システム監査とは？基準・手順・監査人をやさしく解説

「システム監査って結局なにを監査するの？」
「システム監査基準と管理基準の違いがわからない」
「監査人と監査調書って自分の仕事と関係ある？」

そんなモヤモヤを抱えている、ITパスポート受験者や社会人のあなたへ。

結論から言えば、システム監査とは
「独立した専門家が情報システムを点検し、改善を提案する仕組み」
のことです。

この記事では、システム監査の2つの基準と4つの手順、監査人の独立性と監査調書の役割までを、会計や法務の予備知識がなくても理解できる言葉でやさしく整理します。

1 1. システム監査とは
2 2. システム監査基準とシステム管理基準
3 3. 監査の手順（予備調査から本調査・報告・フォローアップまで）
4 4. 監査人の独立性と監査調書
5 5. まとめ: 今日からできる、最初の一歩
- 5.1 次のステップ

1. システム監査とは

あなたが会社で「外部の人がサーバ室を見に来た」「年に一度システムの使い方を質問された」といった場面を経験したことがあるなら、その背景にあるのがシステム監査です。

システム監査とは、組織の情報システムが目的どおりに機能しているかを、独立した立場の専門家が点検し、改善を提案する活動として整理されています。経営者やシステム部門だけのものではなく、業務に関わる人ぜんいんと接点を持つ仕組みです。

イメージは「会社の健康診断」です。
ふだん業務をしている人とは別の専門家が、決められた基準で外から状態を見て、診断結果と改善案を文書で渡してくれる流れに近いと考えると、つかみやすくなります。

大切なのは、ふだん業務を回している現場ではなく、利害関係のない第三者の視点が入る点です。

これがあるから、情報システムの信頼性・効率性・安全性が外から見ても確かなものとして示せます。コーポレートガバナンスの観点でも、システム監査は経営者の説明責任を支える土台として位置づけられています。

2. システム監査基準とシステム管理基準

ここからは、あなたが試験でも実務でも出会う2つの基準を整理します。経済産業省が公表している規範として、システム監査基準とシステム管理基準が並んで使われます。

2つの違いをひと言でまとめると、こうなります。

2つの基準の役割

システム監査基準: 監査人の行動規範。監査をどう計画し、どう進め、どう報告するかという「やり方のルール」
システム管理基準: 監査の判断尺度。情報システムがどうあるべきかという「あるべき姿のチェック項目集」

イメージは「車検」です。整備士の進め方を決めたマニュアル（システム監査基準）と、車がどんな状態であるべきかのチェックリスト（システム管理基準）の両方が揃って、初めて検査が成り立つ関係に近いと整理できます。

この2つの基準は、組織内の他の仕組みとも深くつながっています。たとえば内部統制の整備・運用状況を点検する場面では、システム管理基準のチェック項目がそのまま使われることが少なくありません。

また、運用プロセスを監査する場面では ITサービスマネジメント、情報資産の守り方を点検する場面では情報セキュリティマネジメントと組み合わせて見ることが一般的です。これら3つは、システム監査の対象としてよく登場する「監査3軸」と覚えておくと整理しやすくなります。

3. 監査の手順（予備調査から本調査・報告・フォローアップまで）

あなたが「監査の現場で何が起きているか」をイメージしやすくするために、4つの手順を順に追ってみましょう。

システム監査は、ざっくり次の4ステップで進むと整理されています。

システム監査の4手順

予備調査: 監査の範囲・目的を確定し、対象システムや関連業務の全体像をつかむ
本調査: 監査証拠を集め、システム管理基準などと照らし合わせて検証する
報告: 監査調書をもとに監査報告書をまとめ、経営者や依頼者に提示する
フォローアップ: 指摘事項に対する改善状況を一定期間後に確認する

予備調査では、現場へのヒアリングやドキュメントの確認が中心になります。あなたが業務担当者として質問を受ける場合があるのは、たいていこの段階です。

本調査では、実際の操作ログや申請書類などの監査証拠を確認します。報告のステップでは、監査人が経営者向けに改善提案をまとめ、フォローアップで改善が回っているかを点検します。

ガバナンスや法令遵守の視点を強めたい場合はコーポレートガバナンスの考え方とセットで眺めると、なぜ独立した監査が必要かが見えやすくなります。

注意点: システム監査は「報告書を出して終わり」になりがちです。
フォローアップで改善が回らないと、指摘事項が次回も同じまま残り、形だけの仕組みになりかねません。

4. 監査人の独立性と監査調書

監査の結論をあなたが「信頼できる」と受け取れるかどうかは、監査人の独立性に大きく左右されます。

独立性には2つの側面があると整理されています。外観上の独立性（利害関係がないと外から見て確認できる状態）と、精神面の独立性（公正不偏な態度で判断する姿勢）です。監査対象の業務を自分で設計した人が、自分で監査するような状況は避ける必要があると位置づけられています。

もう一つ重要なのが監査調書です。監査調書とは、監査の過程で集めた証拠・判断の根拠・結論までを記録する文書で、監査報告書の裏付け資料として残されます。

調書がしっかり残っていれば、後から別の監査人が同じ結論にたどり着けるか検証できます。これも、システム監査が一過性ではなく組織の改善サイクルとして機能するための仕掛けです。

別観点: 監査には社内の内部監査と、外部の専門家による外部監査があります。
内部監査は改善目的での日常的な点検、外部監査は独立性を重視した第三者評価という違いがあり、両方を組み合わせる組織が一般的です。

監査対象としてよく登場するのが、開発プロジェクトの進め方です。プロジェクトマネジメントやアジャイル開発の現場でも、計画・進捗・成果物が監査の確認対象になります。具体的な監査契約や報告書の書式は専門領域ですから、実務で関わる場面が出てきたら、自己判断せず専門家や公認会計士に相談する選択肢を持っておくと安心です。