可監査性とは？

可監査性の意味

情報システムが、監査人による検証・評価を実施しやすい状態に設計・整備されていること。操作履歴（監査証跡）が適切に記録・保存され、処理の内容や結果を後から追跡できるようになっている状態を指す。

可監査性の具体例

システム設計の段階から、重要なデータの変更履歴を自動的にログとして記録する仕組みを組み込み、後から監査人が処理の正当性を検証できるようにしておく。

可監査性は試験でどう引っ掛けられる？

ログを取っていれば可監査性が確保されるわけではない。改ざんされない形で保存され、処理を後から追跡できることまで求められる。またシステム完成後にログ機能を後付けするのではなく、企画・設計の段階から作り込むもので、「運用開始後に整備すればよい」という判断は誤り。

可監査性と関連する用語

• 監査調書・監査証跡・監査報告書

可監査性が出た過去問

• 情報システムの可監査性を説明したものはどれか。

  正解：コントロールの有効性を監査できるように，情報システムが設計・運用されていること

  要点：可監査性は統制の有効性を検証できるシステム側の備えを指す。

  可監査性とは、システムに組み込まれたコントロール（統制）が有効に働いているかどうかを、後から追跡・検証できるように情報システムが設計・運用されている性質である。処理の記録が残り、監査証跡をたどれることが前提となる。監査人側の能力や協力体制ではなく、システム側の備えを指す点が要点である。

  出典：平成30年度 秋期 応用情報技術者試験 午前 問60（IPA）