システム監査の目的と手順

要点と定義

システム監査は、独立かつ客観的な立場の監査人が、情報システムに関わるリスクへの対応を検証・評価し、保証または助言を通じて組織の目標達成を支援する活動です。監査人には独立性、客観性、専門的能力、正当な注意が求められます。独立性は不当な影響や圧力を受けていない状態であり、正当な懐疑心は証拠を批判的に評価する態度です。正当な注意は、専門家として監査を適切に行うために払う注意を指します。これらの用語を区別することが、監査人の姿勢や所見の説明を判断する基礎になります。

監査対象はコントロールやマネジメントに限らず、ガバナンスにも及びます。ガバナンスは情報システムの方向付けや経営との関係、マネジメントは計画・運営、コントロールは定めた統制が実際に機能しているかという視点で捉えます。例えば、異常なアクセスを検出した後の対処と報告を確かめるのは、統制の運用状況を見る監査です。三つの視点を分けると、監査項目が何を評価するものか判断できます。

監査は、計画、実施、報告、フォローアップの流れで進みます。予備調査では資料や関係者への確認を通じて、業務内容や責任分担などを把握し、本調査や計画の前提を整えます。監査対象部門だけでなく、対象業務に関係する部門も調査範囲に含める場合があります。現地訪問や特定の時間帯での調査が常に必須というわけではありません。

監査手続では、目的に合った技法で証拠を集め、評価します。インタビューは関係者に直接口頭で質問する方法、ウォークスルーは取引やデータの流れを生成から利用まで追跡する方法です。チェックリストは監査人が確認項目を整理して使い、突合・照合は記録間の対応や差異を確かめます。ドキュメントレビューは文書や記録の閲覧・検討です。CAATはコンピュータを利用して監査手続を支援する考え方で、専用ソフトに限定されません。

監査証拠は監査の結論を裏付ける情報です。結論に至った過程が分かるよう、調査・検証した情報を監査調書に整理し、報告の基礎として保管します。監査報告に記した改善提案や監査対象先の改善計画について、実施状況を確かめる活動がフォローアップです。これは未完了の監査手続を後から補うこととは異なります。

適用条件と例

入力漏れや重複を確かめるには、元の受注伝票とシステムの入力結果を対応付けて照合します。例えば、伝票番号を照合キーとして入力結果一覧と伝票を突き合わせ、一覧に現れない伝票や同じ番号の複数行を調べます。論理チェックのテストは入力値の検査を確かめるもので、伝票全体の入力漏れ・重複を直接確認する代わりにはなりません。このように、監査目的に合わせて証拠と技法を選びます。

監査で説明と記録が食い違った場合は、説明だけで結論を出さず、関連する記録や追加の証拠を集めて評価します。証拠が監査目的に照らして十分か、内容が適切かを検討し、判断の根拠を調書に残します。ここでの判断対象は監査人の結論を支える証拠であり、改善提案の実施状況を追うフォローアップとは段階が異なります。

システム監査の技法は目的に応じて組み合わせられます。例えば、手順書をレビューして統制の設計を把握し、担当者へのインタビューで運用を尋ね、アクセス記録との突合やウォークスルーで実際の処理を確かめます。現地調査は業務時間外に限られず、監査目的に合うタイミングを選びます。コンピュータ支援監査技法も、専用ソフトの利用を必須とせず、目的に適したコンピュータの機能を活用します。