システム監査と内部統制

1. システム監査とは何か ― 目的・種類・三つの視点

システム監査の目的は、情報システムに係るリスク（情報システムリスク）に適切に対応しているかどうかを、高い倫理観をもった独立かつ客観的な立場のシステム監査人が検証・評価し、保証や助言を行うことです。それを通じて経営活動・業務活動の効果的かつ効率的な遂行とその変革を支援し、組織体の目標達成に寄与するとともに、利害関係者に対する説明責任を果たします。

ここで押さえるべきは「監査人は検証・評価して伝える人であって、直す人ではない」という一点です。この分野の科目 A の問題は、ほとんどがこの役割分担のどこかを崩した誤答肢でできています。監査人が改善計画を作る、改善作業を代行する、被監査部門に命令する。いずれも独立性を失う行為なので、選択肢に現れたらその時点で誤りと判断できます。

監査の種類 ― 誰が何を対象に行うか

監査は「対象」「根拠」「実施主体」の 3 つの軸で名前が付きます。対象で切れば会計監査・業務監査・システム監査・情報セキュリティ監査、根拠で切れば法定監査と任意監査、実施主体で切れば内部監査と外部監査です。同じ監査が複数の名前を同時に持つ点に注意してください。上場企業の財務諸表監査は「会計監査」であり「法定監査」であり「外部監査」です。

もう一つの重要な軸が、監査の結論の出し方です。保証を目的としたシステム監査は「コントロールは有効である」という意見（保証）を表明し、助言を目的としたシステム監査は改善のための助言を提供します。どちらを目的とするかは監査計画で先に決めます。同じ監査手続を実施しても、報告書に書く結論の形が変わります。

監査対象は三つの視点で捉える

システム監査の対象は、個々のコントロールだけではありません。シラバス Ver.7.2 では「情報システムのコントロールとマネジメントだけでなく、ガバナンスにまで及ぶ」と明記されています。この三層が図 17-1 の構造です。直近 2 年で連続出題された新傾向なので、階層の順番と各層の点検対象を言えるようにしてください。

監査対象となるプロセスも広く、情報システムの企画・開発（アジャイル開発を含む）・運用・保守・廃棄の全ライフサイクル、さらに外部サービスの調達・利活用のプロセスに及びます。どこまでを見るかは内部監査規程や監査計画、外部委託の場合は契約書で明確に定めます。「監査人が思いついた範囲を自由に見る」わけではありません。

2. 監査人の独立性と二つの基準

システム監査の世界には、名前の似た基準が 2 つあります。役割がまったく違うのに毎回入れ替えて出題されるので、ここを最初に切り分けます。どちらも経済産業省が策定し、2023 年に改訂されています。

独立性 ― 外観上と精神上の 2 種類

監査人の独立性は 2 つに分けて問われます。外観上の独立性は組織上・身分上の独立で、被監査部門の指揮命令下に置かれないことです。精神上の独立性は態度の独立で、公正かつ客観的に判断することです。システム監査基準では、独立性を「監査対象から不当な影響や圧力を受けていない状態」として説明します。

実務上これは組織図の話になります。内部監査部門は被監査部門と横並びに置き、経営者や取締役会に直属させます。情報システム部門の中に監査担当を置くと、自分の部門を監査することになり外観上の独立性が失われます。図 17-2 の位置関係が、選択肢の正誤判断に直結します。

監査人が守るべきこと ― 倫理と体制整備

独立性のほかに、監査人には次の義務があります。いずれも選択肢の文言として出るので、語のまま覚えてください。

3. 監査の流れ ― 計画・予備調査・本調査・報告・フォローアップ

システム監査は、監査計画の策定 → 監査の実施（予備調査・本調査・評価と結論の形成）→ 監査報告 → フォローアップという流れで進みます。図 17-3 の 5 段階が本章の背骨です。各段階の成果物まで一緒に覚えると、「この作業はどの段階か」を問う問題が一瞬で解けます。

① 監査計画 ― リスクの大きいところから見る

監査計画は 3 階層で作ります。数年先を見た中長期計画、その年に何を監査するかを決める年度計画、個々の監査テーマごとに監査目的・対象範囲・方法・実施時期・実施体制・スケジュールまで具体化した個別監査計画です。

