システム監査（監査手続・監査証拠・フォローアップ）

監査の流れ

監査手続の技法

監査手続は，監査項目について十分かつ適切な証拠を入手するための手続です。そのときに使う主な技法は次のとおりです。

監査人の立場と責任

• 独立性：監査人は監査対象から独立していなければなりません。組織の上での独立だけでなく， 自分が過去に携わった業務を監査しないこと（在籍していた部門の監査には一定の期間を置く）など，外から見ても独立していること（外観上の独立性）が求められます。
• 監査人の責任は，監査報告書に書いた監査意見に対して負います。 改善を実施する責任は被監査部門にあります。監査人は改善策を被監査部門と協議したり，遅れを取り戻す方策を助言したりします。
• 保証型と助言型：保証型の監査は，コントロールが適切かどうかを保証し，外部の利害関係者からの信頼を得るために行います。 助言型の監査は，問題点を指摘して改善を助言するために行います。
• 可監査性：コントロールの有効性を監査できるように，情報システムが設計・運用されていることです。ログや記録が残っていないと，監査のしようがありません。

試験での問われ方

当サイトが収録している科目A（午前）の問題のうち，システム監査・監査人・監査証拠・監査手続などの語が出てくるのは76問です。 科目A-1（午前Ⅰ）と，情報処理安全確保支援士・ITサービスマネージャの科目A-2（午前Ⅱ）がほとんどです。型ごとに数えると次のとおりです。

• 場面ごとの指摘事項・チェックポイント（28問）。いちばん多い型です。データベースの直接修正（「更新ログを加工して，アプリケーションの機能を経由した正常な処理によるログとして残していた」など）， クラウドサービス上の情報の消失の予防，在庫データの網羅性（「入庫及び出庫記録に対して，自動的に連番を付与していること」）， 受注伝票の入力漏れと重複（プルーフリストとの照合），請負契約での指揮命令，JIS Q 27001 に基づく監査などです。 その状況のどこにリスクが残っているかを考えると選べます。
• 監査計画・監査証拠・報告・フォローアップ（16問）。リスクアプローチ（3問），監査証拠（3問），監査調書（「監査人が，実施した監査のプロセスを記録したもの」など2問）， 改善勧告（3問），フォローアップ（3問），監査人の責任（「監査報告書に記載した監査意見」，2問）です。
• 監査の基準・目的・監査人の立場（16問）。システム監査基準などの位置付けと目的（5問），監査人の独立性（3問）， 保証型・助言型（2問），IT に係る保証業務の三当事者（2問），ガバナンス・マネジメント・コントロールの視点（2問），システム監査規程の承認者（経営者），可監査性です。
• 監査手続と技法（12問）。予備調査（3問），ウォークスルー法（3問），監査手続とは何か（「監査項目について，十分かつ適切な証拠を入手するための手続」など2問）， インタビュー法（2問），サンプリング（2問）です。
• このほか，TCO の算定や DX 推進指標，リスクマネジメントの用語の問題（4問）の選択肢に出てきます。

出題された過去問（76問）

リンク先の年度ページで，問題と解説を読めます。

関連する用語

内部統制（全般統制・業務処理統制）　JIS Q 27000 シリーズ（情報セキュリティマネジメント）　SLA（サービスレベル合意書）