システム監査の計画・実施・フォローアップ

要点と定義

システム監査人は、独立かつ客観的な立場から情報システムに係るリスクへの対応を検証・評価し、保証や助言を通じて組織の目標達成と説明責任を支援します。監査は、監査計画の策定、監査の実施、監査報告とフォローアップの流れで行います。監査計画では目的や対象範囲、方法、時期などを定め、実施では証拠を集めて評価し、監査結果を報告します。

監査証拠は、監査の結論を裏付けるために必要な情報です。十分性は証拠の量、適切性は確かめる事項との関連性や証明力に関わります。たとえば、権限変更の手続を確認する場合、対象となる記録を十分に集めるだけでなく、その記録が権限変更の実施状況を示し、判断の根拠として使えるかも確かめます。記録の件数が多くても、確かめたい事項との関連性や証明力がなければ、結論を支える証拠として適切とは限りません。

ウォークスルー法は、データや取引を生成元から入力、処理、出力、活用まで追跡し、その過程に組み込まれたコントロールを確かめる技法です。書面上でも実際の操作でも追跡できます。

試査は、監査対象から一部を抽出して手続を行い、その結果から対象全体について判断する方法です。一部の結果を全体に当てはめる判断であるため、全件を確認した場合と同じ意味にはなりません。

過去の出題で扱った補足として、受託業務の保証報告書は受託会社監査人が作成し、受託会社のシステムに関する記述書と受託会社確認書は受託会社が作成する責任を負います。除外方式を採用しても、作成者の分担は変わりません。監査人の意見表明と、受託会社自身による説明・確認を区別します。

適用条件と例

監査計画は、目的・テーマ、監査対象範囲、方法、実施時期、実施体制、スケジュールなどを定め、有効かつ効率的な監査につなげます。限られた期間で複数の業務を調べるなら、監査目的とリスクを踏まえて重点範囲を定め、その後に方法や時期を組み立てます。

システム管理基準は、監査上の判断尺度を定める際に参照できる基準の一つです。過去の出題で扱った補足として、組織は事業やシステムの特性に応じて管理項目を選択・修正して活用でき、中小企業の自己診断や監査にも用いることができます。全項目を一律に適用するという考え方ではありません。

監査チーム内で意見が分かれ、その原因が調査不足である場合は、追加の監査手続で証拠を補い、結果を改めて評価します。多数決で意見を決めても、調査不足は解消されません。

監査報告後は、監査人が改善提案や対象先の改善計画に対する対応状況を把握し、所要の措置が適切かつ適時に行われているかをフォローアップします。改善の計画と実施は対象部門側の責任であり、監査人は状況を確認・モニタリングします。