3.1監査証拠と監査証跡

システム監査人の結論は「印象」ではなく監査証拠によって裏づけられねばなりません。ここで問われるのは証拠を集めたかどうかではなく、その証拠が意見を支えるに足る量（十分性）と質（適切性＝証明力）を備えているかという一点です。この節では、十分性と適切性の意味、証拠の信頼性を左右する入手経路の違い、そして処理を後から追跡できる監査証跡の役割を、実際の証拠収集の判断とあわせて学びます。

3.1.1十分性と適切性

• 十分性（sufficiency）＝監査証拠の量的な尺度。監査人が結論を導くのに足りるだけの証拠が集まっているかを問う。リスクが高い領域や重要性が大きい項目ほど、より多くの証拠が必要になる。
• 適切性（appropriateness）＝監査証拠の質的な尺度＝証明力であり、関連性（監査目的・立証しようとする事項と結びついているか）と信頼性（証拠そのものが信用できるか）の2側面からなる。量が多くても関連性や信頼性を欠けば意見は支えられない。
• 信頼性の序列：監査人自らが入手・観察・再計算した証拠は、被監査部門から提示された証拠より信頼性が高い。独立した第三者（外部）からの証拠は内部で作成された証拠より信頼性が高く、文書化された証拠は口頭の証言より信頼性が高い。

3.1.2監査証跡

• 監査証跡（audit trail）＝ある取引や処理が、入力から処理・出力・記録に至るまでどのように行われたかを時系列で追跡できるようにした記録の連鎖。ログ・ジャーナル・伝票番号の連番・更新履歴などが該当する。
• 監査証跡が整備されていれば、監査人は結果から遡って原因（誰がいつ何をしたか）を確かめられ、証拠の信頼性が高まる。逆に、バッチ処理で中間記録が残らない設計や、ログを上書き・消去できる設計は監査証跡を損ない、監査を困難にする。

あるシステム監査人が、通販企業の受注システムについて「売上金額が正しく計上されているか」を確かめる監査を担当したとします。被監査部門である経理課は「月次の売上集計表（部門内で作成・出力したもの）を大量に印刷して提出したので、これで十分でしょう」と主張しました。しかし監査人は、この集計表がいくら大量にあっても十分性（量）は満たしても適切性（質）は満たさないと判断します。第一に、この集計表は被監査部門が自ら作成した内部証拠であり信頼性が相対的に低く、第二に、集計表そのものは「計上額が正しいか」という監査目的への関連性を直接には立証しないからです。そこで監査人は、より証明力の高い証拠を自ら集める方針を採ります。具体的には、(1) 受注データベースから監査人自身が汎用監査ソフトで総額を再集計して集計表と突合し（監査人自らの入手・再計算）、(2) 一部の取引について外部の入金記録である銀行の入金明細（独立した第三者からの外部証拠）と照合し、(3) 更新履歴（監査証跡）を確認して集計後の改ざんがないことを確かめます。これにより、被監査部門提示の内部資料に依存するより格段に信頼性の高い証拠の組み合わせで意見を支えられます。「量が多いこと」と「証明力があること」は別の要件であり、監査人自らが入手した証拠・独立した外部からの証拠を優先して集めるのが、証拠の十分性・適切性を両立させる正しい判断です。

3.1.3この節のまとめ

• 監査証拠は十分性（量）と適切性（質＝証明力＝関連性・信頼性）の両方を満たして初めて意見を支えられる
• 監査人自らが入手・再計算した証拠や独立した外部からの証拠は、被監査部門作成の内部証拠より信頼性が高い
• 監査証跡は処理を遡って追跡できる記録の連鎖であり、これが損なわれると証拠の信頼性と監査可能性が下がる