本文へ移動
  1. 高校情報
  2. 基本情報ハンズオンラボ
  3. システム監査

中分類16 大分類：サービスマネジメント マネジメント系

システム監査

情報システムがリスクにきちんと備えているかを、独立した立場の監査人が証拠をもとに点検します。監査の手順と、組織が自分で作る仕組み（内部統制）の目的と要素を押さえます。

独立した立場の監査人が虫眼鏡で調べ、集めた証拠をもとに報告・改善提案の文書を作る流れと、それを下で支える内部統制を描いた図
図：監査人・証拠・報告と、それを支える内部統制

要点

システム監査

監査業務
決算書を調べる会計監査、業務全般の業務監査、情報システムが対象のシステム監査や情報セキュリティ監査がある。
法律で義務付けられた法定監査と任意監査。組織の中の人が行う内部監査と、外部の専門家が行う外部監査。
システム監査の目的
独立したシステム監査人が、システムのリスクへの対応を検証・評価し、保証や助言で組織の目標達成を助ける。
監査人の倫理として、対象からの独立性と客観性を保ち、正当な注意を払い、秘密の保持を守る。
システム監査の流れ
監査計画の策定→監査の実施→監査報告とフォローアップ。リスクの大きい所に重点を置いて計画するのがリスクアプローチ。
システム監査の対象業務
システムのコントロールとマネジメントからガバナンスまで、企画・開発・運用・保守・廃棄と外部サービスの利用が対象になる。
監査の目的と範囲は、内部監査規程やシステム監査委託契約書、監査計画ではっきり決める。
システム監査計画の策定
目的・テーマ、対象範囲、方法、時期、体制、スケジュールをシステム監査計画にまとめる。
システム監査の実施
予備調査で資料と聞き取りから概要をつかみ、本調査で監査手続を適用して監査証拠を集める。
証拠と判断の過程を監査調書に記録して保管し、それをもとに結論を出す。技法にはチェックリスト、インタビュー、テストデータ法などがある。
報告とフォローアップ
システム監査報告書で指摘事項と改善提案を伝える。保証を目的とした監査と、助言を目的とした監査がある。
改善するのは監査を受けた部門。監査人は改善計画が実施されているかをフォローアップで確かめる。
システム監査の体制整備
監査の品質を一定に保つため、監査人の育成や監査の進め方を見直す体制を整えて運用する。
その他のシステム関連の監査
情報セキュリティ監査は情報セキュリティ管理基準を物差しにする。個人情報の扱いはJIS Q 15001とプライバシーマーク制度。
法令や社内規程を守っているかを見るのがコンプライアンス監査。マネジメントシステムの監査の指針はJIS Q 19011。
システム監査基準・システム管理基準
監査人の行動と手順の規範がシステム監査基準。何で良し悪しを判断するかの物差しがシステム管理基準。どちらも経済産業省が定めた。

内部統制

内部統制
内部統制は、組織を健全かつ効率的に動かすため組織が自ら作る仕組み。業務の明確化・職務分掌・ルール・チェック体制で実現する。
目的は、業務の有効性及び効率性、報告の信頼性、法令等の遵守、資産の保全の4つ。考え方の元はCOSOフレームワーク。
基本的要素は、統制環境・リスクの評価と対応・統制活動・情報と伝達・モニタリング・ITへの対応の6つ。
ITの統制には、システム全体を支えるIT全般統制と、個々の処理の正しさを守るIT業務処理統制がある。上場企業は内部統制報告制度で評価を報告する。
ITガバナンス
ITガバナンスは、経営陣がITの使い方のあるべき姿を示し、戦略と方針を決めて実現させる活動。規格はJIS Q 38500。
責任者としてCIO（最高情報責任者）やCISO（最高情報セキュリティ責任者）を置く。コーポレートガバナンスの一部。
法令遵守状況の評価・改善
システムが会社法や金融商品取引法などを守っているかを評価して直す。現場が自分で統制を点検するのがCSA。

