監査のたびに証跡集めで疲弊?内部監査と情シスが楽になるアクセス権棚卸しの型

四半期や年度の節目になると、情シスのもとに依頼が集まります。「全システムのアクセス権の一覧を出してほしい」「この操作を承認した記録はあるか」「退職した人のアカウントはもう消えているか」。求められるのは、どれも「証跡」です。各システムの管理画面を一つずつ開き、画面キャプチャを撮り、Excelの台帳と突き合わせる。気づけば、監査対応で数日が埋まっている。これは、多くの情シスに共通する「あるある」です。

監査は、情シスを困らせるために来るわけではありません。会社のお金や情報が正しく守られているかを、第三者の目で確かめる仕事です。それでも、進め方がかみ合わないと、情シスだけが証跡集めに疲弊する形になりがちです。ここでは、監査と情シスが折り合う進め方を、公開されている解説をもとに整理します。

そもそも監査は何を求めているのか

監査と一口に言っても、社内の内部監査、会計を見る監査法人の監査、上場企業のJ-SOX(内部統制報告制度)への対応など、いくつかの種類があります。それでも、情シスがよく求められるものは、だいたい共通しています。

• アクセス権の一覧: 誰が、どのシステムに、どの権限を持っているか
• 承認の証跡: その権限を、誰が、いつ承認したか
• 操作のログ: 重要な操作や、特権ID(強い管理者権限)の利用の記録
• 退職者・異動者の処理の記録: いつアカウントを無効化・削除したか

共通しているのは、「ルールどおりに運用されていること」を、後から確かめられる形で見せてほしい、という点です。監査は「できていないこと探し」ではなく、「決めたとおりにできていることの確認」です。そう捉えると、普段の運用でこまめに証跡を残しておくことが、そのまま監査対応になります。逆に、普段は残さず、監査の直前にまとめて集めようとするから、画面キャプチャの山に追われることになります。

よくある場面:画面キャプチャの山と、消えない退職者アカウント

監査対応が重くなる会社には、共通の風景があります。クラウドやSaaSが増え、台帳の更新が追いつかず、証跡はあちこちに散らばる。監査対応を解説した記事は、負担が増える様子をこう書いています。

特にクラウドやSaaSが増えた企業では、Excel台帳の更新漏れ、退職者アカウントの残存、画面キャプチャの大量提出が監査工数を押し上げます。

「退職者アカウントの残存」は、監査で必ず見られる定番の指摘です。入社・異動・退職の連絡が遅れたり、各システムでの削除が手作業だったりすると、使われていないアカウントが残り続けます。そのたびに、情シスは「なぜ残っているのか」「いつ消したのか」の説明を求められます。

なぜ大変になるのか

同じ記事は、負担が増える本当の原因を、証跡の「量」ではないと指摘します。

監査対応の負担は、証跡の量そのものよりも、保存場所の分散、母集団の不明確さ、手作業での収集、責任者の不在によって増加します。

つまり、証跡が多いこと自体より、「どこにあるか分からない」「どこまでが確認の対象(母集団)か決まっていない」「毎回手で集める」「誰の責任か曖昧」が、負担を生みます。裏を返せば、ここを整えると、監査のたびの作業はぐっと軽くなります。

とくに「母集団」は分かりにくい言葉ですが、要は「確認する対象の全体」のことです。たとえば『会計システムを使える全員』が母集団で、その中の一部だけを見て『問題なし』としても、全体を押さえていなければ、監査では不十分と見られます。最初に『何を全体とするか』を監査と決めておくと、あとで『この人も対象では』と言われて最初からやり直す、を防げます。

もう一つ、形だけになりやすいのが、権限の承認です。棚卸しで上長に確認を依頼しても、中身を見ずに全部まとめて承認されてしまうと、記録は残っても意味がありません。

所属長がユーザー一覧を見ずに全件承認すると、棚卸しの記録は残っても、不要な特権IDを発見する統制目的を果たしません。

アクセスレビューの解説でも、一括での承認は本来の精査を省いてしまい、不正アクセスのリスクを高めると指摘されています(公開されている解説を読んで整理・編集部)。リスクの高いアカウントに重点を置く形が望ましい、という考え方です。

今日からできること

• 棚卸しの母集団と頻度を、監査と先に合意する: どのシステムの、どのアカウントを、どのくらいの頻度(年1回・半期・四半期など)で確認するかを、監査と情シスで事前に決めます。毎回ここでもめると、作業がやり直しになります。
• 証跡の置き場所と形式をそろえる: 画面キャプチャをその都度撮るのではなく、「どのシステムの、どの証跡を、どこに、どの形で残すか」を決めておきます。保存場所の分散をなくすだけで、収集の手間が大きく減ります。
• 退職者・異動者のアカウントを即時に無効化する: 残存アカウントは定番の指摘です。人事の連絡から無効化までの流れと担当を決め、できる範囲で自動化します。入退社の連携は、入社・退社の連絡が遅い?人事と情シスがすれ違わない連絡票と進め方も参考になります。
• 特権ID(管理者権限)を一覧にして重点的に見る: すべてを同じ重さで確認するのではなく、強い権限を持つアカウントや、退職・異動した人を優先して確認します。リスクの高いところに時間を使います。
• 「全件まとめて承認」を避ける仕組みにする: 上長に確認を依頼するときは、確認してほしい点(この人にこの権限は必要か)を具体的に示します。中身を見ずに通せない形にすると、形だけの承認を防げます。
• 収集を手作業から仕組みへ寄せる: 同じ作業を毎回手で繰り返しているなら、ID管理やアクセスレビューの仕組みで、収集・レビュー・記録を自動化できないかを検討します。
• 監査人に出す前に、自分たちで一度見る: 提出の前に、情シスで証跡をざっと確認します。退職者のアカウントが残っていないか、特権IDに不要なものがないかを先に見つけて直しておけば、監査での指摘と、その場での慌ただしいやり直しを減らせます。

監査対応は、情シス一人が抱えて徹夜する仕事ではありません。母集団と証跡の置き場を監査と先にそろえ、退職者アカウントの無効化を日々の運用に組み込んでおけば、監査の時期に慌てて集める作業は、確実に減らせます。監査を「敵」ではなく「自社の統制を一緒に確かめる相手」として進め方を合わせることが、双方の負担を軽くする近道です。

監査は毎年やってきます。普段の運用に証跡を残す習慣と、母集団や置き場の取り決めを一度作っておけば、その準備は翌年以降もずっと効き続けます。慌てて集める年次行事から、淡々と見せられる運用へ。そこを目指すのが、情シスにとっても監査にとっても近道です。