ITパスポート｜システム監査とは？内部統制をやさしく解説

simic / 文系のIT資格ノート

2026年7月12日 15:40

※ 本記事にはアフィリエイトリンク（PR）を含みます。

システム監査とは、情報システムがリスクにきちんと対応できているかを、独立した立場の監査人が点検し、保証や助言を行うことです。ITパスポートでは、監査人の独立性・監査の流れ・内部統制の4つの目的がくり返し問われます。

「外からのチェック（監査）」と「自前のチェック（内部統制）」の2本立てで整理すれば大丈夫です。「監査とか内部統制とか、社会人でも説明できないやつだ…」と身構えますよね。わかります。ふだんの生活に出てこない言葉ばかりです。

でも安心してください。この記事では「テストの採点」や「保健所の立入検査」といった身近な例えで、1つずつかみくだいていきます。スマホでスラスラ読めるように進めますね。

この記事でわかること

システム監査とは何か、なぜ「独立性」が大事なのか
監査の流れ（計画→予備調査→本調査→評価・結論→報告→フォローアップ）の順番
内部統制の4つの目的と、職務分掌・ITガバナンスの意味

この記事の要点（先に結論！）

システム監査とは、情報システムのリスク対応が適切かを独立した監査人が点検し、保証や助言を行うことです。
システム監査人は監査対象から独立している必要があり、自分が作ったシステムは自分で監査できません。
システム監査は「計画→予備調査→本調査→評価・結論→報告→フォローアップ」の順で進みます。
内部統制とは、不正やミスを防ぐために会社が自ら作り運用する社内の仕組みのことです。
内部統制の4つの目的は、業務の有効性・効率性／財務報告の信頼性／法令遵守／資産の保全です。

1. システム監査ってなに？外からITを点検する仕事

まずは主役のシステム監査（システムかんさ）から見ていきましょう。

システム監査とは、情報システムがリスクにちゃんと対応できているかを、独立した立場の監査人が点検し、保証や助言を行うことです。イメージは、保健所の立入検査ですね。お店の当事者ではない人が外から調べるからこそ、その結果は信頼できます。

「監査」という言葉は、ひとことで言うと「ちゃんとやれているかを第三者の目で確かめること」。対象がお金なら会計監査、情報システムならシステム監査、というわけです。

1.1 監査にはいくつか種類がある

監査には、調べる対象によっていくつか種類があります。名前と対象がわかれば十分です。

会計監査…会計・財務が適正かをチェック
業務監査…業務が適切に行われているかをチェック
情報セキュリティ監査…セキュリティ対策が適切かをチェック
システム監査…情報システムのリスク対応が適切かをチェック

このうちITパスポートで主役になるのが、いちばん下のシステム監査です。

1.2 「保証」と「助言」の2つの役割

システム監査には、大きく2つの役割があります。最新のシラバス（出題範囲の一覧表）でも「保証や助言を行う」と書かれている、大事なポイントです。

保証…そのシステムは適切だと、お墨付きを出す役割
助言…もっとこうしたら良くなる、と改善を提案する役割

つまりシステム監査は、点検してダメ出しするだけではありません。「大丈夫ですよ」という保証や、「ここを直しましょう」という前向きなアドバイスも仕事なんですね。

なお、システム監査人が守るべきルールを定めたものをシステム監査基準（経済産業省が公表）といいます。あわせて、監査で判断のよりどころにするシステム管理基準もあります。この2つは対で覚えておきましょう（2026年7月時点）。

この記事は本書『いちばんやさしいITパスポート』の第8章「サービスマネジメントとシステム監査」に対応しています。第8章は2つに分けていて、前半の運用の話（ITIL・SLA・サービスデスクなど）は別記事（B08a）、この記事は後半のシステム監査と内部統制の担当です。この記事で第8章は完結です！

2. システム監査人の独立性（ここが最頻出！）

この記事のいちばんの山場です。システム監査で絶対に外せないのが、システム監査人の独立性です。ITパスポートでくり返し問われます。

独立性とは、監査人が監査の対象から独立した第三者であることです。イメージは、テストの採点は本人にさせない、ですね。自分で作った答案を自分で丸つけしたら、どうしても甘くなってしまいます。

だからいちばん大事なルールはこれです。自分が作った・運用しているシステムを、自分で監査してはいけません。 当事者が自分で点検すると「お手盛り（自分に都合よく甘くすること）」になってしまうからです。

外観上の独立性…見た目にも利害関係がないこと（監査対象の部署の人ではない、など）
精神上の独立性…気持ちのうえでも公正・中立を保つこと

たとえば、システムを開発した部署の担当者が、そのシステムを自分で監査するのはNGです。「システム監査人に独立性が必要なのはなぜ？」と聞かれたら、当事者だと評価が甘くなるから、と答えられれば完璧です。

3. システム監査の流れ（順番が問われる）

システム監査は、行き当たりばったりでは行いません。決まった順番があります。この順序がそのまま試験で問われます。

システム監査の流れ＝家庭訪問の段取り、とイメージしてみましょう。いきなり本番ではなく、計画を立て、軽く下見をしてから、本格的にチェックしますよね。

流れは次の順番です。

監査計画の策定…何を・いつ・どう監査するか計画を立てる
予備調査…本調査の前に、監査対象の概要をつかむ下調べ
本調査…実際に証拠を集めて検証する本番
評価・結論…集めた証拠から判断を下す
監査報告…結果をシステム監査報告書にまとめて報告する
フォローアップ…出した改善提案が実行されたかを後日確認する

