システム監査とは？独立性・報告先・責任の所在を整理【FE試験】

まず結論

システム監査とは、情報システムが適切に管理・運用されているかを、独立した立場から確認する活動です。

FE試験では、細かい監査手続よりも、次の3点がよく問われます。

監査人は、監査結果を監査依頼者に報告する
監査対象から独立していることが大事
専門家の支援を受けても、判断責任はシステム監査人にある

つまり、システム監査は

誰が監査するか、誰に報告するか、誰が責任を持つか

で切り分けると判断しやすいです。

直感的な説明

システム監査は、健康診断に近いイメージです。

体の状態を自分だけで判断すると、見落としが出ることがあります。
そこで、医師が客観的に確認します。

システム監査も同じです。

システムは安全に運用されているか
ルールどおりに管理されているか
問題があったときに改善できる状態か

を、客観的な立場で確認します。

ここで大事なのは、自分たちの仕事を自分たちだけで監査しない ことです。

詳しい人が見ることも大事ですが、それ以上に、監査では 独立性 が重視されます。

定義・仕組み

システム監査人の役割

システム監査人は、情報システムに関する管理・運用・開発などを確認し、監査結果をまとめます。

主な役割は次のとおりです。

監査計画を立てる
監査手続を実施する
証拠を集めて評価する
監査結果を報告する

ポイントは、システム監査人が 改善作業そのものを担当する人ではない ことです。

監査人は、問題点や改善の必要性を報告します。
その報告をもとに、監査依頼者や組織側が改善を進めます。

監査依頼者への報告

システム監査人は、実施した監査の結果を、監査依頼者に報告します。

FE試験では、次の流れで考えると分かりやすいです。

監査依頼者が監査を依頼する
システム監査人が監査を実施する
システム監査人が監査結果を報告する
監査依頼者や組織が改善指示・改善対応を行う

つまり、

監査人は報告する人、改善を指示するのは報告を受けた側

と分けます。

独立性

システム監査では、監査人の独立性が重要です。

独立性とは、監査対象から影響を受けずに、客観的に判断できる状態のことです。

たとえば、情報システム部門の開発状況を監査する場合に、その情報システム部門のメンバーだけで監査チームを作るのは不適切になりやすいです。

理由は、

自分たちの仕事を、自分たちで評価する形になる

からです。

FE試験では、

利用部門を監査するのに、利用部門の人だけで監査する
開発部門を監査するのに、開発部門の人だけで監査する

という選択肢は、独立性の観点から疑います。

開発部門と運用部門の両方が監査対象になる場合

システムを開発した部門と、実際に運用している部門が異なることがあります。

たとえば、

情報システム部
→ 会計システムを開発

経理部
→ 会計システムを運用

という場合です。

このとき、監査対象は情報システム部だけではありません。経理部の運用手順、アクセス権限、入力確認、障害対応なども確認対象になります。

そのため、監査人は次のどちらにも所属しない立場が適切です。

開発した部門
にも所属しない

運用している部門
にも所属しない

短く整理すると、

監査する人
≠ 作った人
≠ 運用している人

です。

また、所属部署が別でも、監査対象部門長の直属であれば、指揮命令の影響を受ける可能性があります。

監査人の立場	判断
開発部門の担当者	自己監査になりやすい
運用部門の担当者	自己監査になりやすい
監査対象部門長の直属	独立性が弱くなりやすい
開発・運用の双方から独立した者	適切

