システム監査

要点と定義

システム監査は、情報システムに関わるリスクへのコントロールが適切に整備・運用されているかを、独立かつ専門的な立場から点検・評価する活動です。安全性、有効性、効率性を高め、ITガバナンスの実現を支援します。監査人は対策を実施する担当者ではなく、その対策を評価する役割です。

監査人には、監査対象の業務やシステムの企画・開発・運用から距離を置く独立性と、公正に判断する客観的な態度が求められます。組織上、対象部門と同じ指揮命令系統に属さないことなどは、外観上の独立性を保つ手掛かりです。

監査判断は、十分かつ適切な監査証拠に基づいて行います。監査人は監査計画を立て、予備調査・本調査を進め、証拠を評価して結論を形成します。

適用条件と例

監査対象は情報システムそのものに限りません。情報資産はシステム内外にあり得るため、情報資産のライフサイクルに沿って監査する場合は、媒体や保管場所を問わず、事業者が保有する全ての情報資産を対象にします。

監査の目的に合った証拠を選びます。たとえば、処理能力の改善で業務時間が短縮したかを確かめるなら、改善前後の実績を比較できる稼働統計資料を求めます。資料・文書の閲覧、関係者へのヒアリング、コンピュータを利用した監査技法も調査手段です。

監査計画には手続の種類、実施時期、適用範囲などを定めます。予備調査で対象の概要を把握し、本調査で証拠を集め、評価・結論へ進みます。監査後は改善提案への対応状況を確認し、必要な対策の実施を促します。例として、アクセス権の見直しを提案した後、監査人は見直し状況を確認できますが、実際の変更は対象部門が行います。

監査報告書の作成と報告は監査の流れに含まれます。ただし、報告書を社内に公開することまでが監査人の一律の役割とは限りません。

監査は対象によって目的が異なります。会計監査では、日常の取引から決算報告書への集計までに、不正や誤りのない処理が行われているかを確かめます。システム監査の知識と結び付ける際は、何を対象に、どのリスクや処理を確かめる監査かを見分けます。

誤りやすい点

監査人はバックアップなどのリスク対策を自ら実施するのではなく、その整備・運用状況を点検・評価します。開発や運用の当事者が自分の仕事を監査すると独立性を損ないやすいため、対象部門から独立した立場を確保します。