4-5 システム監査

システム監査

システム監査は、情報システムに関するリスクへ適切に対応できているかを、独立かつ客観的な立場から検証・評価し、保証や改善の助言を行う活動です。監査人の役割は証拠に基づいて評価することであり、自らシステム設定を変更したり、被監査部門の代わりに改善作業を実行したりすることではありません。

この節の目標は、監査の流れ、監査証拠、独立性、内部統制を具体的な事例から判断できるようになることです。

1. 監査と通常業務を区別する

監査人が改善策を提案することはありますが、実施責任は経営者や被監査部門にあります。監査人が自分で作った仕組みを自分で評価すると、独立性と客観性が損なわれます。

2. システム監査の基本的な流れ

1. 監査計画を策定する：目的、対象、範囲、時期、担当、手続を決めます。
2. 予備調査を行う：組織、業務、システム、規程を把握し、重要なリスクを絞り込みます。
3. 本調査で監査証拠を集める：記録の閲覧、担当者への質問、処理の観察、データの照合などを行います。
4. 証拠を評価して結論を作る：基準と実態の差、その原因、影響を整理します。
5. 監査報告を行う：指摘事項、評価、改善提案を経営者などへ伝えます。
6. フォローアップする：改善計画の実施状況と残存リスクを確認します。

試験では、フォローアップを「監査人が改善を実行する工程」と誤解しないことが重要です。監査人は改善状況を確認します。

3. 監査証拠の考え方

監査結論は、個人的な印象ではなく、十分で適切な監査証拠に基づきます。

一つの証拠だけで判断せず、複数の資料や事実を照合すると、結論の信頼性が高まります。

4. 完全ケース：給与システムの権限監査

給与システムでは、開発担当者Aに本番データを変更できる権限が残っていました。会社の規程では、本番変更は運用責任者の承認を受け、運用担当者が実施すると定めています。

監査人は、権限一覧、直近3か月の操作ログ、変更申請書、承認記録を照合しました。その結果、Aが承認を受けずに設定変更を行った記録が1件見つかりました。

監査人が行う適切な対応は次のとおりです。

• 規程と実態の差を監査調書へ記録する。
• 不要な権限による不正変更や誤操作のリスクを評価する。
• 開発担当と本番運用担当の職務分掌、定期的な権限棚卸しを提案する。
• 報告後、被監査部門が改善したかフォローアップする。

監査人自身がAの権限を削除するのは不適切です。権限変更は被監査部門が承認手続に従って実施します。

5. 内部統制とITガバナンス

内部統制は、組織が目標を達成しながら健全かつ効率的に運営されるよう、自ら整備・運用する仕組みです。

代表的な統制活動には、職務分掌、承認、アクセス権限、ログ監視、定期的な棚卸しがあります。ITガバナンスは、経営目標の達成に向けてITを適切に方向付け、評価し、監督する考え方です。

6. よくある誤りと理由

• 監査人が改善作業を直接行う：評価者と実施者が同じになると独立性が損なわれます。
• 担当者の説明だけで結論を出す：説明を記録やログで裏付ける必要があります。
• 監査報告で終了と考える：改善状況を確認するフォローアップがあります。
• 内部統制は不正防止だけと考える：業務効率、報告の信頼性、法令遵守、資産保全も目的です。
• 問題がないことを保証する活動と考える：監査は合理的な証拠に基づいて評価しますが、すべてのリスクを完全に消すものではありません。

7. セルフチェック

• 評価する人と改善を実行する人を区別できているか。
• 監査計画、予備調査、本調査、報告、フォローアップの順序を確認したか。
• 結論を支える証拠が十分か、複数資料で裏付けられているか。
• 内部統制の目的と具体的な統制活動を結び付けられるか。

理解を確認したら、第4章の練習問題と第4章の知識カードで監査人の役割を判定してください。運用部門の管理活動との違いは、サービスマネジメントで確認できます。

公式範囲との対応

本節は、IPA「ITパスポート試験シラバス Ver.6.5」のシステム監査と内部統制分野に対応し、監査の目的、独立性・客観性、監査証拠、監査計画からフォローアップまでの流れ、内部統制、ITガバナンスを扱います。

• IPA 試験要綱・シラバス