システム監査

基本の仕組み

入力者と承認者を分け、変更履歴を残せば、誤入力を発見したり後から経緯を確認したりできます。監査人は、その仕組みが設計どおり動いているか証拠を集めます。

システム監査では、監査対象から独立した立場で評価し、改善につながる指摘を行います。実際の改善を決め実施する責任は、対象の経営者や管理者にあります。

監査人が対象業務を自ら運用し、その成果を自分で監査すると独立性が損なわれます。監査があるだけで全ての不正を防げるとも限りません。

監査と運用責任

経済産業省のシステム監査基準では、システム監査人が独立かつ客観的な立場で、監査証拠に基づいて情報システムを検証・評価し、保証や助言を行うとしています。監査対象の業務から離れた立場にあること（外観上の独立性）と、偏らずに判断すること（精神上の独立性）の両方が求められます。

内部統制を整備・運用する最終的な責任は経営者にあり、業務部門は日々の統制を運用します。監査人は指摘事項と改善提案を監査報告書で報告し、その後、改善が適切に実施されているかをフォローアップで確かめます。改善を実施するのは監査対象側です。

監査の流れと技法

システム監査は、リスクの大きい領域に重点を置いて監査計画を立て（リスクアプローチ）、予備調査で対象の概要をつかみ、本調査で監査手続を適用して監査証拠を集めます。その後、評価・結論をまとめて報告し、フォローアップします。実施した手続と結論の根拠は監査調書に記録します。

監査技法には、関係者に質問するインタビュー（ヒアリング）、文書や記録の閲覧・突合、現場の観察、コンピュータを利用するCAAT（コンピュータ支援監査技法）などがあります。インタビューで得た回答は、それを裏付ける文書や記録を入手して確かめてから監査証拠として使います。

内部統制とITへの対応

金融庁の内部統制の基準では、内部統制の目的を業務の有効性及び効率性、報告の信頼性、事業活動に関わる法令等の遵守、資産の保全の四つとし、基本的要素を統制環境、リスクの評価と対応、統制活動、情報と伝達、モニタリング、ITへの対応の六つとしています。

ITに関する統制には、システムの開発・運用やアクセス管理などシステム全体を対象とするIT全般統制と、個々の業務処理で入力・処理・出力の正確性を確保するIT業務処理統制があります。内部統制にも限界があり、判断の誤り、複数人の共謀、経営者による無視などがあれば有効に機能しないことがあります。