6.1監査報告書と改善勧告

システム監査は、コントロールの不備を見つけて終わりではなく、経営に伝わり是正につながって初めて価値を生みます。その架け橋が監査報告書です。システム監査人には、集めた監査証拠に基づいて指摘事項を事実・原因・影響・改善勧告の順で客観的に記述し、感想や推測ではなく確認できた事実で裏づける判断が求められます。重要なのは、監査人は不備を指摘し改善を勧告する立場であって、具体的な是正策を自ら設計・実装する立場ではないという点です。是正を監査人が実装してしまえば、次の監査で自分の仕事を監査することになり独立性・客観性を失います。

6.1.1指摘事項の4要素と事実に基づく記述

• 指摘事項の4要素＝(1)事実（現状・状態）＝監査証拠で確認できた客観的事実、(2)原因＝なぜその状態になったか、(3)影響（リスク）＝放置した場合に想定される損害・脅威、(4)改善勧告＝どう是正すべきかの提言。この4点が揃って初めて、経営者は「なぜ直すべきか」を理解して意思決定できる。影響（リスク）の記述を欠くと、なぜ優先して直すべきかが伝わらない。
• 事実に基づく記述＝報告書は監査人の主観的な感想や推測ではなく、監査証拠で裏づけられた確認済みの事実に基づいて書く。「〜と思われる」「おそらく危険だ」といった曖昧な表現ではなく、「いつ・どの対象を・どう確認した結果、どの基準に照らして不備か」を具体的に示す。裏づけのない断定や過度な誇張は、被監査部門の反発を招き報告書の信頼性を損なう。

6.1.2改善勧告の書き方と監査人の立場