システム監査とは？しすてむかんさ
システム監査は、情報システムの信頼性・安全性・効率性を、独立した立場の監査人が点検・評価し、問題があれば改善を助言する活動。監査計画の策定、予備調査、本調査、評価・結論、報告とフォローアップという手順で進め、判断の根拠は監査調書として残す。経済産業省のシステム監査基準・システム管理基準が実施の拠りどころになる。
最終更新：2026-10-06
この語が出る過去問を解く →背景
作った当人や運用している当人が「問題ない」と述べても、利害関係者はその判断を検証できない。統制が効いていることを外部にも通用する形で示すには、点検する者が対象から独立していることが要る。この独立性を制度として担保したのがシステム監査で、内部統制の評価やISMSの運用状況の確認も同じ考え方に立つ。支援士では、監査を受ける側・監査に協力する側の立場で、証跡をどう残しておくべきかという文脈で問われる。
具体例
外部公開サーバのぜい弱性対応が計画どおり回っているかを主題に据えた監査であれば、予備調査で運用手順書と月次の適用報告を読み、本調査では資産管理台帳から対象20台を抽出して、更新プログラムの公開日と適用日の差を1台ずつ実測する。基準日数を超えていた5台については、遅延の理由と例外承認の記録が残っているかまで確かめ、指摘事項と改善提案を分けて報告書にまとめる。
試験での引っ掛け
監査人には外観上も含めた独立性が求められるため、自分が構築や運用に関与した仕組みは監査できない。また監査人が行うのは評価と改善の助言までで、是正を実施する責任は被監査部門にある――ここを「監査人が是正する」とする選択肢は誤り。リスクの大きい領域に資源を重点配分する進め方をリスクアプローチと呼び、監査の実施過程と結論の根拠を記録した文書が監査調書である。
関連用語
出た過去問
出典：平成29年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問25（IPA）
株式会社の内部監査におけるシステム監査を，システム監査基準（平成16年）に基づいて実施する場合の監査責任者及びメンバに関する記述のうち，適切なものはどれか。
正解：あるメンバを，当該メンバが過去に在籍していた部門に対する監査に従事させる場合，一定の期間を置く。
要点：システム監査人には外観も含めた独立性が求められる
システム監査では監査人の独立性と客観性が求められ、外観上も疑いを持たれないことが重要である。過去に在籍していた部門を監査する場合は、自らが関与した業務を評価することになりかねないため、一定の期間を置いてから従事させるのが適切とされる。
出典：平成30年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問25（IPA）
データベースの直接修正に関して,監査人がシステム監査報告書で報告すべき指摘事項はどれか。ここで,直接修正とは,アプリケーションの機能を経由せずに,特権IDを使用…
正解：更新ログを加工して,アプリケーションの機能を経由した正常な処理によるログとして残していた。
要点：特権IDの直接修正はログの偽装こそ重大な統制違反
特権IDによる直接修正は、アプリケーションの統制を迂回する行為であるため、申請・承認と作業記録の保全が統制の要となる。更新ログを書き換えて通常処理を装っていたのであれば、実施した事実そのものを隠蔽したことになり、証跡の信頼性が失われて事後の検証も不可能になる。これは統制上の重大な欠陥であり、監査人が指摘すべき事項である。
出典：平成31年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問25（IPA）
システム監査における監査調書の説明として，適切なものはどれか。
正解：監査人が，実施した監査のプロセスを記録したもの
要点：監査調書は監査人が監査の実施過程を記録した文書
監査調書は、監査人が監査の実施過程と入手した証拠、そこから導いた判断を記録した文書である。監査意見の裏付けとなり、後から監査の妥当性を検証できるようにする役割を持つため、監査人自身が作成し保管する。
出典：令和3年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問25（IPA）
クラウドサービスの導入検討プロセスに対するシステム監査において、クラウドサービス上に保存されている情報の保全及び消失の予防に関するチェックポイントとして、最も適…
正解：クラウドサービスを提供する事業者が信頼できるか、事業者の事業継続性に懸念がないか、及びサービスが継続して提供されるかどうかが検討されているか。
要点：クラウドのデータ消失予防は事業者の継続性確認が要
クラウド上のデータを守るうえで、利用者が自力ではどうにもできない最大のリスクは、事業者の破綻やサービス終了によってデータへ到達できなくなることである。導入検討の段階では、事業者の信頼性と事業継続性、サービスが継続提供される見込み、終了時のデータ返却手段までを確認しておく必要がある。情報の保全と消失予防という観点に最も直結する点検項目である。
出典：令和4年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問25（IPA）
被監査企業がSaaSをサービス利用契約して業務を実施している場合,被監査企業のシステム監査人がSaaSの利用者環境からSaaSへのアクセスコントロールを評価でき…
正解：アプリケーションの利用者ID
要点：SaaSで監査できるのは自組織が管理するアプリ利用者ID
SaaSでは、OS、ミドルウェア、ストレージなどの基盤はすべて提供者が管理し、利用者に管理権限は与えられない。利用者環境から評価できるのは、自組織が付与・変更・削除を行えるアプリケーションの利用者IDと、その権限設定や棚卸しの運用である。責任分界を踏まえ、監査の対象範囲を見極めることが要点となる。
出典・参考
公式シラバスの6 サービスマネジメント ＞ 1. システム監査 ＞ (1) 監査業務に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。