監査手続と監査証拠の技法

監査手続とは、システム監査において個々の監査項目について十分かつ適切な監査証拠を入手するための、具体的な調査や検証の方法である。監査証拠は、監査人が監査上の判断を裏付けるための情報であり、量が十分であること、信頼できること、監査目的との関連が強いことが求められる。監査手続は、監査計画の立案や監査チームの編成、監査報告書の作成とは区別される。監査手続は、証拠を得るための実作業に当たる点が特徴である。

監査手続と監査証拠の関係

監査計画の立案や進捗管理は監査業務の計画・管理に当たり、監査証拠を入手する手続そのものではない。 監査報告書に結論や指摘事項を記載するのは、監査結果を評価して報告する段階の作業である。 監査テーマに応じて監査チームを編成するのは、監査に必要な知識や技能を確保するための体制づくりであり、証拠を入手する手順とは性質が異なる。 監査手続は、監査目的に照らして得られた証拠が判断を裏付けるために行うものであり、その結論を導く前段の作業と位置づけられる。

代表的な技法の仕組み

ウォークスルー法は、取引やデータを一件選び、生成から入力、処理、出力、利用までの流れを書面上または実際にたどる技法である。 その過程に組み込まれたコントロールが想定どおり働くかを確認する点に特徴があり、個別の処理を部分ごとに調べるのではなく、データの流れ全体を通して統制を見る。

インタビュー法は、監査人が関係者に直接口頭で問い合わせ、回答を得る技法である。 回答から業務の実態や規程の運用状況を把握するが、回答だけに頼らず他の手続と組み合わせることで証明力を高める。

チェックリスト法は、監査人が確認項目を整理したチェックリストを用いて、各項目への適合状況を確かめる技法である。 データ一件を生成から活用まで追跡する技法ではない点で、ウォークスルー法とは目的が異なる。

ドキュメントレビュー法は、規程、手順書、設計書、記録などの文書を閲覧して検討する技法である。 突合・照合法は、帳票や記録、データどうしの対応関係を照合し、一致や差異を確かめる技法である。

テストデータ法は、テストデータをプログラムに入力して処理結果を期待結果と照合する技法である。 論理チェックやフォーマットチェックが働くかを確かめるのに適している。 並行シミュレーション法は、監査人が用意した処理結果と実際のシステムの処理結果を比較し、プログラムの処理論理を確かめる技法である。

監査モジュール法は、監査用プログラムを業務システムに組み込み、実際の処理データを抽出して検証する技法である。 ペネトレーションテスト法は、攻撃者の手法を模して侵入を試み、脆弱性や不正アクセスへの耐性を調べる方法であり、データの流れを追跡する技法とは別物である。

コンピュータ支援監査技法は、監査手続を支援するためにコンピュータを利用する技法の総称である。 専用ソフトウェアの使用に限定されず、監査目的に合う既存のソフトウェアや機能も利用できる。