2.2監査計画の策定

システム監査は、単発の思いつきで対象を選ぶのではなく、組織全体のリスクと監査資源を見渡した計画に基づいて体系的に実施されます。その計画は粒度の異なる3つの層——複数年を見通す中長期計画、その年度の実施計画である年度監査計画、個々の案件レベルの個別監査計画——で構成されます。この節では、それぞれの層が何を決めるのか、そして上位計画のリスク評価の結果が下位計画へどう反映されるのかを、監査部門の責任者や担当監査人の判断として学びます。

2.2.1監査計画の3層

• 中長期計画＝おおむね3〜5年程度の期間で、組織のリスクの高い領域を漏れなく監査対象に取り込むための方針・監査対象領域のローテーションを定める。単年度では全領域を監査できないため、複数年で網羅性を確保する視点で策定する。
• 年度監査計画＝中長期計画を踏まえ、その年度に実施する具体的な監査テーマ・対象システム・実施時期・監査資源（人員・工数）の配分を定める。年度内に生じた新たなリスク（新システム稼働・重大インシデント等）を反映して見直す。
• 個別監査計画＝年度計画で選ばれた個々の監査案件について、監査目標・監査範囲・具体的な監査手続・日程・担当・必要な監査証拠を定める。この計画に基づき、後述の監査手続書（監査プログラム）が作成される。

ある組織の内部監査部門長が、翌年度の年度監査計画を策定しています。中長期計画では、基幹系・情報系・外部委託の各領域を3年でひと通り監査対象に取り込むローテーション方針が定められています。ここで年度内に、顧客情報を扱う新しいクラウド基盤が本番稼働し、さらに委託先で軽微なアクセス管理上のインシデントが発生しました。部門長は、当初の年度計画に機械的に従うのではなく、新たに顕在化したリスク（新クラウド基盤の統制未成熟・委託先のアクセス管理の弱さ）を年度監査計画に反映し、監査対象と資源配分を見直す判断を行います。具体的には、リスク評価の結果、これらの領域の固有リスク・統制リスクが高いと見込まれるため、当年度の監査資源をこれらへ重点配分し、逆に前年度に問題のなかった安定運用中の領域は監査の深度を下げる（あるいは翌年度送りにする）調整を行います。次に、選定された「新クラウド基盤の監査」案件について、担当監査人が個別監査計画に落とし込みます。ここで決めるのは年度計画レベルの資源配分ではなく、この案件固有の監査目標（例：顧客情報へのアクセス統制の整備・運用状況の評価）、監査範囲（対象システム・期間）、実施する具体的な監査手続、必要な監査証拠と日程です。この個別監査計画に基づいて、次節以降で扱う監査手続書が作成されます。このように、リスク評価の結果は中長期→年度→個別と上位から下位の計画へ段階的に具体化され、各層はそれぞれ異なる粒度の意思決定を担います。

2.2.2この節のまとめ

• 監査計画は中長期・年度・個別の3層で、上位ほど方針・網羅性、下位ほど具体的手続の粒度
• 中長期計画は複数年でのローテーションで網羅性を確保、年度監査計画は当年の対象・時期・資源配分を定める
• 年度内に新たなリスクが顕在化したら、リスク評価を見直して監査対象・資源配分を柔軟に修正する