システム監査の監査技法とサンプリング

監査技法は、監査人が監査証拠を入手するための具体的な方法であり、監査手続の一部として目的に応じて使い分ける。監査手続は、監査項目について十分かつ適切な証拠を入手するための手続を指す。サンプリング（試査）は、母集団の一部を抽出して調べ、その結果から母集団全体の性質を判断する方法である。

監査技法の基本と使い分け

ウォークスルー法は、データの発生から入力、処理、出力、利用までを追跡し、その過程に組み込まれた一連のコントロールを確認する技法である。書面上で追う場合も、実際の操作で追う場合もあり、データの流れ全体を一件ずつたどる点が特徴である。 一方、資料や文書を入手して内容を調べる方法は文書の閲覧や点検に当たり、ウォークスルー法とは目的と進め方が異なる。

監査モジュール法は、監査用プログラムを業務システムに組み込み、実際の処理データや処理結果を抽出して検証する技法である。業務プロセス全体を順にたどって統制を確認するウォークスルー法とは異なる。 ペネトレーションテスト法は、攻撃者の手法を模してシステムへの侵入を試み、脆弱性や不正アクセスへの耐性を調べる方法である。データの生成から活用までを追跡する技法ではない。 テストデータ法は、テストデータをプログラムに入力し、論理チェックやフォーマットチェックが働くかを確かめる技法である。入力値の妥当性は確認できるが、伝票の漏れや重複を確かめる手続ではない。

網羅性と正確性を確かめる手続

在庫管理システムで在庫データの網羅性を確認する場合、入庫及び出庫記録に自動的に連番が付与されていることが有効なチェックポイントとなる。番号の欠番や重複を調べれば、記録の漏れを発見できるためである。購入業者の選定や責任者による承認は、網羅性を直接確かめる手段ではない。