システム監査

要点と定義

システム監査は、情報システムに関わるリスクへの対応を、独立かつ客観的な立場の監査人が検証・評価し、保証または助言を通じて組織の目標達成や説明責任を支援する活動です。監査対象は、情報システムの管理や運用だけでなく、企画、開発、保守、廃棄、外部サービスの調達・利用にも及びます。目的と対象範囲は、監査規程、契約書、監査計画などで明確にします。

監査は、リスクに基づく計画、監査の実施、証拠の評価と結論形成、報告、フォローアップの流れで進みます。計画では、目的・テーマ、対象範囲、方法、時期、体制、スケジュールを定めます。監査証拠は結論を裏付ける情報であり、調査と結論に至る過程は監査調書に整理して記録します。

予備調査では、業務や管理状況、リスクの全体像を把握し、本調査の範囲や手続を計画します。アンケートや質問で担当者のリスク認識を集めることもできます。本調査では、文書の閲覧、インタビュー、現地調査、ウォークスルー、突合などで詳細を確かめます。概要把握と詳細検証は目的が異なります。

監査人がシステムの処理やコントロールを調べ、有効性を評価できる性質を可監査性といいます。必要な情報や記録を監査人が得られる設計・運用が手掛かりです。監査人の能力や被監査部門の協力は役立ちますが、それだけでシステム自体の可監査性が確保されたことにはなりません。

サンプリングを行う場合、母集団は評価対象となるデータ全体です。統計的サンプリングでは、確率的に標本を抽出し、その結果を確率論に基づいて評価します。許容逸脱率は、内部統制からの逸脱について受け入れられる上限割合で、サンプル件数を決める際に考慮します。サンプリングリスクは、標本による結論が母集団全体を調べた場合の結論と異なる可能性です。

監査報告では、監査証拠に裏付けられた調査結果から改善の必要性を判断します。報告前に被監査部門へ事実関係を確認することは、事実誤認の防止に役立ちます。この確認は、勧告への同意や承認を求める手続ではありません。改善提案では実現可能性も考慮します。

フォローアップでは、改善提案や改善計画が適切かつ適時に実施されているかを確認します。遅れがあれば、監査人は対応方策を助言できますが、改善策の決定と実施は被監査部門の責任です。監査人が改善活動を担うと、後からその活動を評価する際の独立性・客観性を損なうおそれがあります。

適用条件と例

監査手続は、目的とリスクに合わせて選びます。たとえば、外部の保管サービスを監査するなら、事業者への信頼や事業・サービスの継続性を確かめることが、保管情報を引き続き利用できるかの評価につながります。過去の出題で扱った補足として、障害時に許容できる停止時間は可用性の観点、通信の暗号化は通信中の機密性・完全性の観点です。似た対策でも、監査目的に直接結び付くチェックポイントを選びます。

在庫記録の網羅性を確かめる例では、入出庫記録に連番を付け、欠番を調べる方法があります。欠番は記録漏れの手掛かりになります。ただし、連番だけで漏れがないと断定せず、対象範囲や重複の有無なども証拠に照らして確認します。これは過去の出題で扱った補足です。

サンプリングでは、先に母集団と検証目的を定めます。たとえば、対象期間の全申請から標本を抽出し、承認記録の有無を確認します。必要な標本数は、許容逸脱率のほか、予想される逸脱や求める信頼度にも左右されます。特定の種類の例外を全件調べる方法は、確率的な抽出による統計的サンプリングとは区別します。