6.3フォローアップと監査の品質管理

監査は報告書を出して終わりではありません。勧告した改善が実際に実行され、狙ったリスクが下がったかを確かめるフォローアップまで含めて、監査は初めて完結します。システム監査人には、改善状況を口頭の回答や「対応済み」という報告を鵜呑みにせず、客観的な証拠で確認し、是正が形だけでなく実効を上げているか（有効性）を検証する判断が求められます。さらに、監査そのものの品質を保つために、監査調書や結論が適切かを査閲（レビュー）・監督する内部の品質管理も欠かせません。監査人の判断に誤りがあれば、監査全体の信頼が揺らぐからです。

6.3.1フォローアップと是正の有効性検証

• フォローアップ＝過去の監査で指摘した事項について、改善が計画どおり実行されたかを後日確認する監査活動。報告書を出しただけでは是正が進まないことがあるため、フォローアップまで行って初めて監査が組織のリスク低減に寄与する。フォローアップの結果、未対応や対応遅延があれば、あらためて経営者へ報告する。
• 是正の有効性を検証する＝フォローアップでは「対応した」という形式的な完了ではなく、是正によって狙ったリスクが実際に下がったか（有効性）を確かめる。例えば「アクセス権限の見直しを実施した」という報告に対し、実際の権限設定を確認し、退職者アカウントが本当に無効化され再発防止の仕組みが機能しているかまで検証する。形だけの是正（実効を伴わない対応）を見抜くのがフォローアップの核心。
• フォローアップも客観的な証拠で確認する＝改善状況の確認は、被監査部門の口頭回答や自己申告を鵜呑みにせず、監査人自らが入手・確認できる客観的証拠（設定内容・ログ・記録・再テスト結果）で裏づける。「対応済みです」という言葉だけを証拠とするのは、監査証拠の信頼性の原則に反する。監査人が直接確認した証拠ほど信頼性が高い。