システム監査の実施と品質

要点と定義

システム監査は、独立かつ客観的な立場の監査人が情報システムに関するリスクへの対応を検証・評価し、保証や助言を通じて組織の目標達成を支援する活動です。監査基準は監査人の行為規範を示し、監査上の判断尺度とは役割が異なります。過去の出題で扱った補足として、平成30年のシステム監査基準は監査人の行為規範、システム管理基準などは判断尺度を確定する際の参照基準として説明されました。これは過去問で扱われた内容であり、現行細目の記述とは断定しません。

監査品質を確保するには、監査依頼者のニーズも考慮した体制を整え、運用する必要があります。外部への委託や外部評価だけに任せず、内部での点検・評価も行います。監査業務の品質確保を委託先に全面的に移すことはできません。

監査人は、結論を裏付ける十分かつ適切な監査証拠を集めて評価します。試査は母集団の一部に手続を適用し、その結果から全体を判断する方法です。全件を調べる精査とは異なり、標本結果が全数調査と常に同じになるとは限りません。

シラバスに挙げられる統計的サンプリングについて、過去の出題で扱った補足として、信頼水準や許容誤謬率などを踏まえ、必要な標本件数を抽出前に決められると説明されています。この条件は過去問の補足であり、現行細目に明記されたとは断定しません。

監査技法は目的に応じて選びます。インタビュー法は関係者に口頭で問い合わせて回答を得る方法、現地調査法は現場で観察・調査する方法です。チェックリスト法では監査人が確認項目を整理します。コンピュータ支援監査技法（CAAT）は監査にコンピュータを利用する技法の総称で、専用ソフトウェアに限りません。過去の出題で扱った補足として、現地調査の実施時間は業務時間外に限られず、目的や業務への影響を考慮します。

予備調査では資料確認や聞き取りを通じて監査対象業務の実態を把握し、本調査の計画に必要な情報を得ます。本調査では監査手続を実施し、証拠を評価して結論につなげます。

適用条件と例

例えば、変更申請の記録を試査するなら、目的に合う母集団を定め、抽出方法や評価条件を検討します。例外が見つかった場合は、その内容や母集団への影響を踏まえて評価します。重要案件だけ、またはエラー対応済みの案件だけを選んでも、母集団全体を代表するとは限りません。標本件数だけで全件の適切さを断定することもできません。

ネットワークのアクセス制御を監査する場合、実際に侵入を試みて防御の有効性を確かめるペネトレーションテストが適合します。実施時は目的と対象範囲を明確にし、業務への影響を考慮して手続を選びます。入退室管理や入力データの正確性など、確認対象が異なれば、それに合う方法を選びます。