どのテーマを選ぶかはリスクアプローチで決めます。すべてを均等に見るのではなく、情報システムリスクの大きい領域に監査資源を重点配分する考え方です。監査計画は状況変化に応じて見直すことがあり、たとえば外部委託先で問題が起きれば委託先を監査範囲に追加します。

② 予備調査と ③ 本調査 ― 「把握」と「検証」で切る

予備調査と本調査の区別は、この分野で最も安定して出る論点です。境目は一言で切れます。予備調査は「把握」、本調査は「検証」です。

評価と結論の形成、そして ④ 報告へ

本調査で得た監査証拠を、監査要点ごとに評価して監査の結論を形成します。判断尺度はシステム管理基準などの客観的な基準です。結論が固まったら監査報告書を作成し、監査の依頼者（通常は経営者）に報告します。報告先は被監査部門ではなく依頼者である点に注意してください。

4. 監査技法と CAAT ― 何をどう確かめるか

まず言葉の整理です。監査手続とは、十分かつ適切な監査証拠を入手するために実施する手順のことです。監査技法は、その手順で使う個々のやり方（質問する、閲覧する、突き合わせる）を指します。「監査手続とは何か」を問う問題は直近 10 年で 4 回出ており、正解肢はいつも「十分かつ適切な監査証拠を入手するための手順」です。誤答肢には監査計画・監査報告書・監査技法の定義が差し込まれます。

ウォークスルー法 ― 1 件を通しでたどる

ウォークスルー法は直近 10 年で 4 回出題された最頻の技法です。名称から説明を選ぶ形と、説明から名称を選ぶ形の両方で出ます。他技法と違うのは、1 つの取引を最初から最後まで通して追いかける点です。個々の記録を点で見るのではなく、線でつなぎます。図 17-4 が受注業務での例です。

CAAT ― コンピュータで監査する

CAAT（Computer Assisted Audit Techniques：コンピュータ支援監査技法）は、監査ソフトウェアなどを使って監査を実施する技法群です。人手のサンプリングでは数十件しか見られないところを、全件検査できるのが強みです。

5. 監査証拠・監査調書・監査報告書

監査の結論には根拠が要ります。その根拠が監査証拠で、証拠と結論のつながりを記録したものが監査調書、調書をもとに依頼者へ伝えるのが監査報告書です。3 つは下から上へ積み上がる関係にあり、下がなければ上は成り立ちません（図 17-5）。

監査証拠 ― 十分性と適切性

監査証拠には 2 つの要件があります。十分性は量の話で、結論を支えるのに足りる件数・範囲があることです。適切性は質の話で、監査要点に適合し、証明力があることです。1 件だけ見て「全社的に問題なし」と結論づければ十分性を欠き、監査要点と関係のない資料を並べれば適切性を欠きます。

証拠になるのは、インシデント報告書、進捗管理資料、運用・保守の記録、アクセスログ、トランザクションログなどです。これらが後から追跡できる形で残っている状態を監査証跡といい、監査証跡を残すように情報システムが構築・整備されていることを可監査性と呼びます。ただし、監査対応のためだけのドキュメント作成を開発現場に強いることは望ましくないとされています。

監査調書 ― 過程が分かるように残す

監査調書は、調査・収集・検証・評価した情報を、監査の結論に至った過程が分かるように整理して文書化したものです。監査報告書を書くときの基礎資料になり、後から結論の妥当性を検証できるよう保管します。直近 10 年で 3 回出題され、誤答肢は「被監査部門へ提出する」「監査報告書と同じもの」「報告書を出したら保管しなくてよい」の 3 パターンに固定されています。

監査報告書 ― 何を書くか

監査報告書には、監査の対象・目的・範囲、実施した監査手続、監査の結論、指摘事項と改善提案を記載し、監査の依頼者および適切な関係者に報告します。保証を目的とした監査なら意見（保証）を、助言を目的とした監査なら改善のための助言を結論として示します。

