システム監査の独立性。開発会社に監査を頼むときに考えること

システム監査では、監査人が監査の対象から独立し、外から見ても独立して行われていると分かることが求められます。開発会社に監査を頼むときは、その会社が対象のシステムの開発や運用に関わっていないか、結果によって利益を得る立場にないかを確かめ、担当の分け方、費用の決め方、報告の経路、関係の開示といった手当てを決めておくことが大切です。

システム監査の独立性とは

経済産業省の「システム監査基準」（2023年4月26日改訂）は、システム監査が監査人によって誠実かつ客観的に行われることを求め、そのための基準の1つに「独立性と客観性の保持」を置いています。独立性は、次の2つに分けて説明されます。

• 精神的な独立性：誠実に行動し、客観性を保つという、監査人の心の持ち方です
• 外観的な独立性：監査が対象から独立した立場で行われていると、外から見て分かることです

システム監査基準は、精神的な独立性が保たれていないのではないかという疑いを持たれないよう、監査は対象から独立した人が行うこととしています。たとえば、監査の担当が対象の部門と同じ指揮命令の系統にある場合は、組織としての外観的な独立性が損なわれるとされています。監査人と対象の組織との間に、身分上の密接な利害関係がある場合も同じです。

出典：経済産業省「システム監査基準」（2023年4月26日改訂）

システム監査の目的や進め方の全体は、システム監査とは何かで説明しています。

なぜ外から見た独立性まで問われるのか

監査の結果は、依頼者だけでなく、取締役会、監査役、M&Aの相手方、監査法人など、別の人が判断に使うことがあります。そうした人は、監査人が本当に公正だったかを、自分で確かめることができません。外から見て独立していると分かる形が整っていて、はじめて結果を信頼して使えます。

監査人本人がどれほど公正に確かめたつもりでも、利害がある立場だと、結果そのものを疑われるおそれがあります。外観的な独立性は、監査の結果を使う人のための配慮と言えます。

開発会社に監査を頼むと、何が問題になりうるのか

システムの開発会社は、技術の知識があり、設定やソースコードまで確かめられる点で、監査の担い手になりえます。一方で、次のような場合は独立性が損なわれるおそれがあります。

システム監査基準は、フォローアップの基準の中で、監査人は改善の実施そのものに責任を負わないとし、監査人が改善の計画の作成や実施に関わると、独立性と客観性を損なうおそれがあるとしています。監査と改善を同じ人が担うことには、慎重であるべきだということです。

どんな手当てがあるのか

独立性を保つための手当てには、次のようなものがあります。依頼の前に、監査人の候補と話し合って決めておきます。

1. 関わったシステムを対象から外す：監査人が開発や運用に関わったシステムは、監査の対象にしません。対象に含まれる場合は、その部分を範囲から外すか、別の監査人に頼みます
2. 担当を分ける：監査の担当と、同じ依頼者の開発・運用・改善の担当を分けます。改善が終わった後の確認も、改善に関わっていない人が行います
3. 費用を結果に連動させない：費用は、確かめる範囲と作業の量にもとづいて決め、取引の成立や上場の可否で変わる形（成功報酬）にしません
4. 報告の経路を決める：結果は依頼者に直接報告し、依頼者の了承なく、ほかの人に伝えないことを取り決めます
5. 関係を開示する：監査人とそのグループの会社が、同じ案件や依頼者とどんな関係にあるかを、着手の前に書面で示してもらいます
6. 後の仕事を条件にしない：監査の結果をもとに、監査人の会社に開発や運用を頼むことを条件にしません

これらの取り決めは、監査の契約や依頼の書面に書いておくと、後から確かめられます。契約の内容については、弁護士などの専門家にご確認ください。

グループ会社との関係は、どう考えればよいのか

監査人の会社そのものは対象のシステムに関わっていなくても、そのグループの会社が、同じ案件や同じ依頼者と関わっていることがあります。たとえば、M&Aの案件で、監査人のグループの会社が助言者や仲介者として関わっている場合です。

このような場合、監査人本人に利害がなくても、外から見ると、グループとしての利害が結果に影響するのではないかと受け取られるおそれがあります。考え方は、ほかの手当てと同じです。

• 関係の内容（どの会社が、どの立場で、何に関わっているか）を、着手の前に書面で示してもらう
• 依頼者がその関係を理解したうえで、依頼するかどうかを決める
• 監査人自身が中立を保てないと判断した場合は、引き受けないことにしておく
• 同じ取引で、立場の異なる双方からは引き受けないことにしておく

関係を伏せたまま監査が進むと、後から関係が分かったときに、結果の信頼が損なわれます。先に開示し、依頼者の判断に委ねることが、外観的な独立性を保つ手当てになります。

監査人をどう選ぶのか

監査人を選ぶときは、専門の力と独立性の両方を確かめます。システム監査基準も、外部に監査を頼む場合は、その監査人の専門性と独立性を確かめることを求めています。

• 専門の力：対象のシステムの技術（クラウド、データベース、業務システム、AIなど）と、監査の物差し（システム管理基準、IT全般統制など）の両方が分かるか
• 独立性：対象のシステムの開発・運用に関わっていないか、結果に利害がないか、上の手当てを取り決められるか
• 報告の形：誰に、どの形で、どこまで報告するか。改善の提案の書き方
• 範囲と費用：確かめる範囲、方法（資料・聞き取り・設定の確認など）、期間、費用の決め方

監査を頼む前に、何のための監査かを決めておくことも大切です。取締役会への報告、M&Aの判断、上場の準備など、目的によって、求められる独立性の程度や、結果を見る人が変わるためです。

社内で行う監査との違い

社内の内部監査の部門が監査をする場合も、独立性の考え方は同じです。システム監査基準が示すとおり、監査の担当が対象の部門と同じ指揮命令の系統にないことが求められます。たとえば、監査の担当が対象の部門を通さずに経営者や取締役会へ報告する形が考えられます。

社内にITの専門の知識を持つ人が少ない場合は、内部監査の部門が計画と報告を担い、技術的な確認を外部の専門家に頼む分担もあります。その場合も、外部の専門家の独立性を同じ観点で確かめます。

当社のご支援

アメリア・テクノロジーは、システムをつくる会社として、システム監査を次の6つの決まりにもとづいて行っています。当社が開発・運用に関わったシステムは監査しません。監査と改善（とフォローアップ）の担当を分けます。フロレンティナが同じ案件に関わる場合は、着手の前に書面でご説明し、ご了承をいただいてから始めます（中立を保てない場合や、ご依頼者が当社の関与を望まれない場合はお受けせず、同じ取引で双方からはお受けしません）。結果はご依頼者にだけ報告します。費用は成功報酬にしません。当社への依頼を条件にしません。監査人を選ぶときの確認の材料としても、お使いいただければ幸いです。