内部監査とは？ないぶかんさ
内部監査とは、自組織のマネジメントシステムが規格と自ら定めた要求事項に適合し、有効に運用されているかを、組織自身が計画的に確かめる活動。監査プログラムを立て、基準と範囲を決め、客観性と公平性を保てる監査員を選んで実施し、結果はマネジメントレビューへの入力になる。
最終更新：2026-10-06
この語が出る過去問を解く →背景
外部審査は年に一度、限られた範囲しか見ないため、それだけでは日々の運用の劣化に気づけない。仕組みが形骸化しても現場は回っているように見えるので、内側から定期的に証拠を突き合わせる手続を制度として組み込む必要がある。指摘を是正処置へつなぎ、次の計画へ反映することで改善の輪が閉じる。
具体例
JIS Q 20000-1に基づく内部監査で変更管理を対象にする場合、直近半期の変更記録を抽出し、承認の記録・リリース判定・切り戻し計画の有無を規程と一件ずつ突き合わせて確かめる。
試験での引っ掛け
監査員は自分が担当する業務を監査できない（客観性の確保）。また内部監査は適合と有効性を確認する活動であって、是正処置そのものを行う場ではない。結果がマネジメントレビューへの入力になる流れも問われる。
関連用語
出た過去問
出典：平成29年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問25（IPA）
株式会社の内部監査におけるシステム監査を，システム監査基準（平成16年）に基づいて実施する場合の監査責任者及びメンバに関する記述のうち，適切なものはどれか。
正解：あるメンバを，当該メンバが過去に在籍していた部門に対する監査に従事させる場合，一定の期間を置く。
要点：システム監査人には外観も含めた独立性が求められる
システム監査では監査人の独立性と客観性が求められ、外観上も疑いを持たれないことが重要である。過去に在籍していた部門を監査する場合は、自らが関与した業務を評価することになりかねないため、一定の期間を置いてから従事させるのが適切とされる。
出典：令和2年度 10月試験 情報処理安全確保支援士試験 午前Ⅱ 問25（IPA）
プライバシーマークを取得しているA社は、個人情報管理台帳の取扱いについて内部監査を行った。判明した状況のうち、監査人が指摘事項として監査報告書に記載すべきものは…
正解：個人情報管理台帳の見直しは、新たな個人情報の取得があった場合にだけ行っている。
要点：個人情報管理台帳は定期と随時の見直しで実態と合わせる
個人情報管理台帳は、保有する個人情報の実態を正確に映していなければ、リスク分析も保管期限の管理も機能しない。取得時だけ更新する運用では、利用目的の変更、提供先の追加、廃棄や保管期限の到来といった変化が反映されず、台帳と実態が乖離する。少なくとも定期的な見直しと、重要な変更が生じた都度の更新が必要であり、この状態は指摘対象となる。
出典：令和5年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問24（IPA）
出典・参考
公式シラバスの3 技術要素 ＞ 2. 情報セキュリティ管理 ＞ (5) 情報セキュリティマネジメントシステム（ISMS）に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。