システム監査は、午前1（科目A-1）の中で最も「計算しない」分野です。公式も図も要りません。その代わりに問われるのが、言葉づかいの精度です。監査人は改善を指示するのか、勧告するのか。監査調書を保管するのは誰か。予備調査と本調査はどちらが先で、それぞれ何をするのか。正解と不正解の差が、たった一語の動詞に凝縮されています。
裏を返せば、この分野は覚える量が少ないわりに確実に取れる得点源です。用語の輪郭さえ正確に持っていれば、選択肢を読んだ瞬間に「これは監査人がやることではない」と切り捨てられます。本記事では、その輪郭の作り方を整理します。
なお、SC試験は2026年度からCBT方式へ移行し、試験区分の名称も変更されます。午前Ⅰが科目A-1、午前Ⅱが科目A-2、午後が科目Bという呼び方になります。これはIPAの試験要綱Ver.5.6（2026年10月の試験から適用）に反映済みで、出題範囲・出題数・試験時間に変更はありません。制度変更の詳細は「【2026年度版】情報処理安全確保支援士試験のCBT化で何が変わる？科目A/科目Bの新名称と対策の変え方」で解説しています。本記事では検索でたどり着きやすい「午前1」の呼称を主軸にしつつ、新名称を併記して進めます。
筆者はIT企業でインフラエンジニアとしてサーバーやルーターの設定・設計を担当したのち、事業会社のCIOとして社内のIT統制の責任を負う立場になりました。当時は将来の株式上場に向けてガバナンスの土台を作り始めたばかりの時期で、世間ではJ-SOX（金融商品取引法に基づく内部統制報告制度）対応が盛んに議論されていました。自社はまだ上場前で適用対象ではなかったため仰々しいJ-SOX対応は行いませんでしたが、それでも「誰が承認し、誰が実行し、誰が記録を残すのか」を決める作業からは逃げられませんでした。システム監査の設問に出てくる職務分掌や証跡の話は、そのときの資料作りそのものです。試験の用語だと思うと退屈ですが、組織を動かすための道具だと思うと急に輪郭がはっきりします。
本シリーズの全体戦略は導入記事「元CIOが実践するスタミナ温存術！「コスパ極振り」最短エスケープルート・完全版ロードマップ」に、前回のサービスマネジメントは「サービスマネジメントを攻略！SLAと稼働率計算・インシデント管理と問題管理の頻出パターン完全ガイド」にまとめています。本記事は第10回、マネジメント系（第2部）の最終回です。
この記事で学べること
- 午前1のシステム監査で「取る問題」と「捨てる問題」の線引き
- システム監査の目的と、監査人に求められる独立性・客観性・慎重な姿勢
- 監査計画から予備調査・本調査・報告・フォローアップまでの手順
- 監査証拠と監査調書の役割、保管責任という定番の引っかけ
- チェックリスト法から並行シミュレーション法まで、監査技法の使い分け
- 内部統制の4つの目的と6つの基本的要素、可監査性の考え方
- IT全般統制（ITGC）とIT業務処理統制（ITAC）の違い
- システム監査基準とシステム管理基準の役割の違い
- 午前1で狙われる言い換え（指示と勧告、指摘と助言）の総まとめ
午前1のシステム監査は「言葉づかいの精度」で取り切る
最初に投資先を決めます。システム監査は範囲が狭く、問われ方も固定されています。深追いせず、頻出の輪郭だけを正確に持つのが効率的です。
午前1は30問中18問で通過する試験
午前1は30問出題され、100点満点中60点以上で通過します。18問取れれば十分です。テクノロジ系・マネジメント系・ストラテジ系の全分野から出題され、マネジメント系は全体でおおむね4〜5問、そのうちシステム監査・内部統制からは1問前後というのが標準的な配分です。
出題数だけ見れば小さな分野ですが、優先度は高いと考えています。理由は3つあります。第一に、計算がなく暗記量も少ないため、投下時間あたりの得点効率が高いこと。第二に、選択肢が日本語の意味を問う形なので、当日の体調に左右されにくいこと。第三に、ここで身につけた「統制」の考え方が、SC試験本体の午後で必ず効いてくることです。
取る問題：独立性、監査手順、監査技法、内部統制の要素
優先して押さえるのは次の4つです。
1つ目は監査人の独立性と客観性です。 外観上の独立性と精神上の独立性の違い、監査人が自分の設計したシステムを監査できない理由を説明できるようにします。
2つ目は監査の手順です。 監査計画から予備調査、本調査、評価・結論、監査報告、フォローアップまでの並び順と、各段階で何をするかを言えるようにします。
3つ目は監査技法です。 特にコンピュータ支援監査技法（CAAT）の4種類は、名前と中身を結びつける形で繰り返し問われます。
