システム監査

1-1監査の種類

相棒の答えは、言葉の整理から始まりました。ある対象が決まりや基準に合っているかを、その対象から離れた立場の人が調べ、結果を伝えることを監査といいます。自分で自分を点検するのとは違い、利害のない人が調べるので、結果を見た人が信用できます。百貨店が欲しがっているのは、まさにこの「離れた立場の人の点検」でした。

監査は、何を調べるかで呼び名が変わります。会社の決算書（財務諸表）が正しく作られているかを調べるのが会計監査で、公認会計士や監査法人が担うことが多い監査です。お金の記録に限らず、仕事の進め方そのものが決まりどおりで、むだなく行われているかを調べるのが業務監査です。予約の受け方、パンの仕込みの段取りまで対象になるので、会計監査より範囲が広くなります。

こむぎ堂が頼むべきなのは、そのどちらでもありません。情報システムを対象に、専門性を持ち、対象から独立した監査人が一定の基準に沿って点検・評価し、システムが適切であると保証するか、改善のための助言をする監査をシステム監査といいます。そのうち、情報を守る対策が基準に合い、きちんと働いているかに的を絞った監査を情報セキュリティ監査と呼びます。予約の取りこぼしを心配している百貨店にはシステム監査の結果が、お客さまの名簿が漏れないかを心配する相手には情報セキュリティ監査の結果が答えになります。

1-2システム監査の目的と監査人

システム監査を行う人をシステム監査人といいます。情報システムの知識と監査の技能を持ち、監査する相手から独立した立場にいることが求められます。システム監査人は、情報システムにまつわるリスクに組織がきちんと手を打っているかを、高い倫理観のもとで検証・評価し、保証や助言をします。それによって、組織の仕事が効果的に、むだなく進むのを支え、組織の目標の達成に役立て、取引先やお客さまのような関わりのある人たちへの説明責任を果たせるようにすることが、システム監査の目的です。

監査人が手順や心構えのよりどころにするのが、経済産業省が定めたシステム監査基準です。昭和60年（1985年）に作られ、その後何度か改訂されています。いまの版は令和5年（2023年）に改訂されたものです。監査の結果が「この基準に沿って監査した」と言えることで、監査人が変わっても一定の質が保たれます。打ち合わせの最初の質問も、この基準が求める手順の一つでした。

1-3監査人の倫理

監査の結果が信用されるのは、監査人の腕前だけが理由ではありません。調べる相手と利害でつながっていないこと、見つけたことを曲げずに伝えること、知り得た秘密を漏らさないこと。この三つが欠けると、どれほど丁寧に調べた結果でも、受け取った人は疑いを捨てられません。業者の知り合いが「問題なし」と書いた報告書を、百貨店は信じないでしょう。店長が自分の店を点検しても「身内の点検」にしかならないのと同じ理屈です。

監査人が対象から離れた立場にいることは、監査の信用を支える柱の中でも、外から確かめやすいものです。百貨店の担当者は監査人の心の中までは見られませんが、業者と取引がないこと、こむぎ堂の親類でないことなら確かめられます。

1-4監査の対象と範囲

システム監査が調べるのは、システムが動いているかどうかだけではありません。対象は、システムを企画し、作り（アジャイル開発のような作り方も含みます）、動かし、直し、最後に捨てるまでの流れ全体です。クラウドのような外のサービスを選んで使う流れも対象です。目の付け所も、日々の操作の決まりから、店の方針としてITをどう使うかという経営の判断まで広がります。範囲が広い分、今回はどこまで見るのかを文書と計画で決めておかないと、監査人も依頼者も結果を読み違えます。

では、範囲の中で監査人は何を見るのでしょうか。組織の目的の達成をさまたげるかもしれない、不確かなできごとをリスクといいます。こむぎ堂の予約なら、「同じパンを、焼ける数より多く予約で受けてしまう」がその一つです。リスクを小さくするために、仕事の流れやシステムに組み込んだ仕組みをコントロール（統制）といいます。焼ける数に達したら予約の画面がそのパンの受付を自動で止める設定は、コントロールの例です。監査人は、リスクに見合ったコントロールが用意され、実際に働いているかを確かめます。

