システム監査（system audit）

分類

マネジメント系 システム監査

出る試験

ITパスポート基本情報応用情報

重要度

★★★★☆

もう少し詳しい説明

システム監査は、独立した立場の人が、ITの使われ方を調べて評価する活動です。

経済産業省の「システム監査基準」（令和5年4月26日 改訂）では、こう定義されています。

専門性と客観性を備えた監査人が、一定の基準に基づいてITシステムの利活用に係る検証・評価を行い、監査結果の利用者にこれらのガバナンス、マネジメント、コントロールの適切性等に対する保証を与える、又は改善のための助言を行う監査である

長いので、3つに分けて読んでください。

監査人は、直す人ではありません。 調べて、結果を伝えるところまでが仕事です。ここを取り違えた選択肢が、そのまま誤答として並びます。

いちばん問われるのは「独立性」

外観的独立性は、誰が見ても分かる形であることが要点です。「本人は公正なつもりだ」では足りません。監査される側の部門に所属していたり、その業務に関わっていたりすれば、その事実だけで独立性を欠いていると判断されます。

自分が作ったものを自分で検証することはできない。 この一点を持っておけば、独立性の選択肢はほとんど判断できます。

（教科書によっては「外観上の独立性」「精神上の独立性」と書かれます。言葉は違っても中身は同じです）

保証と助言、2つの目的

システム監査基準には、目的の違う2つの監査が出てきます。

どちらも「監査人が直す」わけではありません。 助言型でも、提案するところまでです。

監査の進め方

試験で問われるのは、最後のフォローアップまでが監査に含まれるという点です。報告して終わりではありません。

予備調査と本調査の違いも出ます。予備調査は資料を読んで全体像をつかむ段階、本調査は実際に監査証拠を集める段階です。順番を入れ替えた選択肢が並びます。

監査証拠と監査調書

監査証拠は、判断のもとになった事実です。記録、文書、担当者への質問の回答、実際に操作して確かめた結果などが該当します。

監査調書は、監査人が行ったことと、そこから何を判断したかを書き残したものです。

「この結論には、この証拠がある」と後から追えるようにしておくためのもので、監査人の意見が思いつきでないことを示す裏づけになります。

監査証跡

監査の対象となるシステム側にも、求められるものがあります。いつ、誰が、何をしたかを後から追える記録を残しておくことです。これを監査証跡といいます。

操作ログ、更新履歴、承認の記録などがこれにあたります。監査証跡がなければ、どれだけ優秀な監査人でも検証できません。 後から追える状態にしておくこと自体が、システムに求められる性質（可監査性）です。

覚え方：作る人・見張る人・確かめる人

3つの立場を分けると、関係が整理できます。

• 作る人（業務部門・開発部門）… 実際に動かす
• 見張る人（内部統制）… 組織の中に、誤りを防ぐ仕組みを組み込む
• 確かめる人（システム監査）… 外から、その仕組みが働いているかを検証する

内部統制は「自分で自分を律する仕組み」、システム監査は「離れた立場から見る目」。 この違いが、そのまま出題の分かれ目になります。

試験ではこう出る

科目A（旧・午前）のシステム監査の分野で頻出です。多いのは、監査人の独立性を問う問題と、監査の手順の順番を問う問題です。ITパスポートでも同じ形で出ます。応用情報では、具体的な状況を示して「監査人としてどう行動すべきか」を判断させる形になります。

判断の軸は2つです。監査人は検証・評価する立場であって、直したり運用したりする立場ではない。 そして、監査対象と利害関係があれば独立性を欠く。選択肢に「監査人が改善策を実施する」「開発に参加していたので詳しい」とあれば、まず疑ってください。

関連する用語

内部統制

組織が自らを律するために組み込む仕組み。監査はそれを外から検証する側で、作る側ではない

リスクマネジメント

リスクを洗い出して対応を決める活動。どこを重点的に監査するかの判断にも使う

監査証跡

いつ誰が何をしたかを後から追えるように残した記録。これが無いと検証そのものができない

職務分掌

申請・承認・実行を別の人に分けること。監査でよく確かめられる統制のひとつ

ITIL

ITサービス運用の手引書。監査で「決めたとおりに運用されているか」を見る際の物差しになる

ミニクイズ

この分野をまとめて解く → 法務とシステム監査のミニテスト（全24問）

最終更新：2026-09-29