4つ目は内部統制の4つの目的と6つの基本的要素です。 丸暗記が必要な数少ない箇所ですが、6つは語呂で覚えれば数分で終わります。
捨てる問題：基準の条文番号と監査報告書の様式
逆に、時間をかけない領域も決めます。システム監査基準・システム管理基準の項目番号や条文の逐条確認、監査報告書の書式や記載順序の細部、公認情報システム監査人（CISA）などの資格制度の詳細は、労力に対する見返りが小さい部分です。基準の名前と位置づけだけ押さえ、出たら消去法で当てにいく判断で構いません。
動詞ひとつで正誤が決まる分野
この分野の問題は、名詞ではなく動詞で正誤が分かれます。「勧告する」と「指示する」、「確かめる」と「実施する」、「意見を表明する」と「責任を負う」。どれも日常会話では似た意味に感じますが、監査の文脈では正反対の立場を表します。
新卒エンジニアに教えていた頃、この手の設問を「日本語の問題だから常識で解ける」と考えて落とす人をよく見ました。常識で解こうとすると、たいてい「監査人が問題を見つけて直してあげる」という善意のストーリーを選んでしまいます。監査人が直してしまったら、次はその修正を誰が監査するのでしょうか。この一点を押さえるだけで、選択肢の半分が消えます。
テンプレート集
＋おまけ：毎日1通の無料メール講座つき。登録した日が「1日目」、図解と論理で16週間かけて基礎も固まります。
システム監査の目的と監査人に求められる姿勢
まず、システム監査が何のための活動なのかを固めます。ここが曖昧なままだと、後続の手順や技法がただの暗記になります。
システム監査とは何をする活動か
システム監査とは、専門性と客観性を備えた監査人が、情報システムやそれを取り巻く体制・運用が適切であるかを、一定の基準に基づいて検証・評価し、関係者に報告するとともに助言・勧告を行う活動です。目的は、情報システムに関わるリスクをコントロールし、組織の目標達成に貢献すること、そして情報システムに対する信頼性を確保することにあります。
ここで大事なのは、監査は「粗探し」ではないという点です。監査の対象は個人の落ち度ではなく、統制が仕組みとして機能しているかどうかです。「担当者が手順を守らなかった」で終わらせず、「手順を守らなくても業務が回ってしまう仕組みになっていた」と捉えるのが監査の視点です。
なお、システム監査と情報セキュリティ監査は目的と基準が異なります。両者の違いは「【図解】システム監査と情報セキュリティ監査の違いを徹底解説」で詳しく整理しています。午前1では両者を混同させる選択肢が出ることがあるため、対象範囲の広さ（システム監査は情報システム全般、情報セキュリティ監査は情報セキュリティに特化）で切り分けてください。
独立性には外観と精神の2種類がある
システム監査人に求められる最重要の要件が独立性です。試験ではこれが2つに分けて問われます。
外観上の独立性とは、監査対象から組織上・身分上・利害関係上で分離されていることです。第三者から見て「この人なら公正に判断できるだろう」と思える状態を指します。自分が開発に関わったシステムを監査する、監査対象部門に所属している、監査対象部門の業績評価を受ける立場にある、といった状況は外観上の独立性を損ないます。
精神上の独立性とは、監査人が自らの判断において、偏向を排し公正かつ客観的に監査を行う姿勢を保つことです。外形的には独立していても、忖度して結論を曲げるなら独立性は失われています。
外観上の独立性が問われる理由は、監査結果を受け取る側に「監査人の心の中」が見えないからです。だからこそ、まず外形で担保しておく必要があります。午前1では「監査人が過去に開発を担当したシステムを監査することの是非」という形でよく問われます。答えは、外観上の独立性が損なわれるため避けるべき、です。
客観性と職業倫理、そして慎重な姿勢
独立性に加えて、監査人には次の姿勢が求められます。
- 客観性：事実（監査証拠）に基づいて判断すること。印象や伝聞で結論を出さない
- 専門的能力：情報技術と監査の双方について、必要な知識と技能を継続的に維持すること
- 慎重な姿勢：職業専門家としての正当な注意を払って監査を実施すること（デュープロフェッショナルケア）
- 守秘義務：監査の過程で知り得た情報を正当な理由なく他に漏らさないこと
慎重な姿勢は、実務では「思い込みで結論を急がない」という意味になります。ある設定が誤っているように見えても、運用上の理由で意図的にそうしている可能性があります。証拠を確かめる前に指摘へ進むのは、監査人としての正当な注意を欠いた行為です。
内部監査と外部監査、保証型監査と助言型監査
