システム監査報告書とは？しすてむかんさほうこくしょ
システム監査報告書とは、監査の目的・範囲・実施時期、明らかになった事実、指摘事項と改善に向けた助言をまとめ、監査の依頼者へ提出する文書。監査人の意見はこの文書をもって表明される。提出先は経営者など依頼した側であって、被監査部門ではない点がよく問われる。
最終更新：2026-10-06
この語が出る過去問を解く →背景
監査人が現場と直接やり取りして改善まで手を下すと、次の監査では自分の仕事を評価することになり、独立性が崩れる。事実と意見を文書にして依頼者へ渡し、実行の指示は依頼者から出す、という経路を固定するためにこの報告書がある。支援士では、この経路がセキュリティ監査の実効性と、指摘の証拠性を担保する仕組みとして扱われる。
具体例
経済産業省のシステム監査基準は、監査人が報告と助言を行い、改善の実施責任は被監査部門にあるという役割分担を定めている。内部監査室が「退職者アカウントの停止が平均5営業日遅れている」という事実と影響、改善案を書いて経営者へ提出し、経営者の指示で情報システム部が着手する流れになる。
試験での引っ掛け
監査人が改善を直接命令したり、自ら設定変更などの是正作業を行ったりする選択肢は誤りで、踏み込めば独立性を失う。報告先を被監査部門とする選択肢も定番の誤り。ただし、改善が実際に行われたかを後日確かめるフォローアップは監査人の役割に含まれる点は押さえておく。
関連用語
出た過去問
出典：平成30年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問25（IPA）
データベースの直接修正に関して,監査人がシステム監査報告書で報告すべき指摘事項はどれか。ここで,直接修正とは,アプリケーションの機能を経由せずに,特権IDを使用…
正解：更新ログを加工して,アプリケーションの機能を経由した正常な処理によるログとして残していた。
要点：特権IDの直接修正はログの偽装こそ重大な統制違反
特権IDによる直接修正は、アプリケーションの統制を迂回する行為であるため、申請・承認と作業記録の保全が統制の要となる。更新ログを書き換えて通常処理を装っていたのであれば、実施した事実そのものを隠蔽したことになり、証跡の信頼性が失われて事後の検証も不可能になる。これは統制上の重大な欠陥であり、監査人が指摘すべき事項である。
出典：令和5年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問25（IPA）
データベースの直接修正に関して、監査人が、システム監査報告書で報告すべき指摘事項はどれか。ここで、直接修正とは、アプリケーションソフトウェアの機能を経由せずに、…
正解：更新ログ上は、アプリケーションソフトウェアの機能を経由したデータ更新として記録していた。
要点：特権IDの直接修正は事実どおり記録し追跡できることが必須
特権IDによる直接修正は、通常の業務処理の統制を迂回する操作なので、誰が何をいつ変更したかを事実どおりに記録し追跡できることが不可欠である。更新ログにアプリケーション経由の更新として記録されていれば、直接修正の事実が隠れてしまい、事後の検証も責任追跡もできなくなる。これは統制上の重大な欠陥であり、監査人が指摘すべき事項に当たる。
出典・参考
公式シラバスの6 サービスマネジメント ＞ 1. システム監査 ＞ (6) システム監査の報告とフォローアップに掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。