監査手続と監査証拠

要点と定義

システム監査では、独立かつ客観的な立場から情報システムに関わるリスクへの対応を検証・評価し、保証や助言を通じて組織の目標達成を支援します。監査は、計画、実施、報告とフォローアップの流れで進みます。

監査手続は、監査項目を確かめ、証拠を得るための具体的な方法です。資料の閲覧、質問、記録の照合、現地での確認などがあり、監査目的に応じて組み合わせます。計画の立案や進捗管理、報告書の作成、監査チームの編成とは役割が異なります。この区別により、監査項目を検証する手段を選べます。

監査証拠は、監査人の結論を裏付ける情報です。十分性は証拠の量、適切性は確認事項との関連性や証明力に関わります。両方を満たすかは、証拠の形式や入手元だけでなく、監査目的に照らして判断します。 過去の出題で扱った補足として、平成30年版の基準に関する設問では、体裁の整った管理文書だけに証拠を限定せず、目的との関連性や証明力を評価する考え方が扱われました。

予備調査では、事前資料の閲覧や照会を通じて、監査対象の詳細、業務内容、分掌体制などを把握します。その結果を踏まえて本調査の手続を具体化します。監査ニーズや目的を決める作業、個別監査計画を策定する作業と区別すると、調査段階の役割を捉えやすくなります。

監査調書は、調査・検証した情報、実施した手続、入手した証拠、結論に至った過程が分かるよう整理した記録です。口頭で得た情報も監査に利用するなら記録し、所属組織の文書管理規程に従って保管します。利用できる者を権限のある者に限ることも、適切な管理に含まれます。

結論を形成するときは、調書を基礎に、監査目的に応じた合理的な根拠が得られるまで手続を行います。保証目的でも助言目的でも根拠が必要です。指摘事項は重要性を踏まえて検討し、所見や裏付けとなる事実を監査対象部門と確認します。

適用条件と例

例えば、委託先の処理記録の正確さを確かめるなら、記録を閲覧し、担当者に質問し、関連ログと照合する方法があります。集めた証拠が確認事項に関係しているか、結論を支える力があるか、量が足りているかを、目的に照らして評価します。

アジャイル開発の監査では、体裁の整った管理文書だけを証拠と決めつけません。作業記録や変更履歴なども、監査目的との関連性と証明力を評価して利用できます。第三者の保証報告書に依拠する場合も、対象範囲や実施時期などを監査目的に照らし、証拠として足りると判断できる場合に限ります。

学習データの管理を監査する場合は、アクセスの記録や消失時の備えに加え、データの信頼性をどう確かめているかも検証します。「AIが選んだ」という理由だけでは、データの正確さや適切さを裏付けられません。