監査報告書とは？

監査報告書の意味

監査の目的・範囲・実施時期・実施した手続の概要と、監査の結論（意見）、指摘事項、改善勧告をまとめて監査依頼者に提出する文書。監査の成果を組織の改善につなげる出口にあたる。

監査報告書の具体例

「アクセス権の定期棚卸が実施されていない」という指摘と、その影響、改善勧告、被監査部門の対応予定を記載して経営者に提出する。

監査報告書は試験でどう引っ掛けられる？

監査範囲に制約があり合理的な根拠が得られなかった場合、無理に結論を出さず、その旨と理由を報告書に明記する（意見の表明を差し控える）。

監査報告書と関連する用語

• 監査意見
• 指摘事項
• 改善勧告

監査報告書が出た過去問

• システム監査における監査証拠の説明のうち,適切なものはどれか。

  正解：監査人が収集又は作成する資料であり,監査報告書に記載する監査意見や指摘事項は,その資料によって裏付けられていなければならない。

  要点：監査証拠は監査意見と指摘事項を裏付ける収集・作成した資料

  監査証拠は、監査意見や指摘事項の裏付けとなる事実の集まりであり、被監査部門から入手した資料に限らず監査人自身が作成した記録も含まれる。監査報告書に記載する結論は、十分かつ適切な監査証拠に支えられていなければならない。監査証拠は監査調書として一定期間保存され、報告後すぐに処分するものではない。

  出典：平成29年度 春期 システム監査技術者試験 am2 問2（IPA）

• システム監査基準(平成16年)に基づいて作成されたシステム監査報告書に関する記述のうち,適切なものはどれか。

  正解：助言型報告書の場合,システム監査人と被監査部門の責任区別の存在は当然であるが,保証型報告書とは異なり,責任区別にあえて言及する必要はない。

  要点：保証型は責任区分と保証の根拠の明示が必要だが助言型は不要

  保証型報告書は監査対象の状態について保証を与えるものなので、保証が監査証拠の評価に基づく根拠あるものである旨や、被監査部門と監査人の責任区分を明示する必要がある。一方、助言型報告書は改善提案を示すもので保証を伴わないため、責任区分にあえて言及することは求められない。助言型で監査の目的を記載してはならないという制限も存在しない。

  出典：平成29年度 春期 システム監査技術者試験 am2 問5（IPA）

• 提案依頼書（RFP）によるベンダ選定手続に関するシステム監査で判明した状況のうち、監査人が、指摘事項として監査報告書に記載すべきものはどれか。

  正解：RFP発行後、問合せをしてきたITベンダだけに対して追加資料を提供していた。

  要点：RFP調達では全ベンダへ同一情報を提供する公平性が必須

  RFPによる調達では、応札する全ベンダに同一の情報を同一のタイミングで提供する公平性が要求される。問い合わせてきたベンダだけに追加資料を渡すと情報格差が生じ、選定の公正性が損なわれるため、指摘事項として報告すべきである。あるべき業務モデルの添付、希望ベンダを集めた説明会、予算範囲の明示は、いずれも全社に等しく開示される限り不適切とはいえない。

  出典：令和2年度 10月 システム監査技術者試験 am2 問8（IPA）

• データベースの直接修正に関して、監査人がシステム監査報告書で報告すべき指摘事項はどれか。ここで、直接修正とは、アプリケーションソフトウェアの機能を経由せずに、特…

  正解：更新ログを加工して、アプリケーションソフトウェアの機能を経由した正常な処理によるログとして残していた。

  要点：直接修正はログ改ざんによる証跡隠蔽が最も重大な統制上の不備

  特権IDによるデータ直接修正は、アプリケーションの統制を迂回する高リスク作業であり、申請・承認と作業記録の保全によって事後追跡できることが統制の要である。更新ログを加工して通常処理を装うと、直接修正の事実そのものが隠蔽され、証跡の完全性が失われる。これは統制の無効化に当たるため指摘事項となる。

  出典：令和2年度 10月 システム監査技術者試験 am2 問9（IPA）

• システム監査基準（平成30年）における“フォローアップ”の説明として、適切なものはどれか。

  正解：システム監査人が、監査報告書に記載した改善提案の実施状況に関する情報を収集し、改善状況をモニタリングすること

  要点：フォローアップは改善提案の実施状況を監査人が継続的に確認する活動

  フォローアップは監査の最終段階に位置づけられる活動で、監査報告書に記載した改善提案が実際に実行されているかを、監査人が情報を集めて継続的に確認するものである。改善そのものを実施したり指示したりすると独立性を損なうため、監査人はモニタリングと必要に応じた助言にとどまる。改善実施計画の策定は監査対象部門の責任である。

  出典：令和4年度 秋期 システム監査技術者試験 am2 問4（IPA）