監査調書・監査証跡・監査報告書とは？かんさちょうしょ・かんさしょうせき・かんさほうこくしょ
監査証跡はシステムの操作履歴など監査で証拠に使える記録、監査調書は監査人が実施した手続・入手した証拠・判断の根拠を残す記録、監査報告書は発見した問題点と改善勧告を依頼者へ提出する文書。3つは作成する人、渡る相手、保管の扱いがそれぞれ異なる。
最終更新：2026-10-06
この語が出る過去問を解く →背景
監査の結論は「監査人がそう述べた」だけでは通らず、どの資料をどう確かめてその判断に至ったかを後から追える形にしておく必要がある。被監査側に残る記録、監査人の手元に残る記録、依頼者へ出る成果物と役割を分けることで、結論の裏づけと責任の所在がはっきりする。支援士では、対策の有効性を示す証跡をあらかじめ設計する側として関わる。
具体例
アクセス権の棚卸しを監査する場面では、ID管理システムの操作ログが監査証跡、ヒアリング記録や閲覧した申請書の一覧とそこから導いた所見が監査調書、退職者アカウントの残存という指摘と改善勧告をまとめたものが監査報告書になる。
試験での引っ掛け
監査調書は監査人が作成し保管するもので、被監査部門へ開示することを前提とした文書ではない。依頼者へ渡るのは監査報告書のほう。また監査証跡はシステム側にあらかじめ残す設計が要るため、監査の時点で取得を始めても過去はたどれない。
関連用語
出た過去問
出典：平成30年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問25（IPA）
データベースの直接修正に関して,監査人がシステム監査報告書で報告すべき指摘事項はどれか。ここで,直接修正とは,アプリケーションの機能を経由せずに,特権IDを使用…
正解：更新ログを加工して,アプリケーションの機能を経由した正常な処理によるログとして残していた。
要点：特権IDの直接修正はログの偽装こそ重大な統制違反
特権IDによる直接修正は、アプリケーションの統制を迂回する行為であるため、申請・承認と作業記録の保全が統制の要となる。更新ログを書き換えて通常処理を装っていたのであれば、実施した事実そのものを隠蔽したことになり、証跡の信頼性が失われて事後の検証も不可能になる。これは統制上の重大な欠陥であり、監査人が指摘すべき事項である。
出典：令和2年度 10月試験 情報処理安全確保支援士試験 午前Ⅱ 問25（IPA）
プライバシーマークを取得しているA社は、個人情報管理台帳の取扱いについて内部監査を行った。判明した状況のうち、監査人が指摘事項として監査報告書に記載すべきものは…
正解：個人情報管理台帳の見直しは、新たな個人情報の取得があった場合にだけ行っている。
要点：個人情報管理台帳は定期と随時の見直しで実態と合わせる
個人情報管理台帳は、保有する個人情報の実態を正確に映していなければ、リスク分析も保管期限の管理も機能しない。取得時だけ更新する運用では、利用目的の変更、提供先の追加、廃棄や保管期限の到来といった変化が反映されず、台帳と実態が乖離する。少なくとも定期的な見直しと、重要な変更が生じた都度の更新が必要であり、この状態は指摘対象となる。
出典：令和3年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問25（IPA）
ソフトウェア開発プロセスにおけるセキュリティを確保するための取組について,JIS Q 27001:2014(情報セキュリティマネジメントシステム-要求事項)の附…
正解：ソフトウェア開発におけるセキュリティ機能の試験は,開発期間が終了した後に実施している。
要点：セキュリティ機能の試験は開発過程の中で実施する
JIS Q 27001の附属書Aは、セキュリティ機能の試験を開発の過程の中で実施することを求めている。開発期間が終わってから試験するのでは、欠陥の是正が後手に回り、修正の負担も大きくなるため、監査人は改善が必要な事項として指摘すべきである。他の3つは管理策に沿った望ましい状態である。
出典：令和5年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問25（IPA）
データベースの直接修正に関して、監査人が、システム監査報告書で報告すべき指摘事項はどれか。ここで、直接修正とは、アプリケーションソフトウェアの機能を経由せずに、…
正解：更新ログ上は、アプリケーションソフトウェアの機能を経由したデータ更新として記録していた。
要点：特権IDの直接修正は事実どおり記録し追跡できることが必須
特権IDによる直接修正は、通常の業務処理の統制を迂回する操作なので、誰が何をいつ変更したかを事実どおりに記録し追跡できることが不可欠である。更新ログにアプリケーション経由の更新として記録されていれば、直接修正の事実が隠れてしまい、事後の検証も責任追跡もできなくなる。これは統制上の重大な欠陥であり、監査人が指摘すべき事項に当たる。
出典・参考
公式シラバスの6 サービスマネジメント ＞ 1. システム監査 ＞ (5) システム監査の実施（予備調査，本調査，評価，結論）に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。