内部監査とは？ないぶかんさ
内部監査とは、組織自身が、自らのマネジメントシステムが規格の要求事項や自組織の規程どおりに運用され、有効に機能しているかを検証する活動。JIS Q 27001はこれを要求事項として定めており、あらかじめ定めた間隔で計画的に実施し、結果をマネジメントレビューへ報告することが求められる。実施するのは社内の要員だが、監査対象の業務からは独立していなければならない。
最終更新：2026-10-06
この語が出る過去問を解く →背景
認証審査は年に一度で、範囲も抜き取りにとどまるため、それだけでは日々の運用のずれに気付けない。また外部から指摘されて初めて直すやり方では、審査の直前だけ体裁を整える運用になりやすい。自分たちで定期的に点検し、不適合を見つけて是正するサイクルを内側に持たせるために、内部監査が要求事項として組み込まれている。読者が被監査側にも監査側にも回る立場にいるため、この試験では実務の手順として問われる。
具体例
情報システム部門の運用状況を、当該部門に所属しない総務部の監査担当者が確認する。規程では毎月行うと定めたアクセス権の棚卸しが記録上4か月分しか残っていなければ、不適合として報告し、原因を確かめたうえで是正処置の期限を決めてフォローする。
試験での引っ掛け
内部監査人は監査対象の業務や部門から独立している必要があり、自分が担当する業務を自分で監査することは認められない。社内の人間が行うという点で外部の認証審査とは異なるが、独立性の要件が緩むわけではない。また内部監査は自己点検（各部署が自部署を確認する活動）とも別物である。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問37（IPA）
JIS Q 27001に準拠してISMSを運用している場合、内部監査について順守すべき要求事項はどれか。
正解：監査プログラムには前回までの監査結果を考慮しなければならない。
要点：内部監査は前回結果を考慮して監査計画を立てる
JIS Q 27001は内部監査について、監査プログラムの計画・実施・報告の責任を定め、対象となるプロセスの重要性と前回までの監査結果を考慮して監査プログラムを計画することを要求している。監査員の資格を認証機関の研修修了者に限定する要求や、監査責任者を代表取締役が任命せよという要求はない。監査範囲も附属書Aの管理策に限らず、ISMSの要求事項全般と組織自身が定めた要求事項が対象となる。
出典：平成30年度 秋期 情報セキュリティマネジメント試験 午前 問37（IPA）
JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に基づいてISMS内部監査を行った結果として判明した状況のうち，監査人が指摘事…
正解：リスクアセスメントを実施した後に，リスク受容基準を決めた。
要点：リスク受容基準はアセスメントより先に定める
JIS Q 27001では、リスクアセスメントを行う前にリスク受容基準を含むリスク基準を確立しておくことが要求されている。順序が逆になると、算定結果を見てから受容の線引きを決めることになり、判断の客観性が損なわれる。したがって、アセスメント実施後に受容基準を決めていた状況は要求事項からの逸脱であり、指摘事項として記載すべきである。
出典：平成30年度 春期 情報セキュリティマネジメント試験 午前 問38（IPA）
JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に準拠してISMSを運用している場合，内部監査について順守すべき要求事項はどれ…
正解：監査プログラムは前回までの監査結果を考慮しなければならない。
要点：内部監査計画は前回の監査結果を踏まえて立てる
JIS Q 27001の箇条9.2では、内部監査のプログラムを計画・確立する際に、対象プロセスの重要性および前回までの監査結果を考慮しなければならないと定めている。監査員の資格要件や任命者を特定の形で限定する規定はなく、監査範囲も規格の管理策に限らずISMS全体の要求事項が対象となる。
出典：平成31年度 春期 情報セキュリティマネジメント試験 午前 問37（IPA）
経営者が社内のシステム監査人の外観上の独立性を担保するために講じる措置として、最も適切なものはどれか。
正解：システム監査人の所属部署を内部監査部門とする。
要点：外観上の独立性は被監査部門から独立した所属で担保する
外観上の独立性とは、第三者から見て監査人が被監査部門から影響を受けない立場にあることをいう。監査人を被監査部門から切り離し、独立した内部監査部門に所属させることが、そのための組織的な措置になる。研修や知識要件の整備は能力の確保に役立つが、立場の独立性を担保するものではない。
出典：平成29年度 春期 情報セキュリティマネジメント試験 午前 問11（IPA）解説で登場
出典・参考
公式シラバスの1 技術要素 ＞ 2 情報セキュリティ管理 ＞ 情報セキュリティマネジメントシステム（ISMS）に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。