システム監査とは？システムかんさ
システム監査とは、情報システムが組織の目的に対して適切に機能し、リスクが適切に管理されているかを、独立かつ専門的な立場の監査人が検証・評価し、結果を報告して改善につなげる活動。計画・実施・報告・フォローアップという手順を踏み、判断は監査人の印象ではなく入手した監査証拠に基づいて行われる。指摘を出して終わりではなく、改善状況を追うところまでが一連の活動に含まれる。
最終更新：2026-10-06
この語が出る過去問を解く →背景
情報システムは業務の内側に組み込まれているため、運用している当事者には問題が見えにくい。規程どおりに動いているつもりでも、現場の運用が少しずつずれていくことは避けられず、当事者が自分で確認しても甘くなる。そこで、利害関係の無い立場の者が証拠に基づいて確かめ、経営に報告する仕組みが必要になった。試験では、被監査部門の側として何を求められるかという視点で問われる。
具体例
監査人がアクセス権限一覧と人事異動記録を突き合わせ、異動後も旧部署の権限が残っていないかを確認する。あわせて、変更作業の申請・承認・実施の記録が規程どおり残っているかを抜き取りで確かめ、不備があれば指摘事項として報告書に記載し、後日その改善状況をフォローアップする。
試験での引っ掛け
監査人には監査対象からの独立性（利害関係が無いこと）と客観性が求められ、自分が構築や運用に関与したシステムを自分で監査することは認められない。また監査人が行うのは検証・評価と報告であって、改善策を実行する責任は被監査側にある。監査人が対策まで実施すると独立性を失う。
関連用語
出た過去問
出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問38（IPA）
インシデントの調査やシステム監査にも利用できる、証拠を収集し保全する技法はどれか。
要点：証拠を改変せず収集・保全する技法がフォレンジックス
ディジタルフォレンジックスは、不正やインシデントの原因究明・法的立証のために、電子的記録を改変せずに収集し、原本性と証拠能力を保ったまま保全・分析する技法である。ログやディスクイメージの取得時にハッシュ値を記録するなど、後から改ざんされていないことを示せる手順を踏む点が特徴である。システム監査でも監査証拠の入手手段として活用できる。
出典：平成29年度 春期 情報セキュリティマネジメント試験 午前 問38（IPA）
システム監査人が、監査報告書の原案について被監査部門と意見交換を行う目的として、最も適切なものはどれか。
正解：監査報告書に記載する指摘事項及び改善勧告について、事実誤認がないことを確認するため
要点：報告書原案の意見交換は事実誤認の確認が目的
監査報告書の原案を被監査部門と意見交換する目的は、指摘事項や改善勧告の前提となる事実に誤認や理解の食い違いがないかを確かめることにある。監査人の独立性は保たれる必要があるため、被監査部門の承認を得たり、意見交換を追加調査の代わりにしたりすることは許されない。
出典：平成30年度 秋期 情報セキュリティマネジメント試験 午前 問39（IPA）
システム監査において，電子文書の真正性の検証に電子証明書が利用できる公開鍵証明書取得日，電子署名生成日及び検証日の組合せはどれか。なお，公開鍵証明書の有効期間は…
正解：公開鍵証明書取得日2015年4月1日，電子署名生成日2015年5月1日，検証日2018年12月1日
要点：署名生成日と検証日の両方が証明書の有効期間内であること
電子署名の検証に公開鍵証明書を使うには、署名を生成した時点でその証明書が有効期間内であり、かつ検証を行う時点でも有効期間内にある必要がある。有効期間を4年とすると、2015年4月1日取得の証明書は2019年3月末ごろまで有効なので、2015年5月1日の署名生成も2018年12月1日の検証も期間内に収まる。他の組合せは、検証日が期間を過ぎているか、署名生成日が証明書の取得より前になっていて成立しない。
出典・参考
公式シラバスの6 サービスマネジメント ＞ 1 システム監査に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。