監査が何を確かめる活動なのかを、独立性と証跡の観点から整理。内部監査と外部監査、脆弱性診断やペネトレーションテストとの違い、指摘への対応の流れまで解説します。
監査は、決めたとおりに運用されているかを、実施した本人以外が確かめる活動です。ここで重要なのは「本人以外が」という部分です。自分で決めて自分でやって自分で確かめるなら、抜けに気づけません。第三者の目が入ることに意味があります。
監査人は、監査の対象となる業務から独立していなければなりません。運用している部署の人が自部署を監査しても、身内に甘い評価になるか、指摘しにくい立場に置かれます。組織の中で行う内部監査でも、報告先を経営層にして、被監査部門の指揮下に置かないようにします。
| 内部監査 | 外部監査 | |
|---|---|---|
| 実施者 | 組織内の監査部門 | 外部の監査法人など |
| 主な目的 | 改善のため、自ら確かめる | 第三者としての保証、対外的な説明 |
| 頻度 | 比較的高い | 年次など、定期的 |
| 独立性 | 報告経路で確保する | 組織そのものが別 |
監査は、記録に基づいて判断します。担当者が「毎月確認しています」と述べても、それを示す記録が無ければ、確認されたとは扱われません。逆に言えば、記録が残る形に業務を設計しておくことが、監査への最良の備えになります。
記録そのものが改ざんされては意味がないため、記録の保全も論点になります。運用担当者が自分で書き換えられるログは、証跡としての価値が下がります。書き込み専用の保存先へ送る、権限を分ける、といった手当てをします。
内部統制の基本に、一人で完結させないという原則があります。申請する人と承認する人を分ける、開発する人と本番へ反映する人を分ける、運用する人とログを確認する人を分ける。分けておくと、単独での不正が難しくなり、誤りにも気づきやすくなります。
小規模な組織では人手が足りず、完全に分けられないことがあります。その場合は、事後の確認を上長が行う、操作の記録を残して定期的に見る、といった代替の手当て（補完統制）を置き、その旨を記録します。「分けられないから何もしない」ではなく、代わりに何をするかを明示するのが監査で見られる点です。
混同されやすいものを整理します。脆弱性診断は、システムに既知の弱点が無いかを網羅的に調べるもの。ペネトレーションテストは、目的を定めて実際に侵入を試み、どこまで到達できるかを確かめるもの。監査は、それらとは別に「決めたとおりに運用されているか」を確かめるものです。対象が、技術か、運用か、という違いがあります。
三つは補い合う関係です。診断で技術的な穴を見つけ、テストで実際の到達範囲を測り、監査で運用の抜けを見つける。どれか一つでは全体を見たことになりません。設問では、目的に応じてどれを選ぶかを問われます。
監査は指摘して終わりではありません。指摘に対して改善計画を立て、期限を決めて実施し、その結果を確かめる（フォローアップ）ところまでが一連の流れです。前回の指摘が放置されたまま次の監査を迎える、という状態が最も問題視されます。
監査は、思いついたところを見るのではなく、計画を立てて行います。何を対象に、どの基準に照らして、どの手続きで確かめるかを事前に決めます。そのうえで、記録の閲覧、担当者への質問、実際の操作の観察、設定の突き合わせ、といった手続きを組み合わせます。一つの手続きだけでは、書類上は整っているが実態は違う、という状態を見抜けません。
すべてを見ることはできないため、一部を抽出して確かめる方法が採られます。抽出の仕方に偏りがあると結論が歪むので、どう選んだかも記録に残します。監査の過程で得た資料と判断の根拠をまとめたものが監査調書で、結論の裏付けになります。「見たと言っているが記録が無い」という状態は、監査する側でも避けなければなりません。
午前Ⅱでは、監査人の独立性、証跡の意味、職務の分離、診断とテストの違いが問われます。午後では、運用の記録を示して「監査でどこが指摘されるか」「どう改善するか」を書かせる形が出ます。答えるときは、対策そのものだけでなく「記録が残る形にする」という観点を添えると、監査の設問らしい解答になります。
IPA 公式：過去問題（情報処理安全確保支援士試験） ↗各年度の問題冊子・解答例・採点講評の PDF を、公式サイトで確認できます。