最終更新日：2026年8月28日
fe fe-management system-audit governance
まず結論
システム監査とは、情報システムが適切に管理・運用されているかを、独立した立場から確認する活動です。
FE試験では、細かい監査手続よりも、次の4点がよく問われます。
- 監査人は、監査結果を監査依頼者に報告する
- 監査対象から独立していることが大事
- インタビューで得た情報は、文書や記録などの客観的証拠で裏付ける
- 専門家の支援を受けても、判断責任はシステム監査人にある
つまり、システム監査は
誰が監査するか、何を根拠に判断するか、誰に報告するか、誰が責任を持つか
で切り分けると判断しやすいです。
直感的な説明
システム監査は、健康診断に近いイメージです。
体の状態を自分だけで判断すると、見落としが出ることがあります。
そこで、医師が客観的に確認します。
システム監査も同じです。
- システムは安全に運用されているか
- ルールどおりに管理されているか
- 問題があったときに改善できる状態か
を、客観的な立場で確認します。
ここで大事なのは、自分たちの仕事を自分たちだけで監査しない ことです。
また、担当者が「きちんと実施しています」と説明しただけで終わるのではなく、記録やログなどを確認して、その説明が事実と合っているかを確かめます。
詳しい人が見ることも大事ですが、それ以上に、監査では 独立性と客観的な証拠 が重視されます。
定義・仕組み
システム監査人の役割
システム監査人は、情報システムに関する管理・運用・開発などを確認し、監査結果をまとめます。
主な役割は次のとおりです。
- 監査計画を立てる
- 監査手続を実施する
- 証拠を集めて評価する
- 監査結果を報告する
ポイントは、システム監査人が 改善作業そのものを担当する人ではない ことです。
監査人は、問題点や改善の必要性を報告します。
その報告をもとに、監査依頼者や組織側が改善を進めます。
監査依頼者への報告
システム監査人は、実施した監査の結果を、監査依頼者に報告します。
FE試験では、次の流れで考えると分かりやすいです。
- 監査依頼者が監査を依頼する
- システム監査人が監査を実施する
- システム監査人が監査結果を報告する
- 監査依頼者や組織が改善指示・改善対応を行う
つまり、
監査人は報告する人、改善を指示するのは報告を受けた側
と分けます。
独立性
システム監査では、監査人の独立性が重要です。
独立性とは、監査対象から影響を受けずに、客観的に判断できる状態のことです。
たとえば、情報システム部門の開発状況を監査する場合に、その情報システム部門のメンバーだけで監査チームを作るのは不適切になりやすいです。
理由は、
自分たちの仕事を、自分たちで評価する形になる
からです。
FE試験では、
- 利用部門を監査するのに、利用部門の人だけで監査する
- 開発部門を監査するのに、開発部門の人だけで監査する
という選択肢は、独立性の観点から疑います。
開発部門と運用部門の両方が監査対象になる場合
システムを開発した部門と、実際に運用している部門が異なることがあります。
たとえば、
情報システム部
→ 会計システムを開発
経理部
→ 会計システムを運用
という場合です。
このとき、監査対象は情報システム部だけではありません。経理部の運用手順、アクセス権限、入力確認、障害対応なども確認対象になります。
そのため、監査人は次のどちらにも所属しない立場が適切です。
開発した部門
にも所属しない
運用している部門
にも所属しない
短く整理すると、
監査する人
≠ 作った人
≠ 運用している人
です。
また、所属部署が別でも、監査対象部門長の直属であれば、指揮命令の影響を受ける可能性があります。
| 監査人の立場 | 判断 |
|---|---|
| 開発部門の担当者 | 自己監査になりやすい |
| 運用部門の担当者 | 自己監査になりやすい |
| 監査対象部門長の直属 | 独立性が弱くなりやすい |
| 開発・運用の双方から独立した者 | 適切 |
FE試験では、詳しい部門を選ぶのではなく、監査対象から独立した立場を選ぶのが基本です。
