システム監査人

システム監査人とは

システム監査人とは、組織の情報システムについて、定められた基準やルールに沿って運用されているかを、独立した立場で点検し、客観的に評価する人です。

評価の対象は、システムが正しく作動しているかだけでなく、安全性や有効性、効率性なども含まれます。

監査結果の信頼性を確保するため、システム監査人は監査対象の部門から独立していることが求められます。

システム監査人の主な役割

監査の主な観点

情報システムは、次の観点で評価されることが一般的です。

独立性と客観性

システム監査人には、独立性が求められます。独立性は、次の2つの観点で説明されます。

• 外観上の独立性：監査対象の組織や部門から身分上独立していることです。

• 精神上の独立性：偏りのない公正な判断を行う姿勢を持つことです。

同じシステムを担当した部門の人が監査すると、評価が甘くなる可能性があります。

そのため、監査対象から切り離された立場で監査することが原則です。

「助言」と「改善の実施」の違い

システム監査人が行うのは、問題点の指摘と改善の助言・勧告までです。

改善策を実行する責任は被監査部門にあります。

システム監査人が改善を実行すると、監査対象に関与することになり独立性を損なう可能性があるため、実行には関与しないのが原則です。

監査の流れ

1. 監査計画の策定

2. 監査の実施

3. 監査報告書の作成

1. 監査計画の策定

何を、どの範囲で、どの手順で点検するかを決めます。点検の基準として、社内規程、契約、法令、システム監査基準などが使われます。

2. 監査の実施

監査証拠を収集し、基準どおりに運用されているかを確認します。

監査証拠（エビデンス）の例

• 操作ログ

• 設定変更の申請書、承認記録

• アクセス権限の一覧

• 運用手順書

• バックアップ結果の記録

• 委託契約書、SLA

3. 監査報告書の作成

点検結果をまとめ、問題点がある場合は改善のための勧告を行います。

理解のポイント

• システム監査人は「作る人」や「運用する人」ではなく、「評価する人」です。

• 監査は、基準に照らして証拠を集め、客観的に判断します。

• 監査人の判断は主観ではなく、監査証拠に基づいて行うことが原則です。
• システム監査人が行うのは助言・勧告までであり、改善の実行は被監査部門が行います。
• 監査報告書の提出先は経営者です。

• 独立性と客観性が重要です。

発展知識

関連用語