システム監査
システム監査とは、情報システムが適切に管理・運用されているかを、独立した第三者の立場から評価し、改善につなげる活動です。会計監査や業務監査と並ぶ監査業務の一種で、監査は計画・実施・報告・フォローアップという流れで進みます。
監査業務の種類とシステム監査の目的を説明できるようになります。また、監査計画から報告・フォローアップまでの基本的な流れと、監査人に求められる独立性の考え方を理解します。
システム監査は「誰が」「何のために」「どのように」行うかを問う問題が中心です。特に監査人の独立性に関する問題は頻出で、監査対象の業務を自分自身が兼務していないか、という視点で選択肢を判断できるようになると得点しやすくなります。
監査業務の種類とシステム監査の目的
企業などが健全に活動するためには、業務が正しく行われているかを内部・外部からチェックする仕組みが欠かせません。こうした確認活動を総称して監査と呼び、対象によっていくつかの種類に分かれます。財務諸表の正しさを確認する会計監査、日々の業務が規程どおりに行われているかを確認する業務監査、情報セキュリティ対策の妥当性を確認する情報セキュリティ監査、そして情報システムの管理・運用状況を確認するシステム監査などです。監査というと会計の分野を思い浮かべる方も多いかもしれませんが、システム監査はこれらと並ぶ独立した監査業務の一つです。
システム監査の目的は、情報システムに関わるリスク(セキュリティ上の欠陥、不正利用、運用ミスなど)に適切に対応できているかを、独立かつ客観的な立場のシステム監査人が検証・評価し、保証や助言を行うことです。それを通じて、組織の経営活動や業務活動が効果的かつ効率的に行われるよう支援し、株主や取引先といった利害関係者に対する説明責任を果たすことも目的に含まれます。監査は「あら探し」をすることが目的ではなく、組織がより安全で効果的にシステムを活用できるようにするための、前向きな改善活動として位置づけられています。
システム監査を行う専門家をシステム監査人と呼びます。システム監査人には、情報システムに関する専門知識はもちろんのこと、監査対象の業務や部門から独立した立場であることが強く求められます。監査の判断基準となる指針としてシステム監査基準が定められており、監査人はこれに沿って高い倫理観のもとで監査を行います。もし監査人が、自分自身が開発・運用に関わっているシステムを監査すると、都合の悪い点を見過ごしてしまう恐れがあるためです。この「独立性」の考え方は、システム監査を理解するうえで最も重要な軸となります。
監査業務がいくつもの種類に分かれているのは、確認したい対象や専門知識がそれぞれ異なるためです。会計監査は財務の専門家が、システム監査は情報システムの専門家が担当するように、対象に応じた適切な視点で評価することで、はじめて実効性のある監査になります。試験では、どの監査がどの対象を扱うのかを問う問題も出るため、名称と対象の組み合わせを整理しておくと安心です。
監査の進め方(計画・実施・報告)
システム監査は、思いつきで進めるのではなく、決まった手順に沿って行われます。
まず監査計画の策定の段階で、何を対象に、どのような観点で監査を行うかを決めます。このとき、すべての項目を均等に調べるのではなく、リスクの大きい部分を重点的に確認するリスクアプローチという考え方に基づいて監査手続を組み立てるのが一般的です。あらかじめ確認項目や実施時期を定めることで、監査の抜け漏れや場当たり的な対応を防ぎます。
次に監査の実施に移ります。まず全体像をつかむための予備調査を行い、その結果をふまえて詳細を確認する本調査に進みます。ヒアリングや文書確認、実際にシステムの操作画面や設定を確認する現地調査などを通じて、判断の根拠となる監査証拠を集め、評価と結論をまとめます。監査証拠は、監査人の判断が主観的な思い込みではなく、客観的な事実に基づいていることを裏付けるために欠かせないものです。集めた証拠や実施した手続きの記録は監査調書として作成・保管され、後から監査の妥当性を検証できるようにしておきます。
収集した証拠をもとに、監査人は評価をまとめ、システム監査報告書を作成して経営者に提出します。監査報告書には、発見された問題点とその重要度、そして改善提案が記載されます。
監査はここで終わりではありません。報告した問題点について、実際に改善が行われたかどうかを後日確認するフォローアップという工程があります。改善が行われていなければ、再度指摘を行い、対応を促します。この「監査計画→予備調査・本調査→報告→フォローアップ」という一連の流れを一つのサイクルとして押さえておくと、試験問題の流れを追いやすくなります。
