カテゴリ:9.マネジメント > 9.3 システム監査

1.システム監査とは
システム監査は、独立した立場のシステム監査人が,情報システムに対するリスク対応が適切に整備・運用されているかを監査します。参考ですが、監査には公認会計士が行う会計監査や、企業の監査役が行う業務監査もあります。
システム監査というのはイメージしにくいのですが、ざっくりと言うと、システムが適切かどうかをチェックすることです。人間で言うと、医師が実施する患者への健康診断のようなものです。
システムを監査する人がシステム監査人で、監査をされる側は被監査部門と言います。システム監査を行う際に重要なのが、被監査部門からの「独立性」です。たとえば、同じ組織の人が監査をすれば、重大な問題を発見したとしても、指摘をするのをためらう可能性があるからです。

システム監査について、IPAのシステム監査技術者試験の資料には次のように述べられています。
システム監査は、監査対象から独立した監査人が、情報システムを信頼性、安全性及び効率性の観点から総合的に点検・評価し、関係者に助言・勧告するものであり、コンピュータ・セキュリティの確保とシステムの有効活用を図る上で極めて有効な手段であり、情報化社会の健全化に大きく貢献するものである。
(https://www.jitec.ipa.go.jp/1_11seido/s44_h6har/old_au.htmlより)

ポイントの一つは、「監査対象から独立した」という点です。独立した監査人が、客観的にシステムを評価します。
独立性には次の2つがあります。
(1)外観上の独立性
(システム監査基準2.1を参照)
システム監査を客観的に実施するために、監査対象から独立していなければならない。
(2)精神上の独立性
(システム監査基準2.2を参照)
偏向を排し、常に公正かつ客観的に監査判断を行う。
kansa 
システム監査人は,助言をする立場であり、対策方針を決定したり、改善命令を出すことなどの権限はありません。医者が患者に対し、手術を強制することができないのと同じです。しかし、システム管理者や関係部署に対し、監査の実施への協力要請はできます。

2.「信頼性」「安全性」「効率性」
「信頼性」「安全性」「効率性」という3つのキーワードを覚えましょう。
それぞれの言葉の意味に関しては、旧システム監査基準より引用します。
(3) 信頼性・・・・・・・情報システムの品質並びに障害の発生、影響範囲及び回復の度合
(4) 安全性・・・・・・・情報システムの自然災害、不正アクセス及び破壊行為からの保護の度合
(5) 効率性・・・・・・・情報システムの資源の活用及び費用対効果の度合

例を挙げます。安全性という観点で、不正アクセスが発生しないように、アクセスログを取得するという統制(コントロールという)が適切にとられているかを監査します。

3.(参考)
H19午後1問4に、システム監査の具体例が表にまとめられているので掲載します。具体例を見ることでイメージがわきやすくなると思います。ただ、監査目的などは、この事例に限ってのことなので、あくまでもイメージとして考えてください。

表2 監査の概要
項目内容
(1)監査目的システム開発部で実施しているデータ修正業務が、定められた手順に従って行われ、不正や操作ミスなどが発生していないかどうかを確認する。
(2)監査対象部門システム企画部システム開発部
(3)監査手続システム企画部が作成した“システム保守運用基準書”に記載されているデータ修正の手順が、不正や操作ミスなどを防ぐ手続として有効かどうかについて、記載内容を確認する。データ修正が、“システム保守運用基準書”に従って行われているかどうかを確認する。具体的には、ユーザ部門によって作成された“データ修正依頼書”を入手し、ユーザ部門の責任者及びシステム開発部の責任者の事前承認が得られているかどうかを確認する。
(4)発見事項“システム保守運用基準書”には、緊急の場合のデータ修正のルールが記載されていない。また、部署名などが更新されていない箇所が散見された。“データ修正依頼書”に、ユーザ部門の責任者又はシステム開発部の責任者の承認印がないケースが多数見つかった。特に、緊急依頼の場合に承認印がないケース多い。
(5)改善勧告“システム保守運用基準書”に緊急の場合のデータ修正のルールが記載するとともに、記載内容を最新状態に保つことデータ修正を行う場合には、“システム保守運用基準書”に従って、事前にユーザ部門の責任者及びシステム開発部の責任者の承認を得ることを徹底すること

