内部監査・外部監査・監査役監査とは？ないぶかんさがいぶかんさかんさやくかんさ
内部監査・外部監査・監査役監査とは、監査は実施主体と報告先で分類する。内部監査は組織内の独立部門が経営者に報告し、外部監査は組織外の専門家が第三者として株主や利用者に向けて意見を表明し、監査役監査は会社法上の監査役が取締役の職務執行を監査する。システム監査はこのどの主体でも実施でき、外部委託しても報告先は委託した経営者のままである点が会計の外部監査と違う。監査人に求められるのは独立性（外観と精神の両面）と職業倫理で、被監査部門の業務を自ら設計・運用していた者はその領域の監査人になれない。
最終更新：2026-10-06
この語が出る過去問を解く →背景
監査の主体が分かれているのは、確かめてほしい相手と、求められる独立性の水準が違うからである。株主や投資家は経営者の説明そのものを疑いうる立場なので、経営者から独立した外部の専門家が意見を述べなければ意味がない。一方で日々の業務改善は、業務を深く理解した内部の部門が継続的に回すほうが効く。監査役監査はさらに別の要請で、取締役の暴走を株主の側から止めるために会社法が置いた機関である。システム監査もこの延長にあり、作った本人が自分の成果物を点検しても保証にならないという一点から、独立性の要件が導かれている。
具体例
自社の課金基盤の改修を担当している開発者が、翌年その基盤のシステム監査に監査人として入ることはできない。自己監査になり外観的独立性を欠くためで、この場合は別部門の内部監査人か外部の監査法人に依頼する。監査証拠として提出するのは、変更管理台帳・承認記録・アクセスログといった、担当者の記憶に依存しない客観的な記録である。
試験での引っ掛け
記述で問われるのは「なぜその主体を選ぶのか」。外部監査を選ぶ理由は独立性の高さと対外的な説明力、内部監査を選ぶ理由は業務理解の深さと改善サイクルの継続性で、どちらが優れているかではなく目的で決まる。また内部監査を「独立性が低い」と一律に書くと減点で、被監査部門からの独立と経営者直属の報告経路があれば要件は満たす。監査役監査を内部監査の一種と扱うのも誤りで、根拠法も選任経路も異なる。
関連用語
出た過去問
出典：令和4年度 秋期 応用情報技術者試験 午前 問58（IPA）
JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に基づいてISMS内部監査を行った結果として判明した状況のうち、監査人が、指摘…
正解：リスクアセスメントを実施した後に、リスク受容基準を決めていた。
要点：リスク受容基準はリスクアセスメントの前に定める
リスク受容基準は、リスクアセスメントの結果を評価するための物差しなので、アセスメントを始める前に定めておかなければなりません。順序が逆になると評価が恣意的になり得るため、規格の要求事項に適合していない状況として指摘の対象になります。
出典：令和5年度 春期 応用情報技術者試験 午前 問60（IPA）
金融庁"財務報告に係る内部統制の評価及び監査の基準（令和元年）"における、内部統制に関係を有する者の役割と責任の記述のうち、適切なものはどれか。
正解：内部監査人は、モニタリングの一環として、内部統制の整備及び運用状況を検討、評価し、必要に応じて、その改善を促す職務を担っている。
要点：経営者が整備・運用の責任者、内部監査人は評価と改善促進
内部監査人は、モニタリングの一環として内部統制の整備状況と運用状況を独立した立場から検討・評価し、必要があれば改善を促す役割を担う。内部統制の整備と運用に最終的な責任を負うのは経営者であり、監査役等はその職務執行を監視・検証する立場にある。
出典・参考
公式シラバスの3 技術要素 ＞ 2. 情報セキュリティ管理 ＞ (5) 情報セキュリティマネジメントシステム（ISMS）に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。