去の出題で扱った補足として、IT投資や情報セキュリティ対策をPDCAに基づいて組織全体で管理する内容は、マネジメントに分類されました。

集計結果を使う分析的手続では、関連する指標や期間ごとの値を比べ、異常の有無を検討します。過去の出題で扱った補足として、売掛債権回転期間を前年同期と比較する方法が示されました。これは入力時のチェックではなく、集計処理後の結果を用いる検証です。

過去の出題で扱った補足として、システム監査規程の最終承認者を問う設問では、組織全体を統括する経営者が適切とされました。監査対象部門の管理責任と、監査体制や権限を定める規程の承認を区別します。

過去の出題で扱った補足として、サーバの二重化は、障害時にもシステムやデータを利用できる可能性を高める対策として可用性に分類されました。