システム監査基準はとても重要です。 http://www.meti.go.jp/policy/netsecurity/downloadfiles/system_kansa.pdf
システム監査の流れやを理解しましょう。

応用情報技術者シラバス
システム監査基準に関して次のように述べられています。
① システム監査基準
  システム監査における監査人の行動規範,手順,内容は,経済産業省が策定したシステム監査基準によって規定されていることを理解する。

システム監査基準の概要
以下に概要を整理します。

Ⅰ.前文
・システム管理基準に準拠しているかどうかの視点を原則とする。
・情報セキュリティ監査基準と整合性を図る。

Ⅱ.システム監査の目的
・リスクコントロールが適切に整備、運用されているかを評価する。
・独立かつ専門的な立場のシステム監査人が実施

Ⅲ.一般基準(監査人としての適格性及び監査業務上の遵守事項を規定)
独立性、客観性、職業倫理

Ⅳ.実施基準(監査実施上の枠組みを規定)
1.監査計画を立案する必要がある。
2.監査の手順
監査計画に基づき、予備調査→本調査→評価・結論
3.監査の実施
3.1監査証拠の入手と評価
 監査結果を裏付ける十分かつ適切な監査証拠を入手する
3.2監査調書の作成と保存
 監査の結論に至った過程がわかるように秩序整然と記録する
4.監査業務の体制

Ⅴ.報告基準(監査報告に係る留意事項と報告書の記載方式を規定)
1.監査報告書の提出と開示
2.監査報告の根拠
合理的な根拠に基づく必要がある。
3.監査報告書の記載事項
 監査の対象、監査の概要、保証意見又は助言意見、
 制約又は除外事項、指摘事項、改善勧告、その他特記すべき事項
 
5.監査報告に基づく改善指導(フォローアップ)
監査結果に基づいて所要の
措置が講じられるように、適切な指導性を発揮する。

システム監査基準(全文)
平成16年10月8日改訂 ※経済産業書が発表したもの
    Ⅰ.前文
     今日、組織体の情報システムは、経営戦略を実現するための組織体の重要なインフラストラクチャとなっている。さらに、それぞれの情報システムがネットワーク化されることにより、社会の重要なインフラストラクチャとなってきている。一方、情報システムはますます多様化、複雑化し、それに伴い様々なリスクが顕在化してきている。また、情報システムに係わる利害関係者も組織体内にとどまらず、社会へと広がっている。従って、このような情報システムにまつわるリスクを適切にコントロールすることが組織体における重要な経営課題となっている。システム監査は、組織体の情報システムにまつわるリスクに対するコントロールが適切に整備・運用されていることを担保するための有効な手段となる。また、システム監査の実施は、組織体のITガバナンスの実現に寄与することができ、利害関係者に対する説明責任を果たすことにつながる。
     組織体が情報システムにまつわるリスクに対するコントロールを適切に整備・運用する目的は、以下の通りである。

     ・情報システムが、組織体の経営方針及び戦略目標の実現に貢献するため
     ・情報システムが、組織体の目的を実現するように安全、有効かつ効率的に機能するため
     ・情報システムが、内部又は外部に報告する情報の信頼性を保つように機能するため
     ・情報システムが、関連法令、契約又は内部規程等に準拠するようにするため

     システム監査基準は、システム監査業務の品質を確保し、有効かつ効率的に監査を実施することを目的とした監査人の行為規範である。本監査基準は、監査人としての適格性及び監査業務上の遵守事項を規定する「一般基準」、監査計画の立案及び監査手続の適用方法を中心に監査実施上に枠組みを規定する「実施基準」、監査報告に係わる留意事項と監査報告書の記載方式を規定する「報告基準」からなっている。
     システム監査基準は、組織体の内部監査部門等が実施するシステム監査だけでなく、組織体の外部者に監査を依頼するシステム監査においても利用できる。さらに、本基準は、情報システムに保証を付与することを目的とした監査であっても、情報システムの改善のための助言を行うことを目的とした監査であっても利用できる。

