システム監査のインタビュー法とは？進め方・質問例・注意点を解説

システム監査のインタビュー法とは？進め方・質問例・注意点を解説

インタビュー法とは

インタビュー法は、システム監査人が業務担当者、システム管理者、責任者などへ口頭で質問し、回答を得る方法です。目的は、情報システムが決められた手順どおりに運用されているか、セキュリティ対策や内部統制が実際に機能しているかを把握することにあります。

文書に記載されたルールは「本来どう運用するか」を示します。一方、インタビューでは「現場で実際にどう運用しているか」を確認できます。担当者しか知らない例外処理、操作上の不便、障害時の対応、手作業による補完などを把握できる点が特徴です。

ただし、回答はそれだけで十分な監査証拠になるとは限りません。記憶違い、認識の差、立場による偏りが含まれる可能性があるため、インタビューは問題の手がかりを得る方法であり、文書やログなどによる裏付けと組み合わせるのが基本です。

なぜシステム監査でインタビューが重要なのか

システム監査では、規程、手順書、申請記録、アクセスログなどを確認します。しかし、それらだけでは、手順が現場で守られている理由や、守れない事情までは分からないことがあります。インタビューを加えると、数字や記録の背景を理解しやすくなります。

例えば、特定の担当者に操作エラーが集中していたとします。ログだけを見れば教育不足に思えますが、話を聞くと、画面の表示が分かりにくい、繁忙時に確認工程が重なる、手順書と現在の画面が一致していない、といった原因が見つかるかもしれません。原因が人ではなく、システム設計や業務手順にある可能性も検討できます。

また、責任者と実務担当者では見えている範囲が異なります。責任者は承認ルールを説明できても、現場では緊急時に口頭承認が使われていることがあります。複数の立場から聞くことで、規程と実運用の差、統制の形骸化、属人化した作業を発見しやすくなります。

表情や話し方も追加質問のきっかけにはなりますが、戸惑いや視線だけで不備を断定してはいけません。緊張や質問の分かりにくさも考えられるため、具体例を尋ね、客観的な証拠で確認します。

他の監査技法との違い

インタビュー法は、他の監査技法を置き換えるものではありません。次のように、それぞれ得意な情報が異なります。

例えば、インタビューで「退職者のアカウントは当日中に無効化している」と聞いたら、退職手続の文書、アカウント一覧、操作ログを確認します。説明と記録が一致すれば確信が高まり、一致しなければ対象期間や例外処理を追加で調べます。このような複数の証拠を突き合わせる確認が、客観的な監査結果につながります。

インタビュー前の準備

良いインタビューは、当日の話術よりも準備で大きく変わります。まず「アクセス権の棚卸しが計画どおり実施されているか」のように、何を明らかにしたいのかを具体化します。目的が曖昧なままだと、回答を得ても監査上の判断へ結び付けにくくなります。

次に、対象者の役割と責任範囲を確認します。管理者だけでなく、日常的に操作する担当者、申請者、承認者など、プロセスの異なる位置にいる人を選ぶと、情報を比較できます。対象システム、関連規程、過去の障害や指摘事項にも目を通し、既に文書で確認できる事項を繰り返し聞かないようにします。

質問は、全体像から具体的な事例へ進む順番にすると答えやすくなります。質問リストは台本ではなく、確認漏れを防ぐためのガイドとして使います。

日時、場所、所要時間、同席者、記録担当も事前に決めます。録音する場合は、目的、利用範囲、保管方法を説明して同意を得ます。機密情報や個人情報を扱う可能性があるなら、閲覧権限と保存先も確認しておきましょう。

インタビュー実施のコツ

冒頭で目的、予定時間、記録方法を説明し、監査対象者の個人評価ではなく、業務や統制の実態を確認する場であることを共有します。安心して話せる環境は、率直な回答を得るために重要です。

質問は「はい・いいえ」で終わるものだけでなく、「どのような流れですか」「直近の例を教えてください」といったオープンな聞き方を使います。その後、「誰が承認しますか」「記録はどこに残りますか」「例外時はどうしますか」と深掘りします。

「この手順は守られていますよね」のような誘導質問は避けます。「手順と異なる対応が必要になるのは、どのような場合ですか」と中立的に聞くほうが、実態を把握しやすくなります。専門用語や監査側だけに通じる略語も、必要に応じて言い換えます。

メモには回答の要旨だけでなく、日時、場所、対象者、同席者、確認した資料名、追加確認が必要な事項を残します。発言を推測で補わず、重要な内容は「いまのお話は、緊急時には事後承認になるという理解で合っていますか」とその場で確認します。最後に、未回答事項と後日提出してもらう資料を読み上げ、双方の認識をそろえます。

インタビュー後の整理と裏付け

終了後は、記憶が新しいうちにメモや録音を整理します。監査調書には、目的、対象者、実施日時、質問と回答の要旨、確認資料、監査人の判断、未解決事項を区別して記録します。発言内容と監査人の推測を混ぜないことが大切です。

重要な事実や認識は、必要に応じて対象者に確認します。ただし、対象者による確認は回答の転記ミスを減らすためのものであり、その内容が客観的に正しいことを自動的に保証するものではありません。

次に、回答を規程、申請書、チケット、アクセスログ、設定画面、現場観察の結果と照合します。矛盾があれば、どちらかを直ちに誤りと決めず、対象期間、用語の定義、例外処理、担当範囲の違いを確認します。必要なら別の関係者へ追加インタビューを行います。

最終的な指摘は、「担当者が不安そうだったから」ではなく、「規程では月次確認を求めているが、直近3か月の確認記録がなく、担当者も実施時期を説明できなかった」のように、評価基準、事実、証拠を結び付けて記載します。

インタビュー法の注意点

• 回答だけで結論を出さない：文書、ログ、設定、観察結果などで裏付けます。
• 一人の説明を全体の実態とみなさない：責任者、実務担当者、関連部門など立場の異なる人から確認します。
• 誘導や詰問を避ける：中立的な質問と傾聴を心がけ、回答しやすい順序で進めます。
• 非言語情報を断定材料にしない：態度や表情は追加確認のきっかけにとどめます。
• 記録とデータを適切に管理する：録音への同意、アクセス権、保存期間、削除方法を明確にします。
• 監査範囲を広げすぎない：興味深い話でも、目的との関係を確認し、必要なら別の調査項目として扱います。

AIシステムを対象にする場合は、モデルの出力だけでなく、人がどこで確認・承認するか、誤った出力をどう報告するか、学習データや入力情報を誰が扱えるかも質問します。手順書上の管理だけでなく、現場で迷いやすい場面や回避策まで聞くと、改善につながる情報を得やすくなります。

まとめ

システム監査のインタビュー法は、関係者へ直接質問し、文書だけでは見えない実際の運用、判断理由、例外対応、潜在的な課題を把握する方法です。準備では目的、対象者、質問、記録方法を決め、実施時は中立的な質問と具体例の確認を心がけます。

最も大切なのは、インタビューで得た回答をそのまま結論にしないことです。複数の立場から聞き、文書レビュー、ログ確認、現場観察と組み合わせることで、監査証拠の信頼性が高まります。対話で得た手がかりを客観的な事実へ結び付けることが、インタビュー法を監査に生かすポイントです。

更新履歴