最終更新日：2026年9月1日
fe fe-management system-audit
まず結論
システム監査規程とは、システム監査の目的、対象範囲、権限、責任などを組織として定める基本ルールです。
基本情報技術者試験では、システム監査に出てくる人の役割を分けて考えることが重要です。
経営者・監査依頼者
→ 方針を示す・監査で確認したいことを伝える
システム監査人
→ 独立した立場で調査・評価・報告する
被監査部門
→ 監査を受け、必要な改善を実施する
監査規程の最終承認者を問われたら、まず 経営者・経営層 を考えます。
直感的な説明
システム監査規程は、会社の中で行うシステム監査の「基本ルールブック」です。
例えば、次のようなことを決めます。
- 何のために監査するのか
- どのシステムや業務を対象にするのか
- 監査人はどこまで調査できるのか
- 誰が結果を受け取り、改善を進めるのか
また、実際の監査では、いきなりシステムを調べ始めるわけではありません。
監査依頼者のニーズを把握
↓
監査目的・対象範囲を決める
↓
独立したシステム監査人が監査する
↓
結果を報告し、必要なら改善を提言する
↓
被監査部門が改善する
この流れを押さえると、誰が何をするのかを問う選択肢を切りやすくなります。
定義・仕組み
システム監査は、情報システムに関するリスクへの対応が適切か、システムが有効・効率的・安全に運用されているかなどを、独立した立場から点検・評価する活動です。
システム監査規程には、一般に次のような事項を定めます。
| 項目 | 内容 |
|---|---|
| 監査の目的 | 何を確認し、何を改善するための監査か |
| 対象範囲 | どのシステム、業務、組織を監査するか |
| 監査人の権限 | 資料閲覧、質問、システムへのアクセスなど |
| 監査人の責任 | 独立性、客観性、守秘義務など |
| 報告 | 誰に、どのように監査結果を報告するか |
| 監査資源 | 監査時間、人員、費用などをどう確保するか |
ここで重要なのは、規程を承認する人、監査を依頼する人、監査を実施する人、監査を受ける人は役割が異なるという点です。
| 立場 | 主な役割 |
|---|---|
| 経営者・経営層 | 監査方針や規程を承認し、組織として責任を負う |
| 監査依頼者 | 監査で確認したいことや求める保証・助言を示す |
| システム監査人 | 独立した立場で監査を実施し、結果を報告・提言する |
| 被監査部門 | 資料を提出し、質問に回答し、必要な改善を行う |
| 情報システム部門 | 監査対象になり得る部門の一つ |
監査開始時は「監査依頼者のニーズ」を確認する
監査では、まず監査依頼者が何を確認したいのかを把握します。
例えば、監査依頼者が経営者なら、次のようなニーズが考えられます。
- 重要なシステムが適切に管理されているか確認したい
- 障害や不正への対策が十分か知りたい
- システム投資や運用に問題がないか評価したい
そのニーズを踏まえて、監査目的と監査対象範囲を明確にしてから監査を実施すると考えます。
ニーズ
→ 監査目的
→ 監査対象範囲
→ 監査手続
試験で「経営者のニーズを把握した上で、監査の目的と対象範囲を決める」という説明が出たら、適切な行為と判断しやすくなります。
監査人は改善を「提言」する側
監査によって問題を発見した場合、システム監査人は問題点を報告し、改善の方向を提言します。
しかし、原則として監査人自身が改善計画を策定して実行するわけではありません。
システム監査人
→ 問題を発見・評価
→ 報告
→ 改善を提言
被監査部門
→ 改善計画を検討
→ 改善を実施
監査する側と改善する側を分けることで、監査の客観性を保ちます。
監査人には独立性が必要
システム監査人は、監査対象から精神的・外観的に独立した立場で監査する必要があります。
そのため、試験では次のような選択肢に注意します。
自分が開発・保守したシステムを自分で監査する
→ 独立性の面で不適切
自分の所属部門を自分で監査する
→ 独立性の面で不適切
外部事業者へ監査を委託する場合でも、その事業者が監査対象システムの開発・保守に直接関与しているなら、独立性を確認する必要があります。
公式の出題範囲やシラバスは、IPA：基本情報技術者試験 から確認できます。
どんな場面で使う？
システム監査規程は、組織としてシステム監査を継続的に実施するときに使います。
例えば、次のような場面です。
- 情報システムの運用が社内ルールに従っているか確認する
- アクセス権限の管理が適切か点検する
- バックアップや障害対応の手順が実際に機能するか確認する
- 外部委託先の管理が適切か評価する
- 監査結果を経営者へ報告し、改善につなげる
規程がなければ、監査人がどこまで調査できるのか、誰が監査結果を受け取るのかが曖昧になります。
そのため、監査を始める前に、組織として基本ルールを明確にしておきます。
よくある誤解・混同
情報システム部門の長が承認するとは限らない
情報システムに関する規程なので、情報システム部門の長が承認すると考えやすいですが、システム監査規程は組織全体の監査ルールです。
また、情報システム部門自身が監査対象になることもあります。
情報システム部門
＝ 監査対象になる可能性がある
経営者
＝ 組織全体の方針を承認する
被監査部門の長が最終承認するわけではない
被監査部門は、監査を受ける立場です。
監査される側が監査規程の最終承認者になると、監査の独立性や客観性が弱くなるおそれがあります。
システム監査人が改善計画を実行するわけではない
監査人は、問題点を指摘して改善を提言する立場です。
「監査人が改善計画を策定して、自ら実行する」という選択肢は、監査側と被監査側の役割を混同しています。
監査人
→ 調べる・評価する・報告する・提言する
被監査部門
→ 改善する
開発・保守担当者をそのまま監査人にしない
対象システムを開発・保守した担当者は、そのシステムに直接関与した立場です。
監査では独立性が重要なので、自分が関与した対象を自分で監査するという説明は避けます。
「承認する人」「監査する人」「改善する人」を混同しない
試験では、役割を次のように分けると判断しやすくなります。
経営者
→ 規程・方針を承認する
監査依頼者
→ ニーズを示す
システム監査人
→ 監査を実施して報告・提言する
被監査部門
→ 監査を受けて改善する
まとめ（試験直前用）
- 監査開始前は、監査依頼者のニーズ → 監査目的・対象範囲 の順で考える
- システム監査人は、独立した立場で調査・評価・報告・改善提言を行う
- 改善計画の策定・実行は、原則として被監査部門側の役割
- 自分が開発・保守した対象や自分の所属部門を監査する説明は、独立性を疑う
- 「承認する人」「監査する人」「改善する人」を分けると選択肢を切りやすい