システム監査・IT統制・情報システム戦略 | 中小企業診断士1次試験経営情報システム

「全般統制と業務処理統制って何が違うの？」——システム監査の問題を解くとき、この区別でつまずく方が多いです。今日はシステム監査の目的から始まり、IT統制・J-SOX・ITガバナンスまで、経営情報システムの中でも骨格となるテーマを丁寧に整理します。

システム監査とは何か——ITシステムを評価・検証する第三者の目

📌 この記事で学ぶこと

経営情報システムのシステム監査分野では、監査の目的・システム監査基準・全般統制と業務処理統制の違い・J-SOXとの関係・ITガバナンスの概念が繰り返し出題されます。「監査人の独立性」という重要ポイントも含め、横断的に整理していきます。

システム監査とは、情報システムに係るリスクに対するコントロールが適切に整備・運用されているかを、独立した第三者（システム監査人）が評価・検証する活動です。財務諸表監査が会計の正確性を確認するのと同様に、システム監査はITシステムの「信頼性・安全性・効率性」を確認します。

システム監査の3つの目的

信頼性の確保——情報システムが正確で信頼性のある情報を提供しているか。データの正確性・完全性・整合性を検証する。

安全性の確保——情報システムが不正アクセス・データ漏えい・システム障害等のリスクに対して適切に対処できているか。

効率性の確保——情報システムの開発・運用が費用対効果の観点から効率的に行われているか。投資対効果の評価も含む。

システム監査基準（経産省）——監査の根拠となる公的ガイドライン

経済産業省が策定した「システム監査基準」は、システム監査の実施に際して準拠すべき基準を定めた公的なガイドラインです。2004年に改定され、現在のシステム監査の実施基準として広く参照されています。

システム監査基準の構成

区分	主な内容
一般基準	システム監査人の資質・独立性・守秘義務等、監査人個人に関する基準
実施基準	監査の計画・実施方法・証拠収集・評価の手続きに関する基準
報告基準	監査報告書の作成・提出・フォローアップに関する基準

💡 システム監査人の独立性——試験で最も問われるポイント

システム監査人は、監査対象から精神的にも外観的にも独立していることが求められます。これは財務諸表監査の監査役と同じ概念です。具体的には①監査対象のシステムの開発・運用に直接関与していない②被監査部門の管理職と利害関係がない③監査結果に利害関係を持たない、などが要件です。内部監査の場合でも「監査対象部門から組織的に独立した内部監査部門」が担当することが望ましいとされます。

システム監査の対象範囲——開発・運用・セキュリティ・内部統制

監査対象	主な確認項目
システム開発	要件定義・設計・テスト・移行の各フェーズでの品質管理・変更管理の適切性
システム運用	バックアップ・障害対応・キャパシティ管理・変更管理・SLA遵守の状況
情報セキュリティ	アクセス制御・暗号化・脆弱性管理・インシデント対応・セキュリティポリシーの遵守
内部統制	業務処理の正確性・完全性・承認プロセス・職務分離の状況

IT統制——全般統制と業務処理統制の違いを完全理解する

IT統制は内部統制の一部で、情報システムに係るコントロール（制御）のことです。診断士試験では「全般統制」と「業務処理統制」の違いが頻繁に出題されます。

🏗️ 全般統制（IT全般統制）

定義：業務処理統制が有効に機能するための環境・基盤を提供するIT統制。

特徴：特定の業務処理ではなく、ITシステム全体・組織全体に関わる統制。

主な項目：

システム開発・変更管理
ITセキュリティ管理（アクセス権管理）
コンピュータ運用管理（バックアップ・障害対応）
外部委託管理

⚙️ 業務処理統制

定義：個々の業務プロセス（発注・売上・決算等）において、データの正確性・完全性・正当性を確保するための統制。

特徴：具体的な業務フロー（トランザクション）に組み込まれた統制。

主な項目：

入力データのバリデーション（入力チェック）
承認・照合プロセス（上長承認・突合）
エラー検知・修正手続き
計算結果の正確性チェック

⚠️ 全般統制と業務処理統制の関係（試験頻出）
全般統制は業務処理統制の土台です。全般統制が不十分だと、業務処理統制が正常に機能していても信頼できない可能性があります。例えばアクセス権管理（全般統制）が甘ければ、入力チェック（業務処理統制）が正しく設計されていても、不正なデータが混入するリスクが残ります。

