[#le95f662]-監査--その正確さを検証するために、ある事柄を調べる。--批判的立場で動かぬ証拠を探す。-審査--それが何であるかを決定するために、ある事柄を調べる。組織体に必要なコントロールには、次の3つがある。-内部監査--内部の監査人が実施する監査。準拠性、手続の妥当性、適切性を評価。-内部牽制--業務の遂行を複数の従業員に分担させ、職務を分離することで不正・誤謬の発生を発見・予防し、自動検証できる仕組みなど。確保することを目的とする。''監査証跡【かんさしょうせき】''とは、時系列的につながった監査証拠のまとまりのことである。コントロールが有効、適切に機能していることの証明手段となるものである。適切な期間内に入手可能であり、合理的にアクセスできる形式で入手でき、監査人を満足させる詳細さが必要である。''監査証拠''とは、システム監査報告書に記載する監査意見を立証するために必要な事実である。された口頭的証拠などがある。確保に結びついていることを事後に実証するため、情報システムに関する事象の発生から最終結果に至るまでの過程を逆方向に追跡できる仕組みである。監査計画の目的は、システム監査を効率的に実施し、効果を高めることである。監査目的を明示し、対象システム・業務、重点監査テーマ、体制、スケジュール、経費予算をまとめ、基本計画(年度計画)に盛り込む。報告時期を記載したものである。テーマの妥当性、監査時期の適切性、監査資源(監査人、コスト、情報など)との適合性を踏まえ、取りまとめる。監査手続書は、個別計画書をより繊細化したものである。目的、行動内容(いつ、誰が、何を、どこで、どのように)が明確になり、次回監査の参考資料ともなる。予備調査は、本調査の円滑かつ効率的な実施のため、監査対象業務を性格に把握するために行う。把握、計画の見通しというステップで行う。本調査は、監査目的に則して監査対象を実際に調査、分析、検討するために行う。現地調査、インタビュー、記録の閲覧・突合せなどにより、証拠の収集と証拠力・量の評価を行う。調査結果を踏まえ、評価を行う。評価に当たっては、監査項目ごとに評価基準を設けて、かい離度を数値化し、加点・減点する。総合評価は加重平均で行う。システム監査担当者の意見を明確化し、システム監査部門内で総合的に検討し、結論を出す。判断に当たっては、社会理念の変化を十分考慮する。この評価・結論に基づいて監査報告書案を取りまとめ、被監査部門(改善対象部門)と意見交換を行う。意見交換において指摘事項の誤認や改善勧告の妥当性をチェックし、監査報告書を完成させて監査報告を実施する。監査調書は、システム監査のすべてのプロセス(監査計画からフォローアップまで)で収集・作成した文書の総称である。調査調書はシステム監査部門以外に公開してはならない。監査技法とは、調査証拠を入手するための手段である。[#t3853ded]-ヒアリング、インタビュー(質問、文書化)--担当者から情報を収集すること。--多数の人間から同じ内容を調査する場合は、一人一人ヒアリングをするより、チェックリストを用いた調査の方が効率がよい。--利用者の回答内容を均一化できる。--調査後の集計が比較的容易になる。--利用者の記入・回答の負担が少ない。--調査項目の体系化が可能である。--あらかじめリスト化することで調査漏れがなくなる。--調査対象者が外出の多い営業部員であることや、ノートPCの使用は脆弱性が大きいため、チェック項目が多いことを考慮して、チェックリストを用いるとよい。--特定の情報を調査するために関連する書類(設計書、仕様書など)を点検すること。(実査、立会)--店舗や工場における機器の使用状況や設置場所などを調べるために行われる調査。[補講]H13SS午後I問2の穴埋め問題(レビュー、ヒアリング、現地調査)と記述式問題(チェックリストを使う理由)で出題された。[#cfee006b]-テストデータ法--テスト結果と予め計算した結果を比較する方法。-監査プログラム法--トランザクションの検索・抽出が可能なソフトウェアである汎用監査プログラムを用いる方法。--監査用モジュールを本番プログラムに用いる方法。--架空口座を開設し、テストする方法。--本番データをテストプログラムで並列処理し、実行結果を比較する方法。--ロジックを組み込み、特定のデータの通過や条件の成立時にメモリダンプを行う方法。--トランザクション処理を追跡する方法。--検証されたプログラムと逐一比較する方法。--無権限アクセスを試みるテスト。[補講]H13AU問40(テストデータ法、ITF法、監査プログラム法、並行シミュレーション法)に出題された。監査項目全件に対して監査手続きを行う(精査)ことはまれである。通常は、サンプリングに基づいた試査が行われる。試査とは、監査対象項目の一部に対して監査手続きを適用することである。--偏りのないようにそれぞれの階層に対して適用する。--ばらつきのあるデータに用いる。--例えば、金額にばらつきのある売掛金残高を母集団として、残高の詳細テストを実施するときに適用する。--階層にわけず、母集団全体に対して乱数抽出や系統抽出などを適用する方法。--サンプルを抽出し、一定数以上の不良品があった場合には全体を不合格とする方法。--項目やグループに対して、特定の属性が何回発生したかで定量的に評価する方法。[補講]H11AU問56(選択サンプリング、属性推定サンプリング、無層化サンプリング、層別サンプリング)に出題された。監査報告書は、調査調書に基づき個別計画ごとに作成し、個別計画書に定めた期日までに監査依頼者(権限者)に提出する。記載項目は次の通りである。監査報告書においては、事実と意見ははっきりと区分し、単なる問題点の指摘にとどまらず積極的に改善を提案するものでなければならない。文章の表現はできる限り明瞭、簡潔、平易であることが望ましい。システム監査基準には、監査報告書は組織体の長に提出すると定められている。システム監査は、監査報告書を提出して終わりというものではない。レビュー、次回システム監査での確認などによってフォローアップを行う必要がある。システム監査基準の報告基準中に、改善提案が実際に実行されたかどうかを追跡調査することによってフォローアップする旨の記述がある。情報セキュリティアドミニストレータ。