「東雲忠太郎」の平凡な日常のできごと

2025.01.11

「システム監査基準」（平成30年改訂版）

カテゴリ：ネットワーク

**「システム監査基準」（平成30年改訂版）**における予備調査で現地に行く必要性については、監査の目的や対象、リスク評価に応じて判断されます。以下に、その必要性について詳しく説明します。

---

予備調査は、システム監査の効率的かつ効果的な実施に向けて、対象システムや業務の全体像を把握し、リスクを特定する重要なプロセスです。現地に行くことで以下の利点があります：

1. **実務環境の把握**

- システムが実際に運用されている現場を見ることで、運用状況や業務フローを直接観察可能です。

- システムやデータの管理状況（物理的セキュリティやバックアップ設備など）を確認できます。

2. **関係者との直接対話**

- 現場のシステム管理者や業務担当者と直接話すことで、システム運用の詳細や課題をより具体的に把握できます。

- 文書化されていない非公式な運用手順や潜在的なリスクを発見できる可能性があります。

3. **現場特有のリスクの確認**

- 現地ならではのリスク（例えば、アクセス管理の徹底度、物理的な侵入リスクなど）を確認するために必要な場合があります。

---

### **現地訪問が必要となる場合**

以下の条件下では、現地訪問が特に推奨されます：

1. **物理的セキュリティの確認が必要な場合**

- データセンターやサーバールームの物理的セキュリティ（入退室管理、災害対策など）を評価する際。

2. **実際の業務フローを理解する必要がある場合**

- 業務プロセスやシステム運用が複雑で、書面だけでは十分に理解できない場合。

3. **既存資料や情報に不備がある場合**

- 提供された文書やヒアリング結果に矛盾や不足がある場合、現場で確認する必要があります。

4. **重大なリスクが特定された場合**

- 予備調査の途中で、高いリスクが想定される項目が発見された場合、現地で直接状況を確認することが必要となります。

---

### **現地訪問が不要な場合**

一方で、以下の場合は現地訪問を省略することができます：

1. **文書やオンライン会議で十分な情報が得られる場合**

- 提供された文書や関係者からのヒアリングが十分に詳細であり、現地で確認すべき追加事項がない場合。

2. **対象がクラウドベースシステムの場合**

- クラウドサービスが監査対象である場合、物理的な現場確認はプロバイダの責任領域となり、通常、文書レビューで対応可能です。

3. **コストや時間の制約がある場合**

- 監査対象のリスクが低く、現地訪問のコストや時間的な制約を考慮して合理性がない場合。

---

### **平成30年基準でのリスクベースアプローチ**

平成30年版では、監査計画の策定において**リスクベースアプローチ**が重視されています。

これに基づき、予備調査で現地訪問の必要性を判断する際は、以下の観点が考慮されます：

- 現場でしか確認できない重要なリスクがあるか。

- 現地訪問のコストや時間に見合うリスク軽減効果があるか。

---

### **まとめ**

システム監査基準（平成30年版）では、予備調査で現地訪問が必須とされているわけではありません。ただし、対象システムの物理的セキュリティ確認や、現場特有のリスクを把握する必要がある場合には現地訪問が推奨されます。リスクベースアプローチを適用し、訪問の必要性を慎重に検討することが重要です。

お気に入りの記事を「いいね！」で応援しよう

Last updated 2025.01.11 13:19:23

[ネットワーク] カテゴリの最新記事

【毎日開催】

15記事にいいね！で1ポイント

10秒滞在

いいね! -- / --

次の日記を探す

おめでとうございます！
ミッションを達成しました。

※「ポイントを獲得する」ボタンを押すと広告が表示されます。

Mobilize your Site

スマートフォン版を閲覧 | PC版を閲覧

「東雲 忠太郎」の平凡な日常のできごと

**「システム監査基準」（平成30年改訂版）**

「東雲忠太郎」の平凡な日常のできごと

「システム監査基準」（平成30年改訂版）