内部監査でITを見るときの観点

内部監査でITを見るときは、システムの開発・変更、運用、アクセスの管理、委託先の管理の4つの領域を軸にすると、確かめる点を漏れなく並べやすくなります。どの領域でも、規程や手順が決まっているかと、実際にそのとおりに動いた記録が残っているかの両方を確かめます。対象のシステムはリスクの大きさで絞り込み、報告では重要度と直し方を添えて、改善が進んだかまで追うことが大切です。

内部監査で、なぜITを見るのか

内部監査でITを見るのは、業務の手続きの多くがシステムの中で行われ、承認や記録もシステムに残るようになっているためです。紙の伝票の承認印を確かめるだけでは、システムの中で誰が何を変えたかは分かりません。

内部監査とは、会社の中で業務の執行から独立した担当が、業務やリスクの管理が適切に行われているかを確かめ、経営者や取締役会に報告する活動です。ITを対象にする部分は、外部の専門家が行うシステム監査と重なるところが多く、経済産業省の「システム監査基準」と「システム管理基準」（いずれも2023年4月26日改訂）が、進め方と物差しの参考になります。システム監査基準は、システム監査の目的を、保証を目的とするものと、改善の助言を目的とするものに分けて説明しています。

出典：経済産業省「システム監査基準」（2023年4月26日改訂）、経済産業省「システム管理基準」（2023年4月26日改訂）

システム監査の考え方の全体は、システム監査とは何か。目的・基準・進め方で説明しています。

確かめる領域は、どう分けるか

確かめる領域は、IT全般統制の4つの領域で分けると整理しやすくなります。金融庁の企業会計審議会が定める内部統制の評価と監査の実施基準は、IT全般統制の例として、システムの開発・保守に係る管理、システムの運用・管理、内外からのアクセス管理などシステムの安全性の確保、外部委託に関する契約の管理の4つを挙げています。

出典：財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）（金融庁、2023年4月7日）

実施基準は財務報告に関わる統制のための基準ですが、4つの領域の分け方は、財務報告に関わらないシステムを見るときにも使えます。上場の準備の中でIT全般統制を整える進め方は、上場準備で整えるIT全般統制で扱っています。

開発・変更では、何を確かめるか

開発・変更の領域では、本番のシステムへの変更が、承認とテストを経て行われているかを確かめます。変更の記録の一覧から何件かを選び、申請、承認、テスト、反映の記録がそろっているかを照らし合わせる方法がよく使われます。

見つかりやすいのは、緊急の修正が手順を飛ばして行われ、後から記録が足されていない例や、開発した人がそのまま本番に反映していて、別の人の確認が入っていない例です。変更管理の監査の進め方は、本番環境の変更管理。承認と記録をどう残すかで詳しく説明しています。

アクセスの管理では、何を確かめるか

アクセスの管理の領域では、必要な人に、必要な範囲の権限だけが与えられているかを確かめます。確かめ方の例です。

• 人事の退職者の一覧と、システムのアカウントの一覧を突き合わせ、残っているアカウントがないかを見る
• 管理者の権限（特権ID）を持つアカウントの数と、使った記録を確かめる
• アクセス権の棚卸しが、決めた頻度で行われ、見直した結果が反映されているかを見る

クラウドのサービスやSaaSは、部門が個別に契約していて、情報システムの担当が把握していないことがあります。アカウントの一覧を集める段階で、どのサービスを対象にするかを決めておくと、抜けが少なくなります。特権IDと棚卸しの確かめ方は、アクセス権の棚卸しと特権IDの管理の進め方で扱っています。

運用と委託先では、何を確かめるか

運用の領域では、障害への対応とバックアップが、決めたとおりに行われているかを確かめます。バックアップは「取っている」だけでなく、実際に戻せることを確かめた記録があるかまで見ると、事故のときに使えるかどうかが分かります。止まったときに業務をどう続けるかの計画は、ITのBCP。システムが止まっても業務を続けるためにで説明しています。

委託先の領域では、重要な業務やシステムを任せている委託先を把握し、契約と日々の管理で必要なことを確かめているかを見ます。契約に事故の報告や再委託の条件が書かれているか、委託先から定期の報告を受けているか、といった点です。契約に書いておくことは、委託先とのセキュリティの取り決め。契約に書いておくことで整理しています。

監査の計画は、どう立てるか

監査の計画では、すべてのシステムを毎年同じように見るのではなく、リスクの大きさで対象と深さを決めます。

1. 対象を選ぶ：売上や会計、個人情報、止められない業務に関わるシステムを先に選ぶ
2. 物差しを決める：自社の規程、システム管理基準、必要に応じてISMSの規格などから、何を基準に判断するかを決める
3. 資料と聞き取りで確かめる：規程・手順書・構成図・契約書を読み、担当者に実際の運用を聞く
4. 記録で確かめる：変更の記録、アカウントの一覧、ログなどから件数を選び、決まりどおりかを照らし合わせる
5. 報告し、改善を追う：指摘を重要度の順に並べ、根拠と直し方を添えて報告し、期限を決めて進み具合を確かめる

ITに詳しくない監査の担当が進める場合は、専門用語の細部に入り込むより、「誰が承認したか」「記録は残っているか」「決まりと実態が合っているか」という、ほかの業務の監査と同じ問いを立てると進めやすくなります。技術の判断が要るところは、社外の専門家に一部を頼む形もあります。

指摘の後は、どう進めるか

指摘の後は、改善の計画を作るのは監査を受けた部門で、監査の担当はその計画が指摘に見合っているか、期限までに直ったかを確かめる、という役割の分け方が基本です。監査の担当が改善の作業に入り込むと、次の監査で自分の作業を確かめることになり、客観性が保ちにくくなります。指摘の書き方と改善の追い方は、監査の指摘を改善につなげる。重要度・改善計画・フォローアップで詳しく扱っています。

当社のご支援

アメリア・テクノロジーのシステム監査では、経済産業省の「システム監査基準」「システム管理基準」を参考に、目的に合わせて範囲を決め、資料と聞き取り、アクセスの権限や設定、変更の記録などで確かめ、重要度の順に指摘と直し方の提案をまとめてご報告しています。内部監査の担当の方が、ITの領域だけを社外の専門家に頼みたい場合もご相談いただけます。当社が開発・運用に関わったシステムは監査の対象にしないなど、中立を保つための決まりを設けています。M&Aや上場に向けた準備の状態をおおまかに確かめたい場合は、無料のM&A・上場に向けたIT準備度診断もお使いください。