この流れの中で特に重要なのが、監査証拠と監査調書です。監査人の指摘が「なんとなくそう思った」という印象論ではなく、記録に基づいた客観的な事実であることを、後から誰が見ても確認できるようにしておく必要があります。監査調書がしっかり整備されていれば、監査の結果に疑問が生じた際にも、どのような根拠でその結論に至ったかを説明できます。こうした記録の積み重ねが、監査という活動そのものの信頼性を支えています。
内部監査と外部監査
システム監査を行う主体には、大きく分けて内部監査と外部監査の二種類があります。
内部監査は、監査対象の組織に所属する人(内部監査部門の担当者など)が行う監査です。組織内部の事情に詳しいため、業務の実態に即した細かい指摘がしやすいという利点があります。ただし、同じ組織に属している以上、完全な第三者とは言い切れず、独立性の面では外部監査に劣るとされます。それでも、監査対象の部門とは別の独立した監査部門が実施することで、一定の客観性を保つ工夫がなされています。
外部監査は、監査対象の組織に属さない、外部の専門家(監査法人やコンサルティング会社など)が行う監査です。組織のしがらみがない分、より高い独立性と客観性を保った評価が期待できます。株主や取引先など、外部の利害関係者に対する信頼性を示す必要がある場面では、外部監査が重視される傾向にあります。
どちらの監査であっても、共通して重要なのは「監査人が監査対象から独立していること」です。この独立性が保たれていない監査は、いくら形式を整えても客観的な評価とはいえません。試験では、「ある人物がシステムの開発と監査の両方を担当している」といった状況が独立性の観点から不適切かどうかを判断させる問題がよく出題されます。監査対象の業務を兼務していないかを確認する視点を持っておきましょう。
なお、システム監査は「実際に仕組みが機能しているかを検証する」活動であるのに対し、単元22で学ぶ内部統制は「不正やミスが起きにくい仕組みをあらかじめ作る」活動です。この役割の違いを意識すると、二つの単元のつながりが整理しやすくなります。
内部監査と外部監査は、どちらか一方だけを行えばよいというものではなく、多くの企業では両方を組み合わせて運用しています。日常的な業務改善は内部監査で細かく拾い上げ、株主総会や取引先への説明が必要な場面では外部監査による裏付けを示す、といった使い分けです。試験でも、場面に応じてどちらの監査がふさわしいかを判断させる問題が出題されることがあります。監査の主体が誰であっても、最終的に大切なのは形式ではなく、独立した客観的な立場から評価が行われているかどうかだという点を忘れないようにしましょう。
この単元の確認問題
答えを見る前に、まず自分の言葉で答えてみてください。言葉にできないところが、そのまま本試験で止まるところです。
Q. 財務諸表の正しさを確認する会計監査に対して、情報システムの管理・運用状況を確認する監査を何と呼びますか。
A. システム監査です。
会計監査、業務監査、情報セキュリティ監査などと並ぶ監査業務の一種で、対象が情報システムである点が特徴だからです。
Q. 監査報告書で指摘した問題点について、実際に改善されたかどうかを後日確認する工程を何と呼びますか。
A. フォローアップです。
監査は指摘して終わりではなく、改善提案が実際に実行されたかを確認するところまでを一連の活動としているためです。
Q. システム監査における「独立性」とは、具体的にどのような状態を指しますか。
A. 監査人が、監査対象の業務(開発や運用など)に自ら関与しておらず、利害関係のない第三者の立場にあることです。
監査人が監査対象の業務を兼務していると、都合の悪い点を見過ごすなど客観的な評価ができなくなる恐れがあるためです。
システム監査は、読んで分かることと、本番で点になることが別です。点にするための材料はこちらにまとめてあります。
- この単元の問題 19問（どこをどう間違えたかまで解説）
- この単元のひっかけ（本試験がどう引っかけてくるか）
- この単元をそのままITパスポート専用AIチューターに質問できます
- 間違えた問題だけを自動で拾い直す復習リスト
「第6章 システム監査と内部統制」の他の単元
この単元を、手を動かして確かめる
ITパスポートAIチューターでは、いま読んだ単元の四択問題をその場で解いて、 どこで間違えたかまで解説付きで確かめられます。 わからないところはITパスポート専用のAIチューターに訊けます。
この単元をアプリで開く 登録は無料。メールアドレスだけで始められます。