2.3重要性と監査範囲・監査目標の設定

限られた監査資源をどこに、どれだけ投入するかを決めるには、「その領域の問題がどれだけ重大な影響を持ちうるか」という物差しが必要です。それが重要性（マテリアリティ）です。監査人は重要性の判断に基づいて監査範囲（どこまでを対象とするか）を設定し、その範囲の中で監査目標（何を評価し何を明らかにするか）を明確化します。この節では、この3つが相互に結びついていること——重要性の高い領域ほど監査範囲を広げ、監査目標を具体的に絞り込む——を、監査計画を設計する監査人の判断として学びます。

2.3.1重要性（マテリアリティ）の考え方

• 重要性（マテリアリティ）＝ある問題・不備・誤りが、情報システムの信頼性や、それに依拠する経営判断・利害関係者の意思決定にどれだけ影響を及ぼしうるかの度合い。金額的な大きさだけでなく、性質（法令違反・個人情報漏えい・基幹業務停止など）も含めて判断する。
• 重要性は監査資源配分の物差しとなる。重要性が高い領域ほど、より広い監査範囲・より深い監査手続を割り当て、重要性が低い領域は限定的に扱う。これはリスクアプローチと表裏一体で、監査計画の効率と実効性を両立させる。

2.3.2監査範囲と監査目標の設定

• 監査範囲＝監査の対象とする組織・業務・システム・期間の境界。重要性の判断に基づいて設定し、重要性の低い領域を範囲外とすることで、有限の資源を重要な領域に集中させる。範囲を明確にしないと、監査が焦点を欠き資源が分散する。
• 監査目標＝その監査で何を評価し、何を明らかにするかの到達目標（例：「顧客情報へのアクセス統制の整備・運用状況が有効であることを確かめる」）。監査目標が具体的に定まって初めて、必要な監査手続・監査証拠が決まる。目標が曖昧なまま手続を並べても、証拠が目標に対応せず結論を導けない。

あるシステム監査人が、基幹業務システムの監査案件について監査範囲と監査目標を設計しています。このシステムには、（A）大量の金額計算を伴う請求処理、（B）個人情報（顧客の氏名・連絡先・購買履歴）を扱う顧客管理機能、（C）社内向けの掲示板機能、という3つのサブシステムが含まれます。監査人はまず重要性を判断します。（A）は誤りが直接的に金額の誤請求につながり経営・顧客双方への影響が大きいため重要性が高い、（B）は金額こそ動かないものの、漏えいすれば法令（個人情報保護法）違反と重大な信用毀損を招くため金額とは別の性質の面で重要性が高い、（C）は障害が起きても業務・法令・顧客への影響が限定的で重要性が低い、と評価します。この重要性の判断に基づき、監査人は監査範囲を「（A）請求処理と（B）顧客管理機能に集中し、（C）掲示板は今回の範囲外とする」と設定します。ここで重要なのは、（B）を「金額が動かないから」という理由だけで範囲外にしてしまうのは重要性の判断を誤ることになる、という点です——重要性は金額の大小だけでなく、影響の性質（法令違反・個人情報漏えいの重大性）も含めて総合的に判断しなければなりません。次に、範囲内の各領域について監査目標を具体化します。（A）については「請求金額計算の正確性・網羅性に係る統制が有効に整備・運用されているかを確かめる」、（B）については「顧客情報へのアクセス権限付与・変更・削除の統制の整備・運用状況が有効かを確かめる」と定めます。監査目標がこの粒度まで具体化されて初めて、（A）には汎用監査ソフトによる計算結果の全件突合、（B）にはアクセス権限管理台帳とシステム設定の突合・権限付与承認の証跡確認、といった必要な監査手続と監査証拠が一意に決まります。このように、重要性→監査範囲→監査目標→監査手続は一本の論理でつながっており、上流の重要性判断を誤ると下流の手続がすべて的外れになります。

2.3.3この節のまとめ

• 重要性（マテリアリティ）は金額だけでなく性質（法令違反・個人情報漏えい等）も含めて影響度を判断する
• 監査範囲は重要性に基づき設定し、重要性の高い領域ほど範囲を広げ深度を上げる
• 監査目標が具体化して初めて必要な監査手続・監査証拠が一意に決まる