システム監査の監査技法とは？インタビュー法・現地調査法・チェックリスト法を比較【FE試験】

まず結論

システム監査の監査技法は、「監査人が何をして証拠を集めているか」で切り分けると覚えやすくなります。

FE試験では、次の対応を優先して覚えます。

人に聞く
→ インタビュー法

現場を見る
→ 現地調査法

文書を見る
→ ドキュメントレビュー法

処理の流れを追う
→ ウォークスルー法

資料同士を照らし合わせる
→ 突合・照合法

質問項目に沿って確認する
→ チェックリスト法

コンピュータで検索・抽出・分析する
→ コンピュータ支援監査技法

今回のように、

システム監査人が、直接、関係者に口頭で問い合わせて回答を得る

と書かれていれば、インタビュー法です。

なお、この記事は現在の一次情報である経済産業省のシステム監査基準（令和5年／2023年改訂版）の考え方に合わせて整理しています。

直感的な説明

監査というと、難しい手法を使うイメージがありますが、基本は、

事実をどう確かめるか

です。

例えば、担当者が

「毎日バックアップしています」

と説明したとします。

監査人は、その説明を確かめるために、いくつかの方法を組み合わせます。

担当者に聞く
→ インタビュー法

バックアップ手順書を見る
→ ドキュメントレビュー法

実際の運用現場を見る
→ 現地調査法

バックアップログと作業記録を照合する
→ 突合・照合法

ログを抽出して分析する
→ コンピュータ支援監査技法

つまり、監査技法は監査証拠を集めるための方法だと考えると分かりやすいです。

定義・仕組み

インタビュー法

インタビュー法は、監査対象の実態を確かめるために、システム監査人が関係者へ直接質問し、回答を得る方法です。

試験では、

直接
口頭で問い合わせる
関係者から回答を得る

という表現があれば、インタビュー法を考えます。

ただし、監査では口頭説明だけに依存しないことが重要です。

インタビューで情報を得る
↓
記録・ログ・文書などで裏付ける
↓
監査証拠として評価する

2023年改訂版のシステム監査基準でも、監査証拠を入手・評価し、十分かつ適切な証拠に基づいて判断する考え方が重視されています。

現地調査法

現地調査法は、監査人が監査対象の現場へ行き、実際の状況を観察・調査する方法です。

例えば、

サーバ室への入退室管理
バックアップ媒体の保管状況
実際の業務手順
端末や設備の管理状況

などを直接確認します。

試験では、

現場へ赴く
実際の状況を見る
観察する

が合図です。

「業務時間外に実施しなければならない」のような条件はありません。

ドキュメントレビュー法

ドキュメントレビュー法は、規程・手順書・申請書・記録などの文書を確認する方法です。

例えば、

アクセス権管理規程
変更申請書
バックアップ手順書
障害対応記録

などを確認します。

試験では、

関連資料や文書を入手して内容を点検する

とあれば、ドキュメントレビュー法を考えます。

ウォークスルー法

ウォークスルー法は、データや処理がどのように流れるかを最初から最後まで追跡する方法です。

例えば売上処理なら、

売上データ発生
↓
入力
↓
処理
↓
出力
↓
業務で利用

という流れを追います。

試験では、

データの生成から入力、処理、出力、活用までを追跡

という説明が重要な手掛かりです。

開発レビューにも「ウォークスルー」という言葉がありますが、システム監査では処理やデータの流れを追うという文脈で判断します。

突合・照合法

突合・照合法は、複数の資料や記録を照らし合わせて、一致しているかを確認する方法です。

例えば、

申請書
↕
承認記録
↕
システム上の設定

を比較します。

試験では、

照合する
一致を確認する
突き合わせる

が合図です。

チェックリスト法

チェックリスト法は、あらかじめ用意した確認項目に沿って、監査対象の状況を確認する方法です。

ポイントは、チェックリストを作る主体です。

システム監査人
→ 監査対象に合わせてチェックリストを準備

関係者
→ 質問項目に回答

システム監査人
→ 回答や証拠を確認・評価

したがって、

監査対象部門がチェックリストを作り、その見解を監査人が点検する

という説明は疑います。

コンピュータ支援監査技法

コンピュータ支援監査技法は、コンピュータを利用して監査証拠の収集・検索・抽出・分析などを支援する方法です。

例えば、

