監査の指摘を改善につなげる。重要度・改善計画・フォローアップ

監査の指摘を改善につなげるには、指摘を事実と原因と影響が分かる形で書き、重要度で順番を付け、担当と期限のある改善計画にして、実施の状況をフォローアップで確かめることが基本です。報告書を受け取って終わりにせず、直ったことを確かめるところまでを一つの流れとして扱います。

監査の指摘は、どう書かれるのか

システム監査の報告書では、指摘ごとに次の5つの要素で書く形が、一般的な構成としてよく使われます。

この形で書くと、読む人は「何が起きているか」だけでなく、「なぜ起きたか」と「放っておくとどうなるか」まで分かり、改善の判断がしやすくなります。原因が書かれていない指摘は、目の前の一件だけを直して終わり、同じことがまた起きる、ということになりがちです。

経済産業省の「システム監査基準」（2023年4月26日改訂）は、監査報告書の作成にあたって、正確性、客観性、簡潔性、明瞭性、理解容易性、適時性に留意すること、表現が敵対的になることを避けて建設的なものにすることを示しています。

出典：システム監査基準（経済産業省、2023年4月26日）

指摘の重要度は、どう決めるか

監査で見つかった不備を、すべて同じ重さで並べると、どこから手を付けるかが分かりません。システム監査基準は、監査の結論の形成について、不備が見つかった場合にはリスクの具体的な内容と影響から残存リスクの大きさを評価して、指摘として改善を求めるかどうかを判断すること、見つかった不備のすべてを指摘とする必要はないこと、指摘は残存リスクの大きさにもとづいて優先順位を付けることを示しています。

重要度の分け方は会社や監査の目的で異なりますが、たとえば次のような3段階が考えられます。

重要度は監査人が判断しますが、その前提となる事実は、事実の確認の場で監査を受けた側と確かめ合います。システム監査基準も、指摘とすべきと判断した場合には、監査を受けた側と事実の認識に違いがないかを最終的に確かめることを示しています。

改善計画には、何を書くか

改善計画は、監査を受けた側（業務やシステムの担当の部署）が作ります。システム監査基準の解釈指針では、監査人が受け取る改善計画書の内容として、具体的な改善の内容と方法、実施の体制と責任者、進み具合や今後の予定などが挙げられています。

計画に書いておきたい項目の例です。

1. 対応する指摘（指摘の番号）
2. 何をどう直すか（応急の手当てと、恒久の対策を分けて）
3. 責任者と担当
4. 期限（途中の目安の日を含めて）
5. 直ったことを何で確かめるか（手順書、設定の画面、記録など）

5つ目を最初に決めておくと、フォローアップで「直ったかどうか」の判断がぶれません。たとえば「手順を作った」だけでなく、「手順のとおりに一定の期間行った記録がある」ことを完了の条件にする、といった決め方です。

期限に間に合わない場合は、理由と新しい期限を記録して、承認を受け直す形にしておきます。期限が黙って延びていく状態は、指摘が放っておかれる原因になります。

フォローアップでは、何を確かめるか

システム監査基準の【基準12】は、改善提案（及び改善計画）のフォローアップを定めています。監査報告書に改善の提案が書かれている場合、適切な措置が適時に講じられているかを確かめるために、改善計画とその実施の状況の情報を集め、改善の状況をモニタリングすることを求めています。

あわせて、次のような考え方が示されています。

• 監査人は改善の実施そのものに責任を負わず、改善の実施が適切かどうかをフォローアップし、取締役会等や経営者等に報告する
• フォローアップは、監査を受けた側の責任で行われる改善を、監査人が事後に確かめるものであり、監査人が改善計画の策定や実行に関わると、独立性と客観性を損なう
• 改善が不十分なまま放っておかれている場合は、改めて対応を求め、場合によってはそのリスクを取締役会等や経営者等に報告する
• フォローアップの終了後は、フォローアップの報告書を作り、重要度に応じて経営者や取締役会等にも報告する

監査と改善の担当を分ける理由は、ここにあります。改善を手伝った人が、自分の改善を確かめる形では、確かめた結果に説得力が生まれません。監査の中立の考え方は、システム監査の独立性。開発会社に監査を頼むときに考えることで詳しく扱っています。

経営者には、どう報告するか

経営者や取締役会への報告では、個々の指摘の細部よりも、全体の傾向と判断が要る点を短くまとめます。

• 重要度ごとの指摘の件数と、前回からの変化
• 期限を過ぎた改善と、その理由
• 改善に予算や人の手当てが要るもの、経営の判断が要るもの
• 同じ原因から生じている指摘のまとまり（体制や規程の見直しが要る兆し）

ITのリスクを取締役会でどう扱うかは取締役会・監査役が確かめたいITのリスク、監査の全体像はシステム監査とは何か。目的・基準・進め方もご覧ください。

改善が進まないのは、なぜか

指摘を受けても、改善が期限までに進まないことがあります。よくある理由と、手当ての例です。

改善が進まない状態が続く場合、それ自体が経営への報告の対象になります。システム監査基準も、改善が適切かつ適時に行われない場合のリスクを明確にして、取締役会等や経営者等に報告することが必要な場合があることを示しています。

当社のご支援

アメリア・テクノロジーのシステム監査では、指摘を状態・基準・原因・影響・改善の提案の形でまとめ、重要度とあわせてご報告します。当社が開発・運用に関わったシステムは、監査の対象にしません。改善が終わった後の確認（フォローアップ）は、改善に関わっていない担当が行います。監査の結果をもとに当社へ開発や運用を依頼していただくことは、条件にしていません。