監査は2つの軸で分類されます。この分類も午前1の定番です。
実施主体による分類
- 内部監査：組織内部の監査部門が実施する。経営者に対して報告し、業務改善を目的とすることが多い。組織の一員ではあるが、被監査部門からは独立している必要がある
- 外部監査：組織外部の独立した第三者が実施する。組織からの独立性が高く、対外的な信頼性の確保に向く
目的による分類
- 保証型監査：監査対象が基準に照らして適切であるかについて、監査人が意見（保証）を表明する。結論の形は「適正である」「不備がある」といった意見表明になる
- 助言型監査：改善が必要な点について、監査人が助言・提言を行う。結論の形は改善提案になる
引っかけとして多いのが、「内部監査は組織の一員が行うので独立性は不要」という選択肢です。誤りです。内部監査でも、被監査部門からの独立と、監査人自身の公正不偏の姿勢は必須です。組織からの独立性の度合いが外部監査より低いだけで、独立性そのものが不要になるわけではありません。
つまずきポイント：監査人は改善を「指示」しない
最頻出の引っかけがこれです。監査人が行うのは、事実の確認と評価、そして助言・勧告です。改善策を決めて実行するのは被監査部門であり、その責任は経営者と当該部門にあります。
なぜ分けるのか。監査人が改善策まで決めて実行させてしまうと、次の監査で監査人は自分の作った仕組みを評価することになります。これは外観上の独立性の毀損そのものです。「監査人が改善を指示する」「監査人が是正措置を実施する」「監査人が改善結果に責任を負う」という選択肢は、すべて誤りだと判断して構いません。
システム監査の手順：計画から改善指導まで
次に監査の流れを押さえます。並び順と、各段階の「やること」を対応づけられれば十分です。
監査計画：中長期計画と個別監査計画
監査は行き当たりばったりでは実施できません。まず監査計画を立てます。計画は階層構造になっており、数年単位の中長期計画、年度単位の年度計画、個々の監査案件ごとの個別監査計画に分かれます。
個別監査計画では、監査の目的、対象範囲、実施時期、担当者、監査手続の概要などを定めます。重要なのは、計画がリスクの大きさに基づいて作られる点です。限られた監査資源をどこに投じるかを決める作業なので、リスクの高い領域に厚く配分します。この考え方をリスクアプローチと呼びます。
もう一つの頻出論点は、監査計画は必要に応じて見直すという点です。監査の途中で新たなリスクが判明したり、対象システムの状況が変わったりした場合、計画を変更して構いません。「一度承認された監査計画は変更してはならない」という選択肢は誤りです。
予備調査と本調査は目的が違う
ここは順序と役割をセットで覚えます。
予備調査は、監査対象の概要を把握する段階です。関連する文書（規程、マニュアル、システム構成図、過去の監査報告書など）を閲覧し、担当者へのヒアリングを通じて、業務の流れと統制の全体像をつかみます。目的は、本調査で何をどこまで確かめるかを具体化することです。この段階では、まだ本格的な証拠収集は行いません。
本調査は、予備調査で立てた見立てを、実際の証拠によって検証する段階です。監査手続を実施して監査証拠を収集し、統制が意図どおりに設計され、かつ運用されているかを確かめます。監査の中心はここです。
学び始めの人がつまずくのは、予備調査を「軽い本調査」と捉えてしまう点です。予備調査は理解のための調査、本調査は証明のための調査、と目的で切り分けると混乱しません。
評価・結論から監査報告へ
本調査で集めた監査証拠を評価し、監査の結論を形成します。ここで監査人は、事実と評価を明確に分けて記述します。「ログが取得されていなかった」は事実であり、「そのためアクセスの事後追跡ができず、不正の発見が遅れるリスクがある」は評価です。
結論がまとまったら、監査報告書を作成し、監査の依頼者（通常は経営者）に提出します。ここも引っかけポイントで、報告先を「被監査部門の長」とする選択肢が出ますが、監査の依頼者に対して報告するのが原則です。被監査部門には、指摘事項の事実誤認を防ぐために事前に内容を確認してもらいますが、それは報告書の提出先とは別の話です。
監査報告書には、監査の目的と範囲、実施した監査手続の概要、監査の結論（保証意見または改善提案）、指摘事項と改善勧告などを記載します。
フォローアップは監査の一部
監査は報告書を出して終わりではありません。指摘した事項について、被監査部門が改善措置を講じたかどうかを確認する活動をフォローアップ（改善指導）と呼びます。
ここでも役割分担が問われます。改善措置を実施するのは被監査部門であり、監査人はその実施状況を確認し、必要に応じて助言します。監査人が改善作業そのものを代行するのは独立性の観点から不適切です。
