システム監査とは？しすてむかんさ
システム監査とは、組織の情報システムが安全性・信頼性・効率性などの観点から適切に管理・運用されているかを、被監査部門から独立した監査人が点検・評価し、改善を勧告する一連の活動。監査の依頼者は経営者であり、経済産業省が公表する「システム監査基準」と「システム管理基準」が実施の拠りどころになる。
最終更新：2026-10-09
この語が出る過去問を解く →背景
情報システムを作って動かしている部門は、自分たちの運用に問題がないかを自分で判断することになるが、身内の評価はどうしても甘くなり、そもそも問題に気づけないことも多い。一方で経営者はシステムの中身を細かく見る時間も知識も持たない。この間を埋めるため、実務から離れた立場の人がルールと証拠に基づいて点検し、経営者へ報告する仕組みが制度として整えられた。独立性が制度の中核にあるのはこのためである。基本情報ではマネジメント系の得点源として、監査人・被監査部門・依頼者の役割の切り分けが繰り返し問われる。
具体例
経営者の指示を受けた監査人が、販売システムのアクセス権限の一覧、退職者アカウントの削除記録、バックアップの取得ログといった証拠を集めて基準と突き合わせ、権限の付与手続に不備があれば改善を勧告する。実施する側の情報システム部は評価には加わらない。
試験での引っ掛け
目的は不正の摘発や担当者の処罰ではなく、統制が適切かを評価して改善につなげること。また監査人が自ら改善策を設計・実装してしまうと、次の監査で自分の仕事を評価することになり独立性を失う。評価する立場と実施する立場を混ぜないという一点で、多くの選択肢が切れる。
関連用語
出た過去問
出典：平成28年度 春期 基本情報技術者試験 午前 問59（IPA）
アクセス制御を監査するシステム監査人が採った行動のうち，適切なものはどれか。
正解：データに関するアクセス制御の管理状況の確認
要点：監査人は独立の立場で確認・評価し運用には関与しない
システム監査人は、被監査部門から独立した立場で、統制が適切に整備・運用されているかを評価する役割を担う。したがって管理状況を確認するのは適切だが、管理表を作成したり方針を制定したり運用そのものを行うのは、被監査側の業務に踏み込むことになり独立性を損なう。
出典：平成28年度 春期 基本情報技術者試験 午前 問60（IPA）
“システム監査基準”における，組織体がシステム監査を実施する目的はどれか。
正解：情報システムにまつわるリスクに対するコントロールの整備・運用状況を評価し，改善につなげることによって，ITガバナンスの実現に寄与する。
要点：システム監査はコントロールを評価しITガバナンスに寄与する
システム監査基準では、情報システムに関わるリスクに対するコントロールが適切に整備・運用されているかを評価し、改善へつなげることを目的としている。その結果として、組織のITガバナンスの実現に寄与することが位置付けられている。経営戦略の策定や技術力の向上そのものは監査の目的ではない。
出典：平成29年度 秋期 基本情報技術者試験 午前 問59（IPA）
システム監査人が実施するヒアリングに関する記述のうち、最も適切なものはどれか。
正解：ヒアリングで被監査部門から得た情報を裏付けるための文書や記録を入手するよう努める。
要点：ヒアリング内容は文書・記録で裏付ける。監査人は指示をしない
システム監査人はヒアリングで得た説明をそのまま鵜呑みにせず、証拠となる文書や記録を入手して裏付けを取る必要がある。監査意見は客観的な監査証拠に基づいて述べるものだからである。監査人は独立した立場で評価・助言を行うので、その場で改善を指示するといった実施側への関与は避けなければならない。
出典：平成29年度 春期 基本情報技術者試験 午前 問58（IPA）
出典：平成29年度 春期 基本情報技術者試験 午前 問60（IPA）
システム監査の実施体制に関する記述のうち，適切なものはどれか。
正解：監査依頼者が監査報告に基づく改善指示を行えるように，システム監査人は監査結果を監査依頼者に報告する。
要点：監査人は依頼者に報告し、独立性を保つことが原則
システム監査人は、監査依頼者（通常は経営者など）から依頼を受けて監査を実施し、その結果を依頼者に報告します。依頼者はこの報告に基づいて被監査部門へ改善を指示します。監査人には独立性と客観性が求められるため、被監査部門のメンバで監査チームを組むことや、判断を他の専門家任せにすることは認められません。
出典・参考
公式シラバスの6 サービスマネジメント ＞ 1. システム監査 ＞ (1) 監査業務に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。