さわって確かめる

監査の手順と、内部統制の目的・基本的要素を、次の3つで確かめます。

1. システム監査の手順を並べ替える

6つの手順を「上へ」「下へ」で動かし、監査計画からフォローアップまでの正しい順にしよう。

  1. 本調査監査手続を適用して監査証拠を集める
  2. 監査報告報告書で指摘事項と改善提案を伝える
  3. 監査計画の策定目的・範囲・時期・体制を決める
  4. フォローアップ改善が実施されているかを確かめる
  5. 予備調査資料と聞き取りで概要をつかみ、調べ方を具体的にする
  6. 評価・結論集めた証拠を評価して結論を出す

2. 内部統制の「目的」と「基本的要素」

10の言葉を、内部統制の4つの目的と6つの基本的要素に仕分けよう。

  • 目的
  • 基本的要素
  1. 統制環境
  2. 業務の有効性及び効率性
  3. リスクの評価と対応
  4. 報告の信頼性
  5. 統制活動
  6. 事業活動に関わる法令等の遵守
  7. 情報と伝達
  8. 資産の保全
  9. モニタリング
  10. ITへの対応

3. その取り組みはどの基本的要素か

会社の6つの取り組みが、内部統制のどの基本的要素に当たるかを選ぼう。

  • 統制環境
  • リスクの評価と対応
  • 統制活動
  • 情報と伝達
  • モニタリング
  • ITへの対応
  1. 発注する人と、支払いを承認する人を別の人にした。
  2. 経営者が「誠実さを最も大事にする」と全社に示し、行動規範を定めた。
  3. 内部監査部門が、決めた手続が守られているかを毎年点検している。
  4. 新しい海外取引で起こりうる損失を洗い出し、大きいものから対策を決めた。
  5. 不正の兆しに気づいた社員が、上司を通さずに通報できる窓口を作った。
  6. 販売システムにアクセス権を設定し、入力した金額の範囲を自動で点検するようにした。

3問チェック

最初に選んだ答えで採点します。全問正解で、この単元に「済み」の印が付きます。

  1. システム監査人の立場として、適切なものはどれか。

    1. 監査対象のシステムを開発した担当者が、中身をよく知っているので監査する。
    2. 見つけた問題は、監査人が自分で直してから報告する。
    3. 監査対象の部門から独立し、客観的な立場で証拠をもとに評価する。
    4. 監査対象の部門の責任者の指示に従って、監査の結論を決める。
    答えと解説

    正解はウ。監査人には独立性と客観性が求められる。自分で作ったものを監査したり、相手の指示で結論を決めたりすると、独立性が保てない。問題を直すのは監査を受けた部門で、監査人は改善提案をしてフォローアップで確かめる。

  2. システム監査で、本調査の前に行う予備調査の内容として適切なものはどれか。

    1. 資料の閲覧や聞き取りで対象の概要をつかみ、本調査で行う監査手続を具体的にする。
    2. 改善計画が実施されているかを、期限の後に確かめる。
    3. 集めた監査証拠を評価して、監査の結論を出す。
    4. 報告書に指摘事項と改善提案を書いて、依頼者に提出する。
    答えと解説

    正解はア。予備調査は、本調査で何をどう調べるかを決めるための下調べ。イはフォローアップ、ウは評価・結論、エは監査報告で、どれも本調査より後に行う。

  3. 内部統制の4つの目的に含まれないものはどれか。

    1. 業務の有効性及び効率性
    2. 資産の保全
    3. 事業活動に関わる法令等の遵守
    4. 売上の最大化
    答えと解説

    正解はエ。4つの目的は、業務の有効性及び効率性、報告の信頼性、事業活動に関わる法令等の遵守、資産の保全。内部統制は組織を健全に動かす仕組みで、売上を伸ばすこと自体は目的に入らない。