5.3システム監査と内部統制

システム監査は、独立した第三者の立場から情報システムが組織の目的に沿って適切に統制されているかを評価する活動です。応用情報では、監査プロセスの各工程の役割、内部統制（特にIT全般統制と業務処理統制の違い、職務分掌）、そして監査人の独立性（自己監査の禁止）が理解を問う形で繰り返し出題されます。

5.3.1監査プロセスと監査証拠・監査技法

• システム監査のプロセス＝監査計画（対象範囲・監査項目・スケジュールの策定）→監査の実施（証拠収集・評価）→監査報告（指摘事項・改善勧告を経営者に報告）→フォローアップ（指摘事項が改善されたか事後確認）の4段階で進みます。フォローアップまで含めて初めて監査サイクルが完結する点が重要です。
• 監査証拠は十分性（quantity・量的な裏付けの充分さ）と適切性（quality・証拠としての質の高さ・関連性と信頼性）の両方を満たす必要があります。量が多くても質の低い証拠だけでは監査意見の根拠として不十分です。監査技法＝ヒアリング（聞き取り）・ドキュメントレビュー（規程・記録の確認）・現地調査（現場の実地確認）・CAAT（コンピュータ支援監査技法）（ツール/ソフトウェアでログ・データを機械的に分析）を目的に応じて組み合わせます。

5.3.2内部統制：IT全般統制・業務処理統制・職務分掌

• 内部統制＝組織の業務が適正に遂行されるよう、組織自らが構築・運用する仕組み全般（不正防止・業務の有効性・財務報告の信頼性・法令遵守などを目的とする）。IT統制はこのうちITに関わる部分で、IT全般統制と業務処理統制（IT業務処理統制）に大別されます。
• IT全般統制＝特定の業務処理に限らずIT環境全体を横断的に支える統制（アクセス管理、システム開発・変更管理、運用管理、外部委託管理など）。業務処理統制（IT業務処理統制）＝個別の業務アプリケーションに組み込まれた統制（入力チェック、承認機能、エラー検知、自動計算の正確性など）。IT全般統制が有効に機能していない場合、個々の業務処理統制の信頼性の前提そのものが揺らぐという階層関係（全般統制が個別統制の土台）を理解します。
• 職務分掌＝1人の担当者に権限や作業が集中しないよう、業務を複数の担当者・役割に分離する内部統制の代表例（例：申請者と承認者を別人にする）。主目的は権限の集中を避け不正・ミスを防止することで、業務効率化はむしろトレードオフとして生じ得ます。