     システム監査の実施に当たっては、組織体における情報システムにまつわるリスクに対するコントロールの適否を判断するための尺度が必要である。システム監査は、本監査基準の姉妹編であるシステム管理基準を監査上の判断の尺度として用い、監査対象がシステム管理基準に準拠しているかどうかという視点で行われることを原則とする。しかし、システム管理基準に基づく監査に限らず、各種目的あるいは各種形態をもって実施されるシステム監査においても本監査基準を活用することができる。

     システム監査基準は、昭和60年(1985年)1月に策定されたもので、その後平成8年(1996年)1月に改訂され、今回は2度目の改訂である。今回の改訂は、昨年4月に創設された情報セキュリティ監査基準との整合性を図り、従来の実施基準の主要部分を抜き出し、システム管理基準として独立させ、それぞれに大幅な加筆・修正を行ったものである。

    Ⅱ.システム監査の目的
     システム監査の目的は、組織体の情報システムにまつわるリスクに対するコントロールリスクアセスメントに基づいて適切に整備・運用されているかを、独立かつ専門的な立場のシステム監査人が検証又は評価することによって、保証を与えあるいは助言を行い、もってITガバナンスの実現に寄与することにある。


    Ⅲ.一般基準
    1.目的、権限と責任
     システム監査を実施する目的及び対象範囲、並びにシステム監査人の権限と責任は、文書化された規程、または契約書等により明確に定められていなければならない。

    2.独立性、客観性と職業倫理
    2.1 外観上の独立性
     システム監査人は、システム監査を客観的に実施するために、監査対象から独立していなければならない。監査の目的によっては、被監査主体と身分上、密接な利害関係を有することがあってはならない。

    2.2 精神上の独立性
     システム監査人は、システム監査の実施に当たり、偏向を排し、常に公正かつ客観的に監査判断を行わなければならない。

    2.3 職業倫理と誠実性
     システム監査人は、職業倫理に従い、誠実に業務を実施しなければならない。

    3.専門能力
     システム監査人は、適切な教育と実務経験を通じて、専門職としての知識及び技能を保持しなければならない。

    4.業務上の義務
    4.1 注意義務
     システム監査人は、専門職としての相当な注意をもって業務を実施しなければならない。

    4.2 守秘義務
     システム監査人は、監査の業務上知り得た秘密を正当な理由なく他に開示し、又は、自らの利益のために利用してはならない。

    5.品質管理
     システム監査人は、監査結果の適正性を確保するために、適切な品質管理を行わなければならない。

    Ⅳ.実施基準
    1.監査計画の立案
     システム監査人は、実施するシステム監査の目的を有効かつ効率的に達成するために、監査手続の内容、時期及び範囲等について、適切な監査計画を立案しなければならない。監査計画は、事情に応じて適時に修正できるように弾力的に運用しなければならない。

    2.監査の手順
     システム監査は、監査計画に基づき、予備調査、本調査及び評価・結論の手順により実施しなければならない。

    3.監査の実施
    3.1 監査証拠の入手と評価
     システム監査人は適切かつ慎重に監査手続を実施し、保証又は助言についての監査結果を裏付けるのに十分かつ適切な監査証拠を入手し、評価しなければならない。

     3.2 監査調書の作成と保存
    システム監査人は、実施した監査手続の結果とその関連資料を、監査調書として作成しなければならない。監査調書は、監査結果の裏付けとなるため、監査の結論に至った過程がわかるように秩序整然と記録し、適切な方法によって保存しなければならない。

    4.監査業務の体制
     システム監査人は、システム監査の目的が有効かつ効率的に達成されるように、適切な監査体制を整え、監査計画の立案から監査報告書の提出及び改善指導(フォローアップ)までの監査業務の全体を管理しなければならない。

    5.他の専門職の利用
     システム監査人は、システム監査の目的達成上、必要かつ適切と判断される場合には、他の専門職による支援を考慮しなければならない。他の専門職による支援を仰ぐ場合であっても、利用の範囲、方法、及び結果の判断等は、システム監査人の責任において行われなければならない。

