システム監査・内部統制｜情報セキュリティマネジメント試験

自分で組み込む内部統制と、独立した立場から確かめる監査

誤りや不正が起きにくく、起きても見つかるよう、組織が業務へ組み込む仕組みが内部統制です。それが整備され、そのとおり運用されているかを外から評価し、改善につなげる活動がシステム監査です。中に組み込む側と、外から確かめる側の関係です。

確かめる側には独立性が要ります。自分が関わった仕組みや所属する部門を評価しない外観上の独立と、公正な判断を保つ精神上の独立です。経営者は、監査を担う部門を評価される部門から切り離して置いてこれを担保します。

進め方には型があります。監査プログラムに沿って実施し、判断の裏づけとして集めた資料が監査証拠、何をどう調べ何が分かったかの実施記録が監査調書で、監査意見の根拠になります。改善が必要と判断した事柄は指摘事項として報告書に記し、後日その改善措置がとられたかを確かめるフォローアップまでが一続きです。改善そのものを監査人が行うわけではありません。

拠りどころとなる基準もあります。進め方を示すシステム監査基準や情報セキュリティ監査基準、実施内容の物差しとなる情報セキュリティ管理基準です。情報セキュリティ監査が守る対象は情報システムに限らず、紙の書類や取決めを含む情報資産の全体で、コンピュータのない部署も対象です。ISMSの規格は、内部監査を定めた間隔で計画的に行うことを求めます。

内部統制の基本的要素は、統制環境、リスクの評価と対応、統制活動、情報と伝達、モニタリング、ITへの対応の六つです。統制活動は、発注と検収を別の担当に分ける職務分掌のように、業務手続へ組み込む仕組みです。ITの統制目標のうち信頼性は、承認された情報が漏れなく正確に記録され処理されることです。整備と運用の最終的な責任を負うのは経営者です。

コントロールにも定番があります。権限は業務に必要な最小限にとどめ、特権IDは使用の記録を残して後から点検します。システム間でデータを受け渡すときは、送信側と受信側で件数の合計を突き合わせるコントロールトータルで、欠落や重複に気付けるようにします。