IT監査 確認テスト

IT環境では、プログラムに1つの誤りがあると、そのプログラムを通過する全ての取引に同じ誤りが適用される。これが Systematic error（体系的エラー） であり、手作業環境の Random error（散発的エラー） とは異なる。手作業では1件ずつ異なるミスが発生しうるが、IT環境では「正確に間違える」。

IT化により特定の手口（例: タイムカードの偽造）は防げるが、データの改ざんなど 別の形の不正リスク が生まれる。不正の形態が変わるだけであり、可能性が消えるわけではない。「IT化すれば不正が減る」という選択肢は試験での典型的なひっかけ。

全般統制（IT General Controls）はITインフラ全体の「土台」の統制であり、アプリケーション統制はその上に構築される「各部屋の設備」のようなもの。全般統制が有効でなければ、アプリケーション統制をいくらテストしても信頼性は確保できない。 基礎がグラグラの建物に頑丈なドアの鍵をつけても意味がない。

電子的証拠の消失リスクが影響するのは テストの実施時期（timing） であり、固有リスク（Inherent Risk）の評価や発見リスク（Detection Risk）の許容水準、実証性テスト（Substantive Tests）vs 統制テスト（Tests of Controls）戦略の選択には影響しない。「何をテストするか」ではなく「いつテストするか」が影響を受ける。

テスト・データ法では、監査人が作成した ダミーデータ を、依頼人の本番プログラム で処理させる。テスト用の別プログラムを使っても意味がない。本番環境のプログラムが正しく機能するかを確認するのが目的。

Check digit（チェック・ディジット） は1件の識別番号の誤入力を検出する統制であるが、Hash total（ハッシュ・トータル） はバッチ全体のデータの完全性（Completeness）を検証する統制であり、個々の番号の誤入力検出ではない。Check digitは「点」を守り、Hash totalは「面」を守る。