U
「情報システム監査って、何を監査するの？」と聞かれたとき、すぐ答えられますか。試験で問われる独立性・監査証拠・統制の種類、ここでまとめて整理しましょう。
情報システム監査とは何か——目的と全体像
情報システム監査とは、組織が保有する情報システムが信頼性・安全性・効率性の観点から適切に機能しているかを、独立した第三者が評価・検証し、改善勧告を行う活動です。経済産業省が策定した「システム監査基準」と「システム管理基準」が実施の指針となります。
情報システムが経営を支える現代において、そのシステムが正しく安全に動いているかを確かめる仕組みが情報システム監査です。財務諸表監査が数字の正確さを確かめるように、情報システム監査はITの信頼性・安全性・効率性を確かめます。
診断士試験では「監査人の独立性」「監査手続き」「全般統制と業務処理統制の違い」が繰り返し出題されます。概念の定義を正確に把握することが得点の近道です。
| 評価軸 | 内容 | 具体例 |
|---|---|---|
| 信頼性 | システムが正確・完全に処理しているか | データの整合性、バックアップの適切性 |
| 安全性 | 不正アクセス・情報漏洩から保護されているか | アクセス管理、暗号化、セキュリティ対策 |
| 効率性 | 経営資源（人・金・時間）を有効活用しているか | システムのパフォーマンス、コスト対効果 |
この3つの評価軸は試験でも問われます。「信頼性＝正確さ」「安全性＝セキュリティ」「効率性＝コスト対効果」という対応関係を覚えておきましょう。
システム監査基準・システム管理基準の概要
経済産業省は情報システム監査に関して2つの重要な基準を公表しています。「システム監査基準」は監査人の行動規範を定め、「システム管理基準」は組織が守るべきITガバナンスの基準を示します。
2つの基準の違いを混同しないことが大切です。「監査基準」は監査する側の行動ルール、「管理基準」は監査される側（組織）のルールです。
| 基準名 | 対象 | 主な内容 |
|---|---|---|
| システム監査基準 | 監査人（監査する側） | 監査人の独立性・専門性・監査手続きの原則・監査報告の在り方 |
| システム管理基準 | 組織（監査される側） | ITガバナンス・情報セキュリティ・システム開発・運用・保守の管理水準 |
システム監査基準は、監査人が客観性・独立性・専門的能力を保持して監査を行うことを求めています。独立性とは、被監査部門から精神的・組織的に独立していることを意味し、試験で特に重要なポイントです。
情報システム監査人は、監査対象のシステム開発や運用に携わっていてはならない（外観上の独立性・精神上の独立性の両方が必要）。自部門のシステムを自分で監査することはできません。これは財務諸表監査の独立性と同じ概念です。
監査の種類——3つの切り口で理解する
情報システム監査は目的・対象・タイミングによってさまざまな種類があります。試験では「どの種類の監査か」を問う問題が出ることがあります。
| 監査の種類 | 目的 | 主な確認内容 |
|---|---|---|
| コンプライアンス監査 | 法令・規程・基準への準拠性確認 | 個人情報保護法対応、セキュリティポリシー遵守状況 |
| 運用監査 | 本番稼働中のシステムの適切性確認 | 障害対応手順、バックアップ・リカバリ、変更管理 |
| 開発監査 | システム開発プロセスの適切性確認 | 要件定義の品質、テスト工程の充足性、プロジェクト管理 |
このほか、ITガバナンス監査（経営層のIT戦略・管理体制の評価）やセキュリティ監査（脆弱性・リスク対応の評価）も重要な監査種別です。
- 定期監査：年1回・四半期ごとなど定期的に実施
- 随時監査（臨時監査）：インシデント発生時・重大変更時など必要に応じて実施
- フォローアップ監査：前回の監査で指摘された事項の改善状況を確認する二次監査
監査手続き——4ステップの流れを押さえる
