監査計画とは？かんさけいかく
監査計画とは、監査の目的・対象・範囲・時期・体制・手続をあらかじめ定めた文書。年間を見通す基本計画と、テーマごとに実施要領まで落とし込む個別計画の二段構えが基本になる。限られた監査資源をリスクの大きい領域へ重点配分するための設計図で、前提が変われば期中でも見直す。
最終更新：2026-10-06
この語が出る過去問を解く →背景
監査は全部を見ることができない。組織のすべての業務とすべての記録を毎年確かめる人手も時間も存在しないため、どこを見て、どこを見ないかを先に決める必要がある。この判断を現場の裁量だけに委ねると、年によって見る場所が変わり、被監査部門からは恣意的に映る。計画として文書化しておくことで、資源配分の根拠を示せるようになり、監査の独立性と客観性を保てる。
具体例
経済産業省のシステム監査基準は、監査人が監査計画を策定し、状況に応じて適時に見直すことを求めている。実務では内部監査部門が期初の基本計画で「今年度は在宅勤務時の端末持出し統制を重点対象にする」と決め、実施の1〜2か月前に対象部署・往査日程・確認項目を個別計画として固める。
試験での引っ掛け
作ったら動かさないもの、という誤解が定番。重大なインシデントや組織再編で前提が変われば期中に改定してよく、むしろ変えないほうが問題とされる。また監査計画は監査を行う側の計画であり、指摘を受けた部門が作る改善計画とは別物。監査人が自分の所属部門を対象に含める計画も、独立性の点で認められない。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問37（IPA）解説で登場
JIS Q 27001に準拠してISMSを運用している場合、内部監査について順守すべき要求事項はどれか。
正解：監査プログラムには前回までの監査結果を考慮しなければならない。
要点：内部監査は前回結果を考慮して監査計画を立てる
JIS Q 27001は内部監査について、監査プログラムの計画・実施・報告の責任を定め、対象となるプロセスの重要性と前回までの監査結果を考慮して監査プログラムを計画することを要求している。監査員の資格を認証機関の研修修了者に限定する要求や、監査責任者を代表取締役が任命せよという要求はない。監査範囲も附属書Aの管理策に限らず、ISMSの要求事項全般と組織自身が定めた要求事項が対象となる。
出典：平成30年度 春期 情報セキュリティマネジメント試験 午前 問38（IPA）解説で登場
JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に準拠してISMSを運用している場合，内部監査について順守すべき要求事項はどれ…
正解：監査プログラムは前回までの監査結果を考慮しなければならない。
要点：内部監査計画は前回の監査結果を踏まえて立てる
JIS Q 27001の箇条9.2では、内部監査のプログラムを計画・確立する際に、対象プロセスの重要性および前回までの監査結果を考慮しなければならないと定めている。監査員の資格要件や任命者を特定の形で限定する規定はなく、監査範囲も規格の管理策に限らずISMS全体の要求事項が対象となる。
出典：平成30年度 春期 情報セキュリティマネジメント試験 午前 問39（IPA）解説で登場
正解：システム監査チームが被監査部門から入手したシステム運用記録
要点：監査証拠は結論の裏付けとなる客観的な事実の記録
監査証拠は、監査人の意見や結論の裏付けとなる客観的な事実の記録であり、被監査部門から入手した運用記録などがこれに当たる。一方、監査計画書や監査チーム内の議事録、報告書に記した指摘事項は、監査人自身が作成した文書であって証拠そのものではない（一部は監査調書に位置付けられる）。
出典：平成30年度 秋期 情報セキュリティマネジメント試験 午前 問10（IPA）
情報セキュリティ管理を推進する取組みa～dのうち，IPA“中小企業の情報セキュリティ対策ガイドライン（第2.1版）”において，経営者がリーダシップを発揮し自ら行…
正解：b, c, d
要点：経営者の役割は方針策定・見直し・脅威動向の把握
ガイドラインでは、経営者自らが行うべき取組みとして、方針の明示（c）、対策の定期的な見直し（b）、新たな脅威に関する最新動向の収集（d）が挙げられている。いずれも組織の方向付けと資源配分に関わる判断であり、経営者のリーダシップが不可欠だからである。一方、監査計画の立案（a）は実務担当者や監査人が行う作業であり、経営者が自ら行うべき取組みには含まれない。
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。