つまずきポイント：手順の入れ替え問題に注意
午前1では、監査手順を並べ替えさせる問題や、「本調査の前に行うものはどれか」といった形で出題されます。特に紛らわしいのが次の2組です。
- 監査計画の策定と予備調査：計画が先。何を監査するか決めてから、対象を理解しにいく
- 本調査と評価・結論：証拠を集めてから評価する。評価の後に追加の証拠が必要と判断すれば本調査に戻ることもある
監査証拠と監査調書：監査の品質を支える2つの記録
監査の結論は、必ず証拠で裏づけられていなければなりません。証拠と、それを記録した調書の扱いは午前1の定番論点です。
監査証拠に求められる要件
監査証拠とは、監査人が監査の結論を裏づけるために入手した事実の記録です。システム設定の画面キャプチャ、アクセスログ、承認済みの申請書、担当者へのヒアリング記録などが該当します。
監査証拠には、十分性（結論を裏づけるのに足りる量があること）と適切性（監査目的に照らして関連性があり、証拠としての信頼性が高いこと）が求められます。信頼性の観点では、次の傾向を押さえておくと選択肢の判断が速くなります。
- 監査人が自ら入手・観察した証拠のほうが、被監査部門から提供された証拠より信頼性が高い
- 組織外部から入手した証拠のほうが、内部で作成された証拠より信頼性が高い
- 口頭による回答より、文書や記録として残っている証拠のほうが信頼性が高い
- システムが自動的に生成した記録は、人手で作成された記録より改ざんの余地が小さい
インタビューで得た証言だけを根拠に結論を出すのは、証拠の適切性の観点から不十分です。証言は、文書やログといった裏づけと突き合わせて初めて監査証拠として機能します。
監査調書の役割と保管責任
監査調書とは、監査の実施記録です。実施した監査手続、入手した監査証拠、そこから導いた判断の過程を記録します。監査調書の役割は3つあります。
- 監査の結論が適切な手続と証拠に基づいていることを示す（結論の裏づけ）
- 監査業務の品質管理とレビューを可能にする
- 次年度以降の監査の参考資料となる
そして最頻出の引っかけが保管責任です。監査調書を作成し、保管する責任を負うのは監査人です。被監査部門でも情報システム部門でもありません。監査調書には統制の弱点という機微な情報が含まれるため、被監査部門が保管したのでは記録の信頼性そのものが揺らぎます。
もう一点、監査調書の保管期間は、監査の目的や組織の規程に応じて定めます。「監査終了後ただちに廃棄する」という選択肢は誤りです。
監査技法：手作業の技法とコンピュータ支援監査技法
監査手続を実施する具体的な手段が監査技法です。名前と中身の対応を問う出題が中心なので、対応表として覚えます。
基本の監査技法
まず、コンピュータを使わない（または使うことが本質ではない）技法です。
- チェックリスト法：あらかじめ作成した質問票に回答してもらい、統制の整備・運用状況を確認する。網羅的だが、回答の裏づけが別途必要
- ドキュメントレビュー法：規程、設計書、運用手順書、議事録などの文書を閲覧して、統制の整備状況を確かめる
- インタビュー法：担当者に直接質問し、業務の実態や運用状況を聞き取る。文書と実態のズレを見つけるのに有効
- 突合法・照合法：関連する複数の記録を突き合わせ、整合しているかを確かめる。申請書と実際のアクセス権限設定を照合する、といった使い方
- 現地調査法：監査人が現場へ出向き、実際の作業や設備の状況を自ら観察する。入退室管理や機器の設置状況の確認に用いる
- ウォークスルー法：ある取引やデータの発生から最終的な記録に至るまでの流れを、実際の証跡をたどって追跡し、統制が意図どおり機能しているかを確かめる
現地調査法とウォークスルー法は混同されやすい組み合わせです。現地調査は「その場を見る」技法、ウォークスルーは「1件を最初から最後まで追いかける」技法だと整理してください。
コンピュータ支援監査技法（CAAT）とは
CAAT（Computer Assisted Audit Techniques）は、コンピュータを利用して監査手続を実施する技法の総称です。処理がシステム内部で完結する情報システムでは、入力と出力だけを見ても中の処理が正しいかは分かりません。この「見えない箱」の中を確かめるための技法群がCAATです。
大量データを扱えること、母集団全体を検証できること、人手では発見できない例外を抽出できることが利点です。午前1では次の4つの技法の識別が出ます。
テストデータ法、監査モジュール法、ITF法、並行シミュレーション法
