システム監査

ねらい

情報システムを外から点検するしくみを学びます。このレッスンを終えると、監査人の立場、監査の流れ、証拠の扱いを説明できるようになります。

監査人の立場

システム監査は、情報システムが適切に作られ運用されているかを、独立した立場の人が確かめて意見を述べる活動です。

監査人がやるのは助言や勧告であって、直すこと自体ではありません。直すのは被監査部門です。

監査の流れ

1. 監査計画… 何を、いつ、どこまで見るかを決める。
2. 予備調査… 資料や体制の概要をつかむ。
3. 本調査… 実際に確かめ、監査証拠を集める。
4. 評価と結論… 集めた証拠から判断する。
5. 監査報告… 依頼した経営者へ報告書を出す。
6. フォローアップ… 改善が実行されたかを確かめる。

監査調書は、監査人が調べた内容と判断の根拠を記録したものです。後から第三者が見て、同じ結論に至れることが求められます。

フォローアップまでが監査です。報告して終わりにすると、指摘が実行されたかどうかは分かりません。

監査で見る観点

見る観点は、大きく次のとおりです。

• 可用性… 使いたいときに使えるか。
• 機密性… 見てよい人だけが見られるか。
• 完全性… データが正しく保たれているか。
• 効率性… 資源が無駄なく使われているか。
• 準拠性… 法令や社内規程に沿っているか。

セキュリティに絞ったものを情報セキュリティ監査といいます。

まとめ

システム監査は、独立した立場の人が証拠に基づいて確かめ、経営者へ報告する活動です。監査人は直さず、助言する。そしてフォローアップまでが監査の範囲です。