システム監査とは？情報システムの有効性を保証・助言する活動【SG試験】

まず結論

システム監査とは、情報システムの利活用や管理が適切に行われているかを、独立した立場から証拠にもとづいて評価し、保証または改善の助言を行う活動です。

SG試験では、システム監査を「システムの不具合を探す作業」とだけ考えると迷いやすくなります。

ポイントは、次の3つです。

対象は、情報システムやその管理全体
判断は、基準と証拠にもとづく
目的は、保証または改善の助言

選択肢では、システム監査人が直接システムを開発したり、運用作業を担当したりするように書かれていたら注意です。システム監査人は、基本的に評価する立場です。

このページで切り分けること（先にここだけ）

このページは、システム監査の目的を中心に整理します。

システム監査：情報システムに関するリスクとコントロールを評価し、保証・助言する
脆弱性検査：ネットワークやソフトウェアの弱点を技術的に探す
SWOT分析・CMMI：経営戦略や開発組織の成熟度を整理する別の手法

迷ったら、「独立した監査人が、リスクに対するコントロールを評価する話か」を見ます。それならシステム監査の論点です。

SG試験で選択肢を切る判断軸（システム監査編）

「情報システムに関するリスク」「コントロールの整備・運用」「ITガバナンス」 → システム監査
「社内ネットワークの脆弱性をテストで見つける」 → 脆弱性検査やセキュリティテスト
「強み・弱み・機会・脅威」または「開発組織の成熟度」 → SWOT分析やCMMIであり、システム監査の目的ではない

直感的な説明

システム監査は、会社の情報システムに対する「健康診断」のようなものです。

情報システムは、導入して終わりではありません。

業務に役立っているか
安全に運用されているか
障害や不正への対策があるか
権限管理やログ管理が適切か
経営や業務の目的に合っているか

といった点を確認する必要があります。

たとえば、販売管理システムがあったとして、画面が動くかどうかだけを確認しても十分ではありません。

システム監査では、

承認ルールが守られているか
データの修正履歴が残っているか
権限が必要な人だけに付与されているか
障害時の復旧手順が用意されているか

といった、情報システムを安全かつ有効に使うための管理を確認します。

つまり、システム監査は「システムそのもの」だけでなく、システムを使う組織の管理のしかたも見る活動です。

定義・仕組み

システム監査では、専門性と客観性を備えたシステム監査人が、一定の基準にもとづいて情報システムを点検・評価・検証します。

主な流れは、次のように考えると分かりやすいです。

監査の目的と対象を決める どのシステム、どの業務、どの管理プロセスを確認するかを決めます。
基準を決める 法令、規程、契約、システム監査基準、社内ルールなど、何に照らして判断するかを明確にします。
監査証拠を集める 設計書、運用記録、ログ、承認履歴、障害記録、ヒアリング結果などを確認します。
評価・検証する 基準と実際の運用を比べ、適切に管理されているかを判断します。
報告・助言する 監査結果をまとめ、必要に応じて改善につながる助言を行います。

経済産業省のシステム監査基準では、情報システムに関するガバナンス、マネジメント、コントロールの適切性などを確認する考え方が示されています。

過去問では平成16年版の表現で出題されることがありますが、SG試験で見るべき中心は同じです。情報システムに関するリスクに対して、必要なコントロールが整備・運用されているかを、独立した専門的な立場で評価し、保証または助言によってITガバナンスに役立てるという流れで押さえます。

SG試験では、細かい基準名を暗記するよりも、システム監査は、情報システムを組織として適切に管理できているかを確認する活動と押さえることが大切です。

システム監査の基本手順

SG試験では、システム監査の順序も問われます。

手順	内容	選択肢での判断
監査計画	目的、対象、範囲、手続、日程などを決める	最初に行う
予備調査	対象システムの概要、資料、ログの所在などを確認する	計画後の準備
本調査	証拠を集め、設定・運用・管理状況を確認する	実際の確認作業
監査報告	指摘事項や改善提案をまとめる	調査後
フォローアップ	改善状況を確認する	報告後

