システム監査と内部統制を一つの流れで理解する

システム監査では、情報システムに関するリスクへ適切に対応しているかを、独立かつ客観的な立場のシステム監査人が検証・評価します。

目的は単に誤りを探すことではなく、保証や助言を通じて組織の経営・業務活動の有効性や効率性、変革、説明責任を支援することです。

監査人には高い倫理観、専門的能力、正当な注意、秘密保持などが求められます。監査対象の意思決定や運用に直接関与しすぎると、独立性・客観性を損なうおそれがあります。

監査計画では、監査の目的・テーマ、対象範囲、方法、実施時期、体制、スケジュールなどを定めます。

対象は運用中のシステムだけとは限りません。FEでは、企画、開発、運用、保守、廃棄、外部サービスの調達・利用、さらにコントロール、マネジメント、ガバナンスまで監査対象になり得ることを理解します。

リスクアプローチでは、重要なリスクに重点を置いて監査手続を設計します。限られた時間・人員で有効かつ効率的に監査するための考え方です。

監査証拠は、監査人が評価や結論を裏付けるために入手する情報です。設定資料、ログ、契約書、承認記録、観察結果、ヒアリング結果などが証拠になり得ます。

監査調書は、どの監査手続を実施し、どの証拠を確認し、どのような判断へ至ったかなどを記録する文書です。監査の品質管理や後日の確認にも利用されます。

監査人は、単に証拠を集めるだけでなく、その信頼性や十分性を評価して結論を形成します。

監査結果は、監査目的に応じた形式で監査依頼者や関係者へ報告します。報告書では指摘事項や改善提案などを明確にします。

監査対象側が改善計画を作成した場合、フォローアップでは、その措置が適切かつ適時に実施されているかを確認します。

フォローアップは、監査人自身が監査対象の改善作業を代行することではありません。改善を実行する責任と、改善状況を独立して確認する役割を分けることが重要です。

内部統制は、健全かつ効率的な組織運営のために、組織が自ら構築し運用する仕組みです。

業務プロセスを明確にし、実施ルールを定め、チェック体制を設けることで、誤りや不正を防止・発見しやすくします。

職務分掌は、一人に相反する権限や処理を集中させない考え方です。例えば申請・承認・支払を一人だけで完結させないことで、不正や誤りを発見しやすくします。

内部統制を整備しても、共謀、人為的ミス、経営者による統制無視などによって完全にリスクをゼロにはできません。内部統制には限界があることも理解します。

ITガバナンスは、取締役会等がステークホルダのニーズを踏まえ、組織の価値や信頼を高めるために、ITの利活用のあるべき姿を示す戦略・方針を定め、その実現を図る活動です。

ITマネジメントは、経営方針やITガバナンス方針に基づくIT戦略の目標を達成するために、具体的なコントロールを実行し、その結果を経営者へ報告する体制を整備・運用する活動です。

システム監査は、こうしたガバナンスやマネジメント、コントロールが適切に機能しているかを独立した立場から検証・評価する役割を持ちます。