情報技術監査

情報技術監査、または情報システム監査は、情報技術(IT)インフラストラクチャとビジネス アプリケーション内の管理制御の検査です。取得した証拠の評価により、情報システムが資産を保護し、データの整合性を維持し、組織の目標や目的を達成するために効果的に動作しているかどうかを判断します。これらのレビューは、財務諸表監査、内部監査、またはその他の形式の証明業務と併せて実施される場合があります。

IT 監査は、自動データ処理監査( ADP 監査) やコンピュータ監査とも呼ばれます。

以前は電子データ処理監査( EDP 監査)と呼ばれていました。

IT 監査は、財務諸表監査とは異なります。財務監査の目的は、財務諸表が、標準的な会計慣行に従って、すべての重要な点において、企業の財務状況、営業成績、キャッシュフローを公正に表示しているかどうかを評価することですが、IT 監査の目的は、システムの内部統制の設計と有効性を評価することです。これには、効率性とセキュリティ プロトコル、開発プロセス、IT ガバナンスまたは監視が含まれますが、これらに限定されません。コントロールをインストールすることは必要ですが、十分なセキュリティを提供するのに十分ではありません。セキュリティの責任者は、コントロールが意図したとおりにインストールされているかどうか、コントロールが有効かどうか、セキュリティ違反が発生したかどうか、発生した場合は将来の違反を防ぐためにどのような措置を講じることができるかを検討する必要があります。これらの質問には、独立した公平なオブザーバーが回答する必要があります。これらのオブザーバーは、情報システム監査のタスクを実行します。情報システム (IS) 環境では、監査は情報システム、その入力、出力、および処理の検査です。 ^[1]

テクノロジーが進歩し、私たちの生活やビジネスに浸透するにつれて、IT の脅威や混乱も増加しています。これらはあらゆる業界に影響を及ぼし、データ侵害、外部からの脅威、運用上の問題など、さまざまな形で現れます。これらのリスクと高いレベルの保証の必要性により、企業の IT システムのパフォーマンスをチェックし、テクノロジーの脅威や混乱の可能性と影響を低減するための IT 監査の必要性が高まっています。^[2]

IT監査の主な機能は、組織の情報を保護するシステムを評価することです。具体的には、情報技術監査は、組織が情報資産を保護し、権限のある関係者に情報を適切に配布する能力を評価するために使用されます。^[3] IT監査の目的は、次の点を評価することです。

組織のコンピュータ システムは、必要なときにいつでもビジネスに利用できますか? (可用性と呼ばれます) システム内の情報は、許可されたユーザーにのみ開示されますか? (セキュリティと機密性と呼ばれます) システムによって提供される情報は常に正確で、信頼性が高く、タイムリーですか? (整合性を測定します) このようにして、監査は、会社の貴重な資産 (情報) に対するリスクを評価し、それらのリスクを最小限に抑える方法を確立することを目的としています。

具体的には、組織は、IT システムにおけるセキュリティと信頼性のニーズを明確にするために、機密性、整合性、可用性という 3 つの主要要件を検討する必要があります。

• 機密性: 目的は、権限のないユーザーから個人情報を制限することです。
• 完全性: 情報は許可された方法で変更されることを保証することが目的です
• 可用性: 許可されたユーザーのみが特定の情報にアクセスできるようにすることを目的としています。

これら3つの要件は、IT環境を持つあらゆる業界や組織で重視されるべきですが、それぞれの要件とそれをサポートするための制御は異なります。^[4]

さまざまな機関が、さまざまなタイプのIT監査を区別するために、異なる分類法を作成しています。グッドマンとローレスは、IT監査を実行するための3つの特定の体系的なアプローチがあると述べています。^[5]

• 技術革新プロセス監査。この監査では、既存および新規プロジェクトのリスク プロファイルを作成します。監査では、選択したテクノロジーに関する企業の経験の長さと深さ、関連市場での存在感、各プロジェクトの構成、このプロジェクトまたは製品を扱う業界の部分の構造、組織、業界構造を評価します。
• 革新的比較監査。この監査は、監査対象企業の革新的能力を競合他社と比較分析するものです。これには、企業の研究開発施設と、実際に新製品を生産した実績の調査が必要です。
• 技術的位置付けの監査: この監査では、企業が現在保有している技術と、追加する必要がある技術をレビューします。技術は、「基本」、「主要」、「ペース」、「新興」のいずれかに分類されます。

