システム監査の目的と進め方

要点と定義

システム監査は、情報システムに関するリスクへの対応が適切かを、独立かつ客観的な立場の監査人が検証・評価し、保証や助言を通じて組織の目標達成と説明責任を支える活動です。監査人は事実を調べて評価し、必要に応じて改善を提案します。監査対象の業務を自ら運営したり、改善を実行したりする役割とは区別します。

独立性には、監査人が対象業務から実際に距離を保つことに加え、第三者から見ても独立していると分かることが重要です。対象システムの開発部門や運用部門に所属する人がその業務を監査すると、自己監査になったり、判断に影響が及んだりするおそれがあります。組織上の所属や指揮命令系統も考慮して、独立性を確保します。

監査の基本的な流れは、目的・対象範囲などを定める計画、証拠を集めて評価する実施、結果の報告、改善状況のフォローアップです。監査目的と範囲は、経営者のニーズを把握して定め、文書や監査計画で明確にします。

監査証拠とは、監査人が評価や結論を裏付けるために集める情報です。インタビューで得た説明は確認の手掛かりになりますが、それだけで事実と決めつけず、関連する文書や記録などと照合します。証拠の信頼性や十分さを吟味し、結論に至った根拠を記録します。

監査人は規程や記録、業務の実施状況を調べて評価します。方針を制定したり、台帳を作成したり、運用手続を実施したりするのは、原則として監査対象側の役割です。監査人がその業務を担うと、後で自分の仕事を評価することになり、独立性を損なうおそれがあります。

適用条件と例

監査計画では、目的・テーマ、対象範囲、方法、時期、体制、予定を、リスクや経営者のニーズに応じて定めます。例えば、サーバ室への入室管理を監査するなら、対象となる施設や期間、確認する記録、担当者への聞き取りなどを計画に含めます。監査範囲を先に明確にすると、何を確認した結果なのかを説明しやすくなります。

監査では、対象ごとに適切な判断尺度を使います。システムテストの監査なら、業務要件や想定する使われ方に対して、必要なテストケースが十分に用意されているかを確認します。例えば、通常の入力だけでなく、境界値や入力誤りなど、要件に関係する条件が試験されるかを確かめます。件数が多いことだけで網羅性が保証されるわけではなく、要件との対応が判断の手掛かりです。

アクセス制御の監査では、規程を閲覧してルールが定められているかを確認し、記録や運用状況と照らして実施状況を評価できます。監査人自身がアクセス権を設定したり、管理台帳を作ったりするのは、監査対象の仕事を担うことになるため適切ではありません。

物理的安全対策を監査する例では、入室制限、警報、避難設備など、対象範囲に関係する管理状況を確認します。サーバ室に外部から直接入れる扉があり、出入りの都合で常時施錠されていなければ、認可されていない人の侵入を防ぐ管理に問題がないかを検討し、根拠を示して指摘事項として報告します。指摘は、確認した事実と適用する判断尺度に基づいてまとめます。