「監査って、結局なにを見るの?」
「監査調書って、自分の仕事に関係ある?」
年に一度、社外の人がサーバ室を見に来て、システムの使い方を質問していく——その正体が、システム監査です。
システム監査とは、独立した専門家が情報システムを点検し、改善を促す活動のことです。ふだん業務を回している当事者ではなく、利害のない第三者の目が入る。ここが、この仕組みの核になります。
この記事では、混同しやすい2つの基準を役割で切り分け、監査が進む4段階を図でたどり、結論を信頼できるものにする独立性と監査調書まで押さえます。ITパスポートのマネジメント系で、そのまま得点源になる範囲です。
1. なぜ「外の目」が要るのか
システム監査の出発点は、点検する人と、される人を分けることにあります。自分の作ったものを自分で「問題なし」と言っても、外からは信じにくい。だから、業務に関わらない立場の人が、決められた尺度で状態を確かめます。
これがあると、情報システムの信頼性・効率性・安全性を、外から見ても確かなものとして示せます。経営者が「うちのシステムは大丈夫だ」と株主や取引先に説明するとき、その言葉を裏づけるのが監査の結果です。コーポレートガバナンスの文脈で監査が語られるのは、この説明責任を支えるからです。
2. 2つの基準を役割で切り分ける
試験でも実務でも最初につまずくのが、システム監査基準とシステム管理基準の混同です。名前が似ていますが、役割は正反対を向いています。1枚で切り分けます。
| 基準 | 誰のためのルールか | ひとことで |
|---|---|---|
| システム監査基準 | 監査人の行動規範 | どう計画し、進め、報告するかの「やり方」 |
| システム管理基準 | 監査の判断尺度 | システムがどうあるべきかの「チェック項目」 |
監査基準は監査する側の作法、管理基準は点検される側のあるべき姿です。監査人は、管理基準という物差しを手に、システムの実態を測ります。名前の似た2つを取り違えると、設問の選択肢がどれも同じに見えてしまう。どちらが「監査人の行動を縛るルール」で、どちらが「システムの状態を測る尺度」かを問う設問が定番なので、この向きの違いをあなたは真っ先に押さえておくと迷いません。
3. 監査が進む4段階
監査の現場で何が起きているか。予備調査 → 本調査 → 報告 → フォローアップの4段階で進みます。順に流れを図でたどります。
あなたが業務担当者として質問を受けるのは、たいてい予備調査の段階です。ここでは範囲と目的を固め、ヒアリングや資料確認で全体像をつかみます。いきなり細部を検証するのではなく、まず「どこを・何のために見るか」を決めるのがこの段階の役目です。本調査で操作ログや申請書類、設定画面のスクリーンショットといった証拠を集めて管理基準と照らし、実態がルールから外れていないかを1つずつ検証します。報告では、集めた事実をもとに経営者向けの改善提案をまとめ、フォローアップで指摘した点が実際に直ったかを一定期間後に確かめます。
4. 結論を信頼できるものにする2つの仕掛け
監査の結論を「信頼できる」と受け取れるかは、独立性と監査調書という2つの仕掛けにかかっています。
独立性には、外観と精神の2側面があります。外観上の独立性は、利害関係がないと外から見て確認できる状態。精神面の独立性は、公正不偏な態度で判断する姿勢です。あなたが監査対象の業務を自分で設計していたなら、その監査をあなた自身が担当するのは避けます。設計者と監査人が同じでは、たとえ本人が公正に判断していても、外から見て中立を信じてもらえないからです。2側面のうち片方でも欠けると、監査の結論は説得力を失います。
もう一つが監査調書です。監査調書とは、集めた証拠・判断の根拠・結論までを記録した、監査報告書の裏づけ資料のことです。調書が残っていれば、後から別の監査人が同じ手順をたどり、同じ結論に至れるかを検証できます。結論が一人の思いつきでなく、証拠に支えられていることを担保する記録です。
5. 3点でつかむシステム監査
ここまでを、あなたが試験前に見返せる3点にまとめます。
- 2つの基準：監査基準＝監査人のやり方／管理基準＝システムのあるべき姿
- 4つの手順：予備調査→本調査→報告→フォローアップ（締めのフォローアップが命）
- 2つの仕掛け：独立性（外観・精神）と監査調書が、結論の信頼を支える
この3点を「点検する人と、される人を分ける」という一本の芯に通すと、システム監査はぼんやりした概念から、業務にも試験にもつながる地図に変わります。なぜ独立が要るのかは、コーポレートガバナンスとは と合わせて眺めると、いっそう腑に落ちます。
次のステップ
システム監査がマネジメント系のどこに位置づくかは、ITパスポートの試験範囲と勉強法ガイド で先に地図を見ておくと、用語が定着しやすくなります。
2基準の切り分けや4手順の順序が身についたかは、ITパスポート マネジメント系の問題集 で実際の設問に当たって確かめるのが、いちばん確実な仕上げになります。