IT 監査の範囲を 5 つの監査カテゴリで説明する人もいます。

• システムとアプリケーション: システムとアプリケーションが適切で、効率的であり、システムの活動のすべてのレベルで有効で信頼性が高く、タイムリーで安全な入力、処理、出力を保証するために適切に管理されていることを確認する監査。システムとプロセスの保証監査は、ビジネスプロセス中心のビジネスITシステムに焦点を当てたサブタイプです。このような監査の目的は、財務監査人を支援することです。 ^[6]

• 情報処理施設: 処理施設が、通常時および潜在的に中断する状況下で、アプリケーションのタイムリーで正確かつ効率的な処理を保証するように管理されていることを確認するための監査。
• システム開発: 開発中のシステムが組織の目的を満たしているかどうかを確認し、システムがシステム開発の一般に受け入れられている標準に従って開発されていることを確認するための監査。
• IT およびエンタープライズ アーキテクチャの管理: IT 管理が、情報処理のための制御された効率的な環境を確保するための組織構造と手順を開発していることを確認する監査。
• クライアント/サーバー、通信、イントラネット、エクストラネット:クライアント (サービスを受信するコンピューター)、サーバー、およびクライアントとサーバーを接続するネットワーク上で通信制御が実施されていることを確認する監査

また、すべての IT 監査を「一般統制レビュー」監査または「アプリケーション統制レビュー」監査の 2 つのタイプのいずれかとしてまとめる人もいます。

情報保証分野の IT 監査専門家の^多くは^、特にIT 分野では、実施する監査の種類に関係なく、3 種類の基本的なコントロールがあると考えています。多くのフレームワークや標準では、コントロールをさまざまな分野や領域に分類し、「セキュリティ コントロール」、「アクセス コントロール」、「IA コントロール」と呼んで、関連するコントロールの種類を定義しようとしています。より基本的なレベルでは、これらのコントロールは、保護/予防コントロール、検出コントロール、および対応/是正コントロールの 3 種類の基本的なコントロールで構成されていることがわかります。

IS には、内部監査と外部監査の 2 種類の監査人と監査があります。IS 監査は通常、会計内部監査の一部であり、企業内部監査人によって頻繁に実行されます。外部監査人は、内部監査の調査結果と情報システムの入力、処理、出力をレビューします。情報システムの外部監査は、主に、ISACA 認定の CISA、米国情報システム監査および管理協会、ICAI (インド公認会計士協会) 認定の情報システム監査人 (ISA)、および IS 監査の評判の高い組織によって認定されたその他の認定情報システム監査人によって行われます。削除 --> (多くの場合、公認会計士 (CPA) 事務所によって実行される全体的な外部監査の一部です。^[1] ) IS 監査では、情報システムにおけるすべての潜在的な危険と管理を考慮します。運用、データ、整合性、ソフトウェア アプリケーション、セキュリティ、プライバシー、予算と支出、コスト管理、生産性などの問題に焦点を当てます。監査人の仕事を支援するために、情報システム監査および管理協会からのガイドラインなどが提供されています。^[1]

IT 監査の概念は 1960 年代半ばに形成されました。それ以来、IT 監査は、主にテクノロジーの進歩とビジネスへのテクノロジーの組み込みにより、数多くの変化を遂げてきました。

現在、通信会社や銀行会社など、IT に依存して事業を運営している企業は数多くあります。他の種類のビジネスでは、紙の申請書の代わりにワークフローを適用したり、手動制御の代わりに信頼性の高いアプリケーション制御を使用したり、ERP アプリケーションを実装して 1 つのアプリケーションのみを使用して組織を促進したりするなど、IT が企業で大きな役割を果たしています。これらに応じて、IT 監査の重要性は常に高まっています。IT 監査の最も重要な役割の 1 つは、財務監査をサポートしたり、SOX などの発表された特定の規制をサポートしたりするために、重要なシステムを監査することです。

監査の以下の原則を反映させるべきである: ^[7]

