喜田 博昭 ／ IT専門家

 担当業務をおしえてください

一言でいえば、監査のなかでITの専門的な知識やスキルがないとできないことを対応しています。これでは答えになっていないですかね。。会計士の方とディスカッションをして、その会社のどの情報システムが重要か、どういった箇所で不正が行われやすいのかなどをじっくりと話し合ってリスクの度合いを測ります。そのあと、リスクに応じた内部統制を把握して評価していきます。
評価の考え方はITも他の内部統制と同じですが、会計や監査との関わりが見えづらいのが特徴だと思っています。
IT全般統制（※1）のような間接的だけど重要な業務や、IT業務処理統制（※2）のような表面的に見えない仕組みを解きほぐして確認することになるので、わからない部分を仮説で補いつつ、次に実際どうなのかを確認するというアプローチをとることが多いです。
また、IT統制評価とは別に、データベースやBIツールを利用したデータ監査（※3）も実施しています。

※1：IT全般統制は情報システムの仕組みを作る過程である「開発変更管理」、情報システムが適切に稼働することを維持管理するための「運用管理」、データやプログラムを適切に保全するための「セキュリティ管理」、これらを他社に委託している場合にその他社を管理する「外部委託先管理」に分けられます。
※2：IT業務処理統制は、会社によって種類が多岐にわたります。例えば小売事業で仕入先とのリベートが情報システムで自動計算されていれば、その処理が正しく機能することが会計上重要な機能になります。こういった機能が正しく設計され、実際に動作していることを検証します。
※3：CAAT（Computer Assisted Audit Techniques、コンピューター利用監査技法）、Data Analytics（データ分析）と呼ばれること。例えば、事業の特徴を定量的に分析・把握し、その特徴から外れる異常性のある取引を割り出すといった業務がデータ監査にあたります。BIツールとはさまざまなデータを分析・見える化して、経営や業務に役立てるソフトウェアのことを言います。

 IT専門家として業務を実施するうえで必要なスキルをおしえてください

監査法人でIT専門家業務を始めるときの入り口では、ひとつの領域についての専門性とともに、ITについての浅くても広い知識と経験があるとよいと思います。エンジニアとして働いている方は、アプリケーション系のエンジニア、ネットワークセキュリティ系のエンジニアというように、それぞれの専門性を持っている方が多いと思います。そのような専門性を持ちつつ、システムが全体としてどうやって構築されているのかに興味を持って、他の人やチーム・会社全体の業務に少しでも首を突っ込んでいるような方が向いていると思います。

簿記の基本的な感覚があれば、なおよいです。IT監査を進める中では例外的なことも出てきますが、それが会計にどのように影響するのかを見極められないと、リスクを見逃すか、リスクがないのに無駄な作業をするかになってしまいます。もちろん会計士と話し合いながら必要な対応を考えていくのですが、システムで何が起きているかを正しく理解して、会計の世界に翻訳して伝えていくスキルが必要だと思います。
内部統制監査制度や監査基準委員会報告書のような知識や経験ももちろん必要ですが、IT監査を始めてから身につけていけば良いでしょう。