2.5システム監査

システムが適切に管理・運用されているかを、当事者ではない立場から客観的にチェックする仕組みがシステム監査です。「誰が」「どんな流れで」「何を基準に」確認するのかを理解することが、この節のポイントです。

2.5.1監査の目的と流れ

• システム監査＝情報システムが、信頼性・安全性・効率性などの観点から適切に管理・運用されているかを、第三者的な立場から評価し、改善につなげる活動です。
• 監査は監査計画（監査の目的・対象範囲・スケジュールを定める）→監査の実施（資料の閲覧・関係者への質問・現地確認などで証拠を集める）→監査報告（発見した問題点や改善提案を経営層等へ報告する）→フォローアップ（報告した改善提案が実際に実施されたかを後日確認する）という流れで進みます。

2.5.2内部統制と監査人の独立性

• 内部統制＝組織が自らの業務を適正に遂行するために、組織内に構築する仕組み・ルールの総称。IT統制＝情報システムに関わる内部統制（アクセス権限の管理、変更の承認記録など）。
• 職務分掌＝1人の担当者に権限や作業が集中しないよう、役割を複数人に分けて割り当てる内部統制の代表的な仕組み。例えば「システムへの変更を申請する人」と「その変更を承認する人」を分けることで、不正や誤りを1人だけでは起こしにくくします。
• 監査人に求められる独立性＝監査対象の業務から利害関係を持たない立場であること。監査対象の業務を担当していた人が自分自身を監査すると、客観的な評価ができないため、独立性は監査の信頼性の根幹です。

会計システムの権限管理を対象にしたシステム監査の一場面を追ってみましょう。監査部門はまず監査計画として「今期は会計システムのアクセス権限管理を対象に、不要な権限が放置されていないかを確認する」という目的と範囲を定めます。次に監査の実施として、実際のアクセス権限一覧を閲覧し、異動済みの社員のアカウントが残っていないか、システム管理者に質問しながら確認していきます。この過程で「退職した社員のアカウントが3件、権限を持ったまま残っている」という問題点が見つかったとします。監査人はこれを監査報告として経営層・情報システム部門へ報告し、「退職・異動時のアカウント削除手続きを徹底すること」といった改善提案を添えます。ここで監査が終わりではなく、後日改めて「報告した改善提案どおりにアカウント削除の手続きが実際に整備・実施されたか」を確認するフォローアップまで行って、初めて一連の監査サイクルが完結します。この監査で見ていた「権限が残っていないか」という観点は、突き詰めればIT統制（情報システムに関する内部統制）が機能しているかどうかの確認です。またこの会社では、そもそも「システムへの変更を申請する担当者」と「その申請を承認する担当者」を別の人にする職務分掌を内部統制の一環として設けており、これにより1人が単独で不正な変更を通してしまうリスクを抑えています。なお、この監査を担当する監査人自身が、もし普段から会計システムの権限設定を実務として担当している人物だったとしたら、自分の仕事を自分で評価することになり客観性が保てません。監査人には監査対象の業務と利害関係を持たない独立性が求められるのはこのためです。

2.5.3この節のまとめ

• 監査は監査計画→監査の実施→監査報告→フォローアップの順。フォローアップで改善提案の実施を後日確認して完結
• 内部統制（IT統制含む）の代表例が職務分掌＝権限を複数人に分け不正・誤りを防ぐ
• 監査人には監査対象と利害関係を持たない独立性が不可欠