具体例で理解する2種類の統制

事例	分類	説明
発注システムへのアクセスIDとパスワードの管理	全般統制	誰がシステムにアクセスできるかを管理する基盤的な統制
発注時に金額が上限を超えた場合に承認ルートが変わる	業務処理統制	特定の業務プロセス（発注）に組み込まれた承認統制
プログラムの変更申請・承認・テストの手続き	全般統制	システム開発・変更管理プロセスの統制
売上データ入力時の取引先コードの存在チェック	業務処理統制	入力データの妥当性を確認するバリデーション
バックアップの取得・保管・復元テストの管理	全般統制	IT運用全体にわたる可用性確保の統制

J-SOX（金融商品取引法）とIT統制——上場企業の内部統制報告制度

J-SOX（Japanese Sarbanes-Oxley Act）は、金融商品取引法（金商法）第24条の4の4に基づく内部統制報告制度の通称です。米国のSOX法（サーベンス・オクスリー法）を参考にして2008年から適用されました。

J-SOXの概要

対象：上場会社（金融商品取引所に上場している会社）。有価証券報告書提出会社。

義務：財務報告に係る内部統制の有効性について経営者が評価し、「内部統制報告書」を有価証券報告書と合わせて提出する。

監査：内部統制報告書について、公認会計士または監査法人が監査（内部統制監査）を行う。

🔗 J-SOXとIT統制の関係

財務報告の信頼性を確保するために、ITを利用した業務処理が正確に行われているかを検証するのがIT統制の役割です。J-SOXでは財務報告に関わるITシステムの統制（全般統制・業務処理統制）が評価対象となります。

例えば売上・仕入・給与計算システムは財務数値に直接影響するため、これらのIT全般統制と業務処理統制が適切に整備・運用されているかが重要評価項目になります。

📋 内部統制の4つの目的

業務の有効性・効率性
財務報告の信頼性（J-SOXが主に対象とする）
法令等の遵守（コンプライアンス）
資産の保全

🧱 内部統制の6つの構成要素

統制環境
リスクの評価と対応
統制活動
情報と伝達
モニタリング
ITへの対応（IT統制の根拠）

ITガバナンス——経営戦略とITをつなぐ仕組み

ITガバナンスとは、企業がITに関する意思決定・実行・評価のプロセスを経営レベルで管理・指導する仕組みのことです。IT統制が「現場でのIT利用の適正化」を指すのに対し、ITガバナンスは「経営層がITを戦略的に統治する」という上位概念です。

ITガバナンスの5つの焦点領域（ISACA定義）

焦点領域	内容
戦略的整合	ITへの取り組みをビジネス戦略と整合させる
価値の提供	ITへの投資が約束した便益を提供するよう実行する
リソース管理	人材・技術・情報等のIT資源を適切に管理する
リスク管理	ITに関するリスクを識別・評価し対処する
パフォーマンス測定	IT戦略の実現度・サービス提供・資源利用をモニタリングする

👔 CIO（最高情報責任者）の役割

全社的なIT戦略の策定・推進
IT投資の優先順位づけ・予算管理
情報システム部門の統括
経営層とIT現場をつなぐ橋渡し役
サイバーセキュリティリスクの統括管理

🏛️ IT委員会の役割

IT投資の審査・承認
IT戦略の実施状況のモニタリング
IT関連リスクの審議
情報セキュリティポリシーの承認
重要なIT案件の経営判断

💡 ITガバナンスとIT統制の違いを整理しよう

ITガバナンス：経営層（取締役会・CIO・IT委員会）がITを戦略的に統治する仕組み。「何のためにITに投資するか」「IT全体のリスクをどう管理するか」という経営レベルの意思決定。

IT統制：現場でのITシステムの利用・運用において、正確性・完全性・安全性を確保するための具体的な管理手続き。「ITをどう正しく使うか」という業務レベルの管理活動。

