このユニットの結論
会計に関わるシステムは、「正しく動いている」だけでは足りません。
「正しく動いていることを、第三者が記録で確かめられる」状態にしておく。監査で求められる統制（変更、アクセス、運用、外部委託）ごとに、証跡がどこにあるかを決め、監査の前に自分たちで点検する。監査の直前に記録を探し回るのは、備えができていない印です。
1. 何の話か
このユニットは、システムに関わる監査と、その備え方の話です。
08-04 誰が何をしたか残す で、記録（ログ）を残すことを学びました。このユニットは、その記録を「監査で使える証跡」として整え、監査に対応する進め方を扱います。会計に関わるシステムの監査は、多くの国と会社で、財務報告の信頼性を支える仕組み（内部統制）の一部として求められています。
2. なぜ必要か
監査に備えていないと、
- 監査の直前に「誰が承認したか」の記録を探し回り、見つからない
- 共有のアカウントで作業しており、「誰が」を示せない
- 変更の申請者・承認者・実施者が同じ人で、分離の統制が機能していないと指摘される
- 指摘への対応が場当たりになり、翌年も同じ指摘を受ける
- 最悪の場合、財務報告の信頼性に疑いが生じ、会社全体の問題になる
ということが起きます。
3. このユニットで分かること
- 監査で見られる統制の領域
- 証跡の整え方
- 監査対応の進め方
4. 統制の領域と証跡
| 領域 | 見られること（一般的な例） | 証跡の例 |
|---|---|---|
| 変更の管理 | 本番への変更は、承認を経て、承認した人と実施した人が分かれ、記録されているか | 変更管理台帳、合流の承認記録、配布の記録 |
| アクセスの管理 | 権限は役割に基づいて付与され、定期的に棚卸しされ、退職・異動で削除されているか | 権限の一覧、棚卸しの記録、付与と削除の記録 |
| 運用の管理 | 処理が正しく終わったことを確かめ、障害に手順どおり対応し、記録しているか | 処理の結果の記録、確認の記録、障害報告書 |
| 外部委託の管理 | 委託先の作業と権限が、契約の範囲と期間に限られているか | 契約、権限の付与と削除の記録、作業の記録 |
証跡は、システムが自動で残す記録を優先します。 人が後から作れる記録（手書きの確認表）は、証跡としての力が弱くなります。残らない統制は、設計を直す（自動で残す）か、手順を足す（人が残す）かを決めます。
5. 証跡の整え方と、監査対応の進め方
証跡の整え方は、統制ごとに「どこに・どの形で・誰の管理で・どれだけの期間」残るかを対応表にすることです。所在は「担当者に聞く」ではなく、システムや文書の名前で書きます。監査の担当が自分で取り出せる状態が理想です。対応表は SEC-008 IT全般統制・監査証跡対応表 に、記録に何を残すかの要件は SEC-004 監査ログ要件一覧 に書きます。
自己点検を定例にします。四半期ごとに、無作為に選んだ変更の記録がそろっているか、権限の棚卸しが期限内に行われたか、共有アカウントが残っていないかを、自分たちで確かめます。監査で初めて見つかる抜けを減らします。
監査対応の進め方では、
- 質問には、証跡を指して答える。「やっているはずです」「担当が覚えています」は答えにならない
- 分からないことは「確認して回答する」と言い、推測で答えない。推測の答えが記録と食い違うと、信頼を失う
- 指摘は「監査の都合」ではなく「統制の抜け」として受け取り、どの統制のどの証跡の問題かに分解して対応する
- 対応の状態を記録し、次の監査で「前回の指摘がどうなったか」を先に示す
CASE FACTFROZEN正本に記載されたアステリア案件の事実
アステリア案件の統制に関する記載
- 正式な会計残高・仕訳は FIN-CORE が正本。請求・案件原価は新基幹が正本。IF-05 売上仕訳連携、IF-07 原価仕訳連携（新基幹 → 連携基盤 → FIN-CORE）
- システムに SYS-08 認証・ID基盤、SYS-11 監視・ログ基盤 がある
- 成果物に SEC-002 権限設計表、SEC-003 本番特権アクセス管理表、SEC-004 監査ログ要件一覧、SEC-008 IT全般統制・監査証跡対応表、PRG-008 変更管理台帳 がある