• 適時性:プロセスとプログラミングが、障害や弱点に対する潜在的な脆弱性に関して継続的に検査されるだけでなく、発見された強みの分析の継続、または類似のアプリケーションとの比較機能分析によってのみ、更新されたフレームを継続できます。
• ソースのオープン性:暗号化プログラムの監査では、オープン ソースの取り扱いをどのように理解すべきかを明確に示す必要があります。たとえば、オープン ソース アプリケーションを提供しているが、IM サーバーをオープン ソースとして扱っていないプログラムは、批判的に考える必要があります。監査人は、暗号アプリケーション内でのオープン ソース性の必要性というパラダイムに対して独自の立場を取る必要があります。
• 綿密さ:監査プロセスは、一定の最低基準を指向する必要があります。最近の暗号化ソフトウェアの監査プロセスは、品質、範囲、有効性、メディアの受け止め方の経験において大きく異なることが多く、認識が異なる場合があります。一方では特別な知識が必要であり、プログラミング コードを読み取ることができ、他方では暗号化手順の知識も必要であるため、多くのユーザーは、正式な確認の最も短い声明さえ信頼しています。したがって、監査人としての個々のコミットメント (品質、規模、有効性など) は、自分自身で反射的に評価し、監査内で文書化する必要があります。
• 財務状況:ソフトウェアが商業的に開発されたかどうか、監査が商業的に資金提供されたかどうか (監査費用は有料) を明らかにするために、さらなる透明性が必要です。個人の趣味やコミュニティ プロジェクトなのか、営利企業が背後にいるのかによって違いが生じます。
• 学習の観点の科学的参照:各監査では、コンテキスト内での調査結果を詳細に記述し、進捗と開発のニーズを建設的に強調する必要があります。監査人はプログラムの親ではありませんが、監査人が PDCA 学習サイクル ( PDCA = 計画、実行、確認、改善) の一部と見なされる場合は、少なくともメンターの役割を果たします。検出された脆弱性の説明の横に、革新的な機会と潜在能力の開発の説明も記載する必要があります。
• 文献の組み込み:読者は、1 つのレビューの結果だけに頼るのではなく、管理システムのループ (例: PDCA、上記を参照) に従って判断し、開発チームまたはレビュー担当者がさらなる分析を実行する準備ができていること、また開発およびレビューのプロセスで学習に積極的に取り組み、他者のメモを考慮することを確認する必要があります。監査のたびに、参考文献のリストを添付する必要があります。
• ユーザーマニュアルとドキュメントの組み込み:さらに、マニュアルと技術ドキュメントが存在するかどうか、また、これらが拡張されているかどうかも確認する必要があります。
• イノベーションへの言及を特定する:オフラインとオンラインの両方の連絡先にメッセージを送信できるアプリケーション (GoldBug の場合もそうですが) は、チャットと電子メールを 1 つのアプリケーションで考慮し、高い優先度でテストする必要があります (電子メール機能に加えてプレゼンス チャットの基準)。監査人は、イノベーションへの言及も強調し、さらなる研究開発のニーズを裏付ける必要があります。

この暗号アプリケーションの監査原則のリストは、技術的な分析方法を超えて、特に考慮すべきコアバリューについて説明しています。

また、さまざまな標準委員会によって新しい監査が課されており、監査対象の組織に応じて実施が義務付けられています。これは IT に影響を及ぼし、IT 部門が特定の機能と制御を適切に実行して準拠していると見なされるようにします。このような監査の例としては、SSAE 16、ISAE 3402、ISO27001:2013などがあります。

企業の IT プレゼンスが企業のファイアウォールを超えて拡張されたことにより (例:企業によるソーシャル メディアの採用、およびソーシャル メディア管理システムなどのクラウド ベースのツールの急増)、 Web プレゼンス監査を IT/IS 監査に組み込むことの重要性が高まっています。これらの監査の目的には、企業が次の必要な手順を実行していることを確認することが含まれます。

• 許可されていないツールの使用を抑制する（例：「シャドーIT」）
• 評判へのダメージを最小限に抑える
• 規制遵守を維持する
• 情報漏洩を防ぐ
• 第三者のリスクを軽減する
• ガバナンスリスクを最小限に抑える^{[8] [9]}

部門別またはユーザー開発のツールの使用は、これまで議論の的となってきました。しかし、データ分析ツール、ダッシュボード、統計パッケージが広く利用できるようになったことで、ユーザーは、レポートの要求が尽きることなく続くように見える中で、IT リソースがそれに応えるのを待つ必要がなくなりました。IT 部門の任務は、ビジネス グループと連携して、承認されたアクセスとレポート作成をできるだけ簡単にすることです。簡単な例を挙げると、純粋なリレーショナル テーブルが意味のある方法でリンクされるように、ユーザーが独自のデータ マッチングを行う必要がないようにする必要があります。IT 部門は、正規化されていないデータ ウェアハウス タイプのファイルをユーザーが利用できるようにして、分析作業を簡素化する必要があります。たとえば、組織によっては、ウェアハウスを定期的に更新して、Tableau などのパッケージで簡単にアップロードしてダッシュボードの作成に使用できる、使いやすい「フラット」テーブルを作成することがあります。

