このページでは、システム監査の目的と流れ、システム監査基準とシステム管理基準、予備調査と本調査、監査証拠と監査調書、システム監査技法がわかります。
- 一言で言うと：
- 外部の目（システム監査人）が、ITシステムがきちんと管理されているかを決まった基準で調べ、「大丈夫」と保証したり、改善を助言したりする話
- 監査人の独立性と、フォローアップで監査人がどこまで責任を持つかがよく問われる
監査の枠組み → 監査の進め方 → 監査できるシステムの条件（可監査性）
覚え方の軸
- 登場人物は3者で、役割がはっきり分かれている
- 監査依頼者（経営者など）は、監査を頼み、報告を受けて改善を指示する
- 監査人は、調べて報告・助言し、改善状況を確認（フォローアップ）する。改善そのものはやらない
- 監査対象部門は、指示を受けて改善する
- 基準は2つで、向いている相手が違う
- システム監査基準は、監査人の行動ルール（行為規範）
- システム管理基準は、監査対象を測るものさし（判断尺度）
- 流れは「計画 → 予備調査 → 本調査 → 評価・結論 → 報告 → フォローアップ」
- 予備調査で実態をつかみ、本調査で証拠を集めて調書にまとめる
- 監査人は「独立していること」が命
- 監査対象から独立し、客観的な立場に立つ。独立して見えること（外観）にも気を配る
- 監査技法は「人に聞く・見に行く」「書類や処理をたどる・突き合わせる」「コンピュータを使う」の3グループ
システム監査の枠組み
- システム監査：
- 一定の基準に基づいて、ITシステムの利活用を検証・評価する一連の活動
- ガバナンス、マネジメント、コントロールが適切であることを保証する、または改善のための助言を行う
- 専門性と客観性を備えたシステム監査人が行う
- システム監査の目的の2種類：
- 保証を目的としたシステム監査
- 助言を目的としたシステム監査
- システム監査の流れ（助言目的の場合）：
- 監査依頼者が、監査人に監査を依頼する
- 監査人が、監査計画を作る
- 監査人が、監査対象に監査を実施する
- 監査人が、監査依頼者に監査報告書を出す
- 監査依頼者が、監査対象に改善を指示する
- 監査人が、改善の取り組みを確認・評価する（フォローアップ）
- 監査計画：
- 監査の目的、監査対象（対象システム、対象部門）、実施する監査手続の概要を示した計画
- 対象がITシステムの「ガバナンス」「マネジメント」「コントロール」のどれに関するものかを考えて作る
- 例えば、コントロールが対象なら、業務プロセスの中にリスクに応じたコントロールが組み込まれ、機能しているかの確認に重点を置く
- システム監査基準：
- 監査人が従う行為規範
- システム監査を効果的・効率的に行うための、あるべき体制や実施方法を示したもの
- システム管理基準：
- 監査上の判断の尺度
- 監査は原則として、監査対象がシステム管理基準に沿っているかという視点で行う
- 情報セキュリティ管理基準：
- 情報セキュリティの監査では、システム管理基準とあわせて参照するのが望ましい
- フォローアップ（★）：
- 報告書を出した後、改善勧告への取り組みが確実に実行されているかを、監査人が確認・評価して支援すること
- 監査人は改善状況を確認するが、改善の実施そのものには責任を持たない（試験に出る）
システム監査基準の中身
- システム監査基準の3つの構成：
- システム監査の意義と目的（監査をする前提）
- 監査人の倫理（監査人が守る4つの原則）
- システム監査の基準（監査の体制や実施のあり方。12の基準）
- 監査人が守る4つの原則：
- 誠実性、客観性、監査人としての能力及び正当な注意、秘密の保持
- システム監査の基準：
- システム監査機能（監査人や監査チームが提供する機能）のあり方を、12の基準にまとめたもの
- 各基準の補足説明や、実務で望ましい対応・留意事項は「解釈指針」に書かれている
- 改訂の時期：
- 令和5年4月の改訂版が最新
| グループ | 基準 |
|---|---|
| 属性に係る基準 | 1. 権限と責任等の明確化／2. 専門的能力の保持と向上／3. ニーズの把握と品質の確保／4. 独立性と客観性の保持／5. 監査の能力及び正当な注意と秘密の保持 |
| 実施に係る基準 | 6. 監査計画の策定／7. 監査計画の種類／8. 監査証拠の入手と評価／9. 監査調書の作成と保管／10. 監査の結論の形成 |
| 報告に係る基準 | 11. 監査報告書の作成と報告／12. 改善提案（及び改善計画）のフォローアップ |
- 12の基準の覚え方：
- 「どんな人が（属性）→ どう調べて（実施）→ どう伝えるか（報告）」の順
- 基準4 独立性と客観性の保持（★よく出る）：
- システム監査は、監査人によって誠実かつ客観的に行われなければならない
- 監査人が監査対象から独立かつ客観的な立場で監査しているという外観にも十分に配慮しなければならない
- 例えば、自分が開発に関わったシステムを自分で監査するのは、独立性の点でまずい
システム監査の実施
- 監査の進め方：
- 監査計画に基づいて監査手続を行い、得た監査証拠に基づいて結果を監査報告書に書き、監査依頼者に出す
- 実施の順番は、予備調査 → 本調査 → 評価・結論
- 監査手続：
- 監査項目について、十分かつ適切な証拠を入手するための手順
- 予備調査と本調査に分けて行う
- 監査証拠：
- 監査の結論を裏付ける事実
予備調査：まず実態をつかむ
- 予備調査：
- 本調査の前に、監査対象の実態をつかむための事前調査