情報システム監査は一般的に「予備調査→本調査→評価→報告」の4ステップで進みます。各ステップで何をするかを理解しておくと、試験での事例問題にも対応できます。
| ステップ | 内容 | 主な作業 |
|---|---|---|
| ①予備調査 | 監査計画の策定・対象範囲の確定 | 組織図・業務フロー・既存資料の収集、リスク評価、監査計画書の作成 |
| ②本調査 | 監査証拠の収集・検証 | インタビュー、ドキュメントレビュー、テスト・実査、ウォークスルー |
| ③評価 | 収集した証拠に基づく判断 | リスク・コントロールの評価、発見事項のまとめ、改善提案の検討 |
| ④報告 | 監査結果の経営層への伝達 | 監査報告書の作成・提出、改善勧告、フォローアップ計画 |
| 手法 | 内容 |
|---|---|
| インタビュー | システム担当者・管理者へのヒアリング。主観的情報を得られるが、証拠能力は低い |
| ドキュメントレビュー | 設計書・手順書・ログ・規程類の閲覧。客観的証拠を得やすい |
| ウォークスルー | 業務フローを一連の流れで追跡確認。プロセスの理解と重要点の把握に有効 |
| テスト | システムの動作・コントロールが機能しているかを実際に試験実行 |
| 実査（物理確認） | サーバー室の施錠・入退室管理など物理的状況を直接確認 |
| 照会・確認 | 第三者機関（外部ベンダー等）への問い合わせによる確認 |
監査証拠は「十分性（十分な量があるか）」と「適切性（信頼性・関連性があるか）」の両方を満たす必要があります。インタビューのみに頼らず、ドキュメントや実査と組み合わせることが原則です。
IT統制の評価——全般統制と業務処理統制
IT統制とは、情報システムに関連するリスクをコントロールする仕組みです。全般統制（General IT Controls）と業務処理統制（Application Controls）に大別され、この2つの違いを正確に理解することが試験の核心です。
| 種類 | 対象範囲 | 目的 | 具体例 |
|---|---|---|---|
| 全般統制 | IT環境全体に共通 | 業務処理統制が有効に機能するための基盤整備 | アクセス管理・変更管理・IT運用管理・セキュリティ管理・システム取得・開発管理 |
| 業務処理統制 | 特定の業務アプリケーション | 個別業務における取引の完全性・正確性・正当性の確保 | 入力チェック・承認ワークフロー・照合処理・エラー処理・出力管理 |
全般統制は業務処理統制の「土台」です。全般統制が機能していなければ、業務処理統制が設計上は存在していても信頼できません。監査では全般統制を先に評価し、その後に業務処理統制を評価するのが原則です。
全般統制の具体例を詳しく見ていきましょう。
| 全般統制の種類 | 内容 |
|---|---|
| アクセス管理 | ユーザーIDとパスワードの管理、権限の分離（職務分離）、アクセスログの取得 |
| 変更管理 | プログラム変更の承認・テスト・リリース手順の文書化と遵守 |
| IT運用管理 | バックアップ・リカバリ手順、ジョブスケジューリング、障害対応手順 |
| セキュリティ管理 | マルウェア対策、脆弱性管理、物理セキュリティ（入退室管理） |
| システム開発管理 | 開発・テスト・本番環境の分離、新システム導入時のテスト充足性 |
業務処理統制の代表的な仕組みには、入力時の入力チェック（バリデーション）、承認者による承認ワークフロー、照合によるマッチング処理などがあります。たとえば「金額が0以下のデータは受け付けない」という入力バリデーションは業務処理統制の典型例です。
J-SOX（金融商品取引法）との関係
J-SOX（日本版SOX法）とは、金融商品取引法第24条の4の4に基づく内部統制報告制度です。上場企業に対して、財務報告に関わる内部統制の有効性を評価し、その結果を「内部統制報告書」として有価証券報告書とともに提出することを義務付けています。