監査の着手段階を問う選択肢では、いきなり設定変更や脆弱性検査を行うのではなく、まず目的・範囲・手続を計画すると判断します。

たとえば、サーバの監査であっても、最初に脆弱性検査ツールを実行するとは限りません。監査目的、監査範囲、確認する証拠、手順を決めてから、ログの所在確認や本調査に進みます。

システム監査人の独立性と専門能力

システム監査人には、独立性・客観性・専門能力が求められます。

SG試験では、外観上の独立性 と 専門能力 を混同させる選択肢に注意します。

観点	意味	例
外観上の独立性	監査対象から独立した立場に見えること	システム監査人の所属を内部監査部門にする
精神上の独立性	監査人が公正・客観的な判断を保つこと	利害や圧力に左右されず判断する
専門能力	監査に必要な知識・技法を備えること	継続的学習、監査技法研修、必要な知識・経験の明確化

選択肢で「継続的学習」「研修制度」「知識や経験」とあれば、独立性ではなく専門能力の論点です。一方、「監査対象部門から独立した所属」「内部監査部門」などは、外観上の独立性を保つ措置として判断します。

監査証拠として扱えるもの

監査証拠は、監査人が結論を出すために確認する客観的な資料・記録です。

SG試験で「監査証拠となるもの」を問われたら、監査チームが作った意見や計画ではなく、被監査部門から入手した運用記録、ログ、帳票、トランザクションデータ、質問票の回答などを優先して考えます。

問われ方	監査証拠としての見方
被監査部門から入手した運用ログや処理記録	実際の運用状況を裏付けるため、監査証拠になり得る
監査結果をまとめた報告内容	監査結果そのものであり、証拠そのものではない
監査の範囲や手順を定めた計画文書	何を監査するかの計画であり、証拠ではない
監査チーム内で意見を整理した記録	検討過程の記録であり、運用実態の証拠とは切り分ける

迷ったら、「監査対象の実態を裏付ける一次的な記録か」を確認します。

どんな場面で使う？

システム監査は、情報システムの管理状況を客観的に確認したい場面で使います。

たとえば、次のような場面です。

新しい業務システムを導入した後、管理が適切か確認する
アクセス権限の付与や削除がルールどおりか確認する
障害対応やバックアップの運用が適切か確認する
委託先に任せているシステム運用が契約どおりか確認する
システム変更時の承認やテストが実施されているか確認する

ここで注意したいのは、システム監査はシステム開発そのものを行う活動ではないという点です。

たとえば、監査でバックアップ手順に問題が見つかった場合、システム監査人は問題点を指摘し、改善を助言します。

しかし、バックアップ設定を実際に変更するのは、通常は運用担当者やシステム管理者の役割です。

SG試験では、選択肢に次のような表現がある場合は注意しましょう。

システム監査人がシステムの設計を担当する
システム監査人が運用手順を直接実行する
証拠を確認せず、担当者の説明だけで適切と判断する

システム監査は、あくまで独立した立場から確認・評価・報告・助言する活動です。

よくある誤解・混同

システム監査と情報セキュリティ監査の違い

システム監査は、情報システムの利活用や管理全体を対象にします。

一方、情報セキュリティ監査は、情報資産を守るためのセキュリティ管理策や対策が適切かを確認します。

用語	主な対象	見るポイント
システム監査	情報システム全体	ガバナンス、マネジメント、コントロール
情報セキュリティ監査	情報資産・セキュリティ対策	機密性、完全性、可用性を守る管理策