- テストデータ法：監査人があらかじめ用意したテスト用のデータを対象システムに処理させ、出力結果が期待どおりかを確かめる技法。エラーになるべき異常データを意図的に投入し、正しく弾かれるかを検証する使い方が典型
- 監査モジュール法（組込み監査モジュール法）：対象プログラムの中に監査用のモジュール（コード）を組み込んでおき、通常の業務処理と並行して、条件に合致した取引を抽出・記録する技法。本番稼働中の処理を継続的に監視できる
- ITF法（Integrated Test Facility、統合テスト法・ミニカンパニー法）：本番システムの中に監査用の疑似的な部門やダミー口座を設けておき、そこへ向けたテスト取引を本番処理と一緒に流して結果を確かめる技法。本番環境で検証できる反面、テスト取引が実データに混入しないよう分離する仕組みが必要
- 並行シミュレーション法：監査人が本番と同等の処理を行う別のプログラムを用意し、同じ入力データを本番プログラムと監査人のプログラムの双方で処理して、結果を突き合わせる技法
このほか、汎用監査ソフトウェア（データを抽出・集計・分析する監査専用ツール）を用いる方法や、処理の途中段階でデータの内容を採取・出力し、処理過程の正しさを追跡するスナップショット法なども挙げられます。
つまずきポイント：テストデータ法とITF法の見分け方
この2つは、どちらも「テスト用のデータを流す」ため取り違えが起きます。見分けの軸は「本番処理と一緒に流すかどうか」です。
テストデータ法は、原則としてテスト用の環境やタイミングでテストデータを処理させます。ITF法は、本番稼働中のシステムに疑似的な部門・口座を組み込み、本番の実データと一緒にテスト取引を流します。だからこそITF法では、テスト取引が決算値や実績値に混ざらないよう除去する仕組みが不可欠になります。
また、監査モジュール法とITF法もセットで問われます。監査モジュール法は「実データを監視して抽出する」、ITF法は「テスト取引を流して結果を確かめる」という違いで整理してください。
内部統制とIT統制：統制の枠組みを押さえる
システム監査が評価する対象が内部統制です。ここは数少ない丸暗記ポイントですが、量は多くありません。
内部統制の4つの目的
内部統制とは、業務が適正に行われることを確保するために、組織の中に組み込まれ、組織内のすべての者によって遂行されるプロセスです。目的は4つあります。
- 業務の有効性及び効率性：事業活動の目的達成のため、資源を有効かつ効率的に使うこと
- 報告の信頼性：組織内外への報告の信頼性を確保すること
- 事業活動に関わる法令等の遵守：法令や社内規程を守ること
- 資産の保全：資産の取得・使用・処分が正当な手続のもとで行われるようにすること
2つ目は長らく「財務報告の信頼性」と表現されてきましたが、金融庁の内部統制の基準が2023年（令和5年）4月に改訂され、財務報告に限らない報告の信頼性へと範囲が広げられました。非財務情報の開示が重視されるようになったことが背景です。試験では古い表現の「財務報告の信頼性」が出ることもあるため、どちらも同じ枠の話だと理解しておけば対応できます。
6つの基本的要素
4つの目的を達成するための構成要素が6つあります。
- 統制環境：組織の気風を決め、他の5要素の基盤となる要素。経営者の誠実性と倫理観、経営方針、組織構造、人事の方針などが該当する
- リスクの評価と対応：目的の達成を阻害するリスクを識別・分析・評価し、対応（回避・低減・移転・受容）を選択する
- 統制活動：経営者の命令や指示が適切に実行されることを確保する方針と手続。職務分掌、承認手続、権限の付与などが該当する
- 情報と伝達：必要な情報が識別・把握・処理され、組織内外の関係者に正しく伝えられるようにする
- モニタリング：内部統制が有効に機能していることを継続的に評価する。日常的モニタリングと独立的評価に分かれる
- ITへの対応：組織目標を達成するためにあらかじめ適切な方針・手続を定め、業務の実施において組織の内外のITに対して適切に対応する
覚え方としては、「土台（統制環境）の上に、リスクを見て（リスクの評価と対応）、手を打ち（統制活動）、情報を流し（情報と伝達）、機能しているか見張る（モニタリング）。全体をITが支える（ITへの対応）」という一文で並びごと覚えるのが早いです。
引っかけの定番は、6要素に含まれないものを紛れ込ませる形です。「内部監査」「システム監査」「経営者の承認」などは、それ自体は6つの基本的要素の名称ではありません。特に内部監査はモニタリングのうちの独立的評価に位置づけられる活動であり、要素そのものではない点に注意してください。
