応用情報技術者試験の頻出分野！システム監査の「監査手続」を分かりやすく解説

こんにちは、おゆかよです。この記事では、応用情報技術者試験でつまずきやすい「システム監査」の重要用語、監査手続について、博士と一緒に学んでいくよ！試験対策だけでなく、実務でも役立つ証拠集めのコツも紹介するね。

博士、お疲れ様！システム監査の過去問を解いてるんだけど、「監査手続」って言葉が出てくるんだよね。これって、単に監査を進めるスケジュールのことじゃないの？

おゆかよさん、こんにちは。いいところに気づいたね。実は「監査手続」には試験上の明確な定義があるんだ。まずは、この過去問（出典：令和4年度秋期応用情報技術者試験午前問59）を見てみようか。

選択肢を見ると、どれも「手順」って書いてあるから迷っちゃうな。答えはウの「監査項目について、十分かつ適切な証拠を入手するための手順」なんだよね？

その通り。正解だね。監査手続の本質は、「証拠（監査証拠）」をどうやって手に入れるか、という点にあるんだ。他の選択肢は計画立案や報告といった「監査のプロセス」の一部であって、「手続」という専門用語が指す内容とは少し違うんだよ。

「監査手続」は刑事の捜査と同じ？
AIによる継続的監査
まとめ

「監査手続」は刑事の捜査と同じ？

イメージしやすいように比喩を使ってみよう。システム監査を「刑事の捜査」だとすると、監査手続は「聞き込み」や「指紋採取」「防犯カメラのチェック」にあたるんだ。「このシステムは安全だ」と断言するためには、客観的な証拠が欠かせないよね？

なるほど！刑事さんが「こいつが犯人だ！」って言うときに証拠が必要なのと同じで、監査人も「この運用はダメだ！」って言うときに根拠が必要なんだね。具体的にはどんなことをするの？

代表的なものには以下の4つがあるよ。
1. 閲覧：規程やログなどの文書を確認する。
2. インタビュー：担当者に口頭で確認する（ヒアリング）。
3. 突合：異なる資料を突き合わせて矛盾がないか確認する。
4. 実査：実際にモノ（サーバー機やバックアップ媒体）があるか確認する。
例えば「バックアップを毎日取っています」という報告に対し、実際のバックアップログを閲覧し、テープメディアが金庫にあるか実査する。これが一連の監査手続だね。

AIによる継続的監査

最近では、監査のやり方も進化しているんだ。これまでは「1年に1回」人間がサンプルを抽出してチェックしていたけれど、今はAIを活用した継続的監査（Continuous Auditing）が普及してきているよ。AIが全件のアクセスログをリアルタイムで監視し、異常なパターンの操作を「証拠」として自動で抽出してくれるんだ。

えーっ！それってすごく便利だね！でも、AIに全部任せちゃって大丈夫なの？人間がやる必要なくなっちゃうんじゃない？

鋭い指摘だね。AIによる自動抽出は「効率性」は抜群だけど、その結果が本当に「不備」なのか、それとも「正当な例外処理」なのかを判断するのは、やはり人間の監査人の役割なんだ。試験で問われる「十分かつ適切な証拠」という言葉の通り、証拠の『質（適切性）』を見極める力は、人間にしかできない高度な判断なんだよ。

まとめ

今日は「監査手続」についてたっぷり学べたよ！ポイントを整理するとこんな感じかな？
・監査手続とは、監査項目について証拠を得るための手順。
・証拠には「十分性（量）」と「適切性（質）」の両方が必要。
・具体的な手法には、閲覧、インタビュー、突合、実査などがある。
・最新トレンドでは、AIによる全件自動チェックも進んでいる！よし、これで次の模擬試験でも間違えないぞ！博士、今日もありがとう！

よくまとめられたね。応用情報技術者試験では、単語の意味を正確に理解することが合格への近道だよ。頑張ってね、応援しているよ！