システム監査技術者試験参考書

システム監査が情報システムの信頼性・安全性・効率性・有効性・準拠性を独立的立場から評価し改善提言する営みであること、内部監査と外部監査の違い、そして「何を保証したいのか（監査目的）から逆算して監査の視点を選ぶ」判断力を学びます。

経済産業省のシステム監査基準（監査人の行為規範＝一般基準・実施基準・報告基準）とシステム管理基準（被監査側の情報システム管理のあるべき姿）の役割の違い、そして「監査人の判断基準（ものさし）として両者をどう使い分けるか」を学びます。

システム監査人が備えるべき精神的独立性（客観的・公正不偏な姿勢）と外観的独立性（第三者から独立して見えること）の違い、被監査業務に自ら関与した者が独立性を欠く理由、そして客観性・職業倫理・正当な注意を保ちながら「独立性が損なわれる状況を見抜く」判断力を学びます。

一定の保証を表明する保証型監査（アシュアランス）と、改善提言を主目的とする助言型監査（コンサルティング）の目的・成果物・独立性要件の違い、そして「依頼者が求めているのは保証か助言か」を見極めて監査の型と関与の仕方を判断する力を学びます。

限られた監査資源を高リスク領域に重点配分するリスクアプローチの考え方と、監査リスク＝固有リスク×統制リスク×発見リスクの関係を学びます。固有リスク・統制リスクは監査人が「評価」する所与、発見リスクだけが監査人が監査手続で「コントロール」する対象であること、そして固有・統制リスクが高い領域で監査リスクを許容水準に抑えるにはどう発見リスクを下げるかの判断を扱います。

複数年の監査方針を定める中長期計画、その年度の監査対象・資源配分を定める年度監査計画、個々の監査案件の具体的な手続・日程を定める個別監査計画という3層の監査計画の階層と役割、そしてリスク評価の結果を上位から下位の計画へどう落とし込むかの判断を学びます。

問題や不備が意思決定・信頼性にどれだけ影響するかを判断する重要性（マテリアリティ）の考え方、それに基づいて監査資源を配分する監査範囲の設定、そして「何を評価し何を明らかにするか」を定める監査目標の設定という、監査計画の中核となる判断を学びます。重要性が高い領域ほど監査範囲を広げ深度を上げる、という結びつきが要点です。

監査目標を達成するために「誰が・いつ・何を・どの監査技法で・どんな証拠を得るか」を具体的に定めた監査手続書（監査プログラム）の役割と作成、監査目標との対応づけ、そして監査の均質性・網羅性・査閲可能性を担保する意義を学びます。手続書は監査目標から証拠へと論理的にたどれるよう設計する、という点が要点です。

監査意見を裏づける監査証拠が満たすべき2要件——十分性（量）と適切性（証明力＝関連性と信頼性）——の意味、監査人自らが入手した証拠や独立した外部からの証拠ほど信頼性が高いという序列、そして処理の履歴を追跡できる監査証跡の役割を、実際にどの証拠を集めれば意見を支えられるかという判断とともに学びます。

証拠を集める代表的な監査技法——資料を精査するドキュメントレビュー、担当者から状況を聴取するインタビュー、確認項目を体系化したチェックリスト法、独立した2つの記録を突き合わせる突合・照合、現場を直接確かめる現地調査（視察）——それぞれが得意とする証拠と限界を理解し、監査目的に応じてどれを選ぶか（あるいは組み合わせるか）を判断する力を養います。

コンピュータ処理そのものを検証するCAATの5技法——監査人が用意したデータで処理を確かめるテストデータ法、監査人のプログラムで再処理し照合する並行シミュレーション、本番に監査用の擬似データを流すITF（統合テスト施設）、本番プログラムに監査機能を組み込む監査モジュール、本番データを全件抽出・突合する汎用監査ソフト——を厳密に区別し、大量トランザクションの網羅的検証など監査目的と証拠の十分性に照らしてどれを選ぶかを判断します。

監査の実施記録であり結論の根拠を裏づける監査調書が備えるべき要件（実施した手続・入手した証拠・到達した結論を第三者が追跡・再現できること）、上位者による査閲（レビュー）が監査の品質を担保する仕組み、そして一定期間の保管と機密保持の必要性を、調書が監査の証拠力そのものを左右するという観点から学びます。

