1.4保証型監査と助言型監査

システム監査は、その目的によって大きく2つの型に分けられます。監査対象が一定の基準を満たしていることについて監査人が保証（意見）を表明する保証型監査（アシュアランス業務）と、被監査組織の改善を支援するために問題点の分析と改善提言を行う助言型監査（コンサルティング業務）です。この節では、単に両者の定義を覚えるのではなく、依頼者（経営者等）が本当に求めているのは「第三者に示せる保証」なのか「実務的な改善の助言」なのかを見極め、それに応じて監査の型・成果物・独立性の保ち方をどう設計するかを判断する力を養います。

1.4.1保証型監査（アシュアランス）

• 保証型監査＝監査対象（情報システムやその管理、内部統制等）が一定の基準・要件を満たしていることについて、監査人が独立した立場から検証し「保証（意見）」を表明する監査。成果物は監査人の意見を含む監査報告書であり、その意見は第三者（経営者・株主・取引先等）が信頼して利用できることに価値がある。
• 保証を表明する以上、監査人の独立性・客観性が特に厳格に求められる。意見は監査人の印象ではなく、十分かつ適切な監査証拠に裏付けられていなければならない。J-SOXの内部統制監査のように、外部の第三者に対して有効性を保証する文脈は保証型の典型。

1.4.2助言型監査（コンサルティング）

• 助言型監査＝被監査組織の情報システムや管理体制の改善を支援することを主目的とし、問題点の分析と具体的な改善提言（助言）を行う監査。成果物は改善に資する提言・改善計画であり、「基準を満たしているという保証」を第三者へ表明することが主目的ではない。
• 助言型でも独立性・客観性は求められるが、監査人が改善支援に深く関与しすぎると、後にその改善結果を保証型で監査する際に自らの助言を評価する立場になり独立性を損なうというリスクがある。したがって「今回は助言か保証か」を明確にし、両者を同一人が連続して担う場合は独立性への影響を管理する必要がある。

あなたはシステム監査人で、経営者から「新たに導入したクラウド基盤について、取引先や親会社にも安心して示せるよう、セキュリティ管理が適切に整備・運用されていることを確かめてほしい」と依頼されました。ここで重要なのは、依頼の言葉の裏にある目的が「第三者に示せる保証」であるという点です。取引先や親会社という外部の第三者に対して有効性を示したいのですから、これは改善提言を主目的とする助言型ではなく、保証型監査（アシュアランス）として設計すべき局面です。保証型では監査人の意見が第三者に信頼して利用されるため、あなたは独立性・客観性を特に厳格に保ち、意見を十分かつ適切な監査証拠で裏付ける必要があります。仮にあなたがこのクラウド基盤の導入設計に助言者として深く関与していたなら、いまその有効性を保証する立場に立つのは自らの助言を評価することになり独立性を欠くため、担当を再考すべきです。一方、もし依頼が「クラウド基盤の運用でどこに弱点があるか洗い出し、改善の方向性を一緒に考えてほしい」であったなら、これは第三者への保証ではなく内部改善の支援＝助言型監査であり、成果物は保証意見ではなく改善提言になります。「依頼者が保証を求めているのか助言を求めているのかを最初に見極め、それに応じて監査の型・成果物・独立性の厳格さを設計する」——この判断が、監査の入口を誤らないための要です。

1.4.3この節のまとめ

• 保証型監査（アシュアランス）は一定の保証（意見）を第三者に表明する監査で、独立性・証拠の裏付けが特に厳格に求められる
• 助言型監査（コンサルティング）は被監査組織の改善支援・提言が主目的で、成果物は改善提言・改善計画である
• 依頼目的（保証か助言か）を最初に見極めて型・成果物・独立性の設計を判断し、助言→保証を連続で担う際は自己の助言評価による独立性影響を管理する