VOIP ネットワークの台頭や BYOD などの問題、そして現代の企業向けテレフォニー システムの機能が増大するにつれて、重要なテレフォニー インフラストラクチャが誤って構成されるリスクが高まり、企業は通信詐欺やシステム安定性の低下に晒される可能性が高まります。銀行、金融機関、およびコンタクト センターでは、通常、通信システム全体に適用されるポリシーを設定します。通信システムがポリシーに準拠しているかどうかを監査する作業は、専門のテレコム監査員が担当します。これらの監査により、企業の通信システムが次の状態であることが保証されます。

• 定められた方針に従う
• ハッキングやフリーキングのリスクを最小限に抑えるように設計されたポリシーに従う
• 規制遵守を維持する
• 料金詐欺を防止または最小限に抑える
• 第三者のリスクを軽減する
• ガバナンスリスクを最小限に抑える^{[10] [11]}

エンタープライズ コミュニケーション監査は音声監査とも呼ばれますが^[12]、コミュニケーション インフラストラクチャがますますデータ指向かつデータ依存的になるにつれて、この用語はますます非推奨になっています。「テレフォニー監査」という用語^[13]も非推奨になっています。これは、現代のコミュニケーション インフラストラクチャ、特に顧客対応がオムニチャネルであり、電話だけでなく複数のチャネルでやり取りが行われるためです^{[14] 。エンタープライズ コミュニケーション監査を悩ませている重要な問題の 1 つは、業界定義または政府承認の標準がないことです。IT 監査は、} NISTやPCI などの組織によって発行された標準とポリシーに準拠することを基本としていますが、エンタープライズ コミュニケーション監査にはそのような標準がないため、これらの監査は業界標準ではなく、組織の内部標準とポリシーに基づく必要があります。その結果、エンタープライズ コミュニケーション監査は依然として手作業で行われ、ランダム サンプリング チェックが行われます。エンタープライズ コミュニケーション用のポリシー監査自動化ツールは、ごく最近になって利用可能になりました。

IT監査における人工知能（AI）の使用は急速に増加しており、2015年の世界経済フォーラムの報告によると、2025年までに企業監査の30％がAIを使用して実施される予定です。IT監査におけるAIは多くの倫理的問題を引き起こします。^[15]

1. 人工知能の使用は結果に意図しない偏りを引き起こす
   企業のIT監査を完了する際にAIが直面する問題は、AIがデータをフィルタリングする際に意図しない偏りが生じる可能性があることです。AIには人間の要素がなく、特定のデータが期待されるか期待されないかのさまざまな状況を理解する能力もありません。AIは以前に見たデータのみを理解するため、それぞれの固有の状況に応じて進化することはできません。AIシステムに過度の信頼が与えられ、人間の目によって注意深く監視されていない場合、意図しない偏りが生じ、意図しない結果が生じます。その結果、倫理的、法的、経済的な問題が発生します。^[15]
2. 人間の役割に取って代わるテクノロジー
   ビッグ4企業は、IT監査分野の新興テクノロジーに多額の資金を投資してきました。AIは現在、保証業務で「総勘定元​​帳のレビュー、税務コンプライアンス、調書の作成、データ分析、経費コンプライアンス、不正検出、意思決定などの監査および会計手続き」などのタスクを実行するために使用されています。^[15]これは基本的に監査人の必要性を置き換え、保証業務に従事する人々をテクノロジーの「監督者」としての役割に追いやるものです。
   しかし、企業は依然としてIT監査のAI結果を分析する監査人を必要としています。監査で使用されているアルゴリズムを理解していない監査人は、これらの不完全なプログラムによって間違いが起こることを許す可能性があります。したがって、広範な技術的背景とテクノロジーの学位を持つ監査人は、AIを使用して監査を行う企業から非常に求められています。

