証拠から結論へ進む

1監査計画と予備調査

システム監査計画では、目的、対象範囲、判断尺度、日程、担当、調査方法などを決める。リスクアプローチに基づく監査手続の適用は、重要なリスクに重点を置いて調査の深さや方法を選ぶこと。全てを同じ深さで調べるのではなく、影響の大きさや統制の弱さなどを考える。

予備調査では業務やシステムの概要、組織、管理状況を把握し、本調査の具体的な着眼点を整える。計画と予備調査は相互に見直す場合もある。先に結論を決めて都合のよい証拠だけ探すものではない。

2本調査で証拠を集める

本調査では、文書閲覧、ヒアリング、現場の観察、データ分析、再実施などで監査証拠を入手する。申請記録と承認記録を突き合わせれば、手順書に書かれた承認が実際に行われたかを確かめられる。説明を聞くだけでなく記録や実際の動作と合わせて確かめる。

CAAT（Computer Assisted Audit Techniques：コンピュータ利用監査技法）は、監査用プログラムなどで大量のデータを抽出・照合・分析する方法。EA（Enterprise Architecture：企業全体の業務とシステムを整合させる全体設計）は組織の全体最適の枠組みで、文書閲覧やヒアリングと並ぶ証拠収集技法そのものではない。

架空の経費精算で、ルールは「申請者以外の承認を得てから支払う」です。申請記録と承認記録を申請番号で照合します。R01は別担当者の承認あり、R02は承認記録なし、R03は申請者本人が承認していました。R02は記録漏れか手続漏れかを追加確認し、R03は権限分離の不備を調べます。

この3件だけで全社の不正を断定しません。

3証拠を評価し調書に残す

評価・結論では、収集した証拠を基準と比較し、リスクへの対応が適切かを判断して監査意見をまとめる。外部記憶媒体の管理なら、持出し台帳、承認記録、保管状況の調査結果を合わせて判断する。概要を調べる予備調査や、証拠を集める本調査とは段階が違う。

監査調書は、実施した手続、入手した証拠、判断過程などを記録し、結論の根拠をたどれるようにするもの。機密性に配慮して保管し、後から確認できる状態を維持する。報告書は要点と結論を報告先へ伝える文書で、調書と目的が異なる。

4報告して改善を確かめる

システム監査報告書には、目的、範囲、評価の結果、結論、改善提案などを整理し、定めた報告先へ報告する。根拠にない断定を避け、どの範囲をどの証拠で評価したかが伝わるようにする。

改善提案のフォローアップでは、管理側が決めた改善について実施状況と効果を確認する。計画を作っただけで改善完了とはせず、修正した権限設定やその後の記録を確かめる。監査人が改善実施の当事者にならず、検証の役割を保つ。