インタビューと監査証拠
監査では、担当者へのインタビューは重要な情報収集手段です。
ただし、インタビューで得た回答だけを、そのまま監査の結論にするのは適切ではありません。
たとえば、担当者から
毎月、利用者のアクセス権を見直しています。
と説明されたとします。
監査人は、必要に応じて次のような資料を確認し、説明を裏付けます。
- 利用者一覧
- 権限変更の申請書・承認記録
- アクセス権の変更履歴
- システムのログ
- 点検結果や作業記録
FE試験では、次の流れを覚えておくと判断しやすいです。
インタビューで情報を得る
↓
文書・記録・ログなどで裏付ける
↓
客観的な証拠をもとに評価する
つまり、
聞くことは情報収集、裏付けて初めて監査判断の根拠になる
と整理します。
また、インタビューの途中で不備に気付いても、監査人がその場で業務担当者に改善を命令するのが本来の役割ではありません。監査人は事実を確認・評価し、監査結果として報告します。
監査証拠と、それを使って何を確認しどう判断したかを残す監査調書の違いは、監査調書とは？監査計画・監査証拠・監査報告書との違いで整理しています。
情報セキュリティ監査でも同じ「ヒアリングだけで終わらず、証拠で確認する」という考え方を使います。セキュリティ監査の文脈でも理解を深めたい場合は、情報セキュリティ監査とは？目的と監査人の役割を整理も参考になります。
専門家の支援を受ける場合
システム監査人が、ほかの専門家の支援を受けることはあります。
たとえば、
- セキュリティの専門家
- ネットワークの専門家
- 法務や会計の専門家
などです。
ただし、支援を受けても、監査の利用範囲・方法・結果の判断などは、システム監査人の責任で行います。
ここがひっかけです。
専門家に聞くのはOK。判断責任を丸投げするのはNG。
と押さえます。
公式情報で確認する場合
制度や基準の原文を確認したい場合は、経済産業省の一次情報を参照できます。
FE試験対策では、基準文の丸暗記よりも、独立性・客観的証拠・報告先・責任の所在 を優先して押さえます。
監査項目を「何を守る対策か」で切り分ける
システム監査では、アクセス制御、変更管理、バックアップなど、さまざまな管理策を確認します。
FE試験で「機密性のチェックポイントはどれか」のように問われた場合は、管理策が良いか悪いかではなく、その管理策が何を守るためのものかで切り分けます。
| 監査で確認する内容 | 主に守るもの | 判断の合図 |
|---|---|---|
| アクセス権限・アクセス制御 | 機密性 | 許可された人だけが見られる |
| 変更の承認・変更管理 | 完全性 | 勝手に変更されない |
| バックアップ・冗長化 | 可用性 | 必要なときに使える |
たとえば、ソースコードのバージョン管理システムを監査する場合でも同じです。
誰がソースコードを見られるか
→ アクセス制御
→ 機密性
変更内容が承認されているか
→ 不正な変更を防ぐ
→ 完全性
どちらも重要な管理策ですが、守っている目的が違うことに注意します。
CIAそのものの切り分けは、機密性・完全性・可用性とは？CIAで情報セキュリティの3要素を切り分けるでも整理しています。
どんな場面で使う？
情報システムの運用状況を確認する場面
たとえば、次のような確認を行います。
- アクセス権限が適切に管理されているか
- バックアップがルールどおりに行われているか
- 障害対応の手順が整っているか
- セキュリティ対策が運用されているか
システムを作るだけでなく、運用が適切かを見るのがポイントです。
システム開発の管理状況を確認する場面
システム開発では、次のような観点を確認します。
- 開発プロセスが管理されているか
- 変更管理ができているか
- テストやレビューが適切に行われているか
- 不正やミスを防ぐ仕組みがあるか
ただし、開発内容に詳しいからといって、開発部門の人だけで監査するのは不適切になりやすいです。
監査では、知識だけでなく 客観性 が必要です。
経営や管理者が改善判断を行う場面
システム監査の結果は、改善判断に使われます。
たとえば、
- セキュリティルールを見直す
- 運用手順を改善する
