監査資料の画面コピーだけで、正しさは証明できない
内部監査で、管理者が「退職者のログインはすべて停止した」という報告と、利用者一覧の画面コピーを提出した。画面に退職者は見当たらない。しかし検索条件が人事の在籍区分で「現役社員のみ」となっていれば、有効なまま残った退職者のアカウントも対象外になる。これは説明のための仮想例である。画像が改変されていなくても、示す対象が問う範囲と違えば、証拠として不足する。
在籍区分による対象の選択と、アカウントの有効・無効は別の属性である。「有効なアカウントのみ」という条件なら、無効化が遅れた退職者は抽出に残る。一方、現役社員に絞った一覧では、退職者が有効か無効かを確認できない。検索結果に見えない理由を、ログインできない理由と同じにしない。
選ぶべきは、画面コピーを常に拒むか、受け取るだけで十分とするかではない。何を主張したいのかを先に定める。特定の設定がその日に表示された証拠なら画面が役立つ。対象期間の全件が漏れなく処理されたという主張なら、抽出条件、元データ、例外の扱いを確かめる必要がある。主張に対して証拠の粒度を合わせる。
この記事の目次
証拠の量と質は交換できない
PCAOBの監査証拠基準 AS 1105は、証拠の十分性を量、適切性を関連性と信頼性として分ける。同じ種類の質が悪い証拠を増やしても、必ずしも欠点を埋められないとも述べる。さらに会社が作った情報を用いる場合、正確性と完全性を試すか、それらを支える統制を確かめ、目的に十分な精度か評価するよう求める。米国の公開会社の財務諸表・内部統制監査の基準であり、すべての日本のシステム監査へ条文が直接適用されるわけではない。
NIST SP 800-53 Rev.5の監査・説明責任の統制は、監査記録の内容、生成、保護、分析を分けて扱う。ログが作られていることと、必要な事象が含まれ、後で頼れる状態にあることは別だ。NISTは情報システムと組織のための統制カタログであり、特定のスクリーンショットが合格か否かを一律に決める検証研究ではない。
両資料を合わせて、監査のために現場へ依頼するものを整理できる。元の記録がいつ、どの範囲で生成されたか。抽出の条件と権限は何か。報告用の表へ変換する間に、何が除かれたか。提出した人が元データを編集できるか。これらを追わず「システムから出したので正しい」と扱うのは危うい。
正確性より先に完全性を問う場面
抽出された百件の数値がすべて正しくても、対象となる千件から一部が落ちていれば、全体の統制については判断できない。件数は仮定で、実際の監査結果ではない。例えば、利用者一覧が現役社員だけを含み、委託先や休眠アカウントを除くなら、一覧内の正確さと対象全体の完全性を分ける必要がある。
対象一覧が完全かどうかと、その中から何件を調べるかは別の判断である。標本の選び方と件数の解釈は監査サンプリングの記事へつなぎ、本稿では、その前段の情報が主張に必要な対象を含むかを確かめる。
逆に、母集団が明確な単一の設定画面で「この日時のこの設定」を確かめるだけなら、全件抽出の仕組みを再構築する費用に見合わない。画面の日時、環境、対象システム、作成した権限を確認し、重大な設定なら別経路の情報と照合する。求める結論が狭ければ、証拠の検査も狭くできる。全ての証拠に同じ重い手続きは不要だ。
仮想例：同じ画像から逆の判断へ
仮に、人事部が「九月末時点で退職者のログインは停止済み」と報告する。画面コピーには退職者一名が「無効」と見える。この特定の一名について、その時点の設定を示す補助資料にはなる。しかし全退職者の停止を示すには、人事の退職者名簿とアカウントの母集団を突き合わせ、異なるIDや委託先アカウント、停止日を追う。画像をいくら鮮明にしても、写っていない人の状態は分からない。
