Audit of computerised systems

IT監査の世界へようこそ！

こんにちは！「コンピュータ化されたシステム」という言葉に身構える必要はありません。何だか技術の天才にしか理解できないことのように聞こえるかもしれませんが、監査人にとってこれは、企業が取引を記録するためにテクノロジーをどのように活用しているかを知る、ただそれだけのことです。香港の小さな茶館から世界的な銀行に至るまで、今日ではほぼすべての企業がコンピュータを使用しています。そのため、この章を理解することは、あなたのHKICPA QP（香港公認会計士資格）への道のりにおいて非常に重要です。

この章では、ITがどのように監査計画に影響を与えるのか、デジタル環境で何が起こり得るのか、そして監査をより効率的にするためにどのようなツールを使うのかを探っていきます。さあ、一緒に飛び込んでいきましょう！

1. なぜ監査人にとってIT環境が重要なのか？

「昔」は、監査人は紙の台帳を確認していました。しかし現在は、データはクラウドやサーバーに保存されています。これにより、私たちが何を探しているのか（それは常に財務諸表の真実性と公正性です）は変わらなくても、どのように監査を行うかという手段が変わりました。

主要な考え方：企業のコンピュータシステムが信頼できなければ、そこから生成される財務データも信頼できない可能性が高いということです。したがって、監査計画の段階で必ずITリスクを評価しなければなりません。

注意すべき一般的なITリスク：

• 不正アクセス：誰かが「ハッキング」して数値を書き換えること。
• データ損失：バックアップなしでシステムがクラッシュすること（試験直前にすべての学習ノートを失うことを想像してみてください！）。
• システムエラー：ソフトウェアのバグにより、1万件の資産の減価償却が一度に誤って計算されてしまうこと。
• 監査証跡の欠如：「紙の証拠」を残さずに取引が削除されてしまうこと。

2. IT統制の「2つの柱」

話を単純にするために、監査人はIT統制を大きく2つに分類します。それがIT全般統制（GITCs）とIT業務処理統制（アプリケーション・コントロール）です。この違いを理解することは、試験において極めて重要です！

A. IT全般統制（GITCs）

GITCsは、建物の入り口にある「傘」や「警備員」だと考えてください。個々の取引をチェックするわけではありませんが、環境全体が安全であることを保証するものです。

GITCsの主要分野（覚え方のヒント：「P.O.D.S.」）：

1. Program Changes（プログラム変更）：承認され、テストされた変更のみがソフトウェアに加えられることを保証する。
2. Operations（運用）：システムが円滑に動作し、データが毎日バックアップされていることを確認する。
3. Development（開発）：新しいシステムが正しく購入または構築されていることを保証する。
4. Security（セキュリティ／アクセス権）：適切な人だけがアクセスできるよう、パスワードやファイアウォールを使用する。

B. IT業務処理統制（アプリケーション・コントロール）

これらは、特定のソフトウェアプログラム（販売システムや給与計算システムなど）に組み込まれた「具体的なルール」です。入力されたデータが正確かつ完全であることを保証します。

一般的なアプリケーション・コントロール：

• 形式チェック：電話番号欄に文字ではなく数字のみが含まれていることを確認する。
• 範囲チェック：価格が1ドルから1,000ドルの間であることを確認する。
• チェックディジット：口座番号が有効かどうかを確認する数学的な計算式。
• バッチ合計：50枚の請求書を手動で合計し、システムの合計金額と照合して、抜け漏れがないことを確認する。

クイック復習：もしGITCsが弱ければ（例えば、誰でも管理者パスワードを知っているような状態）、たとえアプリケーション・コントロールが見かけ上しっかりしていても、それを信頼することはできません！

3. 監査アプローチ：「ブラックボックス」 vs 「システム内部」

監査アプローチを計画する際、コンピュータシステムにどの程度「深く関与するか」を決定する必要があります。

アプローチ1：コンピュータの周囲を監査する（Around the computer）

これはコンピュータを「ブラックボックス」として扱うようなものです。入力値（請求書）と出力値（財務報告書）を見て、それらが一致するかを確認します。コンピュータが内部でどのように処理したかについては、あまり気にしません。

いつ使用するか：紙の証跡が豊富にある、非常にシンプルなシステムの場合のみです。

アプローチ2：コンピュータを介して監査する（Through the computer）

これは「ボックスを開ける」という方法です。コンピュータ内部の実際のロジックをテストします。システムが複雑で物理的な紙の証跡がない場合、これが必要になります。

いつ使用するか：現代の監査のほとんど。先ほど説明した統制（GITCsとアプリケーション・コントロール）をテストすることを含みます。

4. CAATs：監査人の秘密兵器

CAATsとはComputer-Assisted Audit Techniques（コンピュータ利用監査技法）の略です。難しく聞こえるかもしれませんが、CAATsは「監査人用ソフトウェア」だと思ってください。アソシエイトレベルで知っておくべき主要なタイプは2つあります。

タイプ1：監査用ソフトウェア

監査人がクライアントのデータを調査するために使用するソフトウェアです。人間よりもはるかに速くタスクをこなせます。

• 主な機能：サンプルの選択、合計の再計算、請求書番号の欠番の特定など。

タイプ2：テストデータ

監査人がクライアントのシステムに「偽のデータ」を入力して、システムがエラーを検知できるかどうかを試す方法です。

よくある間違い：学生はこれらを混同しがちです。覚えておいてください：監査用ソフトウェアは実際のデータを対象とし、テストデータはシステムのロジックを試すために架空のデータを使用します。

5. 監査計画への影響（全体像）

監査アプローチを計画する際、コンピュータ化されたシステムは次の3つの要素に影響を与えます：

1. タイミング：デジタルデータは削除や上書きが可能なため、年間を通じてテストを行う必要があるかもしれません。
2. 人員配置：システムが非常に複雑な場合（ERPシステムなど）、IT監査の専門家を招く必要があるかもしれません。
3. リスク評価：IT統制が強固であれば、統制リスクを低く見積もることができ、期末の残高確認などの「手作業によるテスト」を減らすことができます。

成功のためのチェックリスト

次に進む前に、以下の問いに答えられるか確認してください：

• GITCsとアプリケーション・コントロールの違いを説明できるか？（ヒント：傘 vs 具体的なルール）
• 監査用ソフトウェアとテストデータの違いを理解しているか？
• なぜ計画段階でIT統制を気にするのか？（ヒント：リスク評価に影響を与えるから）

重要なポイント：コンピュータ化された監査では、単に数字をチェックするだけでなく、数字を生み出しているシステムをチェックします。システムが安全であり（GITCs）、ルールに従っていれば（アプリケーション・コントロール）、私たち監査人の仕事は格段に効率的になります！