システム監査とは？

システム監査の意味

独立かつ専門的な立場の監査人が、情報システムに関わるガバナンス・マネジメント・コントロールを点検・評価・検証し、改善に向けた助言や勧告を行う活動。

システム監査の具体例

手順は、予備調査（資料や説明から実態を把握し本調査の進め方を決める）→本調査（監査手続を実施して監査証拠を収集する）→評価・結論→報告→フォローアップ（改善提案の実施状況を継続的に確認する）と進む。

システム監査は試験でどう引っ掛けられる？

監査人は改善を「助言・勧告」するにとどまり、指示や実施に関与すると独立性を損なう。システム監査規程の最終承認者は経営者。

システム監査と関連する用語

• 監査証拠
• 内部統制

システム監査が出た過去問

• クラウドサービスの導入検討プロセスに対するシステム監査において，クラウドサービス上に保存されている情報の消失の予防に関するチェックポイントとして，適切なものはど…

  正解：クラウドサービスを提供する事業者に信頼が置け，かつ，事業やサービスが継続して提供されるかどうかが検討されているか。

  要点：クラウドの消失リスクは事業者の存続性・継続性まで見る

  クラウド上のデータ消失を予防するという観点では、預けた先の事業者が倒産・撤退してデータごと失われるリスクを見ておく必要がある。事業者の信頼性とサービス継続性が検討されているかが、情報消失の予防に直結するチェックポイントとなる。他の選択肢は利便性・可用性・機密性に関する観点である。

  出典：平成28年度 春期 高度共通_午前I試験 am1 問21（IPA）

• システム監査人が予備調査で実施する監査手続はどれか。

  正解：監査対象に対する被監査部門の管理者及び担当者のリスクの認識について，アンケート調査によって情報を収集する。

  要点：予備調査は概況とリスクの把握、本調査は証拠収集の詳細調査

  予備調査は本調査の前に監査対象の全体像とリスクを把握し、監査手続を組み立てるための段階である。アンケートによって被監査部門の管理者や担当者のリスク認識を広く集めるのは、この予備調査で行う典型的な手続である。詳細なヒアリングや証拠に基づく指摘のまとめは本調査以降の作業になる。

  出典：平成28年度 春期 高度共通_午前I試験 am1 問22（IPA）

• システム監査の改善指導（フォローアップ）において、被監査部門による改善が計画よりも遅れていることが判明したとき、システム監査人が採るべき行動はどれか。

  正解：遅れを取り戻すための方策について、被監査部門の責任者に助言する。

  要点：監査人は助言まで。指示や実施への関与は独立性を損なう

  システム監査人は独立性と客観性を保つ立場にあり、改善の実施主体は被監査部門である。改善が遅れている場合でも、指示したり自ら改善活動に加わったりすると独立性を損なうため、責任者に方策を助言するにとどめるのが適切である。監査人の役割は評価と助言であって実行ではない。

  出典：平成29年度 秋期 高度共通_午前I試験 am1 問21（IPA）

• 在庫管理システムを対象とするシステム監査において、当該システムに記録された在庫データの網羅性のチェックポイントとして、適切なものはどれか。

  正解：入庫及び出庫記録に対して、自動的に連番を付与していること

  要点：網羅性の担保は連番管理、欠番チェックで記録漏れを検出

  網羅性とは、発生した取引が漏れなく記録されていることを指す。入出庫記録に自動で連番を付与すれば、番号の欠落を調べることで記録漏れを検出できるので、網羅性を確かめるチェックポイントになる。承認や自動発注は正当性や有効性に関する統制であって、記録漏れの検出には結びつかない。

  出典：平成29年度 秋期 高度共通_午前I試験 am1 問22（IPA）

• システム監査人が監査報告書に記載する改善勧告に関する説明のうち，適切なものはどれか。

  正解：調査結果に事実誤認がないことを被監査部門に確認した上で，監査人が改善の必要があると判断した事項を記載する。

  要点：改善勧告は事実確認済みの証拠に基づき監査人の判断で書く

  改善勧告は監査証拠に裏付けられた事実に基づくものでなければならない。そのため、調査結果に事実誤認がないことを被監査部門に確認したうえで、監査人が自らの判断で改善が必要と考える事項を記載する。事実確認は必要だが、記載する内容そのものを被監査部門の承認に委ねると監査の独立性が失われる。

  出典：平成29年度 春期 高度共通_午前I試験 am1 問22（IPA）