監査指摘はいつ対策済みにする？ 実装と効果を確かめる証拠
規程を改定し、設定も変更し、担当部署から完了報告を受けた。これで監査指摘を閉じてよいだろうか。変更作業が終わったことと、指摘したリスクが下がったことは同じではない。新しい承認欄が追加されても、承認者が内容を見ずに押していれば結果は変わらない。
この記事が扱う選択は、実装の証拠だけで指摘を閉じるか、リスクが軽減された証拠まで再検証するかである。影響が限定され、変更内容が直接確認できる指摘は文書確認で閉じられる場合がある。重大なリスク、運用に依存する対策、例外の多い処理は、実際の運用結果まで確かめる。
完了報告は、誰が何をしたかの証拠である
IIAの2024年Global Internal Audit Standardsの基準15.2は、勧告・アクションプランの実施確認を扱う。基準の改訂説明は、確認を指摘の重要度に応じたものにするため、リスクに基づくアプローチを要求へ加えたと説明している。すべての指摘を同じ手続きで閉じる考え方ではない。IIA・2024年基準の改訂説明、基準15.2 これは職業基準の説明であり、対策の事故削減率を測った研究ではない。
米国GAOのGreen Bookも、内部統制上の不備を適時に是正する仕組みを求める。対象は米国連邦機関だが、「作業を行ったか」と「統制目的を達成したか」を分ける視点は企業のフォローアップにも使える。日本企業の法的義務をこの資料から直接導くことはできない。
担当部署の完了報告で分かるのは、計画した変更が実施されたという主張である。監査側が確かめたいのは、その変更が元の原因に対応し、想定した場面で働き、重大な例外を残していないかである。
一件の指摘を四段階に分ける
仮に「退職者のアカウントが残っていた」という指摘があり、対策として人事システムからの自動停止を導入したとする。
| 段階 | 証拠 | ここで言えること |
|---|---|---|
| 設計 | 仕様、責任者、対象範囲 | 原因へ向けた対策か |
| 実装 | 設定、リリース記録 | 予定した変更を入れたか |
| 運用 | 実際の退職者サンプル、処理ログ | 想定した場面で動いたか |
| 結果 | 残存アカウント、例外、再発 | リスクが許容範囲まで下がったか |
仕様書とリリース記録だけなら、実装までは確認できる。しかし子会社の人事データが連携対象外なら、元のリスクは残る。実際の退職者を追い、停止時刻、例外、手動処理を確かめて初めて運用を評価できる。
逆に、誤字のある手順書を修正する指摘で、誤字自体が原因だったなら、改訂版と配布先の確認で十分な場合もある。すべての指摘へ大規模な再監査を行う必要はない。再検証の深さは、リスクの重大性、対策が人の運用に依存する程度、変更後に観測できる件数で変える。
同じテストを繰り返せばよいとは限らない
元の監査で見つけた一件だけを再確認し、修正されていたから閉じると、ほかの対象への展開を見落とす。指摘が個別データの誤りなら一件の訂正確認でよいが、処理設計の欠陥なら母集団から取り直す必要がある。
また、対策によりリスクの形が変わることもある。自動停止が速くなっても、誤って在職者を止める危険が増えたなら、可用性側の影響を確かめる。対策前と同じ検査項目だけでは、新しい副作用を捉えられない。
フォローアップで不備が見つかったとき、直ちに元の対策を失敗と決めない。対象漏れ、実装不良、運用逸脱、設計仮説の誤りを分ける。対象漏れなら範囲を広げ、運用逸脱なら権限・教育・監視を見直し、仮説が誤っていたなら別の対策へ変更する。
退職者の権限が残った指摘なら、改訂した申請書式を公開したことと、実際に権限が止まることを分けて試します。通知が届かない、担当者が不在、既存セッションが残る場合にも不要な操作を止められるでしょうか。書式の公開は実装の証拠ですが、これらの経路を止めた証拠にはなりません。
同じ成功例の反復より、元の欠陥へ至る経路を再現し、対策後はどこで止まるかを確かめる。止められない経路が残り、責任者が受け入れた場合は、対策完了ではなく残余リスクの受容として区別する。監査担当が操作を代行しなければ動かない対策は、通常運用の有効性と別に扱う。
「対策済み」と「リスク受容」を混ぜない
経営が残存リスクを受容した場合は、対策の有効性が確認された場合と区別して、未解消範囲・判断者・期限を残す。実運用がまだない統制は、不備なしと閉じず、次の実行日と確認担当、待つ間の代替統制を決める。模擬実行や設定確認は補助になるが、実運用の証明とは書かない。
結論
変更内容が固定的で、元の原因へ直接対応し、独立した確認で対象全体を読めるなら、実装証拠を中心に閉じる。人の反復運用、例外処理、重大なリスクに依存するなら、実際の対象で対策が働き、残存リスクが許容されたことまで再検証する。経営がリスクを受容した場合は、対策完了と分けて記録する。「作業を終えた」ではなく「何が変わったため閉じるのか」を説明できることが完了条件である。
参考資料
- The IIA, 2024 Global Internal Audit Standards
- U.S. GAO, Standards for Internal Control in the Federal Government (2025)
- The IIA, Implementation Guides（旧版・フォローアップの背景確認）