SG試験では、情報システム全体の管理を見るならシステム監査、情報資産を守る管理策を見るなら情報セキュリティ監査と切り分けると判断しやすいです。

システム監査とシステムテストの違い

システムテストは、開発したシステムが要求どおりに動くかを確認するテストです。

一方、システム監査は、情報システムの管理や運用が適切かを評価する活動です。

つまり、システムテストは「作ったシステムが動くか」を確認し、システム監査は「システムが組織として適切に管理されているか」を確認します。

システム監査人は運用担当者ではない

システム監査人は、情報システムの運用を代わりに行う人ではありません。

監査人が運用作業まで担当してしまうと、自分で行った作業を自分で評価することになり、客観性が弱くなります。

SG試験では、監査人の役割を問う選択肢で、直接実施するという表現が出てきたら慎重に見ましょう。

システム監査人の基本は、

確認する
評価する
報告する
助言する

という立場です。

保証と助言の違い

システム監査には、保証型と助言型の考え方があります。

種類	目的	判断のポイント
保証型監査	適切に行われているかを確認し、結果を示す	利害関係者に安心材料を示す
助言型監査	問題点を指摘し、改善を提案する	改善につなげる

保証型は「適切かどうかを評価して示す」、助言型は「より良くするために提案する」と考えると整理しやすいです。

SWOT分析・脆弱性検査・CMMIとの違い

システム監査の目的は、ITシステムに関するリスクへのコントロールを評価し、保証や助言を行うことです。

似た選択肢は、次のように切り分けます。

用語	主な目的	システム監査との違い
SWOT分析	強み・弱み・機会・脅威を整理し、戦略立案に使う	経営戦略の分析であり、監査ではない
脆弱性検査	ネットワークやソフトウェアの弱点を技術的に見つける	技術的な弱点検出が中心
CMMI	開発組織のプロセス成熟度を高める	開発能力・プロセス改善が中心
システム監査	リスクに対するコントロールを評価し、保証・助言する	ITガバナンスへの寄与が目的

SG試験では、「ITガバナンス」「リスク」「コントロール」「保証・助言」がそろう選択肢を優先して判断します。

確認問題（SG試験対策）

システム監査を実施する目的として最も適切なものはどれか。

ア. 自社の強みや弱み、外部環境の機会や脅威を整理し、経営戦略を立案する。
イ. 運用担当部門がネットワークの脆弱性を技術的に検査し、設定不備を修正する。
ウ. 情報システムに関するリスクへのコントロールが適切に整備・運用されているかを評価し、保証や助言によりITガバナンスに寄与する。
エ. ソフトウェア開発プロセスの成熟度を評価し、開発組織の能力向上を目的に改善する。

▶ クリックして答えと解説を見る（ここを開く）

正解：ウ

解説

ア：SWOT分析の目的です。強み・弱み・機会・脅威を整理する話です。
イ：脆弱性検査やネットワーク環境の整備に近い説明です。システム監査人による保証・助言の話ではありません。
ウ：正解です。リスクに対するコントロールを評価し、保証や助言によってITガバナンスに寄与するため、システム監査の目的です。
エ：CMMIなど開発プロセス成熟度改善の目的です。システム監査の目的とは異なります。

👉 判断ポイントシステム監査は、リスク・コントロール・独立した評価・保証または助言・ITガバナンスで判断します。

まとめ（試験直前用）

システム監査は、情報システムの有効性や管理状況を、証拠にもとづいて客観的に評価する活動です。

試験では、次の基準で選択肢を切り分けましょう。

対象は情報システム全体か：開発・運用・管理・統制まで広く見る
証拠にもとづいているか：ログ、記録、手順書、承認履歴などを確認する
監査証拠かどうか：監査対象の実態を裏付ける運用記録などを優先する
監査人の立場は独立しているか：直接運用する人ではなく、評価する人
目的は保証か助言か：結果を示すのか、改善を提案するのかを分ける

システム監査は、単なる動作確認や不具合探しではありません。 情報システムを組織として適切に使い、管理できているかを確認する活動として押さえておきましょう。

🔗 関連記事

🏠 情報セキュリティマネジメントトップに戻る