システム監査基準とは？

システム監査基準の意味

システム監査を行う監査人が守るべき行為規範を定めた経済産業省の基準。監査の計画・実施・報告それぞれの段階でやるべきことと、独立性・客観性・専門的能力といった監査人に求められる要件を示す。「監査人がどう振る舞うか」を定める点で、監査対象側の物差しであるシステム管理基準と対になる。

システム監査基準の具体例

監査人が被監査部門の元管理職だった場合に、独立性の要件に照らして担当から外すという判断の根拠になる。監査調書を作成して一定期間保存する、報告書に指摘事項と改善提案を分けて記載する、といった実務手順もこの基準に沿って運用される。

システム監査基準は試験でどう引っ掛けられる？

「システム監査基準＝監査対象の評価項目集」と取り違えやすい。何を見るかの評価項目はシステム管理基準側にあり、監査基準は監査人の行為規範を定める。法律ではなく強制力のないガイドラインである点も混同されやすい。

システム監査基準と関連する用語

• システム管理基準
• システム監査人の独立性
• 監査調書

システム監査基準が出た過去問

• システム監査基準（平成30年）における監査手続の実施に際して利用する技法に関する記述のうち、適切なものはどれか。

  正解：インタビュー法とは、システム監査人が、直接、関係者に口頭で問い合わせ、回答を入手する技法をいう。

  要点：インタビュー法は関係者への口頭質問で運用実態を確かめる技法

  インタビュー法は、システム監査人が監査対象部門の関係者に直接口頭で問い合わせ、回答を得る技法です。文書からは読み取れない運用の実態を確認できます。他の選択肢は、実施時間や使用ツール、実施主体について実際にはない制約を述べており誤りです。

  出典：令和1年度 秋期 応用情報技術者試験 午前 問59（IPA）

• システム監査基準(平成30年)に基づいて、監査報告書に記載された指摘事項に対応する際に、不適切なものはどれか。

  正解：システム監査人が、監査対象部門の改善計画を作成する。

  要点：監査人は独立性を保ち、改善計画の作成には関与しない

  システム監査人は監査対象から独立していなければならず、改善計画そのものを作成すると自らが作ったものを後から評価することになり、独立性と客観性を損なう。改善計画の立案と実施は監査対象部門の責任であり、監査人はその実施状況を確認・助言する立場にとどまる。

  出典：令和1年度 春期 応用情報技術者試験 午前 問59（IPA）

• システム監査基準（平成30年）におけるウォークスルー法の説明として、最も適切なものはどれか。

  正解：データの生成から入力、処理、出力、活用までのプロセス、及び組み込まれているコントロールを、システム監査人が、書面上で、又は実際に追跡する。

  要点：ウォークスルー法は処理の流れと統制を追跡して確かめる

  ウォークスルー法は、データの生成から入力・処理・出力・活用に至る一連の流れを追跡する技法である。処理の各段階に組み込まれた統制（コントロール）が設計どおり機能しているかを、書面上でたどるか、実際の処理に沿って確かめる。

  出典：令和2年度 10月 応用情報技術者試験 午前 問58（IPA）

• 監査証拠の入手と評価に関する記述のうち、システム監査基準（平成30年）に照らして、適切でないものはどれか。

  正解：アジャイル手法を用いたシステム開発プロジェクトにおいては、管理用ドキュメントとしての体裁が整っているものだけが監査証拠として利用できる。

  要点：監査証拠は形式でなく十分性と適切性で判断する

  この問題は適切でないものを選ぶ。監査証拠は十分かつ適切であればよく、体裁の整った管理用ドキュメントに限られない。アジャイル開発ではタスクボードや自動テストの実行記録、会議の記録なども有効な監査証拠になり得るため、形式で限定する記述が不適切である。

  出典：令和2年度 10月 応用情報技術者試験 午前 問60（IPA）

• システム監査基準（平成30年）に基づいて、監査報告書に記載された指摘事項に対応する際に、不適切なものはどれか。

  正解：システム監査人が、監査対象部門の改善計画を作成する。

  要点：監査人は改善計画を作らず、実施状況の確認にとどめる

  システム監査人は独立性と客観性を保つ必要があり、改善計画の作成といった被監査部門の業務そのものを引き受けてはならない。計画の立案と実施は監査対象部門の責任で行い、監査人はその実施状況を確認・評価するフォローアップの立場にとどまる。助言は行えても実務を代行してはいけない、という線引きが問われている。

  出典：令和3年度 秋期 応用情報技術者試験 午前 問60（IPA）