監査報告書とは？かんさほうこくしょ
監査報告書とは、システム監査の結果として、監査の対象と実施した手続、発見した問題点、評価の結論、改善のための勧告事項をまとめ、依頼者である経営者へ提出する文書。監査人は提出前に報告書の原案について被監査部門と意見交換を行い、記載した事実に誤認がないかを確認する。改善が実行されたかを後で確かめるフォローアップも監査人の責務とされる。
最終更新：2026-10-09
この語が出る過去問を解く →背景
監査は資料を見て終わりではなく、経営者が判断して手を打つところまでつながって初めて意味を持つ。そのため結論だけでなく、どんな証拠に基づき何を基準に判断したのかを文書として残す必要がある。口頭の報告では後から検証できず、誰も責任を負えないからである。同時に、事実誤認を含んだまま提出すると報告全体の信頼が崩れるため、提出前に対象部門と事実を突き合わせる手順が組み込まれている。
具体例
アクセス権限管理の監査で、退職者のアカウントが残っていた件数、社内規程の該当条項、不正アクセスにつながるリスク、権限削除を退職手続に組み込むという改善勧告を整理し、経営層へ提出する。後日、勧告どおり運用が変わったかを監査人が確認する。
試験での引っ掛け
被監査部門との意見交換の目的は事実の確認と認識合わせであり、被監査部門の意向で指摘内容を削らせたり和らげたりすることではない。また報告書の提出先は経営者などの依頼者であって、被監査部門ではない。この2点を入れ替えた選択肢がよく出る。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：平成29年度 春期 基本情報技術者試験 午前 問58（IPA）
システム監査人が，監査報告書の原案について被監査部門と意見交換を行う目的として，最も適切なものはどれか。
正解：監査報告書に記載する指摘事項及び改善勧告について，事実誤認がないことを確認するため
要点：報告書原案の意見交換は事実誤認の確認が目的
監査報告書の原案について被監査部門と意見交換する目的は、記載した指摘事項や改善勧告の前提となる事実に誤りや誤解がないかを確かめることです。事実誤認のある報告は説得力を失い、改善にもつながりません。監査人の独立性を保つ必要があるため、被監査部門の承認を得たり、意見交換で調査に代えたりすることは適切ではありません。
出典：平成30年度 秋期 基本情報技術者試験 午前 問58（IPA）
JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に基づいてISMS内部監査を行った結果として判明した状況のうち，監査人が指摘事…
正解：リスクアセスメントを実施した後に，リスク受容基準を決めた。
要点：リスク受容基準はアセスメントの前に定めておく
ISMSではリスク受容基準を含むリスク基準をあらかじめ定め、その基準に照らしてリスクアセスメントを行うことが求められる。順序が逆でアセスメント後に受容基準を決めると、評価結果に合わせて基準を作ることになり客観性が失われるため、指摘事項となる。
出典：平成30年度 秋期 基本情報技術者試験 午前 問59（IPA）
外部保管のために専門業者に機密情報を含むバックアップ媒体を引き渡す際の安全性について，情報セキュリティ監査を実施した。その結果として判明した状況のうち，監査人が…
正解：委託元担当者が，バックアップ媒体を段ボール箱に入れ，それを専門業者に引き渡している。
要点：機密媒体の外部搬送には施錠・封印など物理的保護が必要
機密情報を含む媒体を外部に持ち出す際は、内容の秘匿と改ざん・すり替えの防止のため、施錠できる搬送容器や封印など物理的な保護策が必要である。段ボール箱に入れただけでは中身を容易に取り出せてしまうため、安全性が確保されておらず指摘事項となる。
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。