1-5監査計画の策定

監査を始める前に、監査人はシステム監査計画を立てます。監査の目的とテーマ、対象の範囲、方法、いつ行うか、誰が担当するか、日ごとの段取りを書いた計画です。大きな組織では、何年かを見通す中長期の計画、1年の計画、個々の監査の計画に分けて立てます。こむぎ堂の監査は一回きりなので、一つの監査の計画だけで足ります。

ミナトの答えは「受付です」でした。直感としては正しいのですが、監査人は理由を数字にするよう求めました。リスクの大きさを評価し、その結果にもとづいて、どこを重点的に、どれだけ深く監査するかを決める考え方をリスクアプローチといいます。システム監査基準も、監査計画は主にリスクアプローチで立てるとしています。

二人は、4つの機能について、起こりやすさと、起きたときの影響を3段階で見積もりました。二つを掛けた点数が大きいほど、リスクが大きいと考えます。点数の合計がちょうど24なので、1点に1時間を配ると、持ち時間の24時間にそのまま収まります。

取り消しの3時間は、見ないという意味ではありません。リスクが小さいと見積もった所は浅く、大きい所は深く調べるという配分です。限られた時間で、困ることが起きやすい所を見逃さないために、監査はこうして重みをつけます。

重みづけは計画のときだけで終わりません。実際に調べる段階でも、リスクの評価に応じて、どの手続をどれだけ深く使うかを変えていきます。これをリスクアプローチに基づく監査手続の適用といいます。調べている途中で思っていたより大きなリスクが見つかれば、計画を見直し、時間を配り直します。

1-6監査の実施

システム監査は、監査計画の策定、監査の実施、監査の報告とフォローアップという順で進みます。真ん中の「実施」は、さらに予備調査、本調査、評価と結論に分かれます。1日目の聞き取りと書類読みは予備調査で、仕事の流れ、担当、使っている書類などの実態をつかむ段階です。本調査では、監査の結論を支える材料を集めます。

計画に沿って、聞き取りや書類の確認、記録の突き合わせといった具体的な作業を行うことを監査手続の適用といいます。一つの確かめたいことに対して、いくつかの手続を組み合わせるのがふつうです。手続の結果として監査人が手に入れ、結論のよりどころにする資料や記録、証言を監査証拠といいます。

証拠は集めればよいわけではありません。結論を支えられるだけの量があり、確かめたいことに合っていて、証明する力を持っているかを判断します。システム監査基準は、これを「十分かつ適切な監査証拠」と呼んでいます。ミナトの「入力し忘れたことはありません」という答えは証拠の一つですが、口で聞いただけでは証明する力が弱く、注文票と記録を突き合わせて裏を取る必要があります。証拠を集め、量と質の両方から足りているかを見きわめる手順を監査証拠の入手と評価といいます。

監査人は、何を、いつ、どの手続で確かめ、何が分かったかを書き残します。この記録を監査調書といいます。監査の結論は、監査調書にもとづいて出すものなので、調書がなければ結論の根拠を示せません。調書を秩序立てて作り、あとで誰かが見直したときにも同じ道筋をたどれるようにし、適切に保管することを監査調書の作成と保管といいます。こむぎ堂の調書にはお客さまの名前も写るので、持ち出しのルールや、無断で見られない守りも要ります。

1-7システム監査技法

監査人が証拠を集めるために使う方法をまとめてシステム監査技法といいます。システム監査基準が例に挙げる代表的なものを、表にまとめます。

突き合わせの結果を数字にすると、40枚中2枚、つまり2 ÷ 40 = 0.05で、5%の注文票がシステムに入っていなかったことになります。12月の電話予約が全部で300件あったなら、同じ割合で15件ほどが漏れていたおそれがあります。抜き出した一部から全体を見積もるので、正確な件数ではありません。それでも、百貨店の売り場で「予約したのに品物が無い」が起こりうることを示すには十分な証拠です。

監査人は、注文票の番号と予約の記録をスプレッドシート（表計算ソフト）に書き出し、二つの列を並べて照合しました。セルに数値や式を入れて集計や計算をするソフトウェアで、件数の照合や割合の計算にも向いています。一方で、利用者が自分で作った表計算のファイルは、式の誤りに誰も気づかないまま使われがちです。店長が手作りしている売上の集計表のように、仕事に使われているスプレッドシートそのものが監査の対象になることもあります。

