システム監査

要点と定義

システム監査は、情報システムに関わるリスクに適切に対応しているかを、独立かつ客観的な立場から検証・評価し、保証や助言を通じて組織の目標達成や説明責任を支援する活動です。監査人は不備を指摘して報告しますが、開発上の不具合を自分で修正したり、リスク管理方針を定めたりする役割ではありません。

対象は運用だけではありません。情報システム戦略の立案、企画・開発、運用・保守の各業務が監査対象になり得ます。

監査の種類は評価する対象やリスクで区別します。業務監査は会計以外も含む業務全般の遂行状況、システム監査は情報システムに関わるリスクへのコントロール、情報セキュリティ監査は情報セキュリティリスク管理のコントロールを評価します。

システム監査基準は、監査業務の品質を確保し、有効かつ効率的に監査を行うための規範です。監査人の監査実施を支える基準と、システム管理や情報セキュリティ管理の整備・運用を扱う基準は役割が異なります。

適用条件と例

監査人は、監査対象の業務やシステムから独立した立場で評価します。対象システムの運用担当者による自己点検は、対象から独立した監査とは異なります。内部監査部門が対象システムを評価する場合は、独立した立場を保てるかが判断の手掛かりです。

たとえば在庫管理システムの監査では、月次の記録照合が決められた手順で行われた証拠を集め、差異があった場合の確認手順も含めて統制の有効性を評価します。監査人が在庫数を修正したり、担当者に手順を教えて実施させたりするのではなく、評価結果や改善提案を報告します。必要な技術知識や実務経験は役立ちますが、監査チーム全員に共通して必要なのは対象からの独立性です。

監査は、計画の策定、監査の実施（予備調査、本調査、評価、結論）、監査報告、フォローアップという流れで進みます。監査人は計画・調査・評価・報告を担い、被監査部門は対象業務や運用ルールを説明し、必要な資料や情報を提供します。

監査結果を受けた後は、被監査部門が改善計画をまとめ、改善を進めます。監査側は改善状況を確認してフォローアップします。

誤りやすい点

監査の対象は、開発や運用だけでなく戦略の立案にも及びます。また、日常点検や利用者満足度の確認だけでは、独立した立場から統制や管理状況を評価するシステム監査とはいえません。