システム監査基準・システム管理基準とは？しすてむかんさきじゅん・しすてむかんりきじゅん
システム監査基準は、監査人が守るべき行為規範と監査手続の枠組みを定めた基準。システム管理基準は、監査を受ける組織側がITガバナンスとITマネジメントを実施するための実践規範であり、監査では判断の尺度（監査上のものさし）として使われる。いずれも経済産業省が策定している。
最終更新：2026-10-06
この語が出る過去問を解く →背景
監査は「誰が見ても同じ結論になる」ことで初めて対外的な意味を持つ。監査人の独立性や証拠の扱いが人によって違えば結果は信用されず、逆に被監査側にあるべき状態の物差しが無ければ、指摘が主観の押し付けになる。そこで監査する側の規範と、管理する側のあるべき姿を別々の基準として定め、対にした。運用部門にとっては、監査で何を根拠に説明を求められるかが管理基準に書かれている。
具体例
監査人の独立性・客観性の保持や監査調書の作成はシステム監査基準の内容。情報システムの企画・開発・運用・保守の管理項目、たとえば変更の承認記録や運用手順書の整備状況はシステム管理基準の内容。
試験での引っ掛け
監査基準＝監査する側の規範、管理基準＝管理される側の規範（かつ監査の判断尺度）。役割の向きを入れ替えた選択肢が定番。管理基準は法令ではなく実践規範であり、遵守が法的義務であるかのような記述も誤り。
関連用語
出た過去問
出典：令和元年度 秋期 ITサービスマネージャ試験 午前Ⅱ 問16（IPA）
システム監査基準(平成30年)に基づくシステム監査において、リスクの評価に基づく監査計画の策定(リスクアプローチ)で考慮すべき事項として、適切なものはどれか。
正解：情報システムリスクは常に一定ではないことから、情報システムリスクの特性の変化及び変化がもたらす影響に留意する。
要点：リスクアプローチはリスクの変化に応じ監査資源を配分する
リスクアプローチは、情報システムリスクの大きさに応じて監査資源を重点的に配分する考え方である。リスクは事業環境や技術の変化に伴って一定ではないため、その特性の変化と影響に留意して監査計画を見直す必要がある。監査リスクは合理的な水準まで低減するもので、完全な回避はできない。
出典：令和5年度 春期 ITサービスマネージャ試験 午前Ⅱ 問14（IPA）
システム管理基準（平成30年）に基づく、ITガバナンスにおける情報システムの資源管理の監査で判明した経営陣の対応のうち、監査人が、指摘事項として監査報告書に記載…
正解：内部人材の数とスキルが不足していたが、情報システム戦略において外部資源の活用について考慮していなかった。
要点：内部資源が不足するなら外部資源の活用検討が求められる
システム管理基準では、情報システム戦略の策定において、内部資源だけで賄えない場合に外部資源の活用を検討することが求められる。人材の数とスキルが不足しているのに外部資源の活用を検討していない状態は、この要求を満たしておらず、監査人が指摘事項として報告すべき事象である。他の3つは方針の承認や適切な考慮がなされている例であり、指摘の対象にならない。
出典：令和6年度 春期 ITサービスマネージャ試験 午前Ⅱ 問14（IPA）
システム監査基準(令和5年)におけるシステム監査基準の説明として、適切なものはどれか。
正解：システム監査が効果的かつ効率的に行われるために、システム監査のあるべき体制や実施方法等を示したもの
要点：システム監査基準＝監査のやり方、システム管理基準＝判断の尺度
システム監査基準は、システム監査が効果的かつ効率的に実施されるように、監査人の行為規範や監査の体制・実施方法を示した基準である。一方、監査で何を良しとするかという判断の尺度を示すのはシステム管理基準であり、両者は役割が対になっている。「どう監査するか」がシステム監査基準、「何に照らして判定するか」がシステム管理基準と覚えるとよい。
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。