システム監査とは？

システム監査の意味

情報システムに関わるリスクに対するコントロールが、リスクアセスメントに基づいて適切に整備・運用されているかを、独立した専門家が点検・評価・検証し、その結果を関係者に伝えることで組織の目標達成に寄与する活動。保証を与える形と、改善を助言する形の二つの目的がある。

システム監査の具体例

販売管理システムの受注登録処理について、承認権限の設定・入力チェック・エラー処理の仕組みが設計どおり運用されているかを、設定情報とログ、担当者への質問により確かめる。

システム監査は試験でどう引っ掛けられる？

監査人が改善策を「実施する」ことは監査ではない。改善の実行責任は被監査部門にあり、監査人は勧告とフォローアップまでにとどまる。

システム監査と関連する用語

• システム監査基準
• システム管理基準
• 保証型監査・助言型監査

システム監査が出た過去問

• “システム監査基準”で定めているシステム監査業務の品質管理の主な目的はどれか。

  正解：システム監査結果の適正性を確保すること

  要点：監査業務の品質管理は監査結果の適正性を組織的に担保する仕組み

  システム監査基準が求める品質管理は、監査業務が基準に沿って適切に実施され、結論と報告が妥当であることを担保する仕組みである。個々の監査人の力量や判断のばらつきを組織的に抑え、監査結果の信頼性を確保することがその主眼になる。したがって目的は監査結果の適正性の確保であり、計画立案や情報の機密保持はそれを支える個別の要素にすぎない。

  出典：平成28年度 春期 システム監査技術者試験 am2 問1（IPA）

• システム監査において実施される“試査”に該当するものはどれか。

  正解：抽出した一定件数のトランザクションデータに監査手続を適用し,データ全件の正当性について判断する。

  要点：試査は一部を抽出して手続を適用し母集団全体を推定する手法

  試査とは、母集団の全件ではなく一部を抽出して監査手続を適用し、その結果から母集団全体の状況を推定する手法である。全件を調べる精査に比べて効率的だが、抽出方法の妥当性が結論の信頼性を左右する。したがって、一定件数を抽出して手続を適用し全件の正当性を判断する行為が試査に当たる。

  出典：平成28年度 春期 システム監査技術者試験 am2 問2（IPA）

• “システム監査基準”における“監査の手順”はどれか。

  正解：予備調査 → 本調査 → 評価・結論

  要点：監査の実施手順は予備調査から本調査を経て評価・結論に至る

  システム監査基準では、監査の実施を予備調査・本調査・評価および結論という流れで整理している。予備調査で監査対象の概要と統制状況を把握し、本調査で監査証拠を収集して監査手続を実施し、その結果を評価して結論を導く。報告やフォローアップはこの実施手順の後段に続く別の工程として位置付けられる。

  出典：平成28年度 春期 システム監査技術者試験 am2 問4（IPA）

• 表はコンピュータを利用して行うシステム監査技法についてまとめたものである。(1)〜(4)の組合せとして,適切なものはどれか。

  正解：(1)稼働中オンラインシステムのテスト (2)プログラムロジックの分析 (3)プログラム変更の検証 (4)データの抽出

  要点：監査技法は目的別にテスト・ロジック分析・変更検証・データ抽出に整理できる

  各技法の目的を押さえれば表は埋まる。ITF法は本番環境に監査用の架空口座を設けて稼働中のオンラインシステムを検証する技法なので(1)が稼働中システムのテストになる。並行シミュレーション法・スナップショット法・トレーシング法はいずれも処理の途中経過や論理を追跡するもので(2)がプログラムロジックの分析、コード比較法はソースや実行モジュールを突き合わせるので(3)がプログラム変更の検証、汎用監査ソフトウェア法と組込み監査モジュール法は(4)のデータ抽出に当たる。

  出典：平成28年度 春期 システム監査技術者試験 am2 問5（IPA）

• JIS Q 19011:2012における第二者監査に該当するものはどれか。

  正解：業務委託先である子会社へのシステム監査

  要点：第二者監査は取引先など利害関係のある当事者が行う監査

  JIS Q 19011では監査を三つに区分する。第一者監査は組織が自ら行う内部監査、第二者監査は顧客など利害関係のある外部の当事者が行う監査、第三者監査は認証機関など独立した外部機関による監査である。委託元が業務委託先に対して行う監査は取引関係にある当事者による監査なので第二者監査に該当する。

  出典：平成28年度 春期 システム監査技術者試験 am2 問7（IPA）