1-8報告とフォローアップ

監査の結果をまとめ、依頼者や関係者に出す文書をシステム監査報告書といいます。監査の目的、対象の範囲、実施した期間、監査人、手続の概要などの概要と、結論を中心とした結果を書きます。システム監査基準は、監査の目的に合った形式で報告書を作り、監査の依頼者や適切な関係者に報告することを求めています。シラバスでは監査報告書の作成と報告、ITパスポートのシラバスではシステム監査報告書の作成と報告という語で載っています。報告書は正確で、簡潔で、分かりやすく書き、責める調子を避けて建設的にすることが望ましいとされています。

報告書の最後にあった2つの提案は、「電話で受けた予約は、受けたその場でシステムに入力する」「閉店時に、その日の注文票の枚数とシステムの予約件数を照合する」でした。問題を解消するために監査人が示す、改善のための提案を改善提案といいます。提案をどう実行するかを決め、実行するのは、監査を受けた店の側です。

報告書を出したところで、監査そのものは終わります。ただ、提案が実行されたかを確かめなければ、監査の効き目は分かりません。改善提案が適切に、時機を逃さず実行されているかを、監査人があとから確かめる活動をフォローアップといいます。シラバスでは改善提案のフォローアップという語で、システム監査基準の報告の基準の一つにあたります。

フォローアップで監査人が責任を負うのは、改善が適切かどうかを確かめて報告するところまでです。改善の実行そのものには責任を負いません。監査人が改善の計画づくりや実行に加わると、次に監査するとき、自分の手がけた仕組みを自分で点検することになり、独立性と客観性が損なわれるからです。

1-9その他の監査と基準

システム監査のほかにも、情報システムに関わる監査があります。情報セキュリティ監査、個人情報の扱いを確かめる個人情報保護監査、法令を守っているかを確かめるコンプライアンス監査などです。どれも、何を判断尺度にするかで中身が決まります。

情報セキュリティ監査の判断尺度としてよく使われるのが、経済産業省の情報セキュリティ管理基準です。組織が情報セキュリティのために何を決め、どんな対策を取るべきかを並べた基準で、情報セキュリティマネジメントの国際規格にもとづいて作られています。システム監査基準も、情報セキュリティを監査するときは、システム管理基準とあわせてこの基準を参照するのが望ましいとしています。

百貨店の質問に答えるには、個人情報を守る体制を外の目で確かめてもらった証しが役に立ちます。個人情報を適切に扱う体制を整えている事業者に、審査を経てマークの使用を認める仕組みがプライバシーマーク制度です。一般財団法人日本情報経済社会推進協会（JIPDEC）が運営しており、審査の基準には、個人情報保護の体制について定めた日本産業規格（JIS）が使われます。マークがあれば、取引先は体制が審査を通ったことを確かめられます。

コンプライアンス監査では、法令そのものが判断尺度になります。情報システムを作り、動かすときにも、守るべき法律があるからです。

著作物を創作した人の権利を守る法律が著作権法です。プログラムも著作物として守られます。予約の画面に、ネットで見つけたパンのイラストを無断で使っていないか、業者が作ったプログラムを契約の範囲を超えて複製していないかは、この法律に照らして確かめます。

営業秘密を守り、他人の商品表示をまねるような不正な競争を禁じる法律が不正競争防止法です。お客さまの名簿や秘伝のレシピが営業秘密として守られるには、秘密として管理されていること、事業に役立つこと、世間に知られていないことの3つがそろっている必要があります。名簿のファイルを誰でも開ける場所に置いていれば、秘密として管理しているとは言いにくくなります。

働く人の労働条件の最低基準を定めた法律が労働基準法です。アルバイトのシフトをシステムで組んでいるなら、労働時間や休憩、休日がこの法律の基準を下回っていないかも監査の対象になります。

春の催事の初日、百貨店の売り場には、こむぎ堂のパンを受け取るお客さまの列ができました。予約の数と、並べた袋の数は、最後の一つまで合っていました。百貨店の担当者に渡したのは、システム監査報告書とフォローアップ報告書の2通です。ミナトが毎日見ていたことは変わっていません。変わったのは、それを店の外の人が、決まった手順で確かめ、証拠とともに書き残したことでした。

ただ、帰り道に店長がつぶやいた一言が、ミナトの頭に残っています。「入力漏れに誰も気づかなかったのは、全部ミナト一人に任せていたからかもしれないね」。店の中で間違いに気づける仕組みをどう作るのか。ミナトは、まだその答えを持っていませんでした。