財務報告の信頼性を確保するために、ITを含む内部統制が整備・運用されているかを経営者が評価し、監査法人がさらにその評価を監査します。
| 項目 | 内容 |
|---|---|
| 対象企業 | 上場企業（金融商品取引法の適用を受ける企業） |
| 評価主体 | 経営者が自社の内部統制を自己評価→監査法人が二重チェック |
| IT統制との関係 | 財務情報の処理に使用するシステムの全般統制・業務処理統制が評価対象 |
| 提出物 | 内部統制報告書（有価証券報告書と同時提出） |
| 監査法人の役割 | 経営者の内部統制評価の適正性を監査し、意見を付す |
米国のサーベンス・オクスリー法（SOX法）をモデルにしていますが、日本版は「経営者が評価し監査法人が確認する」二段階構造が特徴です。また、日本版は財務報告の信頼性に絞った内部統制を対象としており、業務の有効性・効率性・法令遵守は必須ではありません。
監査報告書の構成と改善勧告
監査の最終成果物は監査報告書です。監査人は発見した問題点と改善勧告を経営層に伝え、組織の改善を促します。
| 監査報告書の構成要素 | 内容 |
|---|---|
| 監査の目的・範囲 | 何を対象に、どのような基準で監査したか |
| 実施した手続き | インタビュー・ドキュメントレビュー等の概要 |
| 発見事項 | 問題点・弱点・良好点の記述 |
| 監査意見 | 監査対象の全体評価（適正・不適正・限定付き適正等） |
| 改善勧告 | 発見した問題点への具体的な改善提案 |
監査報告書は経営層・監査役・取締役会に提出されます。監査人は「勧告」はできますが「命令」はできないという点も重要です。改善の実施は経営層・担当部門の判断に委ねられます。
情報システム監査の実務ポイントと最新動向
近年、クラウドサービス利用やAI・RPAの導入が進み、情報システム監査の論点も変化しています。クラウド環境では物理的な実査が困難となり、クラウドサービス事業者のSOC報告書（Service Organization Controls）を活用した監査手法が重要になっています。
| 領域 | 監査上の主な論点 |
|---|---|
| クラウド利用 | データの所在・管理責任の明確化、SLAの達成状況、事業者のセキュリティ認証（ISO27001等）確認 |
| AI・機械学習 | 学習データの適切性、アルゴリズムの説明可能性、出力結果の検証体制 |
| RPA | 自動化処理の正確性確認、例外処理・エラー対応の適切性、変更管理 |
| サプライチェーン | 外部委託先・サプライヤーのITセキュリティ水準、サイバーサプライチェーンリスク |
試験対策まとめ——頻出論点と覚え方
| 論点 | キーポイント |
|---|---|
| 監査人の独立性 | 精神的独立性＋外観上の独立性の両方が必要。監査対象の開発・運用に関与してはならない |
| システム監査基準 vs 管理基準 | 監査基準＝監査する側のルール、管理基準＝組織が守るべきITガバナンス基準 |
| 全般統制 vs 業務処理統制 | 全般統制が土台。全般統制を先に評価→業務処理統制を評価の順序が重要 |
| 監査手続きの順序 | 予備調査→本調査→評価→報告 の4ステップ |
| 監査証拠 | 十分性＋適切性（信頼性・関連性）の両方が必要 |
| J-SOXの対象 | 上場企業の財務報告に係る内部統制が対象。業務の有効性・効率性は必須ではない |
「システム管理基準は監査人が守るもの」→ ×（監査される側＝組織が守るもの）
「業務処理統制が充実していれば全般統制は不要」→ ×（全般統制が土台。全般統制が機能しないと業務処理統制も信頼できない）
「監査人は改善を命令できる」→ ×（勧告はできるが命令はできない。改善の実施は経営判断）
よくある質問（FAQ）
情報システム監査は「何のために、誰が、どのように監査するか」という全体像を掴んでから、各論（統制の種類・監査手続き・J-SOX）を覚えていくと理解しやすいです。特に全般統制と業務処理統制の役割の違いと依存関係は必ず押さえておきましょう。