両者は上下関係にあり、ITガバナンスがIT統制の方向性を定めます。

情報システム戦略——経営戦略を支えるITの全体設計

情報システム戦略の策定プロセス

経営戦略との整合確認——企業が目指す方向性（ビジョン・中期計画等）を確認し、ITが担うべき役割を明確化する

現状のIT資源・能力の分析——既存システムの機能・老朽化状況・IT人材の能力を把握する（ITインフラ診断）

情報システム化基本計画の策定——投資優先順位・ロードマップ・予算・組織体制を決定する

実施・モニタリング・改善——計画に基づいてシステム開発・導入を進め、KPIで効果を測定する

📐 EA（エンタープライズアーキテクチャ）の4層構造

政府・大企業のIT計画立案で使われるEA（全体最適化の設計手法）は以下の4層で情報システムを整理します。

層	名称	内容
BA	ビジネスアーキテクチャ	業務・サービスの設計（ビジネスプロセス）
DA	データアーキテクチャ	情報・データの構造と管理方針
AA	アプリケーションアーキテクチャ	業務システム・ソフトウェアの体系
TA	テクノロジーアーキテクチャ	インフラ・ネットワーク・ハードウェアの構成

システム監査・IT統制・ITガバナンス横断比較表

概念	主体	目的	レベル	根拠・フレームワーク
システム監査	システム監査人（独立した第三者）	ITシステムの信頼性・安全性・効率性の評価	検証・評価	システム監査基準（経産省）
IT全般統制	IT部門・運用担当者	業務処理統制の基盤となる環境の整備	現場・業務	J-SOX・COBIT
業務処理統制	業務部門・IT部門	個別業務プロセスでのデータの正確性確保	現場・業務	J-SOX・業務フロー
ITガバナンス	経営層（取締役会・CIO・IT委員会）	IT戦略の経営レベルでの統治・方向付け	経営・戦略	COBIT・ISO/IEC 38500
情報システム戦略	CIO・情報システム部門・経営企画	経営戦略に整合したITの全体設計・投資計画	経営・計画	EA・中期IT計画

よくある質問（FAQ）

Q1. システム監査人と公認会計士の違いは何ですか？

公認会計士は財務諸表監査の資格者で、法的に定められた監査を行います。システム監査人は情報システムの監査を行いますが、公認会計士のような国家資格による独占業務ではありません。情報処理技術者試験の「システム監査技術者」が関連する資格です。なお、J-SOX（金融商品取引法）に基づく内部統制監査は公認会計士・監査法人が行います。

Q2. 全般統制と業務処理統制のどちらが先に評価されますか？

全般統制が先に評価されます。全般統制が有効でないと、その上で動いている業務処理統制の信頼性に疑問が生じるからです。J-SOXの実務でも、全般統制の評価を先行させてから業務処理統制の評価に進むのが一般的な手順です。

Q3. J-SOXは中小企業にも適用されますか？

J-SOX（金融商品取引法の内部統制報告制度）は上場会社に適用されます。非上場の中小企業には直接適用されません。ただし、上場会社の連結子会社である場合は連結ベースでの評価に含まれることがあります。また中小企業でも会社法の内部統制（業務の適正を確保するための体制整備）の義務があります。

Q4. CIOがいない中小企業ではITガバナンスはどうすればよいですか？

中小企業では経営者自身がCIOの役割を担うことが多いです。IT委員会に相当する定期的な経営会議でIT投資の審議を行い、経営計画と整合したIT計画を策定することが実践的なアプローチです。経済産業省の「中小企業向けIT導入ガイド」や「DX推進指標（自己診断ツール）」が参考になります。

Q5. システム監査の手続きにはどんな方法がありますか？

主な監査手続きには①インタビュー（担当者へのヒアリング）②ウォークスルー（業務フローを実際にたどる）③観察（業務の実施状況を直接見る）④書類・ログのレビュー（システムのアクセスログ・変更履歴等の確認）⑤再実施（監査人が自ら実施して確認する）があります。監査証拠を収集してリスクに対するコントロールの有効性を評価します。

Q6. ITガバナンスのフレームワーク「COBIT」とは何ですか？

COBIT（Control Objectives for Information and Related Technologies）は、ISACA（情報システムコントロール協会）が策定したITガバナンス・IT管理のフレームワークです。ITに関する経営の目標と実施プロセスを体系化したもので、J-SOXのIT統制評価でも参照されます。現在はCOBIT 2019が最新版です。

Q7. 情報システム監査と財務諸表監査の違いは何ですか？

財務諸表監査は財務諸表が会計基準に準拠して適正に表示されているかを確認するもので、公認会計士が行います。情報システム監査はITシステムの信頼性・安全性・効率性を評価するもので、資格要件はより柔軟です。J-SOXの枠組みでは、両者は連携して行われます（財務報告に影響するITシステムの統制を確認するために情報システム監査的な視点が取り入れられる）。