カテゴリー: 情報システム

システム監査

システム監査とは、情報システムのガバナンス、マネジメント又はコントロールを点検・評価・検証する業務をいいます（システム監査基準より）。財務諸表監査で行うIT監査はあくまで、財務諸表監査の一環で実施するものなので、システム監査の定義を理解していないと、勘違いしますね。

ランサムウェアで電子カルテに障害

ランサムウェア攻撃で電子カルテに障害、通常診療行えず ～ 大阪急性期・総合医療センター | ScanNetSecurity

ランサムウェアの攻撃が流行っていますね。既存のファイルを使用不能にされてしまい、使用可能に戻すまで相当の時間がかかるので予防策を取りたいところです。

個別ファイルのバックアップや、普段使用しているOS、アプリケーションを含めた環境のバックアップを定期的にやっておくのが一番ですかね。費用対効果を勘案すると。

仕訳テストの留意点

10年ほど前の財務諸表監査から、仕訳を抽出して、当該仕訳に対して根拠資料との整合性を確かめるといった手続が重視されている。この手続はむやみやたらにやるものではなく、「リスクシナリオ」といって、誤りや不正がある可能性が高いと判断する仕訳を抽出できるよう、抽出条件を決める必要がある。この抽出条件次第で、手続の量が変わるので、使える時間と有効性のバランスを考えて設定する必要がある。

なお、初学者は勘違いしがちであるが、リスクシナリオに基づき抽出された仕訳は全件手続を実施しないと、実効性のない手続とされてしまう。抽出された仕訳が多すぎると判断した場合は、サンプルで部分的に手続を実施するのではなく、リスクシナリオの練り直しが必要である。IT委員会実務指針第6号「ITを利用した情報システムに関する重要な虚偽表示リスクの識別と評価及び評価したリスクに対応する監査人の手続について」に関するＱ＆Ａ（IT委員会研究報告第53号）のQ27等を参照。

自動化された業務処理統制の例

IT委員会実務指針第6号「ITを利用した情報システムに関する重要な虚偽表示リスクの識別と評価及び評価したリスクに対応する監査人の手続について」関係。自動化された業務処理統制の例示を要約したものです。

・エディット・バリデーション・チェック（数字の入力が必要なのに文字を入力すると、入力を拒否する機能等）

・マッチング（マスタに登録されていないデータを入力しようとすると、入力を拒否する機能等）

・コントロール・トータル・チェック（入力データと出力データの合計を比較し、不一致の場合エラーを出す機能等）

・アクセス・コントロール（いわゆるユーザIDとパスワードによるアクセス制限等）

・自動計算等

ITの利用に関する概括的理解

・IT委員会実務指針第6号「ITを利用した情報システムに関する重要な虚偽表示リスクの識別と評価及び評価したリスクに対応する監査人の手続について」に関するＱ＆Ａ（IT委員会研究報告第53号）のQ3関連。

・評価ポイントは４つ。

・①ITの利用度、②情報システムの安定度、③情報システムの前年度からの重要な変更、④過年度の監査におけるITに関連する内部統制上の不備の４つ。

・リスク評価を慎重にやる場合→基本は利用度で判断。ただし、➀情報システムが不安定、②情報システムに重要な変更あり、③IT関連の内部統制上の不備ありの場合も留意。

・ITの利用に関する概括的理解は、ITの利用に伴う重要な虚偽表示に関する潜在的リスクの多寡にかかわらず実施する必要がある点も留意。

ＩＴ委員会研究報告第57号「ＩＴの利用の理解並びにＩＴの利用から生じるリスクの識別及び対応に関する監査人の手続に係るＱ＆Ａ」

・従来のＩＴ委員会実務指針第６号「ＩＴを利用した情報システムに関する重要な虚偽表示リスクの識別と評価及び評価したリスクに対応する監査人の手続について」及びＩＴ委員会研究報告第53号「ＩＴ委員会実務指針第６号「ＩＴを利用した情報システムに関する重要な虚偽表示リスクの識別と評価及び評価したリスクに対応する監査人の手続について」に関するＱ＆Ａ」が統合されて、題名の57号になるというもの。

・監査基準委員会報告書315「重要な虚偽表示リスクの識別と評価」の改正の伴うもので、新315が適用される2023年３月決算に係る財務諸表の監査及び2022年９月に終了する中間会計期間に係る中間財務諸表の中間監査以降は、57号が適用。

・6号と53号の違いがよくわからないまま修了考査を受ける受験生も多かったかもしれず、57号のＱ＆Ａに統一されて歓迎の受験生は多いかも？

・一方、6号を理解すれば財務諸表監査におけるITについて体系的に理解できたという面もあり、Ｑ＆Ａのみでは、学習は簡単でも、試験後の実務においては、困る面もあるかも？

・財務諸表監査におけるITの骨格ともいえる部分がスリムになったので、他のIT関係研究報告にもそれなりに注力する必要が出てくるか？（今までは6号と53号をおさえていれば合格点は狙えた。）