監査調書・監査証跡・監査報告書とは？かんさちょうしょ・かんさしょうせき・かんさほうこくしょ
監査調書・監査証跡・監査報告書とは、監査の過程で扱う三つの記録・文書。監査証跡は、システムの操作履歴やトランザクションログなど処理の経緯を後からたどれる記録で、監査証拠の源になる。監査調書は、監査人が実施した手続・入手した証拠・結論に至った判断の過程を整理して文書化したもので、監査人自身が作成し保管する。監査報告書は、指摘事項と改善のための勧告をまとめて監査の依頼者へ提出する成果物である。
最終更新：2026-10-06
この語が出る過去問を解く →背景
監査の結論は、後から検証できなければ一個人の意見にすぎない。手続と証拠を残さないままでは、指摘が妥当だったのかも、見落としがなかったのかも誰にも確かめられず、次の監査でも同じ作業を一から繰り返すことになる。三つを役割で分けているのは、証拠の源（監査証跡）・結論の裏づけ（監査調書）・依頼者への報告（監査報告書）で、読み手も目的もまったく違うためである。
具体例
ヒアリングで確認した内容、閲覧した資料の一覧、そこから導いた所見を監査調書として記録し、後から結論の根拠をたどれるようにする。証拠としてはアクセスログやトランザクションログという監査証跡を突き合わせ、最終的な指摘事項と改善勧告だけを監査報告書にまとめて経営者へ提出する。
試験での引っ掛け
監査調書は監査人自身が作成・保管する内部文書であり、被監査部門への開示を前提とした監査報告書とは性質が異なる。また監査証跡は「記録が残る仕組みとその記録」を指し、監査人が作成するものではない。報告書の提出で監査が終わるのではなく、改善が実施されたかを確かめるフォローアップまで含む点も狙われる。
関連用語
出た過去問
出典：平成28年度 秋期 応用情報技術者試験 午前 問59（IPA）
システム監査報告書に記載された改善勧告への取組みに対する監査人のフォローアップとして、適切なものはどれか。
正解：改善勧告に対する被監査部門の改善実施状況を確認する。
要点：フォローアップは改善状況の確認にとどめ独立性を保つ
フォローアップは、改善勧告に対して被監査部門がどこまで対応したかを確認し、必要に応じて助言する活動です。改善そのものを実施したり、実施計画を策定したり、プロジェクトを管理したりすると、監査人が自ら手掛けた対象を評価することになり、監査の独立性・客観性が損なわれます。あくまで確認にとどめる点が重要です。
出典：平成29年度 春期 応用情報技術者試験 午前 問58（IPA）
システム監査人が監査報告書に記載する改善勧告に関する説明のうち，適切なものはどれか。
正解：調査結果に事実誤認がないことを被監査部門に確認した上で，監査人が改善の必要があると判断した事項を記載する。
要点：改善勧告は監査証拠と事実確認に基づき監査人が独立して記載する
改善勧告は監査証拠に基づき、かつ実現可能なものでなければ意味がない。さらに記載前に調査結果に事実誤認がないことを被監査部門に確認しておく必要がある。ただし勧告するかどうかの判断は監査人が独立して行うものであり、被監査部門の承認を要件とはしない。
出典：平成30年度 春期 応用情報技術者試験 午前 問58（IPA）
システム利用者に対して付与されるアクセス権の管理状況の監査で判明した状況のうち、監査人がシステム監査報告書で報告すべき指摘事項はどれか。
正解：退職・異動したシステム利用者に付与されていたアクセス権の削除・変更は、定期人事異動がある年度初めに全てまとめて行われていた。
要点：退職・異動時のアクセス権は都度速やかに削除する
退職者や異動者のアクセス権が年度初めまでそのまま残るということは、権限のない者がシステムを利用できる期間が生じることを意味する。これは不正アクセスや情報漏えいにつながる重大な問題であり、監査報告書で指摘すべき事項に当たる。アクセス権の削除・変更は事由の発生の都度、速やかに行う必要がある。
出典：平成31年度 春期 応用情報技術者試験 午前 問59（IPA）
システム監査基準(平成30年)に基づいて、監査報告書に記載された指摘事項に対応する際に、不適切なものはどれか。
正解：システム監査人が、監査対象部門の改善計画を作成する。
要点：監査人は独立性を保ち、改善計画の作成には関与しない
システム監査人は監査対象から独立していなければならず、改善計画そのものを作成すると自らが作ったものを後から評価することになり、独立性と客観性を損なう。改善計画の立案と実施は監査対象部門の責任であり、監査人はその実施状況を確認・助言する立場にとどまる。
出典：平成31年度 春期 応用情報技術者試験 午前 問60（IPA）
事務所の物理的セキュリティ対策について、JIS Q 27002:2014(情報セキュリティ管理策の実践のための規範)に基づいて情報セキュリティ監査を実施した。判…
正解：機密性の高い情報資産が置かれている部屋には、入室許可を得た者が共通の暗証番号を入力して入室している。
要点：入退室の認証は共通番号でなく個人単位で識別・記録する
共通の暗証番号で入室していると、誰がいつ入退室したのかを個人単位で識別・記録できず、番号の共有によって権限の無い者にも容易に伝わってしまう。JIS Q 27002が求める入退管理では個人ごとに認証し記録を残すことが必要なので、この状況は指摘事項となる。
出典・参考
公式シラバスの6 サービスマネジメント ＞ 1. システム監査 ＞ (5) システム監査の実施（予備調査，本調査，評価，結論）に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。