    6.情報セキュリティ監査
    情報セキュリティ監査については、原則として、情報セキュリティ管理基準を活用することが望ましい。


    Ⅴ.報告基準
    1.監査報告書の提出と開示
     システム監査人は、実施した監査の目的に応じた適切な形式の監査報告書を作成し、遅滞なく監査の依頼者に提出しなければならない。監査報告書の外部への開示が必要とされる場合には、システム監査人は、監査の依頼者と慎重に協議の上で開示方法等を考慮しなければならない。

    2.監査報告の根拠
     システム監査人が作成した監査報告書は、監査証拠に裏付けられた合理的な根拠に基づくものでなければならない。

    3.監査報告書の記載事項
     監査報告書には、実施した監査の対象、実施した監査の概要、保証意見又は助言意見、制約又は除外事項、指摘事項、改善勧告、その他特記すべき事項について、証拠との関係を示し、システム監査人が監査の目的に応じて必要と判断した事項を明瞭に記載しなければならない。

    4.監査報告についての責任
     システム監査人は、監査報告書の記載事項について、その責任を負わなければならない。

    5.監査報告に基づく改善指導(フォローアップ)
     システム監査人は、監査の結果に基づいて所要の措置が講じられるよう、適切な指導性を発揮しなければならない。

    システム監査の流れをザックリ言うと、以下になります。
    ①予備調査
     被監査部門への協力要請などの監査の実施準備をした後、予備調査を行います。予備調査では、 被監査部門から事前に入手した資料を閲覧して,監査対象の実態を把握します。
    ②本調査
    現状把握の結果を踏まえ、どのように監査を実施するのかという監査手続きを検討します。その後、本調査として実際の監査を行います。
    監査手続きを行う手法として、例えば以下があります。
    ・システム管理者にチェックリストを基に運用状況をヒアリング
    ・設計書や運用報告書などの資料の閲覧
    ・実態を知るために、現場に出向いて実機設定やログなどを観察 
    ③監査報告
    監査を行った結果の総合評価や、指摘事項、改善勧告などの監査意見をまとめます。その結果を踏まえ、システム監査人は、監査報告書を作成し、監査の依頼者に提出します。監査報告書には、指摘事項や改善勧告を含みます。
    ④フォローアップ
    一定期間後に改善勧告に対する実施状況を確認し、改善指導を行います。

    では、試験センターが発表するシラバスを基に、「システム監査の実施」について具体的に述べます。

    ■2-1 実施準備
    ・個別計画書の再確認
    ・被監査部門への協力要請

    ■2-2 予備調査
    (1)関連資料の収集、インタビューなどによる情報収集
    30c7ee19
    なぜこんな面倒なことをするの?

    いきなり本調査してはいけないのですか?


    医者1
    それは非効率です。
    病院でも患者さんに問診票を書いてもらいますよね。

    問診票があれば、どこが悪いかをある程度把握できますが、ないとすれば顔、目、耳、鼻、手、足、肺、心臓などと全てを順番に検査するという非効率な検査になります。
    具体的には、文書の収集やインタビュー、チェックリスト(問診票のようなもの)の記入依頼と回収などを行います。

    (2)現状把握
      収集した情報を基に、現状の問題点を把握します。

    ■2-3 監査手続書の作成現状把握の結果を踏まえて、具体的な監査手続を検討し、監査手順書を作成します。

    ■2-4 本調査
     (1)現地調査
     (2)インタビュー
     (3)ドキュメントレビュー
     (4)その他のシステム監査技法
      システム監査技法には長所・短所があるので、状況に応じた監査技法を活用します。

    kansa 
    ■2-5 実施結果の記録(監査調書の作成)監査を行った都度(=監査手続きを行った都度)、その内容を記録します。
    これが監査調書(Working Paper)になります。