- P-005 藤本 遥 — 経理業務リーダー、P-012 石井 稔 — セキュリティ責任者
- セキュリティ例外承認は、AIへ最終委任しない事項
アステリア案件でどの監査が行われ、どの統制が求められ、どんな指摘があったかは、正本に記録がありません。記録なし
6. THINK — 「監査の 1 か月前から準備すれば間に合う」
稼働後、はじめての監査が 3 か月後に予定されています。運用の責任者が次のように言いました。
「監査は 3 か月後です。1 か月前になったら、必要な記録を集めて準備を始めましょう。今は安定化に集中したいです。」
問題
この進め方で、監査に備えられるでしょうか。
判断例を開く
判断
1 か月前に「集める」ことができるのは、「残っている」記録だけです。残っていない記録は、集められません。
確認すること:
- 変更の承認の記録は、稼働の初日から残っているか。残っていなければ、過去の 2 か月分は作れない（後から作れば、それは証跡ではない）
- 本番の権限は、稼働の時点で棚卸しされているか。稼働直後の集中対応期間に、臨時に付けた権限が残っていないか（14-01 稼働直後の集中対応期間）
- 共有のアカウントで作業している箇所はないか。あるなら、今日から個人のアカウントに変える
- 会計への仕訳の連携（売上、原価）の、件数と金額の確認の記録は毎日残っているか
- 統制と証跡の対応表は、稼働の前に作ってあるか。なければ、今すぐ作り、残っていない統制を見つける
監査の備えは、記録が残る設計と運用を最初から行うことです。1 か月前にできるのは、残っているものを並べることだけです。
7. よくある失敗
- 統制を稼働の直前または監査の直前に考え始め、証跡が残らない設計になっていることに気づく
- 共有アカウントが残り、「誰が」の証跡が残らない
- 質問に推測で答え、記録と食い違って信頼を失う
- 指摘を「監査の都合」と捉え、統制の抜けとして直さない
- 前回の指摘が対応されないまま、翌年も同じ指摘を受ける
8. 成果物との接続
- SEC-008 IT全般統制・監査証跡対応表：統制ごとの証跡の所在、保存期間、責任者、自己点検、指摘と対応
- SEC-004 監査ログ要件一覧：記録に何を残すか。証跡の元になる
9. AI WORKFLOW — 証跡の所在の抜けを探させる
AIは、統制の項目の一覧と、設計・運用の文書を突き合わせ、証跡の所在が書かれていない統制を見つける下書きに役立ちます。
指示例:
「次の統制の項目の一覧について、項目ごとに、添付の設計書・運用手順書・台帳の中で証跡に当たる記録の記述を探し、該当する文書名と箇所を示してください。見つからない項目は『所在不明』として示し、証跡を提案したり、統制が機能しているかを評価したりしないでください。」
10. REVIEW — AIの結果を確認する
- AIが「証跡に当たる」とした記述が、本当に統制の実施を示す記録か（手順の説明と、実施の記録は違う）
- 「所在不明」の統制について、設計を直すか手順を足すかを人が決めたか
- 設計・運用の文書を AI に渡してよいか（構成・権限情報の扱い）を事前に確かめたか
11. 人間が判断すること
- どの統制の項目を対象にするか（監査の担当との合意）
- 証跡が残らない統制を、設計で直すか、手順で補うか
- 指摘への対応の優先順位と、統制の例外を認めるか
セキュリティ例外承認は、AIへ最終委任しない事項です（正本の方針）。
12. 判断演習
「本番への変更は、申請・承認・実施・確認を別の人が行う」という統制を考えてください。
この統制が機能していることを示す証跡を 3 つ挙げ、それぞれ「どこに残るか」「自動で残るか、人が残すか」を書いてください。そのうえで、監査の担当から「先月の変更 5 件について、承認者と実施者が別人であることを示してください」と言われたとき、何を見せるかを書いてください。
あなたの記録あなたの考え。事実ではありません
判断ノート
このユニットで覚えてほしいこと
監査の備えは、記録が残る設計から。統制ごとに証跡の所在を決め、自動で残す記録を優先し、自己点検を定例にし、質問には証跡を指して答える。1 か月前に集められるのは、残っているものだけ。