IT全般統制とIT業務処理統制
内部統制のうちITに関わる部分は、2つの層に分けて捉えます。この区別は午前1でも午後でも問われます。
IT全般統制（ITGC：IT General Controls）は、業務処理統制が有効に機能する環境を保証するための統制です。個々の業務システムの外側にある、共通の土台と考えてください。
- システムの開発・保守に関する管理（変更管理、開発と運用の職務分離、テストと承認）
- システムの運用・管理（ジョブ管理、バックアップ、障害対応）
- 内外からのアクセス管理などのシステムの安全性の確保（ID管理、権限管理、ログの取得と監視）
- 外部委託に関する契約の管理
IT業務処理統制（ITAC：IT Application Controls）は、個々の業務システムの中で、処理が正確かつ網羅的に行われることを確保する統制です。
- 入力情報の完全性・正確性・正当性を確保する統制（入力チェック、必須項目の検証）
- 例外処理（エラー）の修正と再処理
- マスタデータの維持管理
- システムの利用に関する認証・アクセス権限の管理（アプリケーション単位のもの）
両者の関係で重要なのは、IT全般統制が有効でなければ、IT業務処理統制の有効性も信頼できないという点です。どれほど精緻な入力チェックを作り込んでも、開発者が本番プログラムを無断で書き換えられる環境なら、そのチェックが今も生きている保証はありません。土台が崩れれば上物も崩れる、という順序で覚えてください。
職務分掌と相互牽制
統制活動の中核が職務分掌です。1人の担当者が業務の全工程を単独で完結できないよう、役割を分けます。典型的には、申請する人・承認する人・実行する人・記録を検証する人を分離します。
分離の目的は、不正の実行と隠蔽を1人ではできなくすることです。この効果を相互牽制と呼びます。開発担当者が本番環境へ直接リリースできる状態は、職務分掌が機能していない代表例です。
事業会社でIT統制を担当していた頃、自社が外部の委託先になるケースが多く、委託元から様々な指示を受けていました。対応しなければ仕事がなくなるという事情もあり、委託元から求められる管理策を現場に徹底させるのには苦労しました。誰がどの権限を持つかを紙に書くのは1日で終わりますが、書いたとおりに運用が回るようにするのは別問題です。監査で見られるのは、まさにこの「書いたとおりに回っているか」の部分です。
可監査性（オーディタビリティ）
可監査性とは、情報システムの処理内容や過程について、事後に追跡・検証できる状態が確保されていることを指します。監査を実施できるかどうかは、対象システムの作りに依存します。
可監査性を確保するには、次のような設計・運用が必要です。
- 処理の履歴を追跡できる証跡（ログ、監査証跡）が取得・保存されていること
- 誰がいつ何をしたかを特定できるよう、個人が識別可能なIDで運用されていること
- ログが改ざんされないよう保護されていること
- 保存期間が、監査に必要な期間をカバーしていること
重要なのは、可監査性はシステムの設計段階から作り込む必要があるという点です。稼働後に「監査のためログを残したい」と言っても、そもそも出力していない情報は後から取り出せません。午前1では「可監査性を確保するために、システムの企画・開発段階から監査人が関与する」という趣旨の選択肢が正解になる形で出題されます。
システム監査基準とシステム管理基準の役割の違い
2つの基準は名前が似ているため、どちらが誰のためのものかが繰り返し問われます。ここは対比で覚えるのが確実です。
監査人の行為規範と、被監査側の実践規範
経済産業省が公表している2つの基準は、向いている方向が違います。
システム監査基準は、システム監査人の行為規範です。監査人が守るべき職業倫理、監査の体制、監査計画から報告・フォローアップまでの実施手順といった、監査をどう行うかを定めています。監査人が読むための基準です。
システム管理基準は、情報システムを企画・開発・運用・保守する組織側の実践規範です。ITガバナンス、企画フェーズ、開発フェーズ、運用フェーズ、保守フェーズなどについて、あるべき管理のあり方を示しています。同時に、監査人にとってはこれが判断の尺度（ものさし）になります。
一言でまとめるなら、システム監査基準は「監査人の手引き」、システム管理基準は「監査される側のあるべき姿であり、監査人にとっての物差し」です。午前1では「システム管理基準はシステム監査人の行為規範である」という入れ替え選択肢が出ます。誤りです。
