監査

1. 定義

監査とは、組織の活動が法令やルール、基準のとおりに行われているかを、その活動を行った本人ではない、独立した立場の人が調べて、意見を表明する活動です。

ポイントは「独立した立場」にあります。自分の仕事を自分で「問題ありません」と言っても、外部の人はそれを信用できません。会社の決算書も、情報システムの安全性も、それを作った本人以外の誰かが確かめて初めて、株主・取引先・利用者は安心してその組織と付き合えます。監査は、組織の外にいる人たちの信頼を支える仕組みです。

2. 仕組みと種類

何を調べるかで分けると、代表的な監査は次のとおりです。会計監査は決算書などの財務情報が正しいかを公認会計士・監査法人が調べます。業務監査は業務が効率的・適正に行われているかを内部監査部門が調べます。システム監査は情報システムが信頼でき、安全で、効率的かをシステム監査人が調べます。情報セキュリティ監査は情報資産の守りが適切かを情報セキュリティ監査人が調べます。

誰が行うかでも分かれます。組織の中の部門が行う内部監査、公認会計士など外部の専門家が行う外部監査、株式会社の機関である監査役が行う監査役監査の3つがあり、これらを合わせて三様監査と呼びます。同じ監査という語でも、文脈によってどれを指すかが変わるため、試験でも実務でも、まず何の監査の話かを見分けることが出発点になります。

3. 試験ごとの視点

ITパスポート試験では、監査はストラテジ系の分野に置かれ、会社の統治と内部統制の文脈で登場します。押さえる骨組みは、経営者が内部統制を整備して運用し、監査がそれを独立の立場で確かめるという関係です。内部統制は、承認の手続きや仕事の分担、記録の作成といった形で業務の中に組み込まれた日常的な仕組みです。監査はその仕組みが機能しているかを外から確かめる活動なので、内部統制が作る側、監査が確かめる側という関係にあります。

基本情報技術者試験では、監査証拠と監査証跡の区別が定番です。証跡は追跡できる記録そのもの、証拠は結論を支える材料です。また、システム監査人の独立性が繰り返し問われます。開発した本人が監査すれば効率的である、型の選択肢は誤りです。手順の順序と、フォローアップまでが監査に含まれることが問われます。予備調査と本調査の前後、監査報告のあとにフォローアップが来ることを押さえます。

4. 紛らわしい語との違い

混同しやすいのは「監査とは悪いことを探す活動だ」という誤解です。監査の目的は摘発ではなく、正しく行われていることを確かめ、そうでない部分には改善を促すことです。この保証と助言の2つの役割は、ITパスポート試験でも基本情報技術者試験でも問われる監査の基本です。

また、レビューは作る途中で仲間内が確認する活動であり、独立性は必須ではありません。モニタリングは日常的・継続的に見張ることであり、監査は独立した立場で節目に行います。検査は基準を満たすかの合否判定を指し、監査は意見の表明と改善の促しまで含みます。

5. 身近な例

身近な例として、企業の決算発表があります。上場企業は決算書について公認会計士による会計監査を受けることが義務付けられており、監査済みの報告書だからこそ投資家は安心して株を買うことができます。

また、社内のITシステムに対してもシステム監査が実施されます。IT部門が自分たちで管理しているシステムであっても、社内の別の部署や外部の専門家が「セキュリティ設定は適切か」「バックアップは正しく取れているか」をチェックすることで、社内の信頼性を担保しています。