6.3フォローアップと監査の品質管理

監査は報告書を出して終わりではありません。勧告した改善が実際に実行され、狙ったリスクが下がったかを確かめるフォローアップまで含めて、監査は初めて完結します。システム監査人には、改善状況を口頭の回答や「対応済み」という報告を鵜呑みにせず、客観的な証拠で確認し、是正が形だけでなく実効を上げているか（有効性）を検証する判断が求められます。さらに、監査そのものの品質を保つために、監査調書や結論が適切かを査閲（レビュー）・監督する内部の品質管理も欠かせません。監査人の判断に誤りがあれば、監査全体の信頼が揺らぐからです。

6.3.1フォローアップと是正の有効性検証

• フォローアップ＝過去の監査で指摘した事項について、改善が計画どおり実行されたかを後日確認する監査活動。報告書を出しただけでは是正が進まないことがあるため、フォローアップまで行って初めて監査が組織のリスク低減に寄与する。フォローアップの結果、未対応や対応遅延があれば、あらためて経営者へ報告する。
• 是正の有効性を検証する＝フォローアップでは「対応した」という形式的な完了ではなく、是正によって狙ったリスクが実際に下がったか（有効性）を確かめる。例えば「アクセス権限の見直しを実施した」という報告に対し、実際の権限設定を確認し、退職者アカウントが本当に無効化され再発防止の仕組みが機能しているかまで検証する。形だけの是正（実効を伴わない対応）を見抜くのがフォローアップの核心。
• フォローアップも客観的な証拠で確認する＝改善状況の確認は、被監査部門の口頭回答や自己申告を鵜呑みにせず、監査人自らが入手・確認できる客観的証拠（設定内容・ログ・記録・再テスト結果）で裏づける。「対応済みです」という言葉だけを証拠とするのは、監査証拠の信頼性の原則に反する。監査人が直接確認した証拠ほど信頼性が高い。

6.3.2監査業務自体の品質管理

• 監査の品質管理＝監査という業務そのものの品質を保つ仕組み。個々の監査人の判断や結論が妥当か、監査調書が適切に作成され結論を裏づけているかを上位者が査閲（レビュー）・監督し、必要なら是正する。監査人の誤り・見落とし・偏りを組織として抑え、監査結果の信頼性を担保する。
• 調書の査閲と内部評価＝監査調書は作成者以外の上位者・査閲者がレビューし、証拠が結論を十分に裏づけているか、監査手続が計画どおり実施されたかを確認する。加えて、監査部門全体の品質を定期的に内部評価（自己点検）や外部評価で見直し、改善する。監査人自身も評価される側になるという規律が、監査の客観性を支える。

6.3.3フォローアップと品質管理の判断

あるシステム監査人が、前回監査で「退職者アカウントの削除漏れ」を重大な不備として指摘し、被監査部門が「アクセス権限の棚卸を実施し是正済み」と回答したとします。フォローアップとしてどう確認するかが問われます。ここで「是正済みです」という口頭・書面の回答をそのまま証拠として受け入れて完了とするのは誤りです——監査証拠の信頼性の原則からは、監査人自らが入手・確認できる客観的証拠で裏づける必要があります。そこで実際のアクセス権限設定と現在の利用者一覧を人事の退職者名簿と再突合し、前回残っていた退職者アカウントが本当に無効化されたかを確認します。さらに一歩進めて、単に今回消えたかだけでなく、再発防止の仕組み（退職手続にアカウント無効化を組み込む・定期棚卸の運用）が実際に機能しているか（是正の有効性）まで検証します。もし退職者アカウントは消えていたが、無効化が手作業の一回限りで再発防止の仕組みは未整備だったなら、それは「形だけの是正」であり、有効性の観点では不十分だと判断し、あらためて経営者へ報告します。次に監査の品質管理です。このフォローアップの結論と監査調書は、担当監査人だけで完結させず、上位者・査閲者がレビューし、確認した証拠が「有効性まで確かめた」という結論を十分に裏づけているか、手続が計画どおり実施されたかを点検します。もし調書に「口頭確認のみ」で客観的証拠の記録が欠けていれば、査閲者はそれを指摘し、証拠の再取得を求めます。こうして監査人自身の判断も査閲・監督の対象とすることで、監査全体の客観性と信頼性を担保します。このように「フォローアップは客観的証拠で有効性まで確かめ、監査業務自体も査閲で品質を保つ」のが報告後の判断です。

6.3.4この節のまとめ

• フォローアップは改善実行を後日確認し、形式的完了でなく是正の有効性（リスクが実際に下がったか）を検証する
• フォローアップでも口頭回答を鵜呑みにせず客観的な証拠（設定・ログ・再テスト）で確認し、形だけの是正を見抜く
• 監査の品質管理＝調書の査閲・監督・内部/外部評価で監査人自身の判断も点検し、監査の客観性と信頼性を担保する