システム監査の調査と監査手続

要点と定義

システム監査は、独立かつ客観的な立場の監査人が、情報システムに関わるリスクへの対応を検証・評価し、保証や助言を通じて組織の目標達成を支える活動です。計画、監査手続の実施、結論の形成、報告、フォローアップの流れで進めます。

監査の前提をつくる予備調査では、業務内容や業務分掌、関連するシステムや部門を把握します。手続マニュアルや関係者への質問などが情報源になり、現地訪問を必須とするものではありません。調査対象も監査対象部門だけとは限らず、業務の流れを理解するために関係先を確認する場合があります。

監査技法は目的に応じて選びます。インタビューは関係者への口頭質問、現地調査は現場での観察・調査、チェックリスト法は監査人が確認項目を用いて調査する方法です。コンピュータ支援監査技法は、コンピュータを使って監査手続を支援する考え方であり、専用ソフトウェアに限られません。過去の出題で扱った補足として、平成三十年のシステム監査基準に関する問題では、これらの方法の実施時間やツールを一律に限定しない点が問われました。

監査証拠は、監査人の結論を裏付ける情報です。証拠を集める手続は、結論で確かめたい事実に合わせます。例えば、取引が承認されたかを検証するなら、責任者への質問だけでなく、実際の取引記録に残る承認の証跡を確かめます。サーバ設置環境の観察や一覧表を出力するプログラムの検証では、個々の取引の承認を直接確かめられません。

試査は、対象の一部を抽出して手続を適用し、その結果から対象全体について判断する方法です。全件を調べる方法とは区別します。抽出結果を全体に結び付けて結論を出すため、何を母集団とするのか、どの判断を裏付けるのかを明確にします。

監査手続では、元の記録と処理結果の突合も有効です。例えば、入力の漏れや重複を確かめるには、元伝票と処理結果の対応記録を照合します。入力形式の検査や例外取引の承認確認、プログラム論理の検証は、それぞれ別の目的に応じた手続です。

集計結果に対する分析的な比較は、通常の傾向から外れた変化を見つけ、異常の有無を事後的に検討する手掛かりになります。比較で異常らしい変動が見つかった場合は、それだけで原因や誤りを断定せず、関連記録など追加の証拠を確認します。過去の出題で扱った補足として、売掛債権回転期間の前年同期比較が、債権残高の異常を検証する分析例として取り上げられました。

監査対象は、個別のコントロールだけでなく、組織全体のマネジメントやガバナンスにも及びます。マネジメントの視点では、方針に沿った全体的な管理と改善の仕組みを確認します。計画・実施・評価・改善を組織全体で回す運用はその例です。個々の承認や異常アクセスへの対応は具体的なコントロール、経営とITの方向付けはガバナンスの視点として区別します。