2.4監査手続書（監査プログラム）の作成

個別監査計画で監査目標と監査範囲が定まったら、それを実行可能なレベルまで落とし込むのが監査手続書（監査プログラム）です。手続書は「この監査目標を確かめるには、どの領域で、どの監査技法を使い、どんな証拠を、いつ、誰が入手するのか」を具体的に記述したもので、監査の実施をぶれなく統率する設計図の役割を果たします。この節では、手続書がなぜ必要か、監査目標とどう対応づけるか、そして手続書が監査の品質（均質性・網羅性・査閲可能性）をどう担保するかを、手続書を作成する監査人の判断として学びます。

2.4.1監査手続書の役割と構成要素

• 監査手続書（監査プログラム）＝監査目標を達成するための一連の監査手続を、対象・使用する監査技法・入手すべき監査証拠・実施時期・担当者の粒度で具体的に定めた文書。「監査目標→そのために確かめること→用いる技法→得る証拠」という論理でたどれるよう構成する。
• 各手続は必ず特定の監査目標に対応づける。目標に対応しない手続は「やること自体が目的化した無駄な作業」になり、逆に目標に対応する手続が欠けていれば監査目標を達成できない。手続書は監査目標の網羅性を確認する道具でもある。

2.4.2手続書が担保する監査の品質

• 均質性＝手続書があることで、担当監査人が誰であっても同じ手順・同じ判断基準で監査が実施され、監査人ごとのばらつきを抑えられる。属人的な監査を防ぎ、結論の再現性を高める。
• 網羅性＝監査目標に対応する手続が漏れなく計画されていることを、実施前に手続書上で確認できる。査閲可能性＝手続書があることで、監査責任者や第三者が「計画した手続が実際に実施され、証拠が得られたか」を後から査閲・検証でき、監査品質のレビューが可能になる。

あるシステム監査人が、個別監査計画で「顧客情報へのアクセス権限付与・変更・削除の統制の整備・運用状況が有効かを確かめる」という監査目標を設定した案件について、監査手続書を作成しています。監査人はまず、この監査目標を達成するために何を確かめる必要があるかを分解します——（1）権限付与のルール（申請・承認プロセス）が文書として整備されているか、（2）そのルールどおりに実際の権限付与が承認を経て行われているか（運用状況）、（3）退職・異動時に権限が遅滞なく削除されているか、の3点です。次に、各確認事項に対して用いる監査技法と入手すべき証拠を対応づけます——（1）には規程・手順書のドキュメントレビュー（証拠＝アクセス管理規程）、（2）には一定期間の権限付与申請から実際のシステム権限設定への突合と承認証跡の確認（証拠＝申請記録・承認ログ・システム設定）、（3）には退職者リストと権限削除記録の突合（証拠＝人事異動記録・削除ログ）を割り当てます。ここで重要なのは、各手続が必ず監査目標のいずれかの確認事項に対応づけられており、逆にどの確認事項にも対応しない手続（たとえば監査目標と無関係なネットワーク構成の確認）は手続書に含めないという点です。目標に対応しない手続は資源の無駄であり、監査の焦点をぼかします。さらに監査人は、各手続に実施時期と担当者を割り当てます。こうして完成した手続書は、（a）担当が誰であっても同じ基準で監査が行われる均質性、（b）監査目標に対応する手続が漏れていないことを事前に確認できる網羅性、（c）監査責任者が「計画どおり手続が実施され証拠が得られたか」を後から検証できる査閲可能性、を同時に担保します。なお、手続書は監査に先立って計画段階で作成する設計図であり、実際に手続を実施した結果や入手した証拠を記録するのは監査調書（次章で扱う）である点を混同しないことが肝心です。

2.4.3この節のまとめ

• 監査手続書（監査プログラム）は監査目標を達成する手続を対象・技法・証拠・時期・担当の粒度で定めた設計図
• 各手続は必ず特定の監査目標に対応づけ、目標に対応しない手続は含めない（網羅性と焦点の両立）
• 手続書は監査の均質性・網羅性・査閲可能性を担保する計画段階の文書（実施記録は監査調書）