システム監査計画

1. 定義

システム監査計画は、システム監査人が、いつ、何を、どのような体制と手順で監査するかを具体的に定めた計画書です。監査は無計画に行うものではなく、限られた期間とリソースの中で最大限の成果を得るために、事前の綿密な設計が不可欠です。この計画によって、監査の範囲や重点項目が明確になり、監査人と被監査部門の双方が活動を理解しやすくなります。

2. 仕組みと種類

計画には、監査の目的、対象範囲、実施時期、監査チームの構成、使用する監査技法などが盛り込まれます。また、監査対象となる情報システムの重要度やリスクの大きさを踏まえて、どこを重点的にチェックするかという強弱をつけることも重要です。この計画書は、監査の開始前に被監査部門など関係者へ通知し、理解と協力を得るために用いられます。

3. 試験ごとの視点

基本情報技術者試験において、システム監査計画は監査実施の前に作成し、承認を得る必要があることが問われます。また、監査対象の重要度やリスクに基づいて重点項目を決めるべき点や、計画書には監査対象、範囲、時期、実施体制、監査技法を含めることが重要であるという原則が出題されます。

4. 紛らわしい語との違い

システム監査手続は、計画に基づいて具体的にどう調査を行うかを定めた手法の集まりであり、計画とは階層が異なります。監査手続書は、その手続を具体的に記録した文書です。監査報告書は、監査の結果をまとめた文書であり、計画の実行後に作成される成果物です。

5. 身近な例

旅行の計画に例えると、システム監査計画は旅行先や日程、予算をまとめた旅のしおりです。どんなルートで回るか、特にどこを重点的に観光するかを決めておかないと、時間切れで重要な場所を見逃すことになります。計画があることで、関係者全員が同じ認識を持って活動を始められます。