システム監査

要点と定義

システム監査は、独立かつ客観的な立場の監査人が、情報システムに関するリスクへの対応を検証・評価し、保証や助言を通じて組織の目標達成を支援する活動です。監査は、計画、実施、報告とフォローアップの流れで進みます。IPAシラバスVer.7.2の「1. システム監査」では、目的と手順、対象業務、計画、監査技法・CAAT、報告とフォローアップ、監査基準・管理基準などが扱われます（提示資料 pp.98、101）。

監査対象は情報システムのコントロールやマネジメントに限らず、ガバナンスにも及びます。過去の出題で扱った補足として、ガバナンスもマネジメント、コントロールと並ぶ監査対象であるという判断が問われています。

監査計画では、目的・テーマ、範囲、方法、時期、体制、スケジュールなどを定めます。リスクの大きさは、脅威と脆弱性を踏まえた発生可能性と、発生した場合の影響度を組み合わせて評価します。その評価を対象や重点の決定に生かし、網羅性と効率性の両立を図ります。過去の出題で扱った補足として、計画が監査の網羅性と効率性を整える役割を持つことが問われています。 リスクに応じて監査の重点を決める考え方も問われています。

監査技法は、確認したい対象に合わせて選びます。ウォークスルーは、取引やデータの流れを生成から利用まで追跡し、各段階の処理やコントロールを確認する方法です。過去の出題で扱った補足として、プロセスを追跡する技法の識別が問われています。

CAAT（コンピュータ支援監査技法）は、監査ソフトウェアなどを利用する監査技法です。シラバスにはデータ分析やデータサンプリングなどが記載されています。これは現行シラバスの範囲であり、ここに挙げた過去問群が具体的なデータ照合作業を直接問うたという意味ではありません。

監査証拠は、監査の結論を裏付けるために必要な情報です。監査人は適切かつ慎重に手続を行って証拠を集め、評価します。調査・検証した情報は、結論に至る過程が分かるよう監査調書に整理して記録します。計画は範囲や方法を決め、調書は実施内容と判断の根拠を残すものです。

報告では、指摘事項の前提となる事実と証拠による裏付けを監査対象先と確認します。過去の出題で扱った補足として、報告前に指摘の事実や証拠を確認する判断が問われています。

フォローアップでは、報告書の改善提案または監査対象先の改善計画について、必要な措置が適切かつ適時に実施されているかを確認します。計画の作成と改善の実施は対象先の役割であり、監査人は実施状況を確かめます。過去の出題で扱った補足として、改善提案の実施状況を収集し、改善状況をモニタリングする判断が問われています。

システム監査基準は、監査を効果的かつ効率的に行うための体制や実施方法を示します。システム管理基準などは、点検・評価に使う判断尺度の参照基準です。過去の出題で扱った補足として、監査基準と評価尺度の役割の区別が問われています。

適用条件と例

業務システムの変更を監査するなら、まず目的とリスクを踏まえて範囲や確認方法を計画します。承認から本番反映までの記録を一件追う場合は、ウォークスルーが候補になります。稼働後には、目標とした業務が実現したことを客観的な記録などで確かめます。過去の出題で扱った補足として、稼働後評価では、目標とする業務の実現を示す客観的情報があるかが問われています。