保証型監査のできるシステム監査基準を作るために
１．システム監査基準と情報セキュリティ監査基準の関係
−両者に根本的な差異はない
・ 新監査基準案で評価できる点は、行為規範である監査基準（もと基準）と判断の尺度である管理基準（のり規準）を区分した[1]ことである。
・ 監査基準の議論が混乱するのは、ほとんど、「もと基準」と「のり規準」を峻別しないことに起因している。
・ 以下、監査「基準」について議論したい。
・ システム監査基準と情報セキュリティ監査基準には大小上下はない。
・ 監査目的と管理基準が若干違うだけである。[2]
・ 会計監査と業務監査とシステム監査の違いに比べれば微々たる差異である。
・ 監査のやり方に明らかな違いがあるなら、監査「基準」を別に持つ必要はあるだろうが、大して違わないのに、別々に監査基準を作る必要性は乏しい。
・ 監査実施基準が異なる場合こそ異なる監査基準が必要である。
・ システム監査と情報セキュリティ監査ではなく、外部監査と内部監査の場合こそ異なる監査基準が必要となる。
・ 新監査基準案では、外部監査と内部監査の実施規範をひとつの基準で記述できると考えたところに無理がある。
・ 監査のやり方が異なれば報告の仕方も異なるので、監査報告基準にも同様の無理がある。
２．システム監査基準の純化
−監査基準と管理基準(規準)と内部規律は区分する意義がある
・ 今回のシステム監査基準には、そうした肝心の点が抜けていて、守秘義務のようなレベルの違うものが入っている。(もちろん情報セキュリティ監査基準も同様)
・ 守秘義務は、監査を実施する職業的専門家集団の内部規律であって、監査基準の中で規定されるべきものではない。
・ 職業的専門家が自らに課す自主規制である内部規律は、守秘義務を含む倫理規程と品質管理規程から成る。
・ システム監査基準はシステム監査の精通者が作り、システム管理基準(規準)はシステム管理の精通者が作り、いずれも利害関係者が承認し、内部規律は職業的専門家であるシステム監査人の団体が作るという意味でも、それぞれは質の異なるものである。
3．保証型監査実施のための条件整備
−保証型監査が可能となるためのフレームワーク構築の必要性
・ システム監査が普及しないのは、保証型監査を実施可能とするフレームワークを構築できていないためである。
・ 保証型監査は、管理基準を精緻化するだけで可能となるものではない。
・ 監査手法の確立がなによりも必須である。
・ これまでは、監査基準と管理基準の区分が出来ていなかったために、監査基準の議論即ち管理基準の議論に留まっており、監査手法についての掘り下げが出来ていなかった。
・ 内部統制の評価は試査を可能とするために編み出された会計監査の手法であって、システム監査で当然に利用するべきものかどうかはわからない。
・ システム監査でも、会計監査における試査や内部統制の評価、遵守性テスト[3]、実証性テスト[4]、リスクアプローチといった手法に匹敵する何かを構築しなければならない。
・ また、保証型の監査を可能とするためには、監査の主題[5]を監査できる形にして用意する工夫も必要である。
・ 行為そのものを主題とするのではなく、言明に置き換えることが必要である。（会計監査で、財務諸表という経営者の言明を監査の主題としているように。）
・ システムの有効性の監査では、監査依頼者から、対象システムの有効性をどのレベルに設定したかの言明を得た場合のみ保証型監査が可能である。
・ 保証型システム監査には、保証を求める利害関係者と、自己の行為の正当性などを保証されたい被監査人と、保証をする監査人との三者が不可欠である。
・ 内部監査では、利害関係者と被監査人は同一であるので、保証型のシステム監査は成立しない。
・ 保証型監査を可能にするための監査手法や監査プロセスなどフレームワークの構築が、今強く求められている。
・ それが何かは分からないが、「システム監査は、監査計画に基づき、予備調査、本調査及び評価・結論の手順により実施しなければならない。」2という文言だけでは十分でないことは明らかである。
[up net on 04/06/29]