システム監査

■システム監査とは

システム監査とは、情報システムが企業や組織の目的に沿って開発、運用および利用されているかどうかを当事者から独立した立場で評価し、その結果を内外部のステークホルダーに対して報告する活動です。ここでいうステークホルダーとは、内部では、経営者をはじめとした組織の管理者層や情報システムのユーザーを指し、また外部では当該組織の情報システムに影響を受ける取引先などを指します。

システム監査を実施することで、当事者以外には実態がつかみにくいといわれる情報システムの安全性、信頼性、効率性についてのリスクや課題を、これらステークホルダーが把握することができます。その結果、情報システム投資や外部委託先選定などの意思決定やリスクに応じた改善策の実施を可能にします。

■システム監査の重要性

情報システムの有効活用を図ることは、経営者や情報システムの利用者にとって重要な課題です。しかし、情報システムの運営にかかわる当事者だけでは適切なリスク評価やリスク管理ができず、結果として、システム障害、プロジェクトの遅延、情報漏洩などの問題を引き起こす場合があります。システム監査は、このような問題を防止し、情報システムにかかわるリスクを低減する手段としてますます重要になってきています。

また、個人情報保護法施行などを機に、取引先や業務の委託者などから情報システムのリスクや管理状況について報告を求められるケースが増加しており、そのようなニーズに対してもシステム監査が活用されるようになってきました。さらに、会社法や内部統制報告制度などへの対応のうえでもシステム監査がクローズアップされてきています。

■システム監査の対象

システム監査は、情報システムそのものや情報システムに係るあらゆる業務が対象となります。大きくは、情報システムのライフサイクル（企画、開発、運用・利用）を対象とした監査、情報システムが利用されている業務ごとの監査、情報セキュリティやプロジェクト管理などのテーマごとの監査に分類されます。

■システム監査の実施者

システム監査は、内部の監査部門が実施する内部監査と、外部の専門家が実施する外部監査に分けられます。監査の目的や内容によって内部監査と外部監査を使い分けることになりますが、いずれの場合も、監査対象から独立していて、客観的に監査を実施できる立場にあることが必要です。また、実施する監査テーマについて評価できる十分な知識をもち、システム監査実務に精通した担当者がかかわることがシステム監査の成功条件といえます。最近では、内部で十分な数の専門家の確保が難しいため、内部監査の一部を外部に委託するケースも出てきています。