ポイントは最後のフォローアップです。監査は「報告して終わり」ではありません。アドバイスがちゃんと実行されたかを、あとで確認するところまでがワンセットなんですね。

もう1つ、効率よく監査するための考え方にリスクアプローチがあります。これは、リスクの大きいところに重点を置いて監査するやり方です。すべてを同じ力で調べるのではなく、危なそうな箇所を厚く見る、というイメージですね。

4. 監査証拠と監査証跡（にているけど別物）

監査の流れの中で出てくる、にた言葉を2つ整理しておきましょう。監査証拠と監査証跡です。

監査証拠（かんさしょうこ）…監査人の結論を裏づける事実や記録
監査証跡（かんさしょうせき）…いつ誰が何をしたかを後から追える記録（ログなど）

ざっくり言うと、証拠＝結論の裏づけ、証跡＝たどれる記録です。証跡は証拠を得るための手がかりになります。

なお、監査の過程・証拠・結論をまとめた文書を監査調書（かんさちょうしょ）といい、これはきちんと保管する必要があります。

また、システムが監査しやすいように作られている度合いを可監査性（かかんさせい）と呼びます。監査証跡が残る設計になっているか、などですね。監査証跡と可監査性は、シラバスの用語例には明示されていませんが、過去問で見かける定番用語なので軽く押さえておくと安心です。

5. 内部統制ってなに？会社が自分で作るチェックの仕組み

ここからは、監査と対になるもう1つの話、内部統制（ないぶとうせい）です。「内部統制とは？わかりやすく」で探している人向けのパートです。

内部統制とは、不正やミスが起きないよう、会社が自ら作って運用する社内のルールとチェックの仕組みのことです。イメージは、会社の自主的な交通ルールと見張りですね。誰かに言われる前に、自分たちで事故が起きない仕組みを作る、という考え方です。

前半のシステム監査が「外からのチェック」だとすれば、内部統制は「自前のチェック体制」。この対で覚えると混ざりません。

5.1 内部統制の4つの目的

内部統制がめざすものは、大きく4つあります。ITパスポートで頻出の枠組みなので、ここはしっかり押さえましょう。

業務の有効性及び効率性…仕事がちゃんと成果を出し、ムダなく回ること
財務報告の信頼性…お金の報告にウソやミスがないこと
法令等の遵守（コンプライアンス）…法律やルールを守ること
資産の保全…会社の財産（お金・モノ・情報）を守ること

この4つは、市販のテキストや過去問でくり返し登場する定番の枠組みです。「内部統制の4つの目的は？」と聞かれたら、この4つがスッと出てくるようにしておきましょう。

5.2 4つの目的を支える6つの基本的要素

4つの目的を実現するために、6つの基本的要素があるとされています。こちらは余裕があれば、という位置づけです。

統制環境
リスクの評価と対応
統制活動
情報と伝達
モニタリング
IT（情報技術）への対応

ここで1つ注意です。よく聞く「IT統制」は、この6要素の「ITへの対応」にあたります。4つの目的の1つではなく、6要素の1つ、という位置づけを間違えないようにしましょう。

5.3 職務分掌とモニタリング

内部統制を支える具体的な工夫を2つ紹介します。どちらも試験で問われます。

まず職務分掌（しょくむぶんしょう）です。これは、1人に権限を集中させず、担当を分けてお互いにチェックさせることです。イメージは、お金を数える人と金庫の鍵を持つ人を分ける、ですね。

1人に任せると、魔が差して不正ができてしまう
役割を分ければ、勝手なことができず相互チェックが効く

たとえば、発注する人と支払う人を分ける、といった形です。「1人にすべてを任せない」のが内部統制の基本姿勢なんですね。

もう1つがモニタリングです。これは、内部統制がちゃんと機能しているかを、継続的に監視することです。仕組みを作って終わりではなく、うまく回っているか見守り続ける、という活動です。

6. ITガバナンス：経営がITを統制する仕組み

最後に、この章を締めくくる大きな言葉、ITガバナンスを見ておきましょう。

ITガバナンスとは、経営層がITの使い方（あるべき姿）を方向づけ、統治する仕組みのことです。取締役会などがIT戦略や方針を決めて、会社の価値や信頼を高めていく活動ですね。

よく対で問われるのがITマネジメントです。この2つは、決める側と回す側でわかれます。

ITガバナンス…経営層が「うちはITをこう使う」と方向を決める（統治）
ITマネジメント…その方針に沿って現場が実際に回す（実行）

イメージは、船長が航路を決める（ガバナンス）／船員が舵を動かす（マネジメント）、ですね。方向を決めるのが上、実行するのが下、という上下の関係です。

ちなみにITガバナンスは、経営全体の「お目付け役」であるコーポレートガバナンス（B01aで解説）のIT版、と考えるとつながります。「ITガバナンスとは？」と聞かれたら、経営層がITの使い方を方向づけ統治すること、と答えられればバッチリです。

7. まとめ：3行でふりかえり

システム監査とは、情報システムのリスク対応が適切かを