監査計画と予備調査

システム監査における監査計画と予備調査は、本格的な監査手続に入る前の準備段階である。監査計画は、リスク評価に基づいて監査の範囲・時間・資源を配分する方針と手順を定めるものである。予備調査は、その計画の前提となる監査対象の概要、業務内容、リスクの所在を把握するために行うものである。両者は、監査の効率と有効性を左右する出発点として位置付けられる。

監査計画の原理とリスクアプローチ

システム監査は、リスクの大きさに応じて監査資源を重点的に配分するリスクアプローチを基本とする。監査リスクとは、監査対象に不備があるにもかかわらず監査人がそれを見逃し、誤った監査結論を導いてしまうおそれをいう。 この監査リスクは、時間・人員・費用の制約があるため完全に回避することを前提にできない。そのため、合理的に低い水準に抑えることが計画の目標となる。

監査範囲や時間、資源はリスク評価に応じて計画するものであり、各監査対象へ均等に資源を配分することは求められていない。 情報システムリスクは常に一定ではない。そのため、リスクの特性がどのように変化するか、また、その変化が監査対象にどのような影響をもたらすかに留意する必要がある。 組織体の内外の環境変化によってリスクが相当程度変化した場合には、監査計画の見直しを検討し、必要に応じて変更する。ただし、環境変化があれば自動的に計画を変更するという意味ではなく、判断を経て見直す点が要点である。

予備調査の目的と進め方

予備調査は、監査対象の業務内容や業務分掌の体制、関係する情報システムの概要を把握し、監査計画の前提を整える段階である。把握の方法は、事務手続やマニュアルなどの文書を通じた理解、関係者への質問、アンケートなどが中心となる。 必ず現地に赴かなければならないわけではなく、資料の閲覧や関係者への問い合わせで足りる場合も多い。

予備調査で被監査部門の管理者や担当者に対象のリスク認識を尋ねることは、詳細な監査手続を計画するための典型的な情報収集である。 これに対し、手順書や実施記録に基づいて指摘事項をまとめる作業は、監査証拠を評価して結果を取りまとめる段階の手続であり、予備調査の手続には含まれない。 予備調査の対象は監査対象部門に限られるとは限らない。業務の流れや責任分担を理解するため、関係する他部門やシステムにも調査が及ぶことがある。