変更要約: 初版
6.1監査報告書と改善勧告
監査結果を伝える監査報告書の構成、指摘事項を事実（現状）・原因・影響（リスク）・改善勧告の4点で組み立てる書き方、監査人は是正を自ら実装せず勧告にとどめる（独立性の保持）という原則、そして勧告を実現可能でリスクの重要度に見合った優先度にする判断を学びます。
システム監査は、コントロールの不備を見つけて終わりではなく、経営に伝わり是正につながって初めて価値を生みます。その架け橋が監査報告書です。システム監査人には、集めた監査証拠に基づいて指摘事項を事実・原因・影響・改善勧告の順で客観的に記述し、感想や推測ではなく確認できた事実で裏づける判断が求められます。重要なのは、監査人は不備を指摘し改善を勧告する立場であって、具体的な是正策を自ら設計・実装する立場ではないという点です。是正を監査人が実装してしまえば、次の監査で自分の仕事を監査することになり独立性・客観性を失います。
6.1.1指摘事項の4要素と事実に基づく記述
- 指摘事項の4要素＝(1)事実（現状・状態）＝監査証拠で確認できた客観的事実、(2)原因＝なぜその状態になったか、(3)影響（リスク）＝放置した場合に想定される損害・脅威、(4)改善勧告＝どう是正すべきかの提言。この4点が揃って初めて、経営者は「なぜ直すべきか」を理解して意思決定できる。影響（リスク）の記述を欠くと、なぜ優先して直すべきかが伝わらない。
- 事実に基づく記述＝報告書は監査人の主観的な感想や推測ではなく、監査証拠で裏づけられた確認済みの事実に基づいて書く。「〜と思われる」「おそらく危険だ」といった曖昧な表現ではなく、「いつ・どの対象を・どう確認した結果、どの基準に照らして不備か」を具体的に示す。裏づけのない断定や過度な誇張は、被監査部門の反発を招き報告書の信頼性を損なう。
6.1.2改善勧告の書き方と監査人の立場
- 改善勧告は勧告にとどめる＝監査人は「予防統制として職務分掌を導入すべき」「本番リリースに承認を必須化すべき」のように是正の方向性を勧告するが、具体的なシステム改修やコントロールの構築を自ら手を動かして実装するのは越権であり独立性を損なう。是正の実行責任は被監査部門（現場）と経営者にあり、監査人はその実施状況を後で客観的に確認する立場を保つ。
- 勧告は実現可能で重要度に見合う優先度に＝勧告は理想論ではなく、コスト・体制・技術の制約下で実行可能（フィージブル）でなければならない。また、すべての指摘を同列に「至急対応」とすると現場が疲弊し重要なものが埋もれるため、影響（リスク）の重大さに応じて優先度を付ける。重大リスクは早期是正を、軽微なものは計画的対応を勧告するといった濃淡が、経営者の限られた資源の配分を助ける。
「指摘事項は事実・原因・影響（リスク）・改善勧告の4点で組み立てる」「記述は監査証拠で裏づけた事実に基づき、主観・推測で断定しない」「監査人は改善を勧告する立場で是正を自ら実装しない（独立性の保持）」「勧告は実現可能で、リスクの重要度に応じ優先度を付ける」が最頻出です。監査人が自ら手を下すのは越権、という切り分けが問われます。
6.1.3指摘事項の記載と勧告の判断
あるシステム監査人が、販売管理システムのアクセス管理を監査したところ、退職者のアカウントが削除されずに残っている事実を複数確認したとします。報告書にどう書くかが問われます。まず事実として、感想ではなく「〇月時点の利用者一覧と人事の退職者名簿を突合した結果、退職済み利用者N名分のアカウントが有効なまま残存し、うちM名はログイン可能であった」と、監査証拠（突合の結果）で裏づけた確認済みの事実を記述します。次に原因として「退職手続にアカウント無効化の工程が組み込まれておらず、人事と情報システム部門の連携が定型化されていない」ことを、影響（リスク）として「退職者や第三者による不正アクセス・情報漏えいの恐れがあり、内部統制上の重大な不備である」ことを示します。この影響（リスク）を書かなければ、経営者はなぜ優先して直すべきかを判断できません。そして改善勧告として「退職手続にアカウント無効化を必須工程として組み込み、定期的な棚卸で退職者アカウントの残存を発見する仕組み（発見統制）を整備すべき」という方向性を勧告します。ここで監査人が越えてはならない一線があります。監査人が自ら人事システムにログインして退職者アカウントを削除したり、無効化のスクリプトを書いて本番に適用したりするのは是正の実装であって監査人の役割ではありません——それをすれば次の監査で自分の作った仕組みを監査することになり、外観的にも精神的にも独立性を失います。是正の実行は被監査部門と経営者に委ね、監査人は後日フォローアップで実施状況を客観的に確認する立場を保ちます。加えて、この指摘はログイン可能なアカウントが残る重大リスクなので、勧告には「早期対応」の優先度を付し、軽微な指摘（例：命名規則の不統一）とは濃淡を分けて、経営者が限られた資源を重大リスクに振り向けられるようにします。このように「事実で裏づけ、影響で優先度を伝え、勧告にとどめて実装は現場に委ねる」のが報告書作成の判断です。
| 要素 | 書く内容 | 欠けると |
|---|---|---|
| 事実（現状） | 監査証拠で確認した客観的状態 | 主観・推測になり信頼性を失う |
| 原因 | その状態を生んだ根本原因 | 対症療法にとどまり再発する |
| 影響（リスク） | 放置時の損害・脅威 | なぜ優先して直すか伝わらない |
| 改善勧告 | 是正の方向性（実装は現場） | 経営者が是正を判断できない |
ひっかけ： 「不備を見つけたら監査人が自らその場で是正すれば早い」は誤りです——是正の実装は被監査部門と経営者の責任で、監査人が手を下すと自分の仕事を監査することになり独立性・客観性を失います。「報告書は監査人の危機感が伝わるよう、証拠がなくても危険だと強く断定して書くべき」も誤りで、裏づけのない断定は反発を招き報告書の信頼性を損なう——事実に基づく記述が原則です。「指摘事項は現状と勧告だけ書けば十分」も誤りで、影響（リスク）を欠くと優先度が伝わらず、経営者は是正の意思決定ができません。
6.1.4この節のまとめ
- 指摘事項は事実・原因・影響（リスク）・改善勧告の4点で組み立て、影響を欠くと優先度が伝わらない
- 記述は監査証拠で裏づけた事実に基づく（主観・推測で断定しない）、裏づけのない断定は信頼性を損なう
- 監査人は改善を勧告する立場で是正を自ら実装しない（独立性の保持）、勧告は実現可能でリスク重要度に応じ優先度を付す
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. システム監査人が退職者アカウントの削除漏れという重大なコントロール不備を発見した。監査報告での対応として最も適切なものはどれか。
Q2. 監査報告書の指摘事項に「現状（事実）」と「改善勧告」だけを書いたところ、経営者から「なぜ他の課題より優先して直す必要があるのか判断できない」と指摘された。記載の改善として最も適切なものはどれか。
Q3. 複数の指摘事項の中に、直ちに情報漏えいにつながる重大な不備と、命名規則の不統一という軽微な指摘が混在している。改善勧告の付け方として最も適切なものはどれか。