5.5システム監査

システム監査は、情報システムが組織の目標に沿って適切に整備・運用されているかを、開発や運用の当事者とは異なる立場から検証する活動です。「誰が・何を根拠に・どう検証するか」という監査の型と、監査を成立させる前提である内部統制と独立性の考え方を押さえます。

5.5.1監査プロセスと監査証拠・監査技法

• システム監査のプロセス＝監査計画（対象範囲・監査項目・スケジュールの策定）→監査の実施（証拠収集・評価）→監査報告（結果を監査報告書として経営者等に報告）→フォローアップ（指摘事項が改善されたか事後確認）という順で進みます。
• 監査証拠＝監査人が結論を導くための客観的な根拠資料（議事録・ログ・帳票・設定ファイル等）。監査人はこの証拠に基づいて監査意見を形成するため、証拠の十分性（量）と適切性（質）の両方が求められます。
• 監査技法＝証拠を収集する具体的な方法。ヒアリング（インタビュー法）＝担当者への聞き取り。ドキュメントレビュー（チェックリスト法）＝規程やマニュアル等の文書を確認。現地調査（視察法）＝実際の作業現場を訪れて確認。コンピュータ支援監査技法（CAAT）＝監査人がツール・ソフトウェアを用いてログやデータを分析する技法。目的や対象に応じて複数の技法を組み合わせます。

5.5.2内部統制・可監査性・監査人の独立性

• 内部統制＝組織が業務の適正・有効性、財務報告の信頼性、法令遵守などの目標を達成するために、組織内に整備・運用する仕組み全般。IT統制＝内部統制のうちIT（情報システム）に関わる部分で、全般統制（システム全体に共通する統制。アクセス管理・変更管理等）と業務処理統制（個別業務システムに組み込まれた統制。入力チェック等）に大別されます。
• 職務分掌＝1人の担当者に権限や作業が集中しないよう、業務を複数の担当者・役割に分離する内部統制の代表的な仕組み。例えば「取引の申請者」と「承認者」を別の人物にすることで、不正やミスを1人だけでは完結できないようにします。権限の集中は不正リスクを高めるため、職務分掌はIT統制・業務統制を問わず広く要求されます。
• 可監査性＝システムが監査（証拠収集・検証）を行いやすい構造になっているかという性質。ログが十分に記録され、処理の過程が追跡可能であるほど可監査性が高いとされます。監査人の独立性＝監査人が監査対象の業務・組織から独立した立場で、利害関係にとらわれず客観的に評価できることを指します。自らが開発・運用した対象を自分で監査すること（自己監査）は独立性を損なうため避けるべきとされます。