システム監査と内部統制｜基礎を学ぶ

システム監査と内部統制は、「作った人や動かしている人とは別の目で確かめる」ための仕組みです。試験では独立性の意味が繰り返し問われます。

システム監査の目的

システム監査は、情報システムが安全に、効率よく、意図どおりに運用されているかを独立した立場の監査人が点検し、経営者に報告することです。目的は、問題点を指摘して改善につなげ、システムへの信頼性を高めることにあります。

誤解しやすいのは、監査人の役割です。監査人は助言や勧告を行う立場であり、改善作業そのものを実施する立場ではありません。「監査人が発見した不備を自ら修正する」という選択肢は誤りです。修正するのは被監査部門であり、監査人はその後の実施状況を確認します。

監査報告書の提出先は経営者です。被監査部門の責任者に出して終わり、とする選択肢は誤りになります。また、フォローアップまでが監査の一部であり、報告して終わりではありません。

監査人は、被監査部門から独立していなければなりません。外観上の独立性（組織上のつながりがないこと）と、精神上の独立性（公正不偏の態度で判断すること）の両方が求められます。

理由は単純です。自分が作ったものや、自分が運用しているものを自分で点検すると、都合の悪い事実を指摘しにくくなるからです。人情としてかばう可能性があり、また利害が絡めば判断がゆがみます。それでは監査結果を誰も信用できません。

したがって、システム開発部門の担当者が自部門の開発プロセスを監査することは適切ではありません。一方で、社内の監査部門に所属する人が他部門を監査することは、組織上の独立が保たれていれば問題ありません。社外の人でなければならない、というわけではない点も押さえてください。

監査証跡は、処理がいつ誰によってどのように行われたかをさかのぼって追跡できる記録です。アクセスログや操作履歴、伝票の連番などが該当します。監査証跡がなければ、事実を確かめる証拠が得られません。

内部統制は、業務を適正に行うために組織の中に組み込む仕組みです。目的は次の4つです。

基本的要素は、統制環境、リスクの評価と対応、統制活動、情報と伝達、モニタリング、ITへの対応の6つです。

統制活動の代表例が職務分掌です。ひとりの担当者が申請から承認、実行までを通しで行えないように、役割を分けて相互に牽制させます。発注担当と検収担当を分ける、開発担当者に本番環境の変更権限を与えない、といった形です。ひとりで完結できると、不正をしても誰にも気づかれないためです。

IT統制は、内部統制をITの面から支える仕組みで、アクセス権限の設定や変更管理の記録などが含まれます。CIO（最高情報責任者）は、経営の視点から情報戦略とIT投資に責任を持つ役職で、システムの保守作業を担当する技術者の職名ではありません。