監査は誰が何を調べる？｜スタートアップの実例で学ぶシステム監査とウォークスルー法

例えば自社の予約管理サービスを開発している会社で、担当者は「管理者だけが注文を取消せます」と答えました。監査ではその説明だけで終えず、権限設定、実際の取消ログ、承認履歴、例外が起きた場合の対応を確かめます。

大切なのは「ミスをした人を探す」ことではなく、間違い・不正・事故を予防または発見できる仕組みがあり、実際に機能しているかを評価することです。

日本の会社法上、例えば資本金5億円以上または負債総額200億円以上の株式会社は「大会社」とされ、会計監査人による監査が必要となる代表例です。ただし、この数字はシステム監査の実施義務を区切る基準ではありません。上場会社などには別途の制度も関わります。

スタートアップなら「社員数が少ないから監査は不要」と決めつけず、扱う個人情報、顧客の契約、決済、業界規制、投資・上場準備といった要因から必要な保証水準を決めます。

予約・請求を一体化したサービス「予約ノート」を月額で提供している12人の会社を想定します。開発7人、営業2人、サポート2人、経営1人。顧客が法人契約を結ぶ際に「請求額は勝手に変更できないか」「管理者権限の扱いは適切か」「退職者のアカウントは停止されるか」と質問してきました。

ここで社内の担当者がやるべきことは、認証マークを急いで買うことではありません。まず重要なデータの流れ・責任者・ルール・実績証拠を整理し、弱点があれば改め、必要なら第三者による評価を受けます。以下の事例は実在企業の監査結果ではなく、実務を理解するためのモデルです。

小規模企業では三つの線を別部署に分けられない場合があります。その場合も、作業者と承認者を可能な範囲で分け、経営者や外部の専門家がレビューするなど補完策を設けます。ただし自己点検と独立監査を同じ名称で扱いません。

架空の顧客が2026年4月にプランを変更した注文 ORD-1042 を選びます。契約書、注文受付ログ、承認記録、料金計算結果、請求書、通知履歴、入金照合結果を、同じ識別子で順番に追います。

書類だけを机上でつなぐ場合もあれば、担当者に実際の画面・操作を再現してもらうこともあります。狙いは業務プロセスを理解し、各工程にどんな統制が組み込まれているか確認することです。

単に請求書が存在するだけでは、正しい金額で、正しい宛先に、適切な権限で作成されたとは言えません。前後関係と統制を確認して初めて検証が進みます。

監査証拠は監査上の結論を裏付ける記録や事実です。チケット、アクセスログ、変更承認、契約、システムの設定画面、入出力記録、担当者への聞き取りなどがあります。担当者の「いつも承認しています」という口頭説明だけに頼らず、承認履歴や設定等と照合します。

実際の監査では一つだけを使うのではありません。全体の流れをウォークスルーで把握し、気になる金額を突合し、関連規程をレビューする、と組み合わせます。

インタビュー法は担当者から実際の手順や例外対応を聞き取る方法、現地調査・観察は操作や現物を確かめる方法、テストデータ法は試験入力で統制の動きを確かめる方法です。コンピュータ支援監査技法（CAAT）ではログ分析などをソフトウェアで効率化します。

なお、監査対象の本番環境に勝手に試験データを入力するのは避け、承認・影響評価・適切な環境の選択を前提にします。

例えば「請求の正確性」が目的なら、範囲は契約変更から入金まで。監査人はリスクを洗い、関係者へ聞き取りを行い、対象期間内の記録を検証します。判明した問題については原因、影響、是正責任者、期限、フォローアップを明確にします。

「請求額の変更には承認が必要」と規程に書いてあれば、設計の存在は分かります。しかし実際の変更履歴に承認がなければ、運用ができているとは言えません。また、1件のウォークスルーはプロセス理解や統制の存在確認に有用ですが、期間を通じた運用有効性の結論には、目的に応じた追加サンプルや他のテストが必要です。

これは自社点検の一例であり、法定の会計監査や独立したシステム監査に代わるものではありません。ただし監査を受ける前の運用改善としては有効です。

ISMSは情報セキュリティのマネジメントシステムを確立・運用・改善する仕組みで、適合性の認証を受ける道もあります。SOC 2はサービス提供組織の統制について独立した監査人が報告する枠組みです。どちらも「社員数が何人だから必須」と一律に決まるわけではなく、顧客・契約・市場に応じて求められます。

大手企業から質問票が届いたスタートアップは、実際に行っている対策と証拠を正確に回答します。「監査済み」「認証取得済み」などの表示は、実際の評価範囲や報告書がある場合に限定します。

事故になりやすいのは、退職者の権限が残る、手作業の請求額修正に承認がない、障害報告の記録がない、ログの保存が短すぎる、外部委託先との責任分担が曖昧、といった場合です。監査では「ルールがあるか」に加え「ルールどおりに運用されたか」「例外を見つけて是正したか」を見ます。

監査人だからといって顧客の個人情報を無制限に閲覧できるわけではありません。監査目的に必要な範囲を明確化し、マスキング・限定アクセス・証拠保管期限・持ち出し制限を設けます。スクリーンショットに顧客情報が残る場合も慎重に扱います。

監査人は独立した立場で発見事項とリスクを伝えます。原則として是正策の実施責任は業務・システムの管理者にあります。監査人が自分で設定を変更して「改善できた」と評価することは独立性を損なうおそれがあるため、役割を整理します。

下のラボでは、注文の各工程をクリックすると監査証拠が表示されます。証拠が不足するケースを切り替えて、監査人なら何を追加で確認するか判断してください。技法の使い分けクイズもあります。

問題が示すのは「データの生成から入力・処理・出力・活用までを、書面または実際に追う技法」です。これはウォークスルー法（ア）。チェックリストは質問項目、突合・照合は証拠同士の比較、ドキュメントレビューは文書内容の点検です。動詞で見分けると、「流れを追う＝ウォークスルー」「項目で尋ねる＝チェックリスト」「比較する＝突合」「読む＝レビュー」です。

監査を「誰かに怒られる行事」と考えると本質を見失います。まず組織の目的とリスクを理解し、プロセスに統制があるか調べ、実際のデータと証拠をたどって判断する。自社プロダクトの小さな会社でも、この考え方は毎日の運営と顧客への説明に役立ちます。