監査計画とリスク評価

監査計画とリスク評価は、システム監査人が監査対象の情報システムに潜むリスクを把握し、そのリスクの大きさに応じて監査の重点と資源の配分を決める考え方である。監査の計画は、リスクを評価したうえで立てるリスクアプローチが基本となり、その前提として予備調査で監査対象の概要を理解する。

リスクに関する用語の区別

リスクマトリックスは、結果と起こりやすさの範囲を明確にすることで、リスクの順位付けと表示を行う手段である。これに対し、結果とその起こりやすさの組合せで表されるリスクの大きさはリスクレベルの説明であり、組織が追求・保有する意思のあるリスクの量と種類はリスク選好の説明である。 複数のリスクを一つに組み合わせて全体像をつかむ考え方はリスクの統合であり、リスクマトリックスとは別の概念である。

予備調査の目的と手続

予備調査は、監査対象の業務内容や業務分掌の体制を把握し、監査計画の前提となる概要と状況を理解する段階である。事務手続やマニュアルなどを通じて業務内容や業務分掌を把握する方法が典型であり、現地に赴くことが常に必要とは限らない。

予備調査では、被監査部門の管理者や担当者がもつリスクの認識を、アンケートなどによって情報収集することも行われる。 一方、監査手続書に従って担当者へ詳細なヒアリングを行い、監査対象の実態を調査するのは予備調査後の本調査に当たる。予備調査は詳細な検証に先立って全体像やリスクを把握するものであり、本調査とは目的が異なる。

リスクアプローチと監査計画の見直し

リスクアプローチでは、情報システムリスクの大小に応じて監査資源を重点的に配分し、リスクにかかわらず一律に配分することは適切でない。 情報システムリスクは常に一定ではなく、時間の経過とともに特性が変化するため、その変化とそれがもたらす影響に留意して計画を立てる必要がある。