- 文書や資料の閲覧、ヒアリング、アンケートなどを行う
- ヒアリングの注意：
- 聞いた話を裏付ける文書や記録を入手するように努める
本調査：証拠を集めて調書にまとめる
- 本調査：
- 予備調査でつかんだ実態について、それを裏付ける事実やコントロールがあるかを、いろいろな監査技法で調べる
- 本調査の手順：
- 現状の確認
- 監査証拠の入手と、証拠能力の評価
- 監査調書の作成
- 監査調書：
- 監査人が行った監査業務の実施記録
- 監査意見の根拠となる監査証拠や、関連資料をまとめたもの
- 監査の結論の基礎（裏付け）になるので、秩序ある形で適切に保管する
- 監査調書の主な記載事項：
- 監査の実施者と実施日時
- 監査の目的
- 実施した監査手続
- 入手した監査証拠
- 監査人が見つけた事実（事象、原因、影響範囲など）と、それについての監査人の所見
- 監査調書に添付するもの：
- 予備調査で入手した資料
- 必要に応じて、被監査部門から入手した証拠資料（写しでもよい）
- 監査証拠になるもの：
- 管理用の文書として体裁が整っていなくても、証拠として使える
- 例えば、ホワイトボードに書いたスケッチの画像や、開発現場の付箋紙
評価・結論：結論を出して報告する
- 評価・結論：
- 本調査の後、監査調書の内容を詳しく検討し、合理的な根拠に基づいて監査の結論を出し、監査報告書を作る
- 監査報告書の構成：
-
- 監査の概要 → 2. 監査の結論 → 3. その他特記すべき事項、の順に書く
-
- 保証を目的とする場合の結論：
- 保証意見を書く
- 例えば、「販売管理システムは、システム管理基準に照らして適切であると認められる」
- 助言を目的とする場合の結論：
- 見つかった問題点を指摘事項として書く
- 指摘事項を改善するために必要なことを、改善勧告として書く
情報システムの可監査性
- 可監査性：
- 情報システムに、信頼性・安全性・効率性を確保するコントロールがあり、それが有効に機能していることを、証拠で示せる度合い
- 情報システムは、コントロールの有効性を監査できるように設計・運用されていなければならない
- 可監査性を保つには：
- 信頼性・安全性・効率性が確保されていることを、後から継続的に点検・評価できる手段が必要
- 監査証跡：
- 情報システムの処理内容（入力から出力まで）を、時系列で追跡できる仕組みと記録
- 代表例は、オペレーションログやアクセスログなどの各種ログ
- 監査意見を裏付ける監査証拠としても使える
システム監査技法
| グループ | 技法 | やり方 |
|---|---|---|
| 人に聞く・見に行く | インタビュー法 | 監査人が関係者に口頭で問い合わせ、回答を得る |
| 人に聞く・見に行く | 現地調査法 | 監査人が監査対象部門に出向いて、自ら観察・調査する |
| たどる・突き合わせる | ウォークスルー法 | データの生成 → 入力 → 処理 → 出力 → 活用までの流れと、組み込まれたコントロールを、書面上または実際に追跡する |
| たどる・突き合わせる | 突合・照合法 | 関連する複数の資料を突き合わせ、入力や処理の正確性を確かめる |
| コンピュータを使う | コンピュータ支援監査技法（CAAT） | ファイルの検索・抽出・計算などに特化した、簡単に使える監査用ソフトや表計算ソフトを使う |
| コンピュータを使う | テストデータ法 | 監査人が用意したテストデータを対象プログラムで処理し、期待した結果が出るか確かめる |
| コンピュータを使う | 監査モジュール法 | 監査機能を持つモジュールを対象プログラムに組み込み、本番環境で動かしてデータを集め、処理の正確性を検証する |
- 突合・照合法の例：
- 販売管理システムから出力したプルーフリスト（入力データの一覧）と、受注伝票を照合して、入力の正確性を確かめる
- テストデータ法と監査モジュール法の違い：
- テストデータ法は、監査人が用意したテストデータを流す
- 監査モジュール法は、本番の処理の中に監査用のモジュールを組み込む
混同しやすいペア
- システム監査基準 ／ システム管理基準
- システム監査基準は、監査人の行動ルール（行為規範）
- システム管理基準は、監査対象を測るものさし（判断尺度）
- 保証 ／ 助言
- 保証は、「適切と認められる」という保証意見を書く
- 助言は、指摘事項と改善勧告を書く
- 監査依頼者 ／ 監査人 ／ 監査対象部門
- 監査依頼者は、改善を指示する
- 監査人は、報告・助言し、フォローアップで確認する（改善の責任は持たない）
- 監査対象部門は、改善を実施する
- 予備調査 ／ 本調査
- 予備調査は、実態をつかむ事前調査（閲覧、ヒアリング、アンケート）
- 本調査は、証拠を集めて裏付けを取り、監査調書を作る
- 監査証拠 ／ 監査調書 ／ 監査証跡
- 監査証拠は、結論を裏付ける事実
- 監査調書は、監査人の実施記録（証拠や資料をまとめたもの）
- 監査証跡は、システムの処理を時系列で追える仕組みと記録（ログなど）
- 指摘事項 ／ 改善勧告
- 指摘事項は、見つかった問題点
- 改善勧告は、それを直すために必要なこと
- ウォークスルー法 ／ 突合・照合法
- ウォークスルー法は、処理の流れを追跡する
- 突合・照合法は、複数の資料を突き合わせる
- テストデータ法 ／ 監査モジュール法
- テストデータ法は、監査人のテストデータを流す
- 監査モジュール法は、本番のプログラムに監査用モジュールを組み込む