最終更新日：2026年7月15日
fe fe-management system-audit
まず結論
システム監査規程とは、システム監査の目的、対象範囲、権限、責任などを組織として定める基本ルールです。
基本情報技術者試験では、最終承認者を問われたら、まず 経営者・経営層 を考えます。
組織全体の監査ルール
↓
組織全体の責任を負う経営者が承認
監査対象部門や情報システム部門の長ではありません。
直感的な説明
システム監査規程は、会社の中で行うシステム監査の「基本ルールブック」です。
例えば、次のようなことを決めます。
- 何のために監査するのか
- どのシステムや業務を対象にするのか
- 監査人はどこまで調査できるのか
- 誰が結果を受け取り、改善を進めるのか
このルールは、特定の部署だけに関係するものではありません。
利用部門
情報システム部門
内部監査部門
経営層
のように、組織全体に関係します。
そのため、最終的な承認は、組織全体に責任をもつ経営者が行います。
定義・仕組み
システム監査は、情報システムに関するリスクへの対応が適切か、システムが有効・効率的・安全に運用されているかなどを、独立した立場から点検・評価する活動です。
システム監査規程には、一般に次のような事項を定めます。
| 項目 | 内容 |
|---|---|
| 監査の目的 | 何を確認し、何を改善するための監査か |
| 対象範囲 | どのシステム、業務、組織を監査するか |
| 監査人の権限 | 資料閲覧、質問、システムへのアクセスなど |
| 監査人の責任 | 独立性、客観性、守秘義務など |
| 報告 | 誰に、どのように監査結果を報告するか |
| 監査資源 | 監査時間、人員、費用などをどう確保するか |
ここで重要なのは、規程を承認する人、監査を実施する人、監査を受ける人は別 という点です。
| 立場 | 主な役割 |
|---|---|
| 経営者・経営層 | 監査方針や規程を承認し、組織として責任を負う |
| システム監査人 | 独立した立場で監査を実施し、結果を報告する |
| 被監査部門 | 資料を提出し、質問に回答し、必要な改善を行う |
| 情報システム部門 | 監査対象になり得る部門の一つ |
公式の出題範囲やシラバスは、IPA：基本情報技術者試験 から確認できます。
どんな場面で使う？
システム監査規程は、組織としてシステム監査を継続的に実施するときに使います。
例えば、次のような場面です。
- 情報システムの運用が社内ルールに従っているか確認する
- アクセス権限の管理が適切か点検する
- バックアップや障害対応の手順が実際に機能するか確認する
- 外部委託先の管理が適切か評価する
- 監査結果を経営者へ報告し、改善につなげる
規程がなければ、監査人がどこまで調査できるのか、誰が監査結果を受け取るのかが曖昧になります。
そのため、監査を始める前に、組織として基本ルールを明確にしておきます。
よくある誤解・混同
情報システム部門の長が承認するとは限らない
情報システムに関する規程なので、情報システム部門の長が承認すると考えやすいですが、システム監査規程は組織全体の監査ルールです。
また、情報システム部門自身が監査対象になることもあります。
情報システム部門
＝ 監査対象になる可能性がある
経営者
＝ 組織全体の方針を承認する
被監査部門の長が最終承認するわけではない
被監査部門は、監査を受ける立場です。
監査される側が監査規程の最終承認者になると、監査の独立性や客観性が弱くなるおそれがあります。
システム監査人が最終承認するわけではない
システム監査人は、規程の作成や見直しに専門的な助言をすることはあります。
しかし、組織として規程を最終承認するのは経営者です。
「承認する人」と「実施する人」を混同しない
試験では、役割を次のように分けると判断しやすくなります。
経営者
→ 規程・方針を承認する
システム監査人
→ 監査を実施して報告する
被監査部門
→ 監査を受けて改善する
まとめ（試験直前用）
- システム監査規程は、監査の目的・対象範囲・権限・責任などを定める
- 組織全体の基本ルールなので、最終承認者は経営者・経営層
- システム監査人は、独立した立場で監査を実施する
- 被監査部門や情報システム部門は、監査対象になることがある
- 「承認する人」「監査する人」「監査される人」を分けて考える