指摘事項とは？
指摘事項とは、監査で発見された問題点のうち、重要性の観点から報告すべきと判断した事項。事実、判断の根拠となる基準、リスク（影響）を明示して記載する。
応用情報技術者試験の過去問では6回出題されています（2018年度〜2022年度）。
してきじこう
指摘事項の意味
監査で発見された問題点のうち、重要性の観点から報告すべきと判断した事項。事実、判断の根拠となる基準、リスク（影響）を明示して記載する。
指摘事項の具体例
「退職者のアカウントが3件残存していた」という事実に、社内規程の該当条項と不正アクセスのリスクを添えて記載する。
指摘事項は試験でどう引っ掛けられる？
報告書に記載する前に、意見交換会などで被監査部門と事実確認を行うのが原則。事実誤認のまま報告すると報告書全体の信頼を損なう。
指摘事項と関連する用語
指摘事項が出た過去問
システム利用者に対して付与されるアクセス権の管理状況の監査で判明した状況のうち、監査人がシステム監査報告書で報告すべき指摘事項はどれか。
正解：退職・異動したシステム利用者に付与されていたアクセス権の削除・変更は、定期人事異動がある年度初めに全てまとめて行われていた。
要点：退職・異動時のアクセス権は都度速やかに削除する
退職者や異動者のアクセス権が年度初めまでそのまま残るということは、権限のない者がシステムを利用できる期間が生じることを意味する。これは不正アクセスや情報漏えいにつながる重大な問題であり、監査報告書で指摘すべき事項に当たる。アクセス権の削除・変更は事由の発生の都度、速やかに行う必要がある。
出典：平成30年度 春期 応用情報技術者試験 午前 問58（IPA）システム監査基準(平成30年)に基づいて、監査報告書に記載された指摘事項に対応する際に、不適切なものはどれか。
正解：システム監査人が、監査対象部門の改善計画を作成する。
要点：監査人は独立性を保ち、改善計画の作成には関与しない
システム監査人は監査対象から独立していなければならず、改善計画そのものを作成すると自らが作ったものを後から評価することになり、独立性と客観性を損なう。改善計画の立案と実施は監査対象部門の責任であり、監査人はその実施状況を確認・助言する立場にとどまる。
出典：令和1年度 春期 応用情報技術者試験 午前 問59（IPA）事務所の物理的セキュリティ対策について、JIS Q 27002:2014(情報セキュリティ管理策の実践のための規範)に基づいて情報セキュリティ監査を実施した。判…
正解：機密性の高い情報資産が置かれている部屋には、入室許可を得た者が共通の暗証番号を入力して入室している。
要点：入退室の認証は共通番号でなく個人単位で識別・記録する
共通の暗証番号で入室していると、誰がいつ入退室したのかを個人単位で識別・記録できず、番号の共有によって権限の無い者にも容易に伝わってしまう。JIS Q 27002が求める入退管理では個人ごとに認証し記録を残すことが必要なので、この状況は指摘事項となる。
出典：令和1年度 春期 応用情報技術者試験 午前 問60（IPA）システム監査基準（平成30年）に基づいて、監査報告書に記載された指摘事項に対応する際に、不適切なものはどれか。
正解：システム監査人が、監査対象部門の改善計画を作成する。
要点：監査人は改善計画を作らず、実施状況の確認にとどめる
システム監査人は独立性と客観性を保つ必要があり、改善計画の作成といった被監査部門の業務そのものを引き受けてはならない。計画の立案と実施は監査対象部門の責任で行い、監査人はその実施状況を確認・評価するフォローアップの立場にとどまる。助言は行えても実務を代行してはいけない、という線引きが問われている。
出典：令和3年度 秋期 応用情報技術者試験 午前 問60（IPA）情報セキュリティ管理基準（平成28年）を基に、情報システム環境におけるマルウェア対策の実施状況について監査を実施した。判明したシステム運用担当者の対応状況のうち…
正解：マルウェア検出のためのスキャンを実施した上で、組織として認可していないソフトウェアを使用している。
要点：未認可ソフトの使用はマルウェア対策上の指摘事項
組織として認可していないソフトウェアの使用は、脆弱性やマルウェア混入の経路となるため、マルウェア対策の管理基準では禁止されている。スキャンを実施していても、未認可ソフトの利用そのものが統制上の問題なので、指摘事項として報告書に記載すべきである。
出典：令和3年度 春期 応用情報技術者試験 午前 問58（IPA）
最終更新：2026-08-25／解説は資格暗記が独自に作成しています。 過去問の出典は各問題に記載のとおりです。