リスクアプローチによる監査とは？

リスクアプローチによる監査の意味

限られた監査資源を、リスクが高い領域に重点配分する監査の進め方。すべてを均等に調べるのではなく、影響度と発生可能性、統制の弱さを評価して監査項目や試査の件数を決める。監査計画の合理性を説明する根拠にもなる。

リスクアプローチによる監査の具体例

決済金額が大きく手作業の介在が多い支払業務は詳細な手続きと大きめのサンプル数を割り当て、少額かつ自動処理で例外の少ない領域は分析的手続きだけで済ませる。前年に指摘のあった領域や、直近で大規模改修した領域はリスクを上げて扱う。

リスクアプローチによる監査は試験でどう引っ掛けられる？

リスクが低いと評価した領域を「見ない」のではなく、手続きを軽くするだけである点に注意。逆に「すべてを均等に見る」ことは網羅的に見えて、実際は重要領域が浅くなるため望ましくない。またリスク評価は監査人が独自に行うもので、被監査部門の自己評価をそのまま採用すると独立性が損なわれる。評価の根拠を調書に残さないと、なぜその範囲にしたのかを説明できず監査自体の妥当性が問われる。

リスクアプローチによる監査と関連する用語

• コンピュータ支援監査技法（CAAT）
• 内部監査・外部監査・監査役監査
• 予防統制・発見統制・是正統制
• 統制自己評価（CSA）
• 監査計画・予備調査・本調査

リスクアプローチによる監査が出た過去問

• システム監査基準(平成30年)に基づくシステム監査において,リスクに基づく監査計画の策定(リスクアプローチ)で考慮すべき事項として,適切なものはどれか。

  正解：情報システムリスクは常に一定ではないことから,情報システムリスクの特性の変化及び変化がもたらす影響に留意する。

  要点：リスクアプローチはリスクの変動を踏まえ資源を重点配分する

  リスクアプローチは、リスクの大きい領域に監査資源を重点配分する考え方である。情報システムリスクは技術や事業環境の変化とともに常に変動するため、その特性の変化と影響に留意して監査計画を見直す必要がある。よってエが適切。監査リスクは低減はできても完全な回避はできず、一律の資源配分はリスクアプローチの考え方に反する。

  出典：令和5年度 春期 情報処理安全確保支援士試験 am2 問25（IPA）