システム監査｜システム監査技術者試験

監査人は何を拠り所に、どの順で結論へ進むか

システム監査は、独立した立場の監査人が情報システムのリスクとコントロールを点検・評価し、その結論を依頼者に伝える活動です。監査人の行為規範がシステム監査基準、組織が情報システムを整備・運用するときの実践規範がシステム管理基準という役割の違いがあります。両基準は現在、2023年に改訂された版が使われています。監査人には、利害関係をもたない外観上の独立性と、偏りなく公正に判断する精神上の独立性が求められます。

手順は、監査計画、予備調査、本調査、評価・結論、報告、フォローアップの順に進みます。予備調査は資料の閲覧やアンケートで対象の実態とリスクをつかむ段階で、本調査はそれをもとに監査手続を実施して証拠を集める段階です。結論は、量が足り、確かめる事項に適合し、証明力を備えた十分かつ適切な監査証拠に裏付けられていなければならず、足りなければ追加の手続を行います。

似た言葉は誰の側にあるかで分けます。監査調書は監査人が実施内容と入手した証拠をまとめた記録で、監査証跡は対象システムの側に残る、入力から出力までを追跡できる仕組みと記録です。コントロールの評価も、ルールが適切に作られているかを見る整備状況の評価と、実際に守られているかをサンプルなどで確かめる運用状況の評価に分かれます。

全件を調べる精査に対し、一部を抜き出して全体を判断するのが試査で、無作為抽出と確率論を使う統計的サンプリングなら必要な件数を事前に決められます。コンピュータを使う技法では、テストデータ法は本番と同じプログラムか確かめてから使い、ITF法は稼働中のファイルに監査人用の口座を設けて検証し、並行シミュレーション法は監査人の検証用プログラムと同じデータで結果を比べます。

報告には、手続の範囲で適切であることを保証する保証型と、改善の助言を目的とする助言型があります。指摘事項は事前に監査対象先と事実を確認し、改善そのものは被監査部門が行い、監査人はその実施状況を確かめます。JIS Q 19011では、組織が自らを対象に行う第一者監査、取引先など利害関係者が行う第二者監査、独立した機関による第三者監査を区別します。