なお、両基準は2023年（令和5年）4月に改訂されています。改訂では、監査にとって普遍的な内容を基準に残し、具体的な実施方法は民間団体が整備するガイドラインへ切り出す方針が採られました。なお、財務報告に係るIT統制を扱う「システム管理基準 追補版（財務報告に係るIT統制ガイダンス）」は、これとは別に2007年（平成19年）に公表された文書で、直近では2024年（令和6年）12月に改訂されています。試験対策としては、改訂年よりも2つの基準の向きの違いを優先して覚えてください。
情報セキュリティ監査基準・情報セキュリティ管理基準との対応
同じ構造の組み合わせが、情報セキュリティの領域にも存在します。情報セキュリティ監査基準が監査人の行為規範、情報セキュリティ管理基準が被監査側の管理策の尺度という関係です。情報セキュリティ管理基準はJIS Q 27001およびJIS Q 27002を基礎としています。
つまり、「監査基準は監査人向け、管理基準は組織向け」という対応関係が、システム監査と情報セキュリティ監査の両方で共通しています。この構造を1つ覚えれば、4つの基準を同時に整理できます。
監査の三様監査という視点
組織における監査には、システム監査以外にも会計監査（外部の監査法人による法定監査）、内部監査（内部監査部門による監査）、監査役監査（監査役・監査等委員による監査）があり、これらを合わせて三様監査と呼びます。システム監査は、内部監査部門が実施する場合もあれば、外部の専門家に委託する場合もあります。
午前1でこの用語自体が問われる頻度は高くありませんが、「監査は経理部門だけの話ではない」という位置づけを理解しておくと、内部統制の設問での判断が速くなります。
午前1で狙われる言い換えパターン総まとめ
この分野の得点源は、似た表現の区別です。過去に繰り返し出題されてきた言い換えを、誤りの形と正しい形で対にして整理します。
| 誤りの表現（選択肢に出る形） | 正しい表現・考え方 |
|---|---|
| 監査人が改善策を指示する | 改善を勧告・助言する。決定と実施は被監査部門と経営者の責任 |
| 監査人が改善措置を実施する | 実施するのは被監査部門。監査人はフォローアップで実施状況を確認する |
| 監査人は監査対象部門に所属していてもよい | 外観上の独立性が損なわれるため不適切 |
| 内部監査人には独立性は不要 | 組織内でも、被監査部門からの独立と公正不偏の姿勢は必須 |
| 監査調書は被監査部門が保管する | 作成・保管の責任は監査人にある |
| 監査調書は監査終了後に廃棄する | 規程に定めた期間保管する。次年度の監査でも参照する |
| 予備調査で本格的な監査証拠を収集する | 予備調査は概要把握。証拠収集は本調査で行う |
| 監査計画は承認後変更してはならない | 状況の変化に応じて見直してよい |
| 監査報告書は被監査部門長に提出する | 監査の依頼者（通常は経営者）に提出する |
| システム管理基準は監査人の行為規範である | 行為規範はシステム監査基準。管理基準は被監査側の実践規範 |
| 助言型監査で監査意見（保証）を表明する | 保証を表明するのは保証型監査。助言型は改善提案 |
| ヒアリングの回答だけを監査証拠とする | 文書・記録による裏づけと突き合わせる必要がある |
| 可監査性は運用開始後に確保すればよい | 企画・開発段階から作り込む必要がある |
| 内部監査は内部統制の6つの基本的要素の1つ | 6要素ではない。モニタリングのうちの独立的評価に該当 |
| テストデータ法は本番処理と一緒にテスト取引を流す | それはITF法。テストデータ法はテスト用の処理として実施 |
この表は、そのまま選択肢の切り捨て基準として使えます。試験本番では、選択肢に「指示」「実施」「責任を負う」といった強い動詞が監査人と結びついていたら、まずそれを疑ってください。
SC試験での出題パターンと対策
最後に、SC試験の中でこの分野がどう出るかを整理します。
午前1で繰り返される3つの型
型1：監査人の立場を問う問題。 「システム監査人が行うべきこととして適切なものはどれか」という形です。独立性、勧告と指示の区別、監査調書の保管責任がここに集まります。動詞に注目すれば解けます。
型2：手順・技法の識別問題。 「本調査の前に実施するものはどれか」「並行シミュレーション法の説明はどれか」という形です。手順の順序と、CAATの4技法の対応表を持っていれば確実に取れます。
型3：内部統制の枠組みを問う問題。 「内部統制の基本的要素に該当しないものはどれか」「IT全般統制に分類されるものはどれか」という形です。6要素の暗記と、ITGCとITACの層の違いで対応します。
