システム監査基準・システム管理基準とは？しすてむかんさきじゅん・しすてむかんりきじゅん
システム監査基準・システム管理基準とは、経済産業省が公表する2つの基準。システム監査基準は監査人の行為規範で、独立性・専門能力・監査計画・監査手続・報告のあり方を定める。システム管理基準は監査で判断のよりどころとする「あるべき管理の姿」を、ITガバナンスと企画・開発・運用・保守の観点で示す。
最終更新：2026-10-06
この語が出る過去問を解く →背景
監査は良し悪しの意見を述べる行為なので、判断の物差しと、判断する人の資格・手続の両方が公にされていなければ結果を信用できない。そこで物差し（管理基準）と行為規範（監査基準）を分けて示す形が採られた。支援士では、セキュリティ対策が実施されているかだけでなく、第三者へ立証できる形で残っているかを問う文脈で登場する。
具体例
「変更管理は適切か」を確かめる場面では、監査人は管理基準の該当項目を判断尺度（監査要点）とし、変更申請書と本番反映ログを突合して監査証拠を得る。監査基準の側は、被監査部門から独立していることや、監査調書の作成・保存を要求する。
試験での引っ掛け
2つの役割を逆にした選択肢が定番で、「監査人の行動を律するのは管理基準」は誤り。行為規範が監査基準、判断尺度が管理基準である。情報セキュリティに特化した尺度としては情報セキュリティ管理基準が別にあり、ISMSの管理策に対応している点も区別しておく。
関連用語
出た過去問
出典：平成28年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問25（IPA）
データベースに対する不正アクセスの防止・発見を目的としたアクセスコントロールについて，“システム管理基準”への準拠性を確認する監査手続として，適切なものはどれか…
正解：利用者のデータベースに対するアクセス状況を確認するために，アクセス記録を出力し内容を調査する。
要点：アクセス統制の監査はアクセス記録の点検で行う
不正アクセスの防止と発見を目的としたアクセスコントロールが有効に機能しているかを確かめるには、実際のアクセス記録を入手して内容を点検するのが直接的な監査手続です。効率性や操作性、応答時間の確認は、アクセス統制の準拠性とは目的が異なります。
出典：平成28年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問25（IPA）
組織体が情報システムにまつわるリスクに対するコントロールを適切に整備・運用する目的として，“システム管理基準”に示されているものはどれか。
正解：情報システムが，組織体の目的を実現するように安全，有効かつ効率的に機能するため
要点：システム管理基準は安全・有効・効率的な運用が目的
システム管理基準は、情報システムが組織体の目的に沿って安全・有効・効率的に機能するよう、リスクに対するコントロールを整備・運用するための実践規範です。監査人の側の行動規範を示すものではありません。
出典：平成29年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問25（IPA）
株式会社の内部監査におけるシステム監査を，システム監査基準（平成16年）に基づいて実施する場合の監査責任者及びメンバに関する記述のうち，適切なものはどれか。
正解：あるメンバを，当該メンバが過去に在籍していた部門に対する監査に従事させる場合，一定の期間を置く。
要点：システム監査人には外観も含めた独立性が求められる
システム監査では監査人の独立性と客観性が求められ、外観上も疑いを持たれないことが重要である。過去に在籍していた部門を監査する場合は、自らが関与した業務を評価することになりかねないため、一定の期間を置いてから従事させるのが適切とされる。
出典：令和5年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問25（IPA）
システム監査基準(平成30年)に基づくシステム監査において,リスクに基づく監査計画の策定(リスクアプローチ)で考慮すべき事項として,適切なものはどれか。
正解：情報システムリスクは常に一定ではないことから,情報システムリスクの特性の変化及び変化がもたらす影響に留意する。
要点：リスクアプローチはリスクの変動を踏まえ資源を重点配分する
リスクアプローチは、リスクの大きい領域に監査資源を重点配分する考え方である。情報システムリスクは技術や事業環境の変化とともに常に変動するため、その特性の変化と影響に留意して監査計画を見直す必要がある。よってエが適切。監査リスクは低減はできても完全な回避はできず、一律の資源配分はリスクアプローチの考え方に反する。
出典：令和7年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問25（IPA）
システム監査基準(令和5年)に基づくシステム監査において,リスク評価に基づいた監査計画の策定で考慮すべき事項として,適切なものはどれか。
正解：組織体内外の環境変化によってリスクが相当程度変化した場合には,監査計画の見直しを検討し,必要に応じて変更する。
要点：リスクが大きく変われば監査計画を見直し必要なら変更する
リスク・アプローチによる監査計画は、リスクの大きい領域に重点的に資源を割り当てる考え方に立つ。組織の内外で環境が変わりリスクの状況が相当程度変化した場合には、当初の前提が崩れるため計画を見直し、必要に応じて対象や時期、範囲を変更する。また監査リスクは合理的な水準まで低減するものであって、完全に排除することはできない点も押さえておきたい。
出典・参考
公式シラバスの6 サービスマネジメント ＞ 1. システム監査 ＞ (9) 情報システムに関係する監査関連法規に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。