監査は何を確かめるのか

1監査の目的と種類

例えば、学校行事の会計係がルールどおりにお金を扱っているか、別の担当者が領収書と記録を照らし合わせて確かめる場面を想像してください。監査も、証拠を基に状況を確かめるという考え方を使います。仕事の何を確かめるかによって種類が分かれます。

監査は、対象の活動や状態について証拠を集め、基準に照らして検証・評価すること。会計監査は会計取引から財務報告に至る処理や報告の適正さを扱う。業務監査は組織の諸業務が方針に沿って合理的・効率的に行われているかを扱う。

情報セキュリティ監査は、情報資産の漏えいや改ざんなどに対するリスク管理を検証・評価する。システム監査は情報システムに関わるリスクへの対応を独立した立場で検証・評価する。情報システムを使った会計処理だから全てシステム監査、とはならず、何を確かめる目的かを見る。

2システム監査の役割

システム監査は、システム監査人が高い倫理観を持ち、独立かつ客観的に情報システムリスクへの対応を検証・評価する活動。証拠に基づく保証や助言を通じ、経営・業務の効果的で効率的な遂行と変革、組織の目標達成、利害関係者への説明責任を支える。

システムを作ること、要件を決めること、施設を整備すること、プロジェクトを管理することそのものではない。例えばバックアップを取得する運用と、「復旧できるよう管理されているか」を検証する監査は役割が違う。

3監査の実施基準と判断尺度

システム監査基準は、監査人の姿勢や監査の実施・報告などのよりどころになる。システム管理基準は、情報システムの管理を評価する際の判断尺度として利用できる。二つは名称が似ているが役割が異なる。

監査目的、範囲、組織の状況に合わせて評価項目と尺度を選ぶ。システム管理基準の全項目をどの監査にも一律に強制するのではなく、目的に適した他の基準を用いることもある。採用する開発手法だけを理由に、管理の基準が全て不要になるわけではない。

適用した版や範囲を監査計画に明記する。