システム監査の要点

監査の信頼性を保つには、監査人が監査対象から不当な影響を受けず、客観的に判断できることが必要です。外観上の独立性は、組織上の立場や利害関係などから見て、第三者にも独立していると認められる状態を指します。

精神上の独立性は、監査人自身が偏りや圧力に左右されず、公正な判断を保つことです。所属部署だけでなく、判断の姿勢も独立性に含まれると整理します。

外観上は立場、精神上は判断姿勢の独立性を見る。

監査では、対象やリスクを把握して監査計画を立て、実際の監査手続を通じて証拠を集め、評価して結論を形成します。実施段階では、全体像をつかむ予備調査の後、必要な事項を詳しく確かめる本調査へ進む考え方があります。

その後、結果を監査報告書として伝え、改善状況を確認するフォローアップを行います。監査証拠の入手と評価は結論の根拠を作る工程です。

計画・調査・評価・報告・フォローアップの流れを押さえる。

監査証拠は、監査人が結論を形成するための根拠となる情報です。文書の閲覧、担当者への質問、現場の観察、設定や記録の確認など、監査目的に応じた手続で入手します。

証拠は、単に量が多ければよいのではなく、監査目的に照らして適切で、結論を支えるだけの十分性が求められます。監査人は実施した手続や得た証拠、判断過程を監査調書として記録し、後から検証できるようにします。

監査証拠は結論の根拠、監査調書は手続と判断の記録。

システム監査では、監査人が監査を行う際の考え方や行動の基準と、情報システムを適切に管理するための管理側の基準を区別します。システム監査基準は監査の実施側での判断や行動に関係し、システム管理基準はシステムの企画・開発・運用などの管理に関する考え方を示します。

また、情報セキュリティ監査基準は情報セキュリティに関する監査の実施に用いられ、情報セキュリティ管理基準は組織が情報セキュリティ管理を行う際の基準として用いられます。

監査側の基準と、管理する側の基準を区別する。