監査調書とは？
「なぜそう判断したか」を証拠でたどる記録

「アクセス権の管理に問題があります」。そう報告されたら、あなたは何を確かめたいでしょうか。どのシステムの、どの利用者を、どんな記録で確認したのか。監査調書は、そんな問いに答えられるようにするための監査の作業と判断の記録です。

たとえば退職者のアカウントが残っていないか調べるとします。担当者から「退職時に停止しています」と聞けたとしても、それだけでは実際の運用まで確かめたことになりません。

退職者一覧とシステムのアカウント一覧を比べ、無効化ログで停止日時を確認する。監査では聞いた話（説明）と記録から確認できる事実（証拠）を区別する必要があります。

この4段階を後から再確認できる形にまとめたものが監査調書です。記録には、実施した手続、入手した監査証跡、監査人が到達した結論が含まれます。

ある会社では「退職日の翌営業日までにアカウントを無効化する」という運用ルールがあります。監査人は退職者10名を対象に確認しました。10名中8名は期限内、2名は期限超過でした。

ここで重要なのは、「2件遅れた」という数字だけを残しても、十分とは限らないことです。誰を対象に、どんな条件で、どの記録と突き合わせたのかがなければ、別の人は結論を検証できません。

ほかの文書も、現場での役割を考えると整理できます。中長期計画は数年単位で何を監査するかという方針。個別監査計画は今回の対象・日程・実施方法。監査調書は実施した確認作業と根拠。そして監査報告書は、そこから伝えるべき結果です。

「遅れていた」という結論に、何が不足していると困るのか。実際に記録項目を選び、結論の根拠をたどれる状態にしてみましょう。

監査調書を丁寧に作っても、抽出した対象が偏っていたり、ログの取得方法が不正確だったりすれば、判断そのものは誤り得ます。だからこそ「何を見たか」だけでなく、対象範囲・確認方法・例外・判断の限界を書き残す意味があります。

監査調書は、見栄えのよい書類を作るためではありません。後から別の人が「この結論はどの証拠に基づき、どう導かれたのか」を理解・検証できるようにするためのものです。