- 権限管理を強化する
- 外部委託先の管理を見直す
などです。
監査人は結果を報告し、改善の判断や指示は、監査依頼者や組織側が行います。
よくある誤解・混同
❌ インタビューで確認できれば、それだけで十分
これは誤りです。
インタビューは重要な監査手続ですが、担当者の説明だけに依存すると、事実と異なる情報や思い込みを見逃す可能性があります。
監査では、必要に応じて文書、記録、ログなどを確認し、説明を裏付けます。
FE試験では、
インタビュー → 客観的証拠で裏付ける
という流れで判断します。
❌ インタビュー中に不備を見つけたら、その場で改善を指示する
これも役割の混同です。
監査人は、不備を確認・評価し、監査結果として報告します。改善の判断や指示は、監査依頼者や組織側が行います。
❌ 詳しい人なら、監査対象の部門員でもよい
これは注意が必要です。
詳しい人が関わること自体は役に立ちます。
しかし、監査対象の部門員だけで監査チームを作ると、独立性が弱くなります。
FE試験では、
詳しいかどうかより、独立しているか
を見ます。
❌ 専門家に支援してもらったら、専門家が監査結果に責任を持つ
これは誤りです。
専門家の支援を受けても、監査結果の判断責任はシステム監査人にあります。
- 専門家の支援を受ける → OK
- 判断責任を専門家に移す → NG
この違いが大事です。
❌ システム監査人が改善指示まで行う
これも混同しやすいです。
システム監査人は、監査結果を報告します。
改善指示や改善対応は、監査依頼者や組織側が行います。
監査人の役割は、客観的に確認し、結果を報告することです。
❌ 業務監査の一部なら、利用部門のメンバーで監査してよい
業務をよく知っていることは強みです。
しかし、利用部門が監査対象になる場合、その利用部門のメンバーだけで監査すると、自己監査に近くなります。
FE試験では、独立性の観点から不適切と判断しやすいです。
❌ 承認されていれば機密性も守られている
変更結果を責任者が承認していることは重要ですが、これは主に完全性の観点です。
機密性では、
誰がアクセスできるか
を確認します。
そのため、バージョン管理システムのソースコードを守る問題では、
- 変更承認 → 完全性
- アクセスコントロール → 機密性
と切り分けます。
確認問題（FE試験対策）
システム監査の実施に関する記述として、最も適切なものはどれか。
- ア. インタビューで得た情報は、必要に応じて文書や記録などの客観的証拠で裏付ける。
- イ. インタビュー中に不備を発見した場合、システム監査人がその場で改善を命令する。
- ウ. 監査対象の業務を最もよく知る担当部門員だけで監査を行う。
- エ. 専門家の支援を受けた場合、監査結果の判断責任は専門家に移る。
▶ クリックして答えと解説を見る（ここを開く）
正解：ア
解説
- ア：正解です。インタビューは情報収集の手段であり、必要に応じて文書・記録・ログなどで裏付けます。
- イ：不適切です。監査人は不備を確認・評価して報告する立場であり、その場で業務担当者に改善を命令する立場ではありません。
- ウ：不適切です。監査対象部門員だけでは、独立性が弱くなります。
- エ：不適切です。専門家の支援を受けても、判断責任はシステム監査人にあります。
👉 判断ポイント
インタビューだけで終わらず、客観的証拠で裏付ける と覚えます。
まとめ（試験直前用）
- システム監査人は、監査結果を 監査依頼者に報告 する
- インタビューは有効だが、文書・記録・ログなどで裏付ける
- 監査対象部門の人だけで監査すると、独立性 の観点で不適切になりやすい
- 専門家の支援を受けても、監査結果の判断責任は システム監査人 にある
- 監査人は改善作業の担当者ではなく、客観的に確認して報告する立場
- セキュリティ監査項目は、アクセス制御→機密性、変更管理→完全性、バックアップ→可用性 と目的で切り分ける
FE試験では、
誰が監査するか、何を根拠に判断するか、誰に報告するか、誰が責任を持つか
で選択肢を切ると判断しやすいです。
インタビューが出てきたら、聞いた内容を客観的な証拠で裏付けているかを確認しましょう。