システム監査と内部統制（監査業務・監査プロセス・ITガバナンス）

この単元の範囲

基本情報技術者試験のシラバスは、大分類6「サービスマネジメント」の最後に中分類16「システム監査」を置いている。ここまでのサービスマネジメント分野が「システムを安定的に運用する仕組み」を扱ってきたのに対し、システム監査は「その仕組みが本当に機能しているかを第三者の視点でチェックする」活動を扱う点が特徴である。中分類16は小分類「1. システム監査」（監査そのものの目的・手順・体制）と小分類「2. 内部統制」（監査される側である組織の統制の仕組み）の2つから構成される。なお中分類16の直後（p.79〜）からはストラテジ系の大分類7「システム戦略」が始まるため、システム監査はテクノロジ系・マネジメント系全体の締めくくりに位置する単元でもある。

1. システム監査

1-1 監査業務の全体像

監査と一口に言っても種類は多様である。財務諸表の正しさを確認する会計監査、業務の遂行状況を確認する業務監査、情報システムを対象とするシステム監査、情報セキュリティ対策の状況を確認する情報セキュリティ監査が代表例である。また、法律で実施が義務づけられている法定監査（上場企業の会計監査など）と、企業が自主的に行う任意監査の区別、監査を行う主体が組織の内部の人間か外部の第三者かによる内部監査と外部監査の区別も重要な整理軸になる。例えば、自社の情報システム部門とは独立した社内監査室がシステムの運用状況を点検すれば内部監査、監査法人やコンサルティング会社が外部から点検すれば外部監査である。

1-2 システム監査の目的

システム監査を行う人（システム監査人）には、監査対象から独立した立場で公正に評価を行う責務がある。シラバスではシステム監査人の権限と責任、監査人の倫理、誠実性、専門的能力の保持と向上、正当な注意と秘密の保持、システム監査に対するニーズの把握と品質の確保、監査の独立性と客観性の保持、情報システムの利活用に係る検証・評価が用語例として挙げられている。要するに「監査対象部門にお伺いを立てず、専門知識を持って、公正・誠実に評価する」ことが監査人に求められる基本姿勢である。

1-3 システム監査の流れとリスクアプローチ

システム監査は思いつきで実施するものではなく、一定の流れに沿って進める。まず、システムに潜むリスクの大きさを評価し、リスクの高い領域に監査資源を重点配分するリスクアプローチに基づいて監査計画を立てる。次に、評価の裏付けとなる監査証拠を入手・評価し、その過程を監査調書として記録・保管する。これらを基に監査の結論を形成し、監査報告書を作成して報告する。監査は報告して終わりではなく、指摘した問題が実際に改善されたかを追跡する改善提案のフォローアップまで含めて一連のサイクルとなる。

1-4 システム監査の対象業務と計画の策定

監査の対象を検討する際は、業務やシステムに内在するリスク（望ましくない事態が起きる可能性）と、それを抑える仕組みであるコントロール（統制活動）の対応関係を把握することが出発点になる。組織内でシステム監査をどのように実施するかを定めた内部監査規程、外部の監査人に監査を委託する際に取り交わすシステム監査委託契約書も対象業務整理の関連用語である。これらを踏まえて、いつ・何を・どの範囲で監査するかをまとめたシステム監査計画を策定する。

1-5 システム監査の実施（予備調査・本調査・評価・結論）

実施フェーズは、対象システムの概要や資料を事前に把握する予備調査と、実際に現場で証拠を集める本調査に分かれる。本調査では、あらかじめ定めた監査手続を適用し、監査証拠の入手と評価を行いながら、その根拠を監査調書として作成・保管する。現場確認・資料閲覧・担当者への聞き取りなどを組み合わせる代表的なシステム監査技法を用いて、最終的に「統制は有効に機能しているか」という評価と結論を導く。

1-6 システム監査の報告とフォローアップ

調査結果はシステム監査報告書としてまとめ、問題点があれば指摘事項として明記する。システム監査には大きく2つの目的があり、「統制が有効に機能していることを保証する」保証を目的としたシステム監査と、「より良くするための改善点を助言する」助言を目的としたシステム監査に分けられる。指摘事項に対しては監査対象部門が改善提案を受けて改善計画を立て、その実施状況を監査人が後から確認するフォローアップを行い、必要に応じてフォローアップ報告書にまとめる。監査は「報告して終わり」ではなく、改善が実行に移されたかまで確認して初めて一巡する点を押さえておきたい。

