システム監査役に適任な人

Question

今、ITパスポートの試験勉強をしています。
過去問題のひとつに、システム監査役に関する問題が出まして、
システム監査役に適切な立場の者は、

監査対象システムにかかわっていない者

という答えでした。

ここで、疑問に思ったことは、システムに関して詳しくない人で本当にいいのでしょうか。
それできちんとした判断ができるのでしょうか。
教えてください。

IDii24 · Accepted Answer

システム監査というものがちゃんと理解出来てますでしょうか？
システム監査とはなんの為にやるのか。大企業の殆どは不正処理が行われてないかをチェックするのですが、その依頼主は株主です。つまり監査人は投資者側の立場で行わないといけません。システムの不正というのは経理の不正に繋がるからです。
さらに人事システムには給与査定のウソが無いか、仕入れシステムでは仕入れ先見積もりや個数に不正が無いかを調べます。システムの間に人が介在出来る隙があるなら、統制は取れない事になります。またバグは持っての他です。
と言う事で監査人は入口と出口をチェックします。要するに入れた情報が正確に出力されるかをチェックするわけです。計算式が間違ってなければ出口は正しいはず。これを別の方式で別計算し、システムが合致しているかを調べます。
もしExcelなどで手入力などしている場合はそのExcelが改ざん出来ない運用になっているか、保存方法、入力チェックの方法、さらに承認フローを調べます。
さらに外部から改ざん出来ないかを調べるためセキュリティをチェックします。DBの管理者の権限の範疇。管理者がデーターを見れないようにしているか、あるいは管理者パスワードはどう管理しているか。長期雇用の管理者が居ないか。（長期は不正の根源です。）
つまりシステムの中身を知る必要はなく管理と構成を知ればよいのです。それを証明する資料を作るのはシステム部の仕事なのです。
もちろんたまにはソースコードまで調べる場合もあります。これはよほど不正があった時です。
そもそもその疑いを持たれないように、スクラッチ開発は悪なのです。欧米の企業がパッケージやERPを使うのは訴訟に勝つため。スクラッチは自分たちが責任を持つ必要がありますからね。
上記を考えれば内部関係者ではまずいのは分かると思います。

jjon-com · Answer

システム監査基準，システム管理基準という２つの文書の名は，ITパスポート試験にも登場します。特に前者は４ページしかない文書ですので一度，目を通しておくとよいでしょう。
http://www.meti.go.jp/policy/netsecurity/new_systemauditG.html

--------
２．独立性、客観性と職業倫理

2.1 外観上の独立性
システム監査人は、システム監査を客観的に実施するために、監査対象から独立していなければならない。監査の目的によっては、被監査主体と身分上、密接な利害関係を有することがあってはならない。

2.2 精神上の独立性
システム監査人は、システム監査の実施に当たり、偏向を排し、常に公正かつ客観的に監査判断を行わなければならない。

2.3 職業倫理と誠実性
システム監査人は、職業倫理に従い、誠実に業務を実施しなければならない。

３．専門能力
システム監査人は、適切な教育と実務経験を通じて、専門職としての知識及び技能を保持しなければならない。
--------

ということで。

システム監査人は，情報システムに関する詳しい知識と技能を保持する専門職です。
監査対象であるそのシステムについての知識を最初は持っていないかも知れませんが，調査・ヒアリングを通じて得た情報を元に，その監査対象システムを理解できる専門知識を有している必要があります。

システム監査人は監査をおこなうために，監査対象システムに対してこのような技術的な関わりは持ちますが，被監査主体を不正に利するような関わりは持ちません。

ok-kaneto · Answer

事はそれほど難しくありません。

システム監査は
・システムが正しく動作するかどうかチェックする
・外部の第三者がチェックする(公平性を保つため)
この2点が大きなポイントです。

一般的には第三者が行います。それは、内部関係者が関わるとそれほど意味がないからです。例えば思い込みのような間違いを犯している場合もありますし、システムに精通していれば不正を働くことができます。
また、関係者と友達である等した場合、監査に手心を加えてしまう可能性もあります。もちろん同じ会社の監査部門がチェックする場合もありますけど、監査は外部団体に依頼して公平性を亜ピースすることもあります。

もちろん、監査を行うに当たってシステムを外部から理解するための努力は惜しみません。

システム監査役に適任な人

システム監査というものがちゃんと理解出来てますでしょうか？

システム監査基準，システム管理基準という２つの文書の名は，ITパスポート試験にも登場します。

事はそれほど難しくありません。

似たような質問が見つかりました

関連するカテゴリからQ&Aを探す

デイリーランキングこのカテゴリの人気デイリーQ&Aランキング

マンスリーランキングこのカテゴリの人気マンスリーQ&Aランキング