    ■2-6 監査意見の明確化(監査判断の形成)総合評価、指摘事項、改善勧告の原案をまとめます。

    ■2-7 評価・結論の総合検討

    ■2-8 監査報告書案の作成監査の結果を定められた様式で取りまとめます。
    あくまでも「案」です。

    1.内部統制とは
    内部統制の反対は何でしょう。・・・外部統制です。
    外部統制は、外部(法律や行政指導)による統制ですが、内部統制は自ら統制する活動です。

    金融庁のサイトから定義を引用します。
    1.内部統制の定義
     内部統制とは、基本的に、業務の有効性及び効率性、財務報告の信頼性、事業活動に関わる法令等の遵守並びに資産の保全の4つの目的が達成されているとの合理的な保証を得るために、業務に組み込まれ、組織内のすべての者によって遂行されるプロセスをいい、統制環境、リスクの評価と対応、統制活動、情報と伝達、モニタリング(監視活動)及びIT(情報技術)への対応の6つの基本的要素から構成される。

    http://www.fsa.go.jp/singi/singi_kigyou/tosin/20070215.pdf より引用)

    c0c762ed 

    よくわかりませんね
    かなりざっくりですが、内部統制とは、不正が無いように、きちんとしたチェック体制を取ることと考えておけばいいでしょう。

    2.内部統制とJ-SOX法
    内部統制はこれまで、法的に義務付けられていませんでした。しかし、大手上場企業の不正が発覚したことにより、アメリカのSOX法サーベンス・オクスリー法)を参考にJ-SOX法金融商品取引法の一部)が2008年度決算から適用されました。
    過去問では、「2008年4月1日以後に開始する事業年度からは,財務報告の信頼性の確保を目的に,上場会社に対して内部統制報告書の作成が義務付けられた(H23年秋SC_PM1より)」とあります。

    過去問(H26年IP秋問43)を見てみましょう
    内部統制の整備と運用に関する基本方針に基づいて,内部統制を整備,運用する役割と責任を有している人又は組織として,適切なものはどれか。
    ア 監査役
    イ 経営者
    ウ 取締役会
    エ 内部監査人
    正解はイの経営者です。内部統制報告書も、経営者が責任をもって評価し、報告書を内閣総理大臣に提出する必要があります。

    3.内部統制の実現方法
    応用情報技術者シラバスには、内部統制に関して次のように述べられています。

    (1)内部統制
    内部統制とは,健全かつ効率的な組織運営のための体制を企業などが自ら構築し運用する仕組みであり,実現には業務プロセスの明確化,職務分掌,実施ルールの設定,チェック体制の確立が必要であることを理解する。

    ここにありますように、「業務プロセスの明確化」「職務分掌」「実施ルールの設定」「チェック体制の確立」などが必要です。
    職務分掌に関しては、難しい言葉なので、過去問から言葉を引用します。過去問(H27年春IP問33)では、職務分掌に関して、「内部統制の観点から,担当者間で相互けん制を働かせることで,業務における不正や誤りが発生するリスクを減らすために,担当者の役割を決めること」と述べられています。
    このとき、役割を明確にするだけでなく、実施者とチェック者を分けることが大事です。そうすれば、チェック体制が確立できます。

    過去問(H26年春AP午前)を見てみましょう。
    問60 営業債権管理業務に関する内部統制のうち,適切なものはどれか。
    ア 売掛金回収条件の設定は,営業部門ではなく,審査部門が行っている。
    イ 売掛金の消込み入力と承認処理は,販売を担当した営業部門が行っている。
    ウ 顧客ごとの与信限度の決定は,審査部門ではなく,営業部門の責任者が行ってい
     る。
    エ 値引き又は割戻しの処理は,取引先の実態を熟知している営業部門の担当者が行
     っている。
    正解はアです。ポイントは、営業部門ではなく,審査部門という他部門がチェックを行っていることです。イ、ウ、エのように、自部門でチェックを行えば、不正を隠す可能性があります。

    4.内部統制の6つの基本的要素
    内部統制の定義にありますように、「統制環境」「リスクの評価と対応」「統制活動」「情報と伝達」「モニタリング(監視活動)」「IT(情報技術)への対応」が内部統制における基本要素です。

