A社では、情報システム部門が開発して運用している勤怠管理システムを対象に、 システム監査を実施することになった。監査の進め方として最も適切なものはどれか。
正解：エ
アこのシステムの開発を担当した本人が、内容に詳しいので監査人を務める。
誤り。自分が作ったものを自分で点検する形になり、独立性が保てません。 不備を見つけても自分の仕事を否定することになるため指摘しにくく、 仮に問題なしと報告しても、その評価を誰も信用できなくなります。
イ監査対象部門の責任者の指示に従って、監査の手続と結論を決めていく。
誤り。監査を受ける側が範囲や結論を決められるなら、都合の悪いところを あらかじめ外せてしまいます。何をどこまで調べるかは、監査人が自分の判断で 決められなければなりません。詳しい説明を受けることとは別の話です。
ウ指摘事項は、監査対象部門が受け入れられる範囲に限って報告書に記載する。
誤り。相手が受け入れやすいかどうかで報告内容を加減するのは、客観性を欠きます。 事実と証拠に基づいて評価し、必要な指摘はそのまま報告する。 改善するかどうかを判断するのは、報告を受けた経営者や対象部門の側です。
エ開発にも運用にも関与していない者が、監査対象から独立した立場で行う。
正解。システム監査人には、監査対象からの独立性と客観性が求められます。 社内の人が監査人になること自体は問題ありませんが、その監査対象の開発や運用に 関わっていないことが条件になります。
自分の答案を自分で採点しない
システム監査でいちばん大事な前提が、監査対象からの独立性です。 自分が作ったシステムを自分で監査するのは、自分の答案を自分で採点するようなもの。 甘くなりますし、たとえ厳しく採点したとしても、その点数を第三者は信じられません。
システム監査は、経営者や利用部門が「このシステムは大丈夫か」を判断するための 材料を提供する活動です。材料の信頼性が崩れれば、監査そのものに意味がなくなります。
独立性には2つの面がある
- 実際に独立していること — 監査対象の開発・運用・管理に関わっておらず、 監査を受ける側の指示で手続や結論が左右されない
- 独立して見えること — 外から見ても、対象と利害のない立場だと分かる。 経済産業省が示すシステム監査基準でも、この外観への配慮が求められています
「詳しいから」という理由で当事者を監査人にすると、この2つとも崩れます。
独立していれば社外の人でなくてよい
| 立場 | システム監査人になれるか |
|---|---|
| 対象システムの開発担当者 | なれない（対象そのものに関与している） |
| 対象システムを使う利用部門の長 | 対象の運用に責任を負うため適さない |
| 社内の内部監査部門の担当者 | なれる（対象に関与していなければ） |
| 社外の監査法人・専門業者 | なれる |
内部監査部門の人が行うシステム監査でも、独立性は成り立ちます。 求められているのは「社外の人であること」ではなく、 「監査する対象から離れていること」だからです。
なお、監査人が改善提案そのものを実行してしまうと、次の監査では自分の仕事を 評価することになり、独立性が失われます。提案までが監査人の役割です。