保証型監査と助言型監査の違い【SG試験】

まず結論

保証型監査と助言型監査の違いは、監査の目的が「適切性を示すこと」か「改善に役立つ助言をすること」かです。

保証型監査：基準に照らして適切に行われているかを確認し、結果を示す
助言型監査：問題点を見つけ、改善に役立つ助言を行う

SG試験では、保証型監査と助言型監査を、単なる監査方法の違いとしてではなく、監査を受ける目的の違いとして判断することが大切です。

選択肢では、次のような迷わせ方に注意します。

保証型なのに、改善提案が主目的のように書かれている
助言型なのに、適切性を保証するように書かれている
監査人が自由に種類を決めるように書かれている

まずは、保証＝適切性を示す、助言＝改善につなげると押さえましょう。

直感的な説明

保証型監査と助言型監査は、学校のテストで考えると分かりやすいです。

保証型監査は、テストの結果を見て、

この基準を満たしています

と示すイメージです。

一方、助言型監査は、テストの結果を見て、

ここを直すと、もっと良くなります

とアドバイスするイメージです。

どちらも監査なので、基準や証拠にもとづいて確認します。

ただし、見ているゴールが違います。

保証型監査は、利害関係者に「適切に行われている」と示すことが中心
助言型監査は、組織の内部改善に役立てることが中心

SG試験では、文章中に「結果を外部に示す」「適切性を保証する」とあれば保証型を考えます。
「問題点を指摘する」「改善提案を行う」とあれば助言型を考えます。

定義・仕組み

情報セキュリティ監査では、目的によって監査の型が分かれます。

現在の経済産業省の資料では、従来の「保証」「助言」という表現について、誤解を避けるために「アシュアランス」「アドバイザリー」という表現も使われています。意味が大きく変わったわけではなく、試験対策では次のように理解すると整理しやすいです。

従来の表現	近い表現	目的
保証型監査	アシュアランス型監査	適切性について信頼できる結果を示す
助言型監査	アドバイザリー型監査	改善に役立つ助言を行う

経済産業省の情報セキュリティ監査基準実施基準ガイドラインでも、アシュアランスを目的とする監査と、アドバイザリーを目的とする監査を区別する考え方が示されています。

保証型監査

保証型監査は、監査対象が一定の基準に照らして適切かどうかを確認し、その結果を示す監査です。

たとえば、情報セキュリティ対策が管理基準に沿って整備・運用されているかを確認し、その結果を利害関係者に示すような場面で使われます。

ここでいう保証は、絶対に事故が起きないことを保証するという意味ではありません。

監査手続を実施した範囲で、証拠にもとづいて、適切性について一定の信頼を与えるという意味です。

助言型監査

助言型監査は、監査対象の問題点や改善点を見つけ、改善に役立つ助言を行う監査です。

たとえば、アクセス権限の管理に不備がある、ログ確認のルールがあいまい、委託先管理の記録が不足しているといった点を指摘し、改善の方向性を示します。

助言型監査は、改善に役立つことが目的です。

そのため、保証型監査のように「適切性について保証する」ことが主目的ではありません。

どんな場面で使う？

保証型監査は、監査結果を外部や利害関係者に示したい場面で使われやすいです。

たとえば、次のような場面です。

取引先にセキュリティ管理の適切性を示したい
経営者や利害関係者に管理状況を説明したい
情報セキュリティ対策が基準に沿っているかを確認したい

一方、助言型監査は、内部改善に役立てたい場面で使われやすいです。

たとえば、次のような場面です。

情報セキュリティ対策の弱点を洗い出したい
運用ルールの不備を改善したい
アクセス管理やログ管理の見直しにつなげたい
委託先管理の確認方法を改善したい

ここで重要なのは、どちらが優れているかではなく、目的が違うという点です。

SG試験では、次のように判断すると選択肢を切りやすくなります。

外部に結果を示す、適切性を示す → 保証型監査
問題点を指摘する、改善を提案する → 助言型監査

また、どちらの型で監査を行うかは、監査人が勝手に決めるものではありません。監査の目的や依頼者側のニーズをふまえて、事前に明確にしておく必要があります。

よくある誤解・混同

誤解1：保証型監査は「事故が起きない保証」である

これはよくある誤解です。

保証型監査の保証は、セキュリティインシデントが絶対に起きないことを約束する意味ではありません。

監査で集めた証拠や実施した手続の範囲で、基準に照らして適切性を評価し、その結果を示すという意味です。

選択肢で「保証型監査を受ければ、不正アクセスや情報漏えいが発生しないことを保証できる」とあれば誤りです。

誤解2：助言型監査は正式な監査ではない

助言型監査も、監査の一つです。

ただし、目的は保証を与えることではなく、改善に役立つ助言を行うことです。

そのため、助言型監査では、問題点の指摘や改善提案が中心になります。

誤解3：保証型と助言型を同時に同じ目的で行えばよい

保証型監査と助言型監査は、目的が異なります。

同じ監査対象に対して、同時に両方の目的を混ぜてしまうと、独立性や客観性が弱くなるおそれがあります。

たとえば、監査人が改善案を作り込み、その直後に同じ監査人がその内容を保証するような形になると、自分の助言を自分で評価することになりやすいです。

SG試験では、保証と助言を混ぜすぎていないかを見ることが大切です。

誤解4：内部監査と助言型監査は同じ意味である

内部監査と助言型監査は、分類の軸が違います。

内部監査・外部監査：誰が監査するか
保証型監査・助言型監査：何を目的に監査するか

内部監査だから必ず助言型、外部監査だから必ず保証型、と決めつけるのは危険です。

SG試験では、分類の軸を分けて考えましょう。

まとめ（試験直前用）

保証型監査と助言型監査は、目的の違いで切り分けます。

試験では、次の基準で判断しましょう。

保証型監査：基準に照らして適切性を評価し、結果を示す
助言型監査：問題点を指摘し、改善に役立つ助言を行う
保証は絶対安全の約束ではない：監査手続と証拠にもとづく評価
分類の軸を混ぜない：内部・外部は監査主体、保証・助言は監査目的

選択肢では、「適切性を示す」なら保証型、「改善を提案する」なら助言型と考えると、ひっかけを切りやすくなります。

🔗 関連記事

🏠 情報セキュリティマネジメントトップに戻る