システム監査

1. 定義

組織の情報システムが信頼でき、安全で、効率的に運用されているかを、独立した立場の人が調べて意見を表明する活動です。経営陣に対して、システムの現状を客観的に報告します。

監査人は、対象部門から独立していなければなりません。システム開発や運用に関与した人が行うチェックは、客観性に欠けるため監査とは呼びません。この独立性が、報告の信頼性を支える鍵です。

2. 仕組みと種類

何を調べるかで分けると、システム監査は情報システム全般を対象とします。情報セキュリティ監査は、特に情報の守りやセキュリティ対策が適切かを専門的に評価します。

誰が行うかでも異なります。外部の専門家が行う外部監査、社内の部門が行う内部監査、会社の機関である監査役が行う監査役監査などがあり、目的や立場によって使い分けられます。

3. 試験ごとの視点

ITパスポート試験では、経営のガバナンスと内部統制の文脈で登場します。経営者がシステムを正しく統制しているかを確認する役割として、基本的な概念が問われます。

基本情報技術者試験では、監査証拠や監査証跡、フォローアップの手順など、より具体的なプロセスが問われます。開発者との独立性や、予備調査から報告までの手順が頻出です。

4. 紛らわしい語との違い

レビューは、開発途中で仲間内が行う確認作業です。独立性は求められず、開発の効率化が目的です。システム監査は独立性が必須で、意見表明までを行います。

モニタリングは、日常的・継続的にシステムを見張ることです。システム監査は一定期間ごとに節目で行われる調査であり、実施の頻度や目的が異なります。

5. 身近な例

銀行のシステム監査は、お金を扱うシステムが正しく安全に動いているかを外部の専門家が調査する例です。誤送金やデータ改ざんがないかを検証し、報告書を出します。

社内ネットワークのセキュリティ監査は、不正アクセス対策や権限管理が規定通りかを調査する例です。規定違反があれば是正を求め、組織の安全を守る助言を行います。