大量の取引データから異常値を抽出する
条件に合うレコードを検索する
集計・再計算する
ログを分析する
テストデータを処理する

といった使い方があります。

注意したいのは、

特定の機能だけを備えた専用ソフトでなければならない

というわけではないことです。

表計算ソフトなどを利用する場合もあります。

科目Aでどう出る？

科目Aでは、監査技法の定義を文章で示して、名称を選ばせる問題が出ます。

その場合は、名詞より動詞を見るのがおすすめです。

問題文の動作	考える技法
聞く・質問する	インタビュー法
現場へ行く・観察する	現地調査法
文書を読む	ドキュメントレビュー法
流れを追う	ウォークスルー法
照らし合わせる	突合・照合法
項目に沿って確認する	チェックリスト法
検索・抽出・分析する	コンピュータ支援監査技法

特に今回のような問題なら、

「直接」
「関係者」
「口頭で問い合わせ」
「回答を入手」

を見つければ、インタビュー法と判断できます。

選択肢を切る例

システム監査人が関係者へ口頭で問い合わせる
→ インタビュー法
→ 適切

現地調査は必ず業務時間外に行う
→ そのような必須条件ではない
→ 不適切

コンピュータ支援監査技法は特定の専用ソフトだけを使う
→ 利用手段を限定しすぎ
→ 不適切

監査対象部門がチェックリストを作成し、監査人がその見解だけを点検する
→ 主体が逆
→ 不適切

どんな場面で使う？

実際の監査では、1つの技法だけで判断するとは限りません。

例えばアクセス権管理なら、

担当者へ運用方法を聞く
→ インタビュー法

権限管理規程を見る
→ ドキュメントレビュー法

申請書と権限設定を比べる
→ 突合・照合法

大量の利用者データを抽出する
→ コンピュータ支援監査技法

のように組み合わせます。

ここで大切なのは、

口頭説明だけで結論を出さず、複数の証拠で裏付ける

という考え方です。

監査証拠そのものについては、監査証拠とは？監査調書・監査計画書・監査報告書との違いで整理しています。

システム監査全体の考え方は、システム監査とは？独立性・報告先・責任の所在を整理も合わせて確認してください。

よくある誤解・混同

インタビューで回答を得れば監査証拠として十分

インタビューは重要ですが、口頭回答だけで十分とは限りません。

必要に応じて、

記録
ログ
文書
現物
システム上の設定

などで裏付けます。

聞く
→ インタビュー法

裏付ける
→ 他の証拠も確認

と考えます。

現地調査法は営業時間外に行う

現地を観察することがポイントであり、業務時間外でなければならないという技法ではありません。

むしろ、実際の業務状況を確認するために業務中の観察が必要な場合もあります。

チェックリストは監査対象部門が作る

試験では、ここを逆にされることがあります。

監査人が監査目的・対象に合わせて確認項目を準備し、回答や証拠を評価します。

コンピュータ支援監査技法は専用ソフトだけを使う

誤りです。

重要なのは、

コンピュータを利用して監査を支援する

ことです。

特定の製品だけに限定されません。

ウォークスルー法と現地調査法は同じ

違います。

現場の状況を見る
→ 現地調査法

データ・処理の流れを追う
→ ウォークスルー法

で切り分けます。

参考になる一次情報

現在のシステム監査基準は、経済産業省が2023年4月26日に公表した令和5年改訂版です。

2023年改訂版では、システム監査人が監査手続を実施して監査証拠を入手・評価し、十分かつ適切な監査証拠に基づいて監査結果を形成するという考え方が重要です。

古い過去問題では平成30年版の用語説明がそのまま使われることがありますが、この記事では、技法の名称を試験上の識別語として扱いつつ、監査の考え方は2023年改訂版を優先しています。

まとめ（試験直前用）

人に聞く → インタビュー法
現場を見る → 現地調査法
文書を見る → ドキュメントレビュー法
流れを追う → ウォークスルー法
照らし合わせる → 突合・照合法
項目に沿って確認 → チェックリスト法
検索・抽出・分析 → コンピュータ支援監査技法

試験では、技法名を丸暗記するよりも、

監査人が何をしているか

を見ます。

聞く？
見る？
読む？
追う？
照合する？
項目で確認する？
コンピュータで分析する？

この動詞に置き換えると、選択肢を切りやすくなります。

🔗 関連記事

🏠 基本情報技術者トップに戻る