指摘事項とは？してきじこう
指摘事項とは、監査で発見した問題点のうち、重要性の観点から報告すべきと監査人が判断した事項。監査報告書には、確認した事実、それを問題と判断した根拠となる基準、放置した場合のリスクを分けて記載し、改善提案と結び付ける。事実と評価を混ぜて書かないことが、報告書の説得力を支える。
最終更新：2026-10-06
この語が出る過去問を解く →背景
監査人は業務執行の権限を持たないため、直せる立場ではない。動かせるのは、事実と基準とリスクを示して被監査部門と経営者に判断させるところまでである。だから記載の精度がそのまま監査の効力になり、根拠となる基準を示さない指摘は個人の意見として退けられる。改善計画とフォローアップまでを設計に含めるのはこのためである。
具体例
退職者のアカウントが3件残存していたという事実に、社内規程の該当条項と、退職者による不正アクセスが検知できないというリスクを添えて記載する。件数と対象システムを特定して書くのは、被監査部門が同じ事実を再現して確認でき、改善計画の範囲を決められるようにするためである。報告後はフォローアップで是正状況を確かめる。
試験での引っ掛け
報告書に載せる前に、意見交換会などで被監査部門と事実確認を行うのが原則で、事実誤認のまま出せば報告書全体の信頼が落ちる。また監査人が改善策そのものを設計して実施させると、次の監査で自分の仕事を評価することになり独立性を失う。助言型の監査でも、あくまで提案であって指示ではないという線引きが問われる。
関連用語
出た過去問
出典：平成30年度 春期 応用情報技術者試験 午前 問58（IPA）
システム利用者に対して付与されるアクセス権の管理状況の監査で判明した状況のうち、監査人がシステム監査報告書で報告すべき指摘事項はどれか。
正解：退職・異動したシステム利用者に付与されていたアクセス権の削除・変更は、定期人事異動がある年度初めに全てまとめて行われていた。
要点：退職・異動時のアクセス権は都度速やかに削除する
退職者や異動者のアクセス権が年度初めまでそのまま残るということは、権限のない者がシステムを利用できる期間が生じることを意味する。これは不正アクセスや情報漏えいにつながる重大な問題であり、監査報告書で指摘すべき事項に当たる。アクセス権の削除・変更は事由の発生の都度、速やかに行う必要がある。
出典：平成31年度 春期 応用情報技術者試験 午前 問59（IPA）
システム監査基準(平成30年)に基づいて、監査報告書に記載された指摘事項に対応する際に、不適切なものはどれか。
正解：システム監査人が、監査対象部門の改善計画を作成する。
要点：監査人は独立性を保ち、改善計画の作成には関与しない
システム監査人は監査対象から独立していなければならず、改善計画そのものを作成すると自らが作ったものを後から評価することになり、独立性と客観性を損なう。改善計画の立案と実施は監査対象部門の責任であり、監査人はその実施状況を確認・助言する立場にとどまる。
出典：平成31年度 春期 応用情報技術者試験 午前 問60（IPA）
事務所の物理的セキュリティ対策について、JIS Q 27002:2014(情報セキュリティ管理策の実践のための規範)に基づいて情報セキュリティ監査を実施した。判…
正解：機密性の高い情報資産が置かれている部屋には、入室許可を得た者が共通の暗証番号を入力して入室している。
要点：入退室の認証は共通番号でなく個人単位で識別・記録する
共通の暗証番号で入室していると、誰がいつ入退室したのかを個人単位で識別・記録できず、番号の共有によって権限の無い者にも容易に伝わってしまう。JIS Q 27002が求める入退管理では個人ごとに認証し記録を残すことが必要なので、この状況は指摘事項となる。
出典：令和3年度 秋期 応用情報技術者試験 午前 問60（IPA）
システム監査基準（平成30年）に基づいて、監査報告書に記載された指摘事項に対応する際に、不適切なものはどれか。
正解：システム監査人が、監査対象部門の改善計画を作成する。
要点：監査人は改善計画を作らず、実施状況の確認にとどめる
システム監査人は独立性と客観性を保つ必要があり、改善計画の作成といった被監査部門の業務そのものを引き受けてはならない。計画の立案と実施は監査対象部門の責任で行い、監査人はその実施状況を確認・評価するフォローアップの立場にとどまる。助言は行えても実務を代行してはいけない、という線引きが問われている。
出典：令和3年度 春期 応用情報技術者試験 午前 問58（IPA）
情報セキュリティ管理基準（平成28年）を基に、情報システム環境におけるマルウェア対策の実施状況について監査を実施した。判明したシステム運用担当者の対応状況のうち…
正解：マルウェア検出のためのスキャンを実施した上で、組織として認可していないソフトウェアを使用している。
要点：未認可ソフトの使用はマルウェア対策上の指摘事項
組織として認可していないソフトウェアの使用は、脆弱性やマルウェア混入の経路となるため、マルウェア対策の管理基準では禁止されている。スキャンを実施していても、未認可ソフトの利用そのものが統制上の問題なので、指摘事項として報告書に記載すべきである。
出典・参考
公式シラバスの6 サービスマネジメント ＞ 1. システム監査 ＞ (6) システム監査の報告とフォローアップに掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。