6. 報告とフォローアップ ― 役割分担が全問の軸

フォローアップとは、監査報告書に記載した改善提案、または監査対象先が作成した改善計画について、所要の措置が適切かつ適時に実施されているかどうかを確かめる活動です。ここは科目 A でこの中分類の最頻論点で、フォローアップ 6 回、指摘事項への対応 2 回、改善勧告の記載 1 回を合わせて直近 10 年で 9 問が出ています。

そして 9 問すべての軸が同じです。改善計画を作るのも実施するのも被監査部門、監査人は確認して助言する。この一線だけで正誤が決まります（図 17-6）。

改善が遅れているときに監査人が取る行動

もう一つの出題パターンが「改善が計画より遅れているとき、監査人はどうするか」です。ここでも監査人は指揮命令をしません。原因を確かめ、状況を把握し、方策を助言するのが答えになります。

7. 内部統制 ― 4 つの目的・6 つの基本的要素・IT 統制

内部統制とは、健全かつ効率的な組織運営のための体制を、企業などが自ら構築し運用する仕組みです。監査が「外から点検する」仕組みなのに対し、内部統制は「中に組み込む」仕組みです。実現には業務プロセスの明確化、職務分掌、実施ルールの設定、チェック体制の確立が必要になります。

内部統制が達成すべき目的は 4 つ、それを支える基本的要素は 6 つです（図 17-7）。要素は 6 つとも名称のまま出題されるので、順序と役割を図の位置で覚えてください。

統制活動には、承認、照合、記録、そして職務分掌（相互牽制）が含まれます。モニタリングは、業務に組み込まれた日常的モニタリングと、業務から離れた立場で行う独立的評価に分かれます。内部監査部門による監査は後者です。業務担当者自身が自部門の統制の有効性を評価する手法をCSA（Control Self Assessment：統制自己評価）といいます。

なお、内部統制には限界があります。判断の誤りや不注意、複数人による共謀、当初想定していなかった環境変化や非定型的な取引、費用と便益の比較衡量、そして経営者が不当な目的で内部統制を無効化する場合です。「内部統制を整備すれば不正は起こらない」と書かれた選択肢は誤りです。

職務分掌 ― 1 人に閉じさせない

職務分掌は、1 つの取引を 1 人で完結させないことで相互牽制を働かせる仕組みです。科目 B のシステム監査問では、この分離が崩れている箇所がほぼ毎回リスクの急所になります。

IT 全般統制と IT 業務処理統制

6 要素の「IT への対応」は、さらに IT 環境への対応・IT の利用・IT に係る全般統制・IT に係る業務処理統制に分かれます。試験でよく問われるのは後ろの 2 つで、区分を入れ替えた誤答肢が定番です（図 17-8）。

入力統制 ― 網羅性を確かめる型

業務処理統制の中で最も出題が多いのが入力統制、それも網羅性（漏れなく・重複なく処理されたか）の確認手続です。代表例が図 17-9 のプルーフリスト照合です。

8. IT ガバナンスと 3 つのディフェンスライン

IT ガバナンスとは、組織体のガバナンスの構成要素で、取締役会等がステークホルダのニーズに基づき、組織体の価値および組織体への信頼を向上させるために、組織体における IT の利活用のあるべき姿を示す IT 戦略と方針の策定、およびその実現のための活動です。主語が取締役会等である点が要点で、「情報システム部門が行う IT の運用管理」と書かれていたらそれは IT マネジメントであってガバナンスではありません。

システム監査・情報セキュリティ監査・ソフトウェア資産管理は、いずれも IT ガバナンスを実現するための取組です。つまりシステム監査は IT ガバナンスの手段であり、章の冒頭で見た「監査の目的は IT ガバナンスの実現に寄与すること」という言い方はここにつながります。

3 つのディフェンスライン ― 監査人が立つ場所

リスク管理の責任を 3 層に分ける考え方が3 つのディフェンスライン（3 ラインモデル）です。システム監査人がどこに立つのかが、独立性の議論と直結します（図 17-10）。

この 3 層は内部統制の 6 要素と対応します。第 1 線と第 2 線の活動が日常的モニタリング、第 3 線の監査が独立的評価にあたります。令和 5 年春の科目 A では「内部監査人の役割はモニタリングである」という趣旨が出題されました。

