システム監査基準とは？

システム監査基準の意味

システム監査を行う監査人が守るべき行為規範を定めた経済産業省の基準。監査の計画・実施・報告それぞれの段階でやるべきことと、独立性・客観性・専門的能力といった監査人に求められる要件を示す。「監査人がどう振る舞うか」を定める点で、監査対象側の物差しであるシステム管理基準と対になる。

システム監査基準の具体例

監査人が被監査部門の元管理職だった場合に、独立性の要件に照らして担当から外すという判断の根拠になる。監査調書を作成して一定期間保存する、報告書に指摘事項と改善提案を分けて記載する、といった実務手順もこの基準に沿って運用される。

システム監査基準は試験でどう引っ掛けられる？

「システム監査基準＝監査対象の評価項目集」と取り違えやすい。何を見るかの評価項目はシステム管理基準側にあり、監査基準は監査人の行為規範を定める。法律ではなく強制力のないガイドラインである点も混同されやすい。

システム監査基準と関連する用語

• システム管理基準
• システム監査人の独立性
• 監査調書

システム監査基準が出た過去問

• システム監査基準（平成30年）における監査手続の実施に際して利用する技法に関する記述のうち、適切なものはどれか。

  正解：インタビュー法とは、システム監査人が、直接、関係者に口頭で問い合わせ、回答を入手する技法をいう。

  要点：インタビュー法は関係者への口頭質問で証拠を得る技法

  インタビュー法は、システム監査人が監査対象部門の関係者に直接口頭で質問し、回答を入手して監査証拠とする技法である。文書からは読み取れない実際の運用状況を確認できる一方、得た回答は他の証拠と照合して裏付けを取ることが求められる。

  出典：令和1年度 秋期 高度共通_午前I試験 am1 問22（IPA）

• 監査証拠の入手と評価に関する記述のうち、システム監査基準（平成30年）に照らして、適切でないものはどれか。

  正解：アジャイル手法を用いたシステム開発プロジェクトにおいては、管理用ドキュメントとしての体裁が整っているものだけが監査証拠として利用できる。

  要点：監査証拠は体裁ではなく十分性と適切性で判断する

  システム監査基準では、監査証拠は文書の体裁が整っているかどうかではなく、監査意見を裏付けるのに十分かつ適切であるかで判断する。アジャイル開発では、タスクボードの記録や振り返りの議事メモ、ホワイトボードの写真、動くソフトウェアそのものなども有効な監査証拠になりうる。体裁の整った管理用ドキュメントだけに限定するという記述は適切でない。

  出典：令和2年度 10月 高度共通_午前I試験 am1 問22（IPA）

• システム監査基準（平成30年）における予備調査についての記述として、適切なものはどれか。

  正解：監査対象部門の事務手続やマニュアルなどを通じて、業務内容、業務分掌の体制などを把握する。

  要点：予備調査は資料から実態を把握し本調査の進め方を決める段階

  予備調査は、本調査に先立って監査対象の実態をつかむ段階である。関連する規程・事務手続・マニュアルや組織図などの資料を通じて、業務内容や業務分掌の体制、システムの概要を把握し、本調査の範囲や進め方を組み立てるために行う。

  出典：令和5年度 春期 高度共通_午前I試験 am1 問21（IPA）

• システム監査基準（平成30年）における監査手続の実施に際して利用する技法に関する記述のうち、適切なものはどれか。

  正解：インタビュー法とは、システム監査人が、直接、関係者に口頭で問い合わせ、回答を入手する技法をいう。

  要点：インタビュー法は関係者への口頭質問で監査証拠を得る技法

  インタビュー法は、システム監査人が関係者に直接口頭で問い合わせ、その回答を監査証拠として入手する技法である。書面だけでは分からない運用の実態を確かめられる一方、回答の裏付けを他の技法で補うことが求められる。

  出典：令和5年度 春期 高度共通_午前I試験 am1 問22（IPA）

• システム監査基準（令和5年）におけるフォローアップの説明として、適切なものはどれか。

  正解：システム監査人が、監査報告書に記載した改善提案の実施状況に関する情報を収集し、改善状況をモニタリングすること

  要点：フォローアップは改善提案の実施状況を監査人が継続的に確認する

  フォローアップは、監査報告書に記載した改善提案がその後どこまで実施されたかを追いかける活動である。システム監査人が実施状況の情報を集めて改善の進み具合を確かめるもので、改善そのものを実施する責任は被監査部門にある。

  出典：令和6年度 秋期 高度共通_午前I試験 am1 問22（IPA）