    細かく理解をする必要はありません。イメージだけつかんでおけば十分です。たとえば、「統制活動」の一つに、先ほど述べた「職務分掌」が含まれています。

    5.ITへの対応
    (1)概要
    先の6つ目にある「ITへの対応」に関しては、重要なので補足します。
    「財務報告に係る内部統制の評価及び監査の基準のあり方について」の資料(http://www.fsa.go.jp/news/newsj/17/singi/f-20051208-2.pdf)には、次の記載があります。
    (6) ITへの対応
    ITへの対応とは、組織目標を達成するために予め適切な方針及び手続を定め、それを踏まえて、業務の実施において組織の内外のITに対し適切に対応することをいう。
    ITへの対応は、内部統制の他の基本的要素と必ずしも独立に存在するものではないが、組織の業務内容がITに大きく依存している場合や組織の情報システムがITを高度に取り入れている場合等には、内部統制の目的を達成するために不可欠の要素として、内部統制の有効性に係る判断の規準となる。
    ITへの対応は、IT環境への対応とITの利用及び統制からなる。

    (2)IT統制
    「ITへの対応は、IT環境への対応とITの利用及び統制からなる。」とありました。この中のIT統制に関して、もう少し詳しく解説します。
    まず、IT統制は、IT全社的統制、IT全般統制、IT業務処理統制の3つに分けられます。
    「システム管理基準 追補版(財務報告に係るIT 統制ガイダンス)」を詳しく見ましょう。
    http://www.meti.go.jp/policy/netsecurity/docs/secgov/2007_ZaimuHoukokuNiKakaruITTouseiGuidance.pdf

    この資料には、IT統制に関して以下の記載があります。
    ----------------------------------------
    IT 業務処理統制は、アプリケーション・システムにおいて処理される財務情報の信頼性に直接係ることになる。また、IT 基盤が、これらのアプリケーション・システムが稼動するために必要な情報システムのサポートを行う。このIT 基盤におけるIT 業務処理統制が有効に機能する環境を保証するための統制活動がIT 全般統制であり、財務情報に係る信頼性の基礎となる。さらに、アプリケーション・システムとIT 基盤全体を計画性と整合性を伴って統制する役割を持つのが、IT 全社的統制である。IT 全社的統制は、組織におけるIT 全体に係るものであり、IT 全般統制とIT 業務処理統制の基盤となる。これらの関係を図表Ⅱ.1-3に示す。
    ----------------------------------------

    図表Ⅱ.1-3は以下です。
    it

    ではここで、過去問を見て見ましょう。
    ----------------------------------------
    ■H26春AU午前2
    問10 金融庁の“財務報告に係る内部統制の評価及び監査の基準”におけるIT業務処理統制に該当するものはどれか。
    ア 外部委託に関する契約の管理
    イ システムの運用管理
    ウ システムの開発・保守に係る管理
    エ 利用部門によるエラーデータの修正と再処理
    ----------------------------------------
    上の図を見れば明らかですね。IT業務処理統制に該当するのは、エです。それ以外のア、イ、ウは、IT全般統制に該当します。

    エディットバリデーションチェック(edit validation check) 「validation」は「検証」などの意味を持ちます。

    過去問(H27春AP午前問57)を見てみましょう。
    問57 インプットコントロールの監査で,エディットバリデーションチェックが正しく機能しているかどうかの検証方法として,適切なものはどれか。
    ア 許可された担当者以外はログインできないことを試行する。
    イ 実際に例外データや異常データの入力を行う。
    ウ 入力原票の承認印を確認する。
    エ 入力対象データの件数とプルーフリスト上の合計件数を照合する。
    正解はイ


    過去問(H24秋AP午前問59)を見てみましょう。
    問59 業務システムの利用登録をするために,利用者登録フォーム画面(図1)から登録処理を行ったところ,エラー画面(図2)が表示され,再入力を求められた。このコントロールはどれか。
    59
    ア アクセスコントロール
    イ エディットバリデーションチェツク
    ウ コントロールトータルチェツク
    エ プルーフリスト
    正解はイ

    ↑このページのトップヘ