法令遵守状況の評価・改善

情報システムの構築・運用は、関連する法令を遵守して行う必要があります。適切なタイミングと方法で法令・基準・社内外の行動規範の遵守状況を継続的に評価し、改善していきます。内部統制を整備することは、法令遵守の体制を確立するうえで有効な手段です。この観点を対象とする監査をコンプライアンス監査といい、行動指針・職務分掌・倫理・透明性が着眼点になります。

システム監査で参照する法令は広範です。刑法（電磁的記録不正作出及び供用、電子計算機損壊等業務妨害、電子計算機使用詐欺）、不正アクセス行為の禁止等に関する法律、電子帳簿保存法（電子計算機を使用して作成する国税関係帳簿書類の保存方法等の特例に関する法律）、電子署名及び認証業務に関する法律、個人情報保護法とマイナンバー法（行政手続における特定の個人を識別するための番号の利用等に関する法律）および特定個人情報の適正な取扱いに関するガイドライン、著作権法・特許法・不正競争防止法と営業秘密管理指針、労働基準法・労働者派遣法・男女雇用機会均等法、そして法定監査の根拠となる金融商品取引法・会社法です。監査人はこれらに照らして権利侵害行為や労働環境の問題点を指摘します。各法令の内容は第 22 章で扱い、この中分類では 10 年間で 1 問も出ていません。

9. 科目 B「システム監査」への橋渡し

科目 B の「システム監査」は、問 1（情報セキュリティ）が必須、問 2〜11 から 4 問を選ぶ選択問題の 1 つで、各問 20 点です。直近 19 回はすべて問 11 に置かれてきました。この分野の最大の特徴は、技術知識をほとんど要求しないことと、計算問題が 19 回で 0 本であることです。業務プロセスと承認フローを日本語で追えれば解けます。

設問の形は 19 回ともほぼ同一です。本文を読み、〔監査部長の指示〕と〔監査手続案の表〕に置かれた空欄を埋めます。解答欄は 1 問あたり平均 7.7 個で、その 63% は 10 字以内、77% は 15 字以内です。40 字を超える記述は 1 本もありません。

頻出論点と、書き方で落とすポイント

19 問の主要論点を数えると、突合・照合による監査手続が 11 問、利用者 ID とアクセス権限の管理が 9 問、インタフェース処理・データ連携の正確性が 8 問、監査証拠となる資料の特定が 7 問です。上位 4 つはどれも本章の語彙で書けます。

本文の読み方と空欄の埋め方は第 25 章で、オリジナルの演習問題を使って手順として練習します。本章では「監査要点 → 監査手続 → 監査証拠」の 3 点セットと、突合・職務分離・ID 管理の語彙を確実にしておいてください。

ひっかけポイント

理解度チェック（科目 A 形式）

まとめ

この章の要点を、出題頻度の高い順に 1 枚の表にまとめます。ここだけで科目 A の 3 問はほぼ拾えます。

• 監査の 5 段階と成果物: 監査計画（監査計画書）→ 予備調査 → 本調査（監査証拠・監査調書）→ 監査報告（監査報告書）→ フォローアップ（フォローアップ報告書）
• 監査計画は中長期計画・年度計画・個別監査計画の 3 階層。テーマ選定はリスクアプローチ
• 技法は動詞で判別する。聞く＝インタビュー法、読む＝ドキュメントレビュー法、見に行く＝現地調査法、突き合わせる＝突合・照合法、たどる＝ウォークスルー法
• CAAT にはテストデータ法（結果既知のデータを投入）と監査モジュール法（本番プログラムに監査用モジュールを組み込む）がある
• 内部統制の限界: 判断の誤り、共謀、想定外の変化、費用と便益、経営者による無効化
• 科目 B のシステム監査は計算が出ず、解答の 63% は 10 字以内。本文の語をそのまま使うのが最大の得点源

マネジメント系はここまでです。次の第 18 章からはストラテジ系に入り、システム戦略とシステム企画を扱います。本章の IT ガバナンスと経営陣の責任という視点が、そのまま情報戦略の出発点になります。