監査報告書とは？かんさほうこくしょ
監査報告書とは、システム監査の結果を依頼者へ伝える文書。監査の目的・対象・実施時期・監査手続の概要に加え、保証または助言の意見、指摘事項、改善提案を記載する。宛先が調べられた被監査部門ではなく、監査を依頼した経営者等である点が、通常の業務報告と決定的に違う。
最終更新：2026-10-07
この語が出る過去問を解く →背景
監査人が被監査部門へ直接改善を指示すると、自分の指示の妥当性を自分で評価することになり、独立性が崩れる。そこで監査人は事実と意見を依頼者へ返すところまでを担い、改めるかどうかは経営者が決める、という分業が敷かれた。宛先・記載できる範囲・フォローアップの位置づけは、いずれもこの分業を保つための決まりごとである。
具体例
記載の枠組みは経済産業省のシステム監査基準が定めている。たとえば「アクセス権の棚卸しが年1回しか実施されておらず、退職者IDが平均40日残存していた」と事実と影響を示したうえで、四半期ごとの棚卸しと自動失効の導入を改善提案として添える、という書き方になる。
試験での引っ掛け
書けるのは監査手続で入手した証拠に裏づけられた事項だけで、印象や伝聞は記載できない。また報告して終わりではなく、改善が実際に進んだかを確かめるフォローアップまでが監査人の役割に含まれる点が問われる。
関連用語
出た過去問
出典：平成29年度 春期 高度試験 午前Ⅰ 問22（IPA）
システム監査人が監査報告書に記載する改善勧告に関する説明のうち，適切なものはどれか。
正解：調査結果に事実誤認がないことを被監査部門に確認した上で，監査人が改善の必要があると判断した事項を記載する。
要点：改善勧告は事実確認済みの証拠に基づき監査人の判断で書く
改善勧告は監査証拠に裏付けられた事実に基づくものでなければならない。そのため、調査結果に事実誤認がないことを被監査部門に確認したうえで、監査人が自らの判断で改善が必要と考える事項を記載する。事実確認は必要だが、記載する内容そのものを被監査部門の承認に委ねると監査の独立性が失われる。
出典：平成31年度 春期 高度試験 午前Ⅰ 問22（IPA）
事務所の物理的セキュリティ対策について、JIS Q 27002:2014(情報セキュリティ管理策の実践のための規範)に基づいて情報セキュリティ監査を実施した。判…
正解：機密性の高い情報資産が置かれている部屋には、入室許可を得た者が共通の暗証番号を入力して入室している。
要点：入退室の認証情報は共用せず個人ごとに識別・記録する
共通の暗証番号を複数人で使い回すと、誰がいつ入室したのかを個人単位で追跡できず、退職者や許可取消し後も入室できてしまう。JIS Q 27002が求める入退室の記録・認証の個別化に反するため、指摘事項として記載すべきである。他の3つは適切な管理策が実施されている状態である。
出典：令和4年度 秋期 高度試験 午前Ⅰ 問21（IPA）
JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に基づいてISMS内部監査を行った結果として判明した状況のうち、監査人が、指摘…
正解：リスクアセスメントを実施した後に、リスク受容基準を決めていた。
要点：リスク受容基準はアセスメントより先に定めておく
リスク受容基準は、どの程度のリスクなら受け入れるかを判断するものさしなので、リスクアセスメントを行う前に定めておかなければならない。アセスメントの後に基準を決めると、結果に合わせて基準を作ることになり、評価の客観性が損なわれる。これは要求事項からの逸脱であり、指摘事項として報告すべき状況である。
出典：令和6年度 秋期 高度試験 午前Ⅰ 問22（IPA）
システム監査基準（令和5年）におけるフォローアップの説明として、適切なものはどれか。
正解：システム監査人が、監査報告書に記載した改善提案の実施状況に関する情報を収集し、改善状況をモニタリングすること
要点：フォローアップは改善提案の実施状況を監査人が継続的に確認する
フォローアップは、監査報告書に記載した改善提案がその後どこまで実施されたかを追いかける活動である。システム監査人が実施状況の情報を集めて改善の進み具合を確かめるもので、改善そのものを実施する責任は被監査部門にある。
出典・参考
公式シラバスの6 サービスマネジメント ＞ 1. システム監査 ＞ (5) システム監査の実施（予備調査，本調査，評価，結論）に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。