「監査」って、なんだか怒られそうなイメージです…。
あはは、そう思われがちだね。でも監査は「粗探し」じゃなくて、健康診断みたいなものなんだ。外の目で点検して、悪いところを早めに見つけて直すための仕組みだよ。
監査は「会社の健康診断」
自分で「健康です」と言っても、本当かどうかはわかりません。だから、利害関係のない専門家（医師）に診てもらいます。
監査も同じで、独立した第三者が点検・評価して、問題があれば改善を求めることです。
健康診断なら…
- お医者さん（監査人）：本人とは別の立場で、専門知識を使って検査する
- 検査結果（監査報告）：「血圧が高めです。塩分を控えましょう」と助言する
- 本人（監査対象）：実際に食生活を改善するのは本人
- 次回の健診（フォローアップ）：ちゃんと改善できたかを確かめる
システム監査とは
システム監査とは、監査対象から独立した立場のシステム監査人が、情報システムに関わるリスクに適切に対応できているかを点検・評価・検証し、その結果を報告して、保証や助言を行うことです。
点検する観点は、たとえば次のようなものです。
- システムが正しく・安定して動いているか（信頼性）
- 情報が漏えい・改ざんされないよう守られているか（安全性）
- システムが経営や業務の役に立っているか（有効性・効率性）
- 法律や社内のルールを守って運用しているか
経済産業省は、システム監査の行動規範や手順を システム監査基準 として定めています。
システム監査人の独立性
システム監査人に最も求められるのが 独立性 です。
- 外観上の独立性：監査対象の部門に所属していないなど、立場（組織・身分）として独立していること
- 精神上の独立性：特定の人や部門に配慮せず、公正で客観的に判断すること
「そのシステムに一番詳しい開発担当者に監査させる」は誤り。自分で作ったものを自分で評価しては、客観的な監査になりません。また、監査人は問題点を指摘して改善を勧告する立場であり、自分でシステムを直すことはしません。
監査人・経営者・監査対象部門の関係
監査人が監査対象部門に直接「直しなさい」と命令するんじゃないんですね。
そう。監査人に命令する権限はないんだ。報告と改善勧告は依頼者（経営者）へ。経営者がそれを受けて、部門に改善を指示する。この流れは試験によく出るよ。
システム監査の流れ
| 手順 | 内容 |
|---|---|
| 監査計画 | 監査の目的・対象・範囲・日程・担当などを決める |
| 予備調査 | 資料の閲覧や簡単な聞き取りで、監査対象の概要や問題がありそうな点をつかむ |
| 本調査 | インタビュー、書類の確認、現場の観察などで、監査証拠（判断の裏付けとなる事実）を集める |
| 評価・結論 | 集めた証拠をもとに、問題の有無を判断する。作業の記録は監査調書にまとめる |
| 監査報告 | 監査の結果と改善勧告を、依頼者に報告する |
| フォローアップ | 改善勧告が実際に実施されたかを確認する |
「予備調査」は下見、「本調査」は本番の検査。 健康診断なら、問診票で気になる点を見つけるのが予備調査、詳しい検査で数値（証拠）をとるのが本調査です。
ほかの監査との違い
| 監査 | 何を点検する？ | 主な担い手 |
|---|---|---|
| システム監査 | 情報システムのリスク対応（信頼性・安全性・有効性など） | システム監査人 |
| 会計監査 | 財務諸表（決算書）が適正か | 公認会計士・監査法人 |
| 業務監査 | 会計以外の業務全般が適切・効率的か | 監査役、内部監査部門など |
| 情報セキュリティ監査 | 情報セキュリティ対策が適切か | 情報セキュリティ監査人 |
また、自社の内部監査部門が行う監査を 内部監査、社外の専門家が行う監査を 外部監査 といいます。内部監査であっても、監査人は監査対象の部門からは独立している必要があります。
- システム監査 ＝ 独立した立場のシステム監査人が、情報システムのリスク対応を点検・評価・検証し、保証・助言する
- 監査人には独立性（外観上・精神上）が必要。自分が関わったシステムは監査しない
- 手順：監査計画 → 予備調査 → 本調査 → 評価・結論 → 監査報告 → フォローアップ
- 本調査で集める判断の裏付けが監査証拠、作業の記録が監査調書
- 監査報告は依頼者（経営者など）へ。監査人は改善勧告まで、改善の実施は監査対象部門
- フォローアップ ＝ 改善勧告が実施されたかを確認する