この3型を押さえておけば、システム監査で出る1問はほぼ回収できます。深追いする必要はありません。
午前2・午後との接続
システム監査で身につけた枠組みは、SC試験本体でそのまま使えます。
午後では「統制の不備を指摘する」形で登場します。 事例に出てくる企業で、開発担当者が本番環境の管理者権限を持っていた、退職者のIDが残っていた、特権IDが共有アカウントで運用されていた、といった状況が描かれます。これらはすべてIT全般統制のアクセス管理の不備であり、職務分掌が機能していない状態です。設問では「この運用の問題点を述べよ」「改善策を述べよ」と問われます。特権IDとログ監査の実務は「【内部不正対策】退職者による情報漏えいを防ぐ特権ID管理とログ監査の実践ガイド」でも詳しく扱っています。
ログと可監査性も午後の頻出テーマです。 インシデント発生後の調査で「必要なログが取得されていなかった」「保存期間を過ぎて残っていなかった」という展開は定番です。ログ設計の考え方は「システム運用セキュリティ完全ガイド｜インシデント対応・脆弱性管理・BCP戦略を徹底解説」も参考になります。
委託先管理も統制の文脈で問われます。 前回のサービスマネジメントで扱ったSLAが、委託先に対するセキュリティ要件の合意手段として登場します。IT全般統制の「外部委託に関する契約の管理」がそのまま午後の論点になる形です。
つまり午前1のシステム監査は、暗記科目でありながら、午後の読解の骨格を作る分野でもあります。1問のために覚えるのではなく、午後で使う枠組みを先に手に入れると考えると、学習の費用対効果はさらに上がります。
【演習】システム監査 理解度チェック（全10問）
午前1では、監査人の独立性と役割の識別、監査手順の順序、監査技法（特にCAAT）の説明の対応づけ、内部統制の基本的要素の識別が定型で問われます。午後では、統制の不備を指摘し改善策を述べる形で同じ枠組みが事例に埋め込まれます。定番の引っかけは、監査人が改善を「指示する」「実施する」としてしまう誤り、監査調書の保管責任を被監査部門としてしまう誤り、システム管理基準を監査人の行為規範としてしまう入れ替えの3つです。以下の練習問題で本記事の理解度を確認してみましょう。
まとめ：統制とは、頑張らなくても守れる仕組みを作ること
午前1のシステム監査は、覚える軸が少ない分野です。「監査人は確かめて勧告する。実施するのは被監査部門。調書を持つのは監査人。基準は監査人向け、管理基準は組織向け」。この4行と、監査手順6段階、CAATの4技法、内部統制の4目的6要素。これだけで出題の大半に手が届きます。
新卒エンジニアにインフラを教えていた頃、実務でトラブルが起きると、目の前を通すために設定を全面許可へ緩めてしまう人がいました。本人に悪意はなく、むしろ「早く直そう」という善意です。ですが、その一時的な設定は往々にして戻されず、そのまま残ります。統制とは、こうした善意の抜け道を仕組みで塞ぐことです。誰かが特別に頑張らなくても守られる状態を作り、その状態が維持されているかを外から確かめる。これがシステム監査の本質です。
監査の言葉が「勧告」「確認」「意見表明」と、どれも一歩引いた動詞である理由もここにあります。監査人が手を出して直してしまえば、その仕組みは監査人がいなければ回らないものになります。組織に残るのは、監査人がいなくなっても動く統制でなければ意味がありません。試験で問われる「監査人は指示しない」という一見よそよそしいルールは、組織を自立させるための設計思想です。
これでマネジメント系（第2部）は完了です。次回、第11回からはストラテジ系（第3部）に入り、経営戦略マネジメントを扱います。SWOT分析やPPM、バランススコアカードといった、経営の意思決定を支えるフレームワークが中心になります。マネジメント系と同様、用語の識別で確実に得点できる分野です。
本記事は情報処理安全確保支援士（SC）試験対策を目的として作成しています。
参考資料
- IPA 試験要綱・シラバスについて
- IPA 情報処理技術者試験 過去問題
- 経済産業省 システム監査制度について（システム監査基準・システム管理基準）
- 経済産業省 システム監査基準（令和5年4月26日改訂）
- 金融庁 財務報告に係る内部統制の評価及び監査の基準並びに実施基準の改訂について（意見書）（令和5年4月7日）
- IPA 「情報処理安全確保支援士試験（レベル4）」シラバス（Ver.2.1）
テンプレート集
＋おまけ：毎日1通の無料メール講座つき。登録した日が「1日目」、図解と論理で16週間かけて基礎も固まります。
