システム監査
このノートの問いがそのまま復習カードになり、忘れかけたころに出題されます。
シラバス Ver.6.5 の小分類 31「システム監査」（大分類 6：サービスマネジメント／中分類 12：システム監査）。
2026-08-05 にシラバス本文と突合済み。
0. 何を押さえるか
監査人が何をして、何をしないかが問われます。ここは 1 点だけ覚えれば大半が解けます。
システム監査人は、改善を「提案」するだけで、自分で直しません。
理由は独立性です。自分が作ったものや直したものを自分で監査すれば、
評価が甘くなります。だから監査人は被監査部門から独立していなければならず、
改善の実施は被監査部門の責任です。
流れは次のとおりで、順序が出題されます。
監査計画 → 予備調査・本調査（監査手続の実施）→ 監査証拠の入手と評価
→ 監査調書の作成と保管 → システム監査報告書の作成と報告 → 改善提案のフォローアップ
1. 監査の種類
根拠: シラバス 6-12-31
会計監査・業務監査・情報セキュリティ監査・システム監査の違いは？
| 監査 | 何を見るか |
|---|---|
| 会計監査 | 財務諸表が適正か |
| 業務監査 | 業務が適切・効率的に行われているか |
| 情報セキュリティ監査 | 情報セキュリティ対策が適切か |
| システム監査 | 情報システムが有効・効率的・安全に機能しているか |
システム監査は情報システム全体を対象とし、
情報セキュリティ監査はそのうちセキュリティの観点に絞ったもの。
システム監査人に求められる最も重要な性質は？
独立性（被監査部門から独立していること）。
外観上の独立性（組織上の所属が別であること）と、
精神上の独立性（公正な判断を妨げられないこと）の両方が要る。
自分が構築や運用に関わったシステムは監査できない。
システム監査基準とは？
システム監査人が守るべき行為規範を示した、経済産業省の基準
監査人の独立性・客観性、監査の手続、報告のあり方などを定める。
併せて、監査で何を評価するかの指針として
システム管理基準がある。
2. 監査の流れ
根拠: シラバス 6-12-31
システム監査計画では何を決めるか？
監査の目的・対象・範囲・時期・体制・重点項目
限られた時間で全部は見られないので、
リスクの大きいところに重点を置く——これが
リスクアプローチに基づく監査手続の適用。
リスクの高い領域により多くの手続を割り当てることで、
効率よく問題を見つける。
監査証拠の入手と評価とは？
監査意見の裏付けとなる事実を集め、十分かつ適切かを判断すること
「担当者がそう言った」だけでは足りず、
記録・ログ・設定・現物の確認といった客観的な裏付けが要る。
代表的なシステム監査技法には、ドキュメントレビュー法、
インタビュー法、チェックリスト法、突合・照合法、
コンピュータ支援監査技法（CAAT）などがある。
監査調書とは？ なぜ保管するか？
監査の実施過程と入手した証拠を記録した文書
保管する理由は 2 つ。
- 監査報告書の結論の根拠になる
- 後から監査そのものの適切さを検証できる
監査人の判断の過程が追えるように残す。
3. 報告と改善
根拠: シラバス 6-12-31
システム監査報告書には何を書くか。誰に出すか？
監査の目的・範囲・実施内容・発見事項・改善提案を記載し、
監査の依頼者（経営者など）に提出する。
被監査部門に直接出して終わりにはしない——
改善を指示できるのは経営者だから。
改善提案のフォローアップとは？ 監査人は改善を実施するか？
フォローアップ ＝ 改善提案が実際に実施されたかを、後から確認すること
監査人は改善を実施しない。 実施するのは被監査部門の責任で、
監査人は提案し、実施されたかを確かめるだけ。
自分で直してしまうと独立性が失われ、
次の監査で自分の仕事を評価することになる。最頻出の引っかけ。