監査で指摘なしでも事故は起きる？ 報告書の対象と限界の確認
半年前の監査では、大きな指摘がなかった。その後、権限設定の誤りで重要な情報が外へ出た。経営会議で「監査は何を見ていたのか」という声が上がる。ここから直ちに監査が無意味だったとも、担当者がすべてを見落としたとも決められない。
先に確かめたいのは、報告書が答えた問いと、今回起きた事故の関係だ。監査は、定めた目的に対して証拠を集め、結論を出す。確認していない用途や、監査後に変更された仕組みまで、同じ結論で覆えるわけではない。
本稿の提案は、監査の対象・期間・手続きが現在の判断に対応している範囲では結果を使い、事故や変更がその範囲を越えるなら、差分に絞った追加確認を行うことだ。「指摘なし」を取り消すか守るかという議論より、何の判断に使える証拠なのかを明確にする。
この記事の目次
「全件見たか」だけでは、監査の強さは測れない
米国PCAOBの監査基準AS 2315は、標本だけを調べたために全体と異なる結論へ至る危険と、標本抽出以外の理由で誤る危険を区別する。後者には、目的に合わない手続きを選ぶことなどが含まれる。財務諸表監査の基準であり、日本のシステム監査へそのまま適用される義務ではない。PCAOB「AS 2315: Audit Sampling」
この区別をシステム管理の架空例へ引き寄せると、登録済みのアカウントを全件点検しても、台帳に載っていない別システムのアカウントまでは確かめられない。まず報告書の対象と、判断したい範囲が同じかを確認する。対象内を全件調べたことを、対象の抜けまで確認した結果に読み替えない。
承認記録の全件確認も、印の有無を検査したのか、承認者が判断に必要な資料を確認したかを検査したのかで、支える結論が変わる。これはAS 2315の手続きと目的の区別を説明する仮想例であり、同基準が日本のシステム監査へこの検査を義務付けているという意味ではない。
報告書を、次の判断へつなぐ四つの欄
経営向けの要約には、結論の色分けに加え、確認の範囲を載せたい。本稿なら、次の四つを短くまとめる。様式自体に事故削減の効果が実証されているわけではなく、監査結果の使い過ぎを防ぐための編集上の提案である。
| 確認する欄 | 読み取りたいこと |
|---|---|
| 目的 | 権限の妥当性、変更の承認、復旧など、何へ答えたか |
| 対象と期間 | どのシステム・部門・取引・時期を含むか |
| 手続きと証拠 | 聞き取り、記録照合、設定確認、実施結果のどこまで見たか |
| 未確認と変更 | 対象外、得られなかった資料、確認後に変わった前提 |
例えば「退職者の権限削除を確認」とだけあれば、退職者一覧と利用者一覧を突き合わせたのか、削除手順の文書を読んだのかで意味は異なる。文書確認が不要なのではない。その証拠が支える結論を、運用実績の確認へ拡張しないことが重要だ。
資料を取得できなかった場合も、問題を発見しなかったこととは区別する。権限の履歴が残らず変更を追えないなら、「誤りを確認できなかった」と「正しく運用されていた」を同じ欄へ書かない。運用側の記録不足なのか、監査手続きの制約なのかも分けて対処する。
監査後に変わるのは、システムの版だけではない
NISTのSP 800-137は、継続的な監視を、資産や脅威・脆弱性、実装した統制の有効性を把握し、リスクへ対応するための活動として整理している。2011年の米国連邦情報システム向け指針で、年次監査を不要とする比較研究ではない。NIST「Information Security Continuous Monitoring」
同じ報告書でも、利用できる判断が変わる
仮に、営業部門の利用者権限を対象に、ある期間の追加・変更・削除の記録と設定を点検したとする。その範囲の運用について大きな不備が見つからず、その後も担当者や手順、対象が変わっていないなら、同じ統制の状態を判断する材料になる。
ここへ外部企業向けの共有機能を追加したらどうか。社内利用者への権限管理を確かめた結果だけで、外部共有の宛先、期限、再共有の制御まで確認済みとは言えない。本稿なら、新機能とそれにつながる権限・記録を追加確認する案を選ぶ。
さらに、事故が監査対象だった期間の、抽出外の取引で起きていた場合は別の調査になる。標本の偶然だけで説明せず、抽出方法、監査目的、入手できた証拠、見つけた兆候への対応を振り返る。必要な手続きが欠けていた可能性も検討する。
「指摘なし」は、何も起きない約束ではなく、定めた範囲で得た証拠に基づく結論である。範囲が現在の判断に合うなら使い、前提が変わったなら差分を確かめる。 その読み方が、監査を免責の書類ではなく、次の管理行動を選ぶ材料にする。
報告書を読んだ後に、どこを確かめるか
報告書を読み終えたら、残った懸念に合う確認先を選びます。「承認記録に不備なし」でも、レビューの時刻と内容、実行ログと台帳の一致、改修後の検査範囲は別の問いです。気になるのがどれかによって、同じ100件を読み直す以外の確認が必要になります。
経営向けには、結論と未確認の問いを対にする。「通常変更の記録は確認した。緊急変更の実行順序は今回対象外」と読めれば、次の判断に必要な追加確認が選べる。標本の見逃し確率は抽出設計、攻撃経路の試験は侵入テストへ分ける。報告書そのものに、安全の全領域を証明する役割を負わせない。
- 抽出した範囲から全体へ広げてよいか：100件で不備ゼロという結果の読み方
- 監査後の変化を誰が捉えるか：日常の自動点検と独立監査の役割
- 見つかった指摘を閉じてよいか：是正後に変わった事実の確認