FE試験では、詳しい部門を選ぶのではなく、監査対象から独立した立場を選ぶのが基本です。

専門家の支援を受ける場合

システム監査人が、ほかの専門家の支援を受けることはあります。

たとえば、

セキュリティの専門家
ネットワークの専門家
法務や会計の専門家

などです。

ただし、支援を受けても、監査の利用範囲・方法・結果の判断などは、システム監査人の責任で行います。

ここがひっかけです。

専門家に聞くのはOK。判断責任を丸投げするのはNG。

と押さえます。

公式情報で確認する場合

制度や基準の原文を確認したい場合は、経済産業省のシステム監査に関する情報を参照します。

経済産業省：システム監査制度
https://www.meti.go.jp/policy/netsecurity/sys-kansa/

FE試験対策では、基準文の丸暗記よりも、報告先・独立性・責任の所在 を優先して押さえます。

どんな場面で使う？

情報システムの運用状況を確認する場面

たとえば、次のような確認を行います。

アクセス権限が適切に管理されているか
バックアップがルールどおりに行われているか
障害対応の手順が整っているか
セキュリティ対策が運用されているか

システムを作るだけでなく、運用が適切かを見るのがポイントです。

システム開発の管理状況を確認する場面

システム開発では、次のような観点を確認します。

開発プロセスが管理されているか
変更管理ができているか
テストやレビューが適切に行われているか
不正やミスを防ぐ仕組みがあるか

ただし、開発内容に詳しいからといって、開発部門の人だけで監査するのは不適切になりやすいです。

監査では、知識だけでなく 客観性 が必要です。

経営や管理者が改善判断を行う場面

システム監査の結果は、改善判断に使われます。

たとえば、

セキュリティルールを見直す
運用手順を改善する
権限管理を強化する
外部委託先の管理を見直す

などです。

監査人は結果を報告し、改善の判断や指示は、監査依頼者や組織側が行います。

よくある誤解・混同

❌ 詳しい人なら、監査対象の部門員でもよい

これは注意が必要です。

詳しい人が関わること自体は役に立ちます。
しかし、監査対象の部門員だけで監査チームを作ると、独立性が弱くなります。

FE試験では、

詳しいかどうかより、独立しているか

を見ます。

❌ 専門家に支援してもらったら、専門家が監査結果に責任を持つ

これは誤りです。

専門家の支援を受けても、監査結果の判断責任はシステム監査人にあります。

専門家の支援を受ける → OK
判断責任を専門家に移す → NG

この違いが大事です。

❌ システム監査人が改善指示まで行う

これも混同しやすいです。

システム監査人は、監査結果を報告します。
改善指示や改善対応は、監査依頼者や組織側が行います。

監査人の役割は、客観的に確認し、結果を報告することです。

❌ 業務監査の一部なら、利用部門のメンバーで監査してよい

業務をよく知っていることは強みです。
しかし、利用部門が監査対象になる場合、その利用部門のメンバーだけで監査すると、自己監査に近くなります。

FE試験では、独立性の観点から不適切と判断しやすいです。

確認問題（FE試験対策）

システム監査の実施体制に関する記述として、最も適切なものはどれか。

ア. システム監査人は、監査結果を監査依頼者に報告する。
イ. 利用部門の監査は、利用部門のメンバーだけで行う。
ウ. 専門家の支援を受けた場合、監査結果の判断責任は専門家に移る。
エ. 開発部門の監査は、開発内容を熟知した開発部門員だけで行う。

▶ クリックして答えと解説を見る（ここを開く）

正解：ア

解説

ア：正解です。システム監査人は、監査結果を監査依頼者に報告します。
イ：不適切です。利用部門のメンバーだけでは、独立性が弱くなります。
ウ：不適切です。専門家の支援を受けても、判断責任はシステム監査人にあります。
エ：不適切です。開発部門が監査対象の場合、開発部門員だけで監査すると独立性が弱くなります。

👉 判断ポイント
報告先・独立性・責任の所在 を確認します。

まとめ（試験直前用）

システム監査人は、監査結果を 監査依頼者に報告 する
監査対象部門の人だけで監査すると、独立性 の観点で不適切になりやすい
開発部門と運用部門が異なる場合は、双方から独立した者を監査人にする
専門家の支援を受けても、監査結果の判断責任は システム監査人 にある
監査人は改善作業の担当者ではなく、客観的に確認して報告する立場

FE試験では、

誰が監査するか、誰に報告するか、誰が責任を持つか

で選択肢を切ると判断しやすいです。

迷ったら、まず 独立性が保たれているか を確認しましょう。