システム監査

ねらい

情報システムを第三者の目で検証する仕組みを学びます。このレッスンを終えると、監査の種類、システム監査人に求められる立場、監査の流れ、参照する基準を説明できるようになります。

監査の種類

情報システムに関する監査には、対象と立場によっていくつかの種類があります。財務諸表を対象とする会計監査、業務の妥当性を見る業務監査、情報システムを対象とするシステム監査、セキュリティに特化した情報セキュリティ監査です。法律で義務付けられた法定監査と自発的な任意監査、組織の中の者が行う内部監査と外部の専門家が行う外部監査という区別もあります。

システム監査の目的と監査人の立場

システム監査の目的は、情報システムに係るリスクに適切に対応しているかどうかについて、独立かつ客観的な立場のシステム監査人が検証・評価し、保証や助言を行うことです。これによって組織の目標達成に寄与し、利害関係者に対する説明責任を果たします。

監査人には、高い倫理観が求められます。監査の独立性と客観性の保持、誠実性、専門的能力の保持と向上、正当な注意と秘密の保持です。監査対象の当事者では、検証の信頼性が成り立ちません。

システム監査の流れ

監査は次の流れで進みます。

1. 監査計画の策定では、監査の目的・テーマ、対象範囲、方法、実施時期、体制を定めます。リスクの大きい領域に監査資源を重点配分するリスクアプローチが基本です。
2. 監査の実施では、予備調査と本調査を行い、評価して結論を形成します。判断の裏付けとなる監査証拠の入手と評価を行い、過程は監査調書として作成・保管します。
3. 監査報告とフォローアップでは、システム監査報告書に指摘事項と改善提案を記載して依頼者に報告し、改善計画の措置が適切かつ適時に実施されているかをフォローアップします。

監査の対象は、情報システムのコントロールとマネジメントだけでなくガバナンスにも及び、企画・開発（アジャイル開発を含む）・運用・保守・廃棄のプロセスや、外部サービスの調達・利活用のプロセスまで含みます。目的と範囲は、内部監査規程やシステム監査委託契約書、監査計画で明確に定めます。監査には、保証を目的としたシステム監査と、助言を目的としたシステム監査があります。

監査の基準

経済産業省が策定した2つの基準を区別しましょう。システム監査基準は、監査人の倫理や行為規範を定めたものです。システム管理基準は、監査の判断尺度を確定する際の客観的な参照基準です。「監査人のあり方はシステム監査基準、判断の物差しはシステム管理基準」と対で覚えます。

このほか、情報セキュリティ監査基準と情報セキュリティ管理基準、クラウド情報セキュリティ管理基準、個人情報保護のJIS Q 15001とプライバシーマーク制度、マネジメントシステム監査の指針であるJIS Q 19011といった基準があります。

例題

次の問いに答えてください。

問1 監査人の判断の裏付けとなる資料や事実を何といいますか。

問2 システム監査の判断尺度として参照する、経済産業省策定の基準は何ですか。

解答と解説

問1の答えは監査証拠です。監査の結論は印象ではなく証拠に基づいて形成され、過程は監査調書に残します。

問2の答えはシステム管理基準です。監査人の倫理を定めるシステム監査基準と、判断尺度のシステム管理基準という役割の違いに注意してください。

応用

本試験を意識した問題を解いてみましょう。

問 システム監査人に求められる立場として、最も適切なものはどれでしょうか。次の中から選んでください。

1. 監査対象から独立した、客観的な立場で検証・評価を行う
2. 開発チームの一員として、内部の事情に精通した立場で評価を行う
3. 監査対象部門の管理者として、業務に責任を持つ立場で評価を行う
4. 指摘した改善策を自ら実施する立場で関与する

解答と解説

答えは1です。システム監査の信頼性は、監査人が監査対象から独立し、客観的な立場で検証・評価することによって成り立ちます。2と3は、監査対象の当事者や責任者であり、独立性が損なわれるため不適切です。4も誤りです。改善の実施は監査対象側の役割であり、監査人はその措置が適切かつ適時に行われているかをフォローアップする立場です。自ら実施すれば、その結果を客観的に評価できなくなります。