システム監査の計画と証拠

要点と定義

システム監査では、監査の計画・実施、監査証拠の入手と評価、報告、フォローアップを行います。IPAシラバスの項目名は「システム監査の目的と手順」です。情報システムの利活用の検証・評価や、監査人の独立性・客観性の保持も項目の説明に含まれます。IPAシラバス Ver.4.1 PDFの第13頁

監査プログラムを計画・確立・実施・維持するときは、関連プロセスの重要性と前回までの監査結果を考慮します。これらは監査プログラムを決める際の判断材料です。これは出題時に根拠とされたJIS Q 27001:2014の要求事項に関する説明です。

監査証拠は、監査人の判断を裏付ける情報や記録です。例えば、被監査部門から入手した運用記録は、運用状況を確かめる証拠になります。

ウォークスルー法では、取引やデータを生成から入力、処理、出力、活用まで追い、関連するコントロールを確認します。

適用条件と例

監査人の外観上の独立性を示すうえでは、監査対象の業務部門から組織上独立した立場にあることが判断材料になります。社内監査人を内部監査部門に所属させる措置は、その立場を外観上示しやすくします。

被監査部門は、監査部門から求められたアンケートに回答したり、資料を提出したりして監査に協力します。依頼されたアンケートを監査開始前に送ることは協力の例です。

アクセス制御の監査で管理規程を閲覧すると、ルールや整備状況を確認できます。規程の閲覧だけでは、実際の運用状況まで確かめたことにはなりません。監査人は統制の設計・制定・運用を担当せず、証拠を集めて評価します。

保証型監査は対策の適切性に一定の保証を与えることを目的とし、助言型監査は改善に役立つ助言を目的とします。出題時に参照された実施基準ガイドライン Ver.1.0 の説明では、両者の目的は排他的ではなく、監査目的は基本的に依頼者または被監査側のニーズを踏まえて事前に調整します。