監査の進め方：計画から本調査まで

結論：監査は「独立した人が、リスクの高い所から、決まった順で、証拠を集める」

システム監査の問題は、ほとんどがこの一文で解けます。

• 独立：監査される側（被監査部門）の人や、そのシステムを作った業者は監査人になれない
• リスクの高い所から：問題が起きやすく、起きたときの影響が大きいシステムを優先する
• 決まった順：目的を決める → 実態を知る → やることを決める → 証拠を集める → 評価する
• 証拠：監査人の結論は、十分かつ適切な監査証拠（判断の裏付けとなる資料・記録・回答）に基づく

前のレッスンの「内部統制（コントロール）」は、今回の監査で評価される側です。監査人はコントロールがちゃんと働いているかを、証拠で確かめます。

監査の全体の流れ

監査は大きく 計画 → 予備調査 → 本調査 → 評価・結論 → 報告 → フォローアップ と進みます。このレッスンは前半の「計画から本調査まで」が範囲です。

flowchart LR
  A["監査目的の設定"] --> B["監査対象業務の把握（予備調査）"]
  B --> C["監査手続書の作成"]
  C --> D["証拠の収集（本調査）"]
  D --> E["コントロールの評価・結論"]
  E --> F["監査報告（監査依頼者へ）"]

覚え方は**「目的 → 把握 → 手続書 → 証拠 → 評価」**です。旅行にたとえると、目的地を決める → 現地の下調べ → 行程表を作る → 実際に行って確かめる → 感想をまとめる、の順です。行程表（手続書）を下調べより先に作ることはありません。

計画：目的と範囲は「依頼者のニーズ」から決める

監査人は、依頼者（多くは経営者）が何を知りたいかを把握した上で、監査の目的と対象範囲を決めます。目的が決まらないと、何を調べれば終わりなのかが決まらないからです。

対象の選び方はリスクアプローチです。リスクアセスメント（どこで・どれくらい問題が起きそうかを見積もる作業）を行い、問題発生の可能性と影響が大きいシステムを優先して監査対象にします。

実施体制：独立性と、報告先は「監査依頼者」

この分野で一番出るテーマです。判断基準は独立性の1つだけです。監査人は監査対象から独立していなければならず、自分で作ったものを自分で評価してはいけません。

たとえるなら、監査人はスポーツの審判です。審判は選手（被監査部門）から選ばず、反則を指摘はしても、代わりにプレーはしません。

予備調査と本調査の違い

システム監査基準では、本調査の前に予備調査を行います。予備調査で業務の実態をつかみ、そこから何をどう調べるか（監査手続）を決めて、本調査で証拠を集めます。

よく出る誤りの選択肢は「被監査部門と監査計画を調整するため」「個別計画書を作るため」「本調査を補うために並行して行う」です。予備調査の目的は実態の把握だけと覚えてください。

監査手続とは、監査項目について十分かつ適切な証拠を入手するための手順のことです。計画の立案、報告書の作成、チーム編成は監査の別の工程で、監査手続ではありません。

監査技法：どうやって証拠を集めるか

本調査では、次の技法を組み合わせて証拠を集めます。説明文を読んで技法名を当てる問題がよく出ます。

ペネトレーションテスト法は、外部から実際に侵入を試してセキュリティの弱点を探す技法で、流れの追跡ではありません。

サンプリング：全件は見ずに一部から判断する

取引が何万件もあると全件は確認できないので、一部（サンプル）を抜き出して全体を判断します。用語は1つ覚えれば足ります。

許容逸脱率は、内部統制からの逸脱（ルールどおりに処理されなかった割合）として受け入れられる上限です。監査人はサンプル件数を決めるときにこれを使います。誤りの選択肢には「サンプリングリスク＝固有リスク×統制リスク」「母集団＝リスクの高いデータの集合」「統計的サンプリング＝特定の例外取引を全部抜き出す方法」があり、どれも定義の取り違えです。