「監査で指摘なし」を、事故が起きない証明にしない。経営が報告書から読み取るべき確認範囲

半年前の監査では、大きな指摘がなかった。その後、権限設定の誤りで重要な情報が外へ出た。経営会議で「監査は何を見ていたのか」という声が上がる。ここから直ちに監査が無意味だったとも、担当者がすべてを見落としたとも決められない。

先に確かめたいのは、報告書が答えた問いと、今回起きた事故の関係だ。監査は、定めた目的に対して証拠を集め、結論を出す。確認していない用途や、監査後に変更された仕組みまで、同じ結論で覆えるわけではない。

本稿の提案は、監査の対象・期間・手続きが現在の判断に対応している範囲では結果を使い、事故や変更がその範囲を越えるなら、差分に絞った追加確認を行うことだ。「指摘なし」を取り消すか守るかという議論より、何の判断に使える証拠なのかを明確にする。

「全件見たか」だけでは、監査の強さは測れない

米国PCAOBの監査基準AS 2315は、標本だけを調べたために全体と異なる結論へ至る危険と、標本抽出以外の理由で誤る危険を区別する。後者には、目的に合わない手続きを選ぶことなどが含まれる。財務諸表監査の基準であり、日本のシステム監査へそのまま適用される義務ではない。PCAOB「AS 2315: Audit Sampling」

この区別をシステム管理の例へ引き寄せると、登録済みのアカウントを全件点検しても、点検の台帳に載っていない別システムのアカウントまでは確かめられない。対象内の全件確認と、対象の抜けがないことは別の問いになる。

また、承認記録があるかを調べたことと、承認者が妥当な判断をしたかを調べたことも違う。チェック印の有無を全件調べても、印を付ける際の判断内容を点検したことにはならない。自動照合で検査件数を増やす場合にも、この違いは残る。

だから標本検査を避ければ解決、とは言えない。一方、抽出した標本に問題がなければ全体の問題はゼロ、とも言えない。結論を読む人は、何を母集団として、何を確かめた結果なのかを報告書から追える必要がある。

報告書を、次の判断へつなぐ四つの欄

経営向けの要約には、結論の色分けに加え、確認の範囲を載せたい。本稿なら、次の四つを短くまとめる。様式自体に事故削減の効果が実証されているわけではなく、監査結果の使い過ぎを防ぐための編集上の提案である。

例えば「退職者の権限削除を確認」とだけあれば、退職者一覧と利用者一覧を突き合わせたのか、削除手順の文書を読んだのかで意味は異なる。文書確認が不要なのではない。その証拠が支える結論を、運用実績の確認へ拡張しないことが重要だ。

資料を取得できなかった場合も、問題を発見しなかったこととは区別する。権限の履歴が残らず変更を追えないなら、「誤りを確認できなかった」と「正しく運用されていた」を同じ欄へ書かない。運用側の記録不足なのか、監査手続きの制約なのかも分けて対処する。

監査後に変わるのは、システムの版だけではない

NISTのSP 800-137は、継続的な監視を、資産や脅威・脆弱性、実装した統制の有効性を把握し、リスクへ対応するための活動として整理している。2011年の米国連邦情報システム向け指針で、年次監査を不要とする比較研究ではない。NIST「Information Security Continuous Monitoring」

ここから考えたいのは、監査報告の有効期限を一律に決めることではなく、その結論が依存した条件の変化である。権限を付与する責任者が変わる、外部委託先が変わる、新しい顧客へ情報を提供する。プログラムの版が同じでも、リスクや確認先は変わり得る。

監査と運用監視の役割も分けたい。監査は独立した視点で目的と証拠を評価する。日常の監視は、その後の状態変化を拾い、必要な対応へつなぐ。監視画面が緑であることだけで、監視項目の選び方まで妥当と保証することはできない。

変更の責任者が「監査済みだから再確認しない」と言うなら、何が監査時と同じなのかを具体的に示してもらう。違う部分が分かれば、すべてを再監査する以外に、その部分と関連する統制だけを確かめる選択が生まれる。

同じ報告書でも、利用できる判断が変わる

仮に、営業部門の利用者権限を対象に、ある期間の追加・変更・削除の記録と設定を点検したとする。その範囲の運用について大きな不備が見つからず、その後も担当者や手順、対象が変わっていないなら、同じ統制の状態を判断する材料になる。

ここへ外部企業向けの共有機能を追加したらどうか。社内利用者への権限管理を確かめた結果だけで、外部共有の宛先、期限、再共有の制御まで確認済みとは言えない。本稿なら、新機能とそれにつながる権限・記録を追加確認する案を選ぶ。

さらに、事故が監査対象だった期間の、抽出外の取引で起きていた場合は別の調査になる。標本の偶然だけで説明せず、抽出方法、監査目的、入手できた証拠、見つけた兆候への対応を振り返る。必要な手続きが欠けていた可能性も検討する。

この三つを混ぜると、監査側は「対象外だった」と守りに入り、運用側は「指摘がなかった」と反論するだけになりやすい。事故を現在の範囲、当時の対象、確認手続きへ分解することで、追加確認か、監査方法の改善か、日常管理の見直しかを選べる。

追加確認の依頼も「もう一度しっかり見る」では曖昧である。外部共有が増えた例なら、追加された共有先を一覧にし、宛先と閲覧権限、期限後の失効を確かめる、と問いを絞る。その結果、既存の社内権限にも影響することが分かれば、対象を広げる。最初から差分だけで十分と決めるのではなく、つながりを調べて確認範囲を更新する。

確認に使う記録を運用側が整えることと、その記録を十分な証拠と判断することも分けたい。変更を担当した人の説明は必要な材料だが、その人の「問題なし」という自己評価を、独立した評価と呼び替えない。本稿の四つの欄は監査人の専門判断を代替せず、経営と監査側が追加作業の目的を共有するために用いる。

指摘件数を減らすことを、評価目標にしない

監査の件数評価にも注意が必要だ。指摘が少ない理由は、統制がよいことだけとは限らない。対象が狭い、資料を取得できない、重要な例外を試していない場合も考えられる。逆に、新しい範囲を調べたため、改善すべき点が多く見つかることもある。

次の監査計画を考える際は、指摘数より、重要な判断を支える証拠がそろったかを見る。見つかった不備については、対策を記載しただけでなく、その対策が実際に動くかを確かめる。権限削除手順を改訂したなら、改訂後の対象者が手順どおり処理されたかを追う、といった対応である。

重大な変更が頻繁なら、年次の報告だけで運用判断を支えるのは難しい。変更時の確認、日常の異常検知、独立した評価をどう組み合わせるかを考える。一方、変化の少ない範囲まで同じ頻度で確認を増やせば、限られた担当者の時間を消費する。確認を追加する理由は、その後の判断に必要な証拠が欠けることに置きたい。

「指摘なし」は、何も起きない約束ではなく、定めた範囲で得た証拠に基づく結論である。範囲が現在の判断に合うなら使い、前提が変わったなら差分を確かめる。 その読み方が、監査を免責の書類ではなく、次の管理行動を選ぶ材料にする。