内部監査に向き合う Part.18 -情報システム③-

長嶋　邦英
1 日前
読了時間: 5分

　内部監査は会社・従業員にとってとても大切な働き・役割です。その働き・役割を遂行するためには、知識と経験と心構えが大切だと思います。それらをいったん振り返って整理し、さらに実践に役立つ戦略・戦術として活かすことを皆さんと一緒に考えてみたいと思います。

　今回は情報システム③です。

情報システムを監査する目的を振り返る②

　前回の記事「内部監査に向き合う Part.17 -情報システム②-」の最後に、情報システムの内部監査についてはもう一つ大切な資料があることをお伝えしました。それは経済産業省の「システム監査基準」と「システム管理基準」です。今回の記事では、その資料を参照しながら皆さんと一緒に内部監査が情報システムを監査することについて向き合ってみたいと思います。

　「システム監査基準」冒頭（前文）に、この基準が策定された意図が示されています。

　システム監査とは、監査人が、一定の基準に基づいてITシステムの利活用に係る検証・評価を行い、ガバナンスやマネジメント等について、一定の保証や改善のための助言を行うものであり、システムの信頼性等を確保し、企業等に対する信用を高める重要な取組である。　今日社会でのITや情報システム、さらにはデータ・情報（本監査基準において、IT、情報システム、データ・情報をまとめた概念として「ITシステム」という。）の利活用は、会社やその他組織体の諸活動全般に及んでいる。IT システムの戦略的利活用は、組織体の価値の向上や会社の競争力の維持、向上を図る上で不可欠である一方、それに伴いリスクも増大している。組織体が適切にリスク・マネジメントを行い、価値向上のためにITシステムの利活用を適切に行うことを確実にするために、システム監査が効果的・効率的に行われることが必要である。　システム監査が効果的かつ効率的に行われるためには、システム監査のあるべき体制や実施方法等が示される必要がある。

（出典：経済産業省「システム監査基準」1ページ）

　私たち内部監査が情報システムを監査する目的は、「ITシステムの利活用に係る検証・評価を行うもの」と示しています。情報システムの利活用の状況は会社によって様々ですから、その会社の状況に応じて監査テーマ、監査項目等が変わってくると思います。しかし、だからと言って一つの要素に偏ってしまうことは避けなければなりません。特に日本の上場会社はJ-SOXを基準にして、自らの会社の報告（財務報告）の信頼性を評価し、内部統制報告書において表明することが義務付けられています。そうなると先ほどのように、その会社での情報システムの利活用状況に応じて監査テーマ、監査項目等が変わってしまては、ステークホルダーはその会社の情報システムの監査結果の何を、どの程度信用・信頼すべきなのかがわからなくなってしまいます。そこで今回皆さんにご紹介するのが「システム監査基準」と「システム管理基準」となります。ただ、今回の記事の内容は、内部監査の経験が長く、システム監査のスペシャリストの皆さんにとっては釈迦に説法の内容となります。また、IT統制に関して監査法人の先生方から丁寧なご指導を受けたことのある皆さんもこの内容はすでにご存じだと思いますので、お許しください。

情報システムを監査するポイントを考える②

　情報システムを監査するポイントを考えるときにとても参考となるのは、「システム管理基準」です。監査なのでシステム監査基準を見たい気持ちになりますが、システム監査基準を見ても

［２］システム監査の実施に係る基準

【基準６】監査計画の策定
【基準７】監査計画の種類
【基準８】監査証拠の入手と評価
【基準９】監査調書の作成と保管
【基準１０】監査の結論の形成

上のように、私たちが知りたい監査するポイントは示されていません。その理由はシステム管理基準の前文（1ページ）をみるをよくわかります。

前文（システム管理基準の活用にあたって） 　システム管理基準（以下、「基準」という。）は、平成16年のシステム監査基準の改訂において、システム監査基準の「実施基準」の主要部分を抜き出し、当時の情報技術の進展を踏まえて修正･追加を行うことによって、システム監査基準の姉妹編として策定された。その主旨は、システム監査とシステム管理の実践規範を明確に切り分けることによって、システム監査実践の独立性･客観性を明確に位置づけるとともに、システム監査の効率的･効果的遂行を可能にするための判断尺度として有効活用されることを企図するものであった。

（出典：経済産業省「システム管理基準」1ページ）

つまり、システム監査をより効率的・効果的に行うための判断の基準として「システム管理基準」を役立ててもらいた意図があることを示しています。会社の情報システムが「システム管理基準」に沿って管理されていることを確認／監査する、と考えるとわかりやすいかもしれません。

　次回、システム管理基準を見ながら情報システムを監査するポイントを具体的に挙げて皆さんと一緒に考えてみたいと思いますが、その前にあらかじめ目を通していただきたい資料があります。それはシステム監査基準・管理基準が2023（令和5）年04月に改訂されたときの資料「システム監査基準・管理基準の改訂概要」と特定非営利活動法人日本システム監査人協会(SAAJ）が策定したシステム監査・管理ガイドラインです。このガイドラインには、システムの管理・監査の実施⽅法（How)、実施・書式の例、管理活動例の着眼点（必要な観点や留意事項）等が示されていますので、次回の記事ではこの資料も見ながら皆さんと一緒に情報システムを監査するポイントを考えてみたいと思います。