システム監査の実施と証拠

要点と定義

システム監査は、独立かつ客観的な立場の監査人が、情報システムに関するリスクへの対応を検証・評価し、保証や助言を通じて組織の目標達成を支援する活動です。監査では、目的と対象範囲を定め、証拠を集めて評価し、結論を報告します。監査手続とは、監査項目について十分かつ適切な証拠を得るための具体的な調査・検証です。

監査証拠は、監査人の結論を裏付ける情報です。形式の整った管理文書だけに限らず、監査目的との関連性や証明力を見て評価します。記録、ログ、テスト結果、担当者への質問なども候補になります。証拠の内容や信頼性を確かめるため、一つの目的に複数の手続を組み合わせることがあります。

監査技法は目的に応じて選びます。インタビュー法は関係者に口頭で質問して回答を得る方法、ウォークスルー法はデータや取引を生成から処理、出力、利用まで追跡し、途中のコントロールを確認する方法です。CAATはコンピュータを使った監査技法の総称であり、特定の専用ソフトウェアだけを指しません。

適用条件と例

監査は、計画、実施、報告、フォローアップの流れで進みます。予備調査で対象の実態を把握し、その結果に基づいて本調査の範囲や手続を定めます。本調査では資料の閲覧、質問、記録の照合などを行い、証拠から結論を形成します。第三者の保証報告書は、対象範囲や期間などが監査目的に合い、依拠できると判断した場合に証拠として利用できます。入手しただけで現地調査を省略できるわけではありません。

例えば、注文データの処理を監査するなら、入力記録と処理後の出力を照合し、担当者にも例外処理を質問できます。証拠が複数の方法で整合するかを確かめ、結論を監査調書に整理します。チェックリスト法では、監査人が確認項目を整理して点検します。現地調査の時間帯は目的や業務への影響を考慮して決め、業務時間外に限定しません。

監査では、可用性や情報の保持に関わるリスクも対象になります。サーバの二重化は、障害時にも利用を続けられる可能性を高める可用性の対策です。クラウド上の情報消失を予防する観点では、事業者の信頼性や事業・サービスの継続性を確認します。停止許容時間の設定は復旧目標に関する確認であり、それだけで保存情報の消失防止を確認したことにはなりません。

報告後、監査人は改善提案や対象部門の改善計画について、対応状況をフォローアップします。改善の実施を指示したり、実施プロジェクトを管理したり、部門に代わって計画を作成したりするのではなく、所要の措置が適切かつ適時に進んでいるかを確認します。

誤りやすい点

証拠は文書の体裁だけで判断しません。監査目的に関係し、結論を支えるだけの十分さと適切さがあるかを評価します。アジャイル開発でも、監査のためだけに整った文書を追加作成させず、既存の記録や成果物を含めて証拠を検討します。