条件を変える。問いは「指定した一人のアカウントが今どの設定か」だけで、画面の対象IDと時刻が確認でき、監査人が自分で画面へアクセスして確かめた。そこで全社員の抽出プログラムを作るのは過剰だ。画面と補助のログで足りる可能性がある。対象の広さと証拠の取得方法が変われば、選択も変わる。
抽出条件を残せば十分か
クエリーを保存しても、元データが途中で消されていれば再現できない。システムの権限設定が変われば、同じクエリーでも異なる結果になる。どの環境、どの版、どの日時の情報から、誰の権限で抽出したかを記録する。抽出後に表計算で並び替え、空欄を消し、手作業で合算したなら、その変換も監査の対象に入る。
ただし監査人が全システムの開発者になる必要はない。統制の目的に合う母集団を定め、主要な変換と例外を追えるか確認する。元データと最終報告を少数件照合する方法、別の管理台帳と件数を突き合わせる方法、抽出に使う統制を評価する方法を選ぶ。どれでも完全な保証ではなく、調べる範囲と残る不確実性を記録する。
相反する証拠をどう扱うか
画面の件数と元データの件数が違うとき、都合のよい方を採らない。AS 1105は、証拠間の不一致や信頼性への疑いがあれば、解消に必要な追加手続きを行うよう求める。この考え方を一般の内部監査へ借りるなら、違いが検索条件、更新時刻、権限、データ欠損のどこから来たかを追う。結論の前に、何をまだ知らないかを書けるようにする。
反対に、すべての差異が重大な不正を示すわけではない。集計の締切時刻が一日異なるなら、対象期間をそろえれば説明できることもある。説明の証拠を確かめず「誤差」と呼ぶのは危険だが、差異が生じた仕組みが分かれば、必要な追加検査の範囲を絞れる。
監査のためのデータ抽出が新しい問題を作る
再現性を高めたいからといって、監査人へ本番データの無制限な閲覧権限を渡す必要はない。個人情報や機密データを大量に複製すれば、証拠の保護という別のリスクが生じる。限定された読取権限、仮名化された一覧、監査用の安全な環境、必要な範囲の抽出を検討する。元データへ全く触れられない場合でも、独立した担当者が抽出条件と件数を確認し、監査人が再実行を観察する方法がある。
ただし匿名化して識別子を落とし過ぎれば、退職者名簿とアカウントを照合できない。検証したい主張に必要な項目を残し、不要な項目を持ち出さない。プライバシーと監査の正確さをどちらか一方の標語で片付けず、使う情報を絞りながら判断を成立させる。
自動化された報告も独立ではない
日々生成されるダッシュボードは、手作業の転記を減らせる。だが集計対象や定義を管理する人が、監査される仕事の責任者と同じなら、表示が自動でも独立性は得られない。新しい社員区分を除外する設定に変わったとき、前年と同じ報告名でも中身は違う。画面を毎回疑い続けるのではなく、抽出定義の変更記録と主要な入力経路を確かめる。
逆に、信頼できる統制の下で同じ報告が継続して作られ、対象と目的が変わっていないなら、毎回一から手集計する必要は小さくなる。統制を試すことで、個々の数字の検査を適切な範囲にできる。この選択はAS 1105の会社作成情報の扱いと整合するが、財務監査の規定をそのまま別の監査に課すものではない。
最後に、依頼する証拠を主張へ合わせます。一件の設定がその時点で有効かを知りたいなら、対象と時刻の分かる画面や直接閲覧を選べます。対象者すべてが期限内に停止されたかを知りたいなら、母集団、抽出条件、例外、変換と照合まで必要です。画像を増やすより、何を判断するための証拠かを依頼側で明らかにします。
監査の効率を保つため、検証の深さはリスクと結論に合わせる。意思決定へ与える影響が小さい確認に巨大なデータ抽出を要求せず、重要な全件主張に一枚の画像だけで署名しない。証拠の取得経路まで説明できるとき、報告書は読む人の判断に使える。