1-7 システム監査の体制整備

監査が実効性を持つためには、監査対象の業務から独立した監査部門・監査人を置く体制づくりが欠かせない。監査人が監査対象部門の指揮命令下にあると、都合の悪い事実を指摘しにくくなってしまうためである。この項目はシラバス上では他項目のような個別の用語例が列挙されておらず、独立性を担保する組織体制の考え方そのものが学習内容となる。

1-8 その他のシステム関連の監査

システム監査以外にも、目的に応じたさまざまな監査がある。個人情報の取り扱いを点検する個人情報保護監査、法令・社内規程の遵守状況を点検するコンプライアンス監査などである。これらの拠り所となる基準・規格として、情報セキュリティ監査基準、対策の実施状況を測る情報セキュリティ管理基準、クラウドサービス向けのクラウド情報セキュリティ管理基準、個人情報保護マネジメントシステムの規格であるJIS Q 15001とその認証制度であるプライバシーマーク制度、マネジメントシステム監査全般の指針であるJIS Q 19011が挙げられる。また、監査の背景にある関連法規として著作権法・不正競争防止法・労働基準法も用語例に含まれる。ソフトウェアの不正コピーがないかを点検する監査は著作権法、営業秘密の管理状況を点検する監査は不正競争防止法と、それぞれ関連法規が異なる点をイメージすると覚えやすい。

1-9 システム監査基準・システム管理基準

システム監査を行う際のよりどころとなる公的な基準がシステム監査基準（監査人がどう行動すべきかの基準）とシステム管理基準（監査される側の情報システムがどうあるべきかの基準）である。いずれも経済産業省が策定したものであり、監査人の倫理、システム監査上の判断尺度、監査の独立性と客観性の保持、正当な注意と秘密の保持といった用語例が対応する。1-2で述べたシステム監査人の心構えは、この基準に根拠を持つ内容であると理解しておくとよい。

2. 内部統制

2-1 内部統制

内部統制とは、企業が経営目標を達成するために、業務プロセスを整え、不正やミスを未然に防ぐ仕組みである。ただしどれほど精緻に設計しても不正の共謀などを完全には防げないという内部統制の限界がある。上場企業には財務報告の信頼性を確保するための内部統制報告制度（いわゆるJ-SOX）への対応が求められる。ITとの関係では、内部統制を支える基盤としてのIT環境への対応、業務にITをどう利用するかというITの利用、システム開発・運用全体に関わるITに係る全般統制、個々の業務処理に組み込まれたITに係る業務処理統制という整理があり、ITが内部統制に果たす役割は年々大きくなっている。統制の実務面では、担当者が何をすべきか手順を明確にする業務プロセスの明確化、1人の担当者に権限が集中しないよう業務を分担する職務分掌、実施ルールの設定、実施結果を確認するチェック体制の確立が基本となる。これらを支える価値観としてコンプライアンス（法令・規範の遵守）があり、内部統制の代表的な理論的枠組みとしてCOSOフレームワーク（Committee of Sponsoring Organizations of the Treadway Commission）が用いられる。

2-2 ITガバナンス

内部統制がどちらかというと現場レベルの統制であるのに対し、ITガバナンスは経営層がIT投資・IT戦略を適切に統制する、より上位の枠組みを指す。国際規格ISO/IEC 38500を基に策定された日本産業規格であるJIS Q 38500が代表的な拠り所であり、IT戦略の意思決定を担うCIO（Chief Information Officer：最高情報責任者）、情報セキュリティの意思決定を担うCISO（Chief Information Security Officer：最高情報セキュリティ責任者）という役職名が用語例に挙げられている。個々の業務・システムレベルの統制であるIT統制、企業統治全般を指すコーポレートガバナンスとの位置づけの違い（コーポレートガバナンス ⊃ ITガバナンス ⊃ IT統制、という包含関係でイメージすると整理しやすい）も押さえておきたい。

2-3 法令遵守状況の評価・改善

内部統制・ITガバナンスが遵守すべき代表的な法律として、株式会社の機関設計や取締役の責任などを定める会社法、金融商品取引の公正性を確保する金融商品取引法（内部統制報告制度の根拠法でもある）が挙げられる。また、組織自身が自らの統制状況を自己点検する手法としてCSA（Control Self Assessment：統制自己評価）があり、外部監査に頼るだけでなく組織内部でPDCAを回す仕組みとして位置づけられている。

---

システム監査と内部統制は、「監査する側（システム監査人）」と「監査される側（組織の内部統制・ITガバナンス）」という表裏の関係にある。基本情報技術者試験では、両者の用語をそれぞれ独立に覚えるのではなく、「内部統制・ITガバナンスが整っているかどうかを、独立した立場のシステム監査人が、リスクアプローチに基づいて計画・実施・報告・フォローアップする」という一連の流れの中で対応づけて理解すると定着しやすい。