母集団の一部を抽出して検証する試査と全件を検証する精査の違い、抽出したサンプルの結果から母集団の状況を確率論的に推定する統計的サンプリングと監査人の判断で抽出する非統計的サンプリングの違い、そしてサンプリングリスク（サンプルが母集団を代表せず誤った結論に至るリスク）を、リスクや重要性に応じて試査と精査・統計的手法をどう選ぶかという判断とともに学びます。

ITの活用を経営目標に結びつけて統制するITガバナンス（経営陣の責任・IT戦略と経営戦略の整合）と、その統制目標を体系化したフレームワークCOBITを学び、監査人が「ITガバナンスが機能しているか」をどの視点で評価するかの判断力を養います。

内部統制を構成する6つの基本的要素（統制環境・リスクの評価と対応・統制活動・情報と伝達・モニタリング・ITへの対応）と、その源流であるCOSOフレームワーク（★5要素＝ITへの対応を含まない）の関係を学び、統制の不備がどの要素の欠如に由来するかを診断する判断力を養います。

金融商品取引法に基づく内部統制報告制度（J-SOX）——経営者が財務報告に係る内部統制の有効性を自己評価して内部統制報告書を作成・提出し、監査人がそれを監査する仕組み——を学び、対象範囲の絞り込み（トップダウン型のリスクアプローチ）や不備の分類（開示すべき重要な不備）を診断する判断力を養います。

ITを支える基盤の統制IT全般統制（ITGC）（アクセス管理・プログラム変更管理・開発/導入・運用管理）と、個々の業務処理の正確性・網羅性・正当性を守るIT業務処理統制（入力/処理/出力の統制）の違い、そして★ITGCが有効でないとIT業務処理統制も信頼できないという依存関係を学び、統制不備の波及を診断する判断力を養います。

システム監査人が、プロジェクト管理・要件定義・テスト・移行・本番リリースにおける予防統制／発見統制の整備・運用状況を評価し、開発と運用の職務分掌の欠如のような整備上の不備を診断する視点を学びます。

監査人が、ジョブ管理・変更管理・構成管理・インシデント管理・バックアップの各統制の整備・運用状況を評価し、無統制な緊急変更のような不備を診断する視点を学びます。

監査人が、アクセス管理・暗号・ログ監視といったセキュリティ統制と、BCP・災害対策の統制の整備・運用状況を評価し、最小権限の逸脱や訓練されないBCPの不備を診断する視点を学びます。

監査人が、直接アクセスできない委託先・クラウドサービスに対し、委託先管理・再委託・SLA・監査権（監査対応）・責任分界を通じてどのように保証を得るか、第三者評価報告書（SOC報告書）の活用を含めて学びます。

監査結果を伝える監査報告書の構成、指摘事項を事実（現状）・原因・影響（リスク）・改善勧告の4点で組み立てる書き方、監査人は是正を自ら実装せず勧告にとどめる（独立性の保持）という原則、そして勧告を実現可能でリスクの重要度に見合った優先度にする判断を学びます。

監査結果の報告先（経営者・独立性を保てる上位者）の選び方、監査対象部門の長へ直接報告することの問題、保証型監査の意見表明（一定の保証を与える結論）と助言型監査の提言（改善提言が主目的）の違い、そして意見は入手した監査証拠の範囲で表明するという原則を学びます。

改善勧告が実行されたかを追うフォローアップ、改善状況の確認と是正の有効性の検証（形式的完了ではなく効果を確かめる）、フォローアップでも客観的な証拠で確認する（口頭回答を鵜呑みにしない）原則、そして監査業務自体の品質を保つ監査の品質管理（調書の査閲・監督・内部評価）を学びます。

システム監査人が判断の拠りどころとする関連法規（個人情報保護法・不正アクセス禁止法）と、監査の枠組みを示すシステム監査基準・システム管理基準、統制評価の物差しとなる情報セキュリティ管理基準などの各種ガイドラインを、どの基準・法令に照らして不備を評価するかという監査の適用の視点で学びます。