統制と監査証跡

統制＝間違いや不正が起きないよう／起きても気付けるように業務へ組み込んだ仕掛け。監査＝その仕掛けが設計どおりに整備され、実際に運用されているかを第三者の立場で確かめる行為。監査人は業務を直すのではなく、事実を確かめて報告し、改善を促す立場です。

この2つはどちらが優れているかではなく、組み合わせて使うものです。予防的統制ですり抜けが起きうる以上、発見的統制が要る。逆に発見的統制だけでは被害の発生自体は止まりません。「予防的統制があるから発見的統制は不要」という選択肢は、まず誤りと考えてよい形です。

順序が逆になりがちです。IT業務処理統制が信頼できるのは、IT全般統制が有効であることが前提。プログラムを誰でも無断で書き換えられる環境なら、どれだけ入力チェックが精緻でも「そのチェックが動いていた保証」がありません。だから監査は全般統制を先に確かめ、その上で業務処理統制を確かめる順で組み立てます。

職務の分離が効く理由は「役割を細かくするから」ではなく、一人で完結させないからです。だから答案も「担当を分ける」で止めず、誰と誰を分けるのか（申請者と承認者／入力者と承認者／開発担当と運用担当）まで書きます。人員が足りず分離できない場合の代替は、上長による事後の記録レビュー＝発見的統制で補う、が定番の筋です。

「ログを取得している」ことと「監査証跡になっている」ことは別です。共用IDでログインしている／ログの保存期間が監査対象期間より短い／管理者がログを削除できる——このどれか一つでも当てはまれば、そのログは「誰が・いつ・何を」を証明できません。設問で証跡の不備を突く場面では、この3点が頻出の切り口です。

インタビューだけでは証拠として弱いのが原則です。「守っています」という回答は事実の確認ではないため、必ず記録で裏づける（＝突合する）ところまでがワンセット。テストデータ法も、異常データを入れてはじかれることを確かめるのが眼目で、正常データだけ流しても統制が効いている証明にはなりません。

監査の設問は、ほぼ必ず「何を確かめるか（監査要点）」と「そのために何を見るか（証跡）」の対で問われます。だから答案も対で書く。そして証跡は具体的な記録名・帳票名で書きます——変更申請書と承認記録／アクセス権限一覧／操作ログ／エラーリスト／作業日報／受入テスト結果報告書のように。「適切に行われていること」「問題がないこと」で止めた答案は、何を見たのかが分からないため点になりません。「〜が承認されていることを、承認記録と突合して確かめる」まで書き切るのが型です。

監査人が「確かめた」と言えるのは、第三者が後から同じ記録を見て同じ結論に至れるときだけです。だから記録名まで書く必要がある——これは作文の作法ではなく、監査という行為の性質そのものから来ています。答案の具体度が、そのまま監査としての成立度になります。