V.監査意見の形成

 助言型監査においては、監査人は事実に基づいた検出事項及びその改善提言を検討することになります。評価基準からの逸脱が検出事項となり、評価基準を満たすために求められると監査人が判断する内容が改善提言になります。監査人は、監査対象組織のために助言を行うのではなく、監査依頼人のために助言を行うことになります。この章の内容は次のとおりです。

1. 検出事項の抽出

(1) 事実に関する見解の相違
(2) 判断に関する見解の相違

2. 見解の相違に関する取扱い

3. 改善提言のとりまとめ

 次に、この章における重要なポイントについて解説していきます。


・検出事項の抽出

 監査人は、監査手続によって発見された検出事項を抽出し、文書及び記録等に基づく客観的な証拠により、裏づけをとることになる。監査人の予見や思い込みによってはなりません。

 検出事項は、緊急性、リスク顕在時の重大性に応じて整理するなど、監査依頼者が理解しやすいように工夫するとよいと記載しています。留意点として、以下の項目を挙げています。

  • 重要性の検討を行う場合、監査対象組織の責任者と協議しなければならない。
  • 助言型監査において示す重要性等についてはあくまでも監査人の参考情報であり、監査人が重要性を保証するものではない。
  • 監査報告書においても、その旨を記載すること。

・見解の相違に関する取扱い

 監査人が発見した検出事項及びその重要性等について、監査人と監査対象組織の責任者の見解が異なる場合がありえます。見解の相違については、「事実に関する見解の相違」と「判断に関する見解の相違」に区別して考えるように本ガイドでは記載しています。

 「事実に関する見解の相違」は、再調査等の追加の監査手続を行うことにより見解の相違が解消できることが多くあります。従って、追加の監査手続を実施し、見解の相違が解消するように努めることになります。事実に関する見解の相違が生じる原因は、監査証拠の入手または入手後の保管が不十分なことによる場合が多いでしょう。監査人は、このような事実に関する見解の相違が生じないように監査証拠の入手及び保管については十分に考慮することが求められます。

 「判断に関する見解の相違」は、監査人と被監査対象組織の価値観などの違いによる場合が多いと思われます。見解の相違が解消するように努めることになりますが、どうしてもなくならない場合は、監査報告書には両論を併記することになります。


・改善提言

 監査人は、抽出された検出事項に対する改善提言をまとめます。その場合、提言内容が有効かつ適切であることを確認し、あわせてその実効性または実現可能性も配慮しなければならなりません。改善提言については、検出事項の重要性や対応の容易さ(費用面での制約、物理的な制約、組織上の制約、システムやプロセスの変更の容易さなど)に応じてとりまとめるとよいでしょう。改善提言の内容の検討に際しては、監査対象組織の責任者に確認し、その結果を反映することになります。

 改善提言は、あくまでも監査人が監査を実施したことにより発見された検出事項のみに基づく、監査人の参考意見です。改善提言の実施を、監査人が監査依頼者や監査対象組織の責任者に強要することのないようにしなければなりません。監査人には、意思決定に参加したり強要してはいけません。

筆者紹介 NPO 日本ネットワークセキュリティ協会
セキュリティ監査ワーキンググループ
2002年に経済産業省が主宰する「情報セキュリティ監査制度」策定のための委員会に、JNSAとしての意見、研究成果を報告した。これらの成果は「情報セキュリティ監査制度」に反映され、2003年4月に施行開始となった。2003年はJNSAとして独自の電子自治体情報セキュリティ管理基準を策定し、公開。コラム執筆は大溝裕則(ジェイエムシー)、河野省二(ディアイティ)、夏目雅好(ネットマークス)、丸山満彦(監査法人トーマツ)、吉田裕美(ジェイエムシー)が担当。