システム監査とは？なぜ自分の部門を自分で監査できないのか【ITパスポート】
自分が毎日回しているシステムを、自分で点検して「問題ありません」と報告する。それで信じてもらえるでしょうか。当然ですが、難しいです。見落としに気づきにくいうえに、都合の悪いことを書きにくいからです。この「自分の点検だけでは足りない」という当たり前が、システム監査という仕組みの出発点になっています。ITパスポート試験でも、独立性を問う出題が繰り返されています。
システム監査とは
システム監査とは、監査対象から独立した立場で情報システムを点検・評価し、必要なら助言や勧告をする活動のことです。
会社の情報システムの安全性、信頼性などを第三者が点検、評価し、必要があれば当該第三者が点検、評価の対象者に助言、勧告をするものはどれか。
（出典：ITパスポート試験 平成24年春期 問47）
この問題の正解はア「システム監査」です。ここで「第三者」とあるのは評価される側とは別の立場という意味で、社外の人に限る話ではありません。社内の監査部門が行うシステム監査もあります。
監査を行う人はシステム監査人と呼ばれます。役割も過去問がはっきり書いています。
組織体の情報システムを独立した専門的な立場で検証又は評価する。
（出典：ITパスポート試験 平成21年春期 問44）
過去問は「独立した」と「専門的な」の2つを挙げています。簡単にいうと、監査対象と利害がつながっておらず、かつ中身がわかる人ということになります。
どちらも必要ですが、求められ方の違いに注意してください。監査チームの全員に共通する要件として正解になるのは独立性で、対象システムの詳細な技術知識は誤答です（平成30年春期 問45）。経済産業省のシステム監査基準も、全員がすべての知識や技能をもつ必要はないとしています。平成30年秋期の問53の正解も、当事者ではなく監査経験がある経理部の担当者です。
ほかに客観性や職業倫理も問われていて、成功報酬契約による監査は職業倫理に反する行為とされています（平成27年秋期 問36）。シラバス上はマネジメント系のシステム監査に位置づけられますが、シカラボの分野分けでは開発技術のカテゴリに入っています。
具体例でイメージをつかむ
経理システムの内部監査を行うとして、監査人には誰を選ぶとよいでしょうか。たとえば、次の4人が候補にいるとします。
- 経理システムの運用担当者
- 開発を請け負った委託会社の従業員
- 利用者である経理担当者
- 経理とITの知識をもつ、経営者直轄組織の従業員
最初の3人はいずれも当事者です。運用担当者は自分の仕事を評価することになりますし、開発した委託会社も自分の成果物を点検することになります。利用者も、日々の使い方そのものが監査の対象です。残るのは4人目だけになります。
これは令和7年の問51がそのまま出した場面です。独立性は「知らない人に頼む」ことではなく、「評価される側と利害がつながっていない人に頼む」ことだと押さえておきましょう。だからこの問題でも、正解は経理とITの知識をもつ人です。
監査の進み方も押さえておきましょう。シラバスは「監査計画の策定 → 監査の実施（予備調査・本調査・評価・結論）→ 監査報告 → フォローアップ」という流れを示しています。
過去問はこの流れを、もう少し細かく分けて出すことがあります。
システム監査の業務は、監査計画の立案、監査証拠の入手と評価、監査手続の実施、監査報告書の作成、フォローアップのプロセスに分けられる。
（出典：ITパスポート試験 平成31年春期 問55）
分け方は問題によって変わりますが、最後がフォローアップであることは共通しています。フォローアップは、改善提案があるときに、改善が実際に行われたかを確かめ、適切な対策の実施を指導する段階です。報告書を出して終わりではないところが、繰り返し問われます。
内部統制・システム管理との違い
まぎらわしい語がいくつかあります。誤答選択肢にもよく並ぶので、立ち位置で整理しておきましょう。
| 誰がやるか | 何をするか | |
|---|---|---|
| システム監査 | 監査対象から独立したシステム監査人（社内の監査部門でもよい） | 情報システムを点検・評価し、助言・勧告する |
| 内部統制 | 経営者が整備し、組織全体で運用する | 業務が適正に行われる仕組みを整え、運用する |
| システム管理 | システム部門など、運用する側 | システムを日々動かし、維持する |
覚え方は「仕組みを整えて運用するのが内部統制、日々動かすのがシステム管理、離れて見るのがシステム監査」です。監査人は、自分が評価する対象の整備や運用を兼ねません。兼ねた時点で独立性が崩れるからです。社内にいるかどうかではなく、評価される側にいるかどうかで決まります。
なお、監査報告書は監査を依頼した人に提出します。平成24年春期の問37でも、正解は「監査の依頼者であるA氏」で、被監査部門の部門長は誤答です。
試験ではこう出る
よく出るのは次の2つです。監査人に誰を選ぶかという独立性の判断と、プロセスや判断のよりどころを問う形です。まずは独立性からどうぞ。
腕試し問題
出典：ITパスポート試験 令和7年度 問52
A社は会計システムの再構築のプロジェクトを立ち上げ、システム開発をB社に外部委託している。B社から納品される成果物の検収において、プロジェクトの品質管理に係る手続を遵守しているかどうかのシステム監査を行う監査人として、適切な者は誰か。
解答と解説
解説（解答せずに開けます）
正解はアです。
監査の対象は、B社から納品される成果物の検収が、品質管理の手続どおりに行われているかどうかです。イは検収する側のプロジェクトを担当する人、ウとエは納品する側の人で、いずれも当事者にあたります。アは会計システムの再構築に関わっていないので、この中では最も適切です。
- ❌ イ「A社のプロジェクトマネージャ」→ 自分のプロジェクトを自分で評価することになり、独立性がありません
- ❌ ウ「B社のシステム開発リーダー」→ 納品する側で、自分たちが作った成果物の検収を自分で評価することになります
- ❌ エ「B社の品質管理責任者」→ 同じく納品する側なので、当事者にあたります
もう1問、判断のよりどころを問う形も見ておきましょう。
腕試し問題
出典：ITパスポート試験 令和6年度 問48
システム監査で用いる判断尺度の選定方法に関する記述として、最も適切なものはどれか。
解答と解説
解説（解答せずに開けます）
正解はイです。システム管理基準は代表的なよりどころですが、監査のテーマに応じてほかの基準を使うこともできます。アのように「全項目をそのまま使わなければならない」と決まっているわけではありません。
まとめ
- システム監査は、監査対象から独立した立場で情報システムを点検・評価し、助言・勧告する活動
- システム監査人に求められるもののうち、特に押さえるのは独立性と専門性。どちらも必要だが、全員に共通する要件として正解になるのは独立性。ほかに客観性と職業倫理も問われる
- 独立性は「知らない人」ではなく、評価される側と利害がつながっていない人という意味
- 基本の流れは監査計画の策定 → 監査の実施 → 監査報告 → フォローアップ。細かい分け方は問題によって変わるが、最後はフォローアップ
- 内部統制は仕組みを整えて運用する側、システム管理はシステムを日々動かす側で、監査とは立ち位置が違う
「この人は監査人になれるか」は、繰り返し問われています。迷ったら、その人が評価される側にいないかを確かめてみてください。
