【第16回】「監査」って誰が何をチェックしてるの？

急に何

それ、監査になってないよ

チェックした人が、部屋の持ち主と仲良しだと、それって信用できる？

そこ、今日の一番大事なポイントなんだ

システム監査は、企業の情報システムが、信頼性・安全性・効率性の観点から適切に運用されているかを検証する活動

そう。で、さっき美咲が引っかかったポイントが、監査で一番大事な独立性。監査をする人（監査人）は、監査される対象（システムの開発者や運用担当者）と利害関係がない、独立した立場でなければならない

うん。開発者自身が『このシステム、ちゃんとできてます』って自己申告しても、それはただの自己評価。第三者的な立場からチェックして初めて、客観的な信頼性が担保される

監査の流れも決まっていて、計画（何をどう監査するか決める）→実施（実際に調査・確認する）→報告（結果をまとめて報告する）→フォローアップ（指摘事項が改善されたか確認する）という順番で進む

次に、内部統制という言葉。これは、不正やミスが起きないように、あらかじめ組織の中に仕組みとしてルールやチェック体制を作っておくこと

そこ、混同しやすいから整理しよう。内部統制は"作る側"の仕組み——不正が起きないように予防する仕組みそのもの。一方システム監査は"チェックする側"——その内部統制がちゃんと機能しているかを、独立した立場から検証する活動

そう。あと、監査で欠かせないのが監査証跡。誰が、いつ、何を操作したかというログなど、後から確認できる記録のこと。証跡が残っていないと、監査人はそもそも検証のしようがない

1つ目は、監査人の独立性。『監査人＝開発者本人ではない』という前提を問う問題が定番。自分が作ったものを自分で監査する、という選択肢は基本的に誤り

内部統制とシステム監査の役割の違い。『仕組みを作る側』か『それをチェックする側』か、混同しないように

これで、マネジメント系は完了。次からいよいよテクノロジ系——一番出題数の多い分野に入っていくよ

大丈夫、1つずつやれば怖くない。まずは一番の基礎、コンピュータの中身の話から