グローバル化と情報技術システムの成長により、企業はますますデジタル化された作業環境へと移行しています。これらのシステムによってもたらされる利点には、作業時間の短縮、大量のデータのテスト、監査リスクの軽減、より柔軟で完全な分析情報の提供などがあります。時間が増えると、監査人は追加の監査テストを実施できるようになり、監査プロセス全体の大幅な改善につながります。コンピューター支援監査技術 (CAAT) の使用により、企業はより大きなデータサンプルを検査し、すべての取引をより徹底的にレビューできるようになり、監査人はデータ内の問題をテストしてよりよく理解できるようになりました。^[16]

監査における IT システムの使用により、データベースの管理、リスク保証と制御、さらにはガバナンスとコンプライアンスなどの重要な監査機能を監査人が遂行する方法が変わりました。さらに、IT 監査システムは業務効率を改善し、手計算に頼らざるを得ない意思決定を支援します。IT システムは監査における人為的ミスを排除するのに役立ちます。問題を完全に解決するわけではありませんが、IT システムは Big 4 と小規模企業の両方が行う監査に役立つことが証明されています。これらのシステムにより、監査のエラー範囲が大幅に削減され、分析対象のデータに対するより優れた洞察が得られます。

監査におけるITシステムの使用が増加した結果、米国公認会計士協会（AICPA）や情報システム監査管理協会（ISACA）などの権威ある団体は、監査を実施するためにITシステムを適切に使用する方法に関するガイドラインを確立しました。^[17]監査人は、監査でITシステムを使用する際に確立されたガイドラインに従わなければなりません。

大手会計事務所は、財務監査におけるITシステムとAI技術の活用によって大きなメリットを得始めています。Big 4会計事務所の1社が実施した調査では、ITシステムとAI技術の活用により生産性が向上し、収益が6.6兆ドル増加すると予想されています^[15]。その結果、大手監査事務所は、財務監査を支援するITシステムとAI技術の開発またはアウトソーシングを通じて生産性と収益を向上させることを目標に、莫大な投資を行っています。

世界最大の監査法人の 1 つである PwC は、企業が収益と生産性の向上を実現するために開発および実装できる 3 種類の IT システムと AI 技術を絞り込みました。最初のシステムは、人間の監査人の意思決定を補助する役割を果たすテクノロジー システムとして作成されます。これにより、人間の監査人は意思決定の自主性を維持し、テクノロジーを使用して正確な作業を実行する能力をサポートおよび強化できるため、最終的には企業の生産性コストを節約できます。次に、PwC は、問題解決能力を備えたシステムが、最も正確な結果を生み出すために不可欠であると述べています。PwC は、意図しないバイアスによるエラーの余地が大きくなることを認識しており、さまざまなシナリオに適応できるシステムを作成する必要があります。このタイプのシステムでは、人間の監査人と IT システムの間で意思決定を共有し、システムが人間の監査人だけでは実行できないコンピューティング作業を引き継ぐことで、最大の成果を生み出す必要があります。最後に、PwC は、テクノロジーが意思決定の自主性を持ち、独立して動作する必要があるシナリオがあることを認識しています。これにより、人間の監査人はより重要なタスクに集中することができ、一方、テクノロジーは人間の時間を必要としない時間のかかるタスクを処理することができます。^[15]

財務監査におけるITシステムとAI技術の活用は、生産性の最大化と収益の増加という目標を超えています。監査の完了を支援するためにこれらのシステムを活用する企業は、不正行為を構成する可能性のあるデータをより効率的かつ正確に特定することができます。たとえば、ドローンなどのシステムは、より正確な在庫計算を支援するためにビッグ4の4社すべてによって承認されており^[15]、一方、音声認識と顔認識は、不正行為のケースで企業を追加しています。^[15]

• 電子データ処理

• コンピューターフォレンジック
• データ分析

• ヘルプデスクとインシデント報告の監査
• 変更管理監査
• 災害復旧と事業継続監査
• ISAE3402 国際航空宇宙工学会

• XBRL保証

• AICPA 基準: SAS 99財務諸表監査における不正の考慮
• コンピュータ詐欺の事例研究

• 情報システム監査人としてのキャリア 2007-07-12 にWayback Machineでアーカイブ、Avinash Kadam (Network Magazine) 著
• 連邦金融機関検査評議会 (FFIEC)
• CAATテクノロジーの必要性
• オープン セキュリティ アーキテクチャ - IT システムを保護するための制御とパターン
• 米国公認会計士協会 (AICPA)
• IT サービス ライブラリ (ITIL)