システム監査とは？しすてむかんさ
システム監査とは、独立した立場の監査人が、情報システムに関わるガバナンス・マネジメント・コントロールを点検・評価・検証し、経営者へ報告して改善を助言・勧告する活動。保証を目的とした監査と助言を目的とした監査に分かれ、実施主体では内部監査と外部監査に分かれる。手順は予備調査→本調査→評価・結論→報告→フォローアップと進む。
最終更新：2026-10-07
この語が出る過去問を解く →背景
情報システムが業務そのものになると、作った部門と運用する部門の自己申告だけでは、統制が効いているかを経営者が確かめる手立てが無くなる。会計監査が財務諸表に対して行ってきた「第三者による検証」を情報システムへ広げたのがシステム監査で、経済産業省がシステム監査基準として制度化した。午前I（科目A-1）は監査が専門でない受験者も全員が解くため、手順の順序とフォローアップの位置づけという、実務を知らなくても答えられる形で問われる。
具体例
経済産業省のシステム監査基準に沿って、監査人が予備調査で規程と体制を把握し、本調査でアクセスログの閲覧や承認記録との突合を行って監査証拠を集める。担い手は日本システム監査人協会が認定する公認システム監査人や、ISACAのCISA（公認情報システム監査人）といった有資格者が中心になる。
試験での引っ掛け
監査人ができるのは「助言・勧告」までで、改善策の実施を指示したり自ら手を動かしたりすると独立性を失う。フォローアップも改善の実施状況を確認する行為であって、監査人が改善を実行することではない。またシステム監査規程の最終承認者は監査部門長ではなく経営者である。
関連用語
出た過去問
出典：平成28年度 春期 高度試験 午前Ⅰ 問21（IPA）
クラウドサービスの導入検討プロセスに対するシステム監査において，クラウドサービス上に保存されている情報の消失の予防に関するチェックポイントとして，適切なものはど…
正解：クラウドサービスを提供する事業者に信頼が置け，かつ，事業やサービスが継続して提供されるかどうかが検討されているか。
要点：クラウドの消失リスクは事業者の存続性・継続性まで見る
クラウド上のデータ消失を予防するという観点では、預けた先の事業者が倒産・撤退してデータごと失われるリスクを見ておく必要がある。事業者の信頼性とサービス継続性が検討されているかが、情報消失の予防に直結するチェックポイントとなる。他の選択肢は利便性・可用性・機密性に関する観点である。
出典：平成28年度 春期 高度試験 午前Ⅰ 問22（IPA）
システム監査人が予備調査で実施する監査手続はどれか。
正解：監査対象に対する被監査部門の管理者及び担当者のリスクの認識について，アンケート調査によって情報を収集する。
要点：予備調査は概況とリスクの把握、本調査は証拠収集の詳細調査
予備調査は本調査の前に監査対象の全体像とリスクを把握し、監査手続を組み立てるための段階である。アンケートによって被監査部門の管理者や担当者のリスク認識を広く集めるのは、この予備調査で行う典型的な手続である。詳細なヒアリングや証拠に基づく指摘のまとめは本調査以降の作業になる。
出典：平成29年度 秋期 高度試験 午前Ⅰ 問21（IPA）
システム監査の改善指導（フォローアップ）において、被監査部門による改善が計画よりも遅れていることが判明したとき、システム監査人が採るべき行動はどれか。
正解：遅れを取り戻すための方策について、被監査部門の責任者に助言する。
要点：監査人は助言まで。指示や実施への関与は独立性を損なう
システム監査人は独立性と客観性を保つ立場にあり、改善の実施主体は被監査部門である。改善が遅れている場合でも、指示したり自ら改善活動に加わったりすると独立性を損なうため、責任者に方策を助言するにとどめるのが適切である。監査人の役割は評価と助言であって実行ではない。
出典：平成29年度 秋期 高度試験 午前Ⅰ 問22（IPA）
在庫管理システムを対象とするシステム監査において、当該システムに記録された在庫データの網羅性のチェックポイントとして、適切なものはどれか。
正解：入庫及び出庫記録に対して、自動的に連番を付与していること
要点：網羅性の担保は連番管理、欠番チェックで記録漏れを検出
網羅性とは、発生した取引が漏れなく記録されていることを指す。入出庫記録に自動で連番を付与すれば、番号の欠落を調べることで記録漏れを検出できるので、網羅性を確かめるチェックポイントになる。承認や自動発注は正当性や有効性に関する統制であって、記録漏れの検出には結びつかない。
出典：平成29年度 春期 高度試験 午前Ⅰ 問22（IPA）
システム監査人が監査報告書に記載する改善勧告に関する説明のうち，適切なものはどれか。
正解：調査結果に事実誤認がないことを被監査部門に確認した上で，監査人が改善の必要があると判断した事項を記載する。
要点：改善勧告は事実確認済みの証拠に基づき監査人の判断で書く
改善勧告は監査証拠に裏付けられた事実に基づくものでなければならない。そのため、調査結果に事実誤認がないことを被監査部門に確認したうえで、監査人が自らの判断で改善が必要と考える事項を記載する。事実確認は必要だが、記載する内容そのものを被監査部門の承認に委ねると監査の独立性が失われる。
出典・参考
公式シラバスの6 サービスマネジメント ＞ 1. システム監査 ＞ (1) 監査業務に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。