監査調書・監査証跡・監査報告書とは？
監査調書・監査証跡・監査報告書とは、監査証跡は、システムの操作履歴などを記録したログで、監査時の重要な証拠（監査証拠）になる。監査調書は、監査人が監査手続きの実施内容・収集した証拠・判断の根拠を記録した文書で、監査の結論を裏付ける。監査報告書は、監査の結果として発見した問題点や改善のための勧告事項をまとめ、経営者などの監査依頼者に提出する文書。
情報処理安全確保支援士試験の過去問では5回出題されています（2018年度〜2023年度）。
かんさちょうしょ・かんさしょうせき・かんさほうこくしょ
監査調書・監査証跡・監査報告書の意味
監査証跡は、システムの操作履歴などを記録したログで、監査時の重要な証拠（監査証拠）になる。監査調書は、監査人が監査手続きの実施内容・収集した証拠・判断の根拠を記録した文書で、監査の結論を裏付ける。監査報告書は、監査の結果として発見した問題点や改善のための勧告事項をまとめ、経営者などの監査依頼者に提出する文書。
監査調書・監査証跡・監査報告書の具体例
ヒアリングで確認した内容や閲覧資料の一覧、そこから導いた所見を監査調書として記録し、後から監査結果の根拠をたどれるようにしたうえで、最終的な指摘事項と勧告を監査報告書として提出する。
監査調書・監査証跡・監査報告書は試験でどう引っ掛けられる？
監査調書は監査人自身が作成・保管するものであり、監査対象部門に開示することを前提とした文書ではない点に注意（監査報告書とは性質が異なる）。
監査調書・監査証跡・監査報告書と関連する用語
監査調書・監査証跡・監査報告書が出た過去問
データベースの直接修正に関して,監査人がシステム監査報告書で報告すべき指摘事項はどれか。ここで,直接修正とは,アプリケーションの機能を経由せずに,特権IDを使用…
正解：更新ログを加工して,アプリケーションの機能を経由した正常な処理によるログとして残していた。
要点：特権IDの直接修正はログの偽装こそ重大な統制違反
特権IDによる直接修正は、アプリケーションの統制を迂回する行為であるため、申請・承認と作業記録の保全が統制の要となる。更新ログを書き換えて通常処理を装っていたのであれば、実施した事実そのものを隠蔽したことになり、証跡の信頼性が失われて事後の検証も不可能になる。これは統制上の重大な欠陥であり、監査人が指摘すべき事項である。
出典：平成30年度 春期 情報処理安全確保支援士試験 am2 問25（IPA）システム監査における監査調書の説明として，適切なものはどれか。
正解：監査人が，実施した監査のプロセスを記録したもの
要点：監査調書は監査人が監査の実施過程を記録した文書
監査調書は、監査人が監査の実施過程と入手した証拠、そこから導いた判断を記録した文書である。監査意見の裏付けとなり、後から監査の妥当性を検証できるようにする役割を持つため、監査人自身が作成し保管する。
出典：令和1年度 春期 情報処理安全確保支援士試験 am2 問25（IPA）プライバシーマークを取得しているA社は、個人情報管理台帳の取扱いについて内部監査を行った。判明した状況のうち、監査人が指摘事項として監査報告書に記載すべきものは…
正解：個人情報管理台帳の見直しは、新たな個人情報の取得があった場合にだけ行っている。
要点：個人情報管理台帳は定期と随時の見直しで実態と合わせる
個人情報管理台帳は、保有する個人情報の実態を正確に映していなければ、リスク分析も保管期限の管理も機能しない。取得時だけ更新する運用では、利用目的の変更、提供先の追加、廃棄や保管期限の到来といった変化が反映されず、台帳と実態が乖離する。少なくとも定期的な見直しと、重要な変更が生じた都度の更新が必要であり、この状態は指摘対象となる。
出典：令和2年度 10月 情報処理安全確保支援士試験 am2 問25（IPA）ソフトウェア開発プロセスにおけるセキュリティを確保するための取組について,JIS Q 27001:2014(情報セキュリティマネジメントシステム-要求事項)の附…
正解：ソフトウェア開発におけるセキュリティ機能の試験は,開発期間が終了した後に実施している。
要点：セキュリティ機能の試験は開発過程の中で実施する
JIS Q 27001の附属書Aは、セキュリティ機能の試験を開発の過程の中で実施することを求めている。開発期間が終わってから試験するのでは、欠陥の是正が後手に回り、修正の負担も大きくなるため、監査人は改善が必要な事項として指摘すべきである。他の3つは管理策に沿った望ましい状態である。
出典：令和3年度 春期 情報処理安全確保支援士試験 am2 問25（IPA）データベースの直接修正に関して、監査人が、システム監査報告書で報告すべき指摘事項はどれか。ここで、直接修正とは、アプリケーションソフトウェアの機能を経由せずに、…
正解：更新ログ上は、アプリケーションソフトウェアの機能を経由したデータ更新として記録していた。
要点：特権IDの直接修正は事実どおり記録し追跡できることが必須
特権IDによる直接修正は、通常の業務処理の統制を迂回する操作なので、誰が何をいつ変更したかを事実どおりに記録し追跡できることが不可欠である。更新ログにアプリケーション経由の更新として記録されていれば、直接修正の事実が隠れてしまい、事後の検証も責任追跡もできなくなる。これは統制上の重大な欠陥であり、監査人が指摘すべき事項に当たる。
出典：令和5年度 秋期 情報処理安全確保支援士試験 am2 問25（IPA）
最終更新：2026-08-25／解説は資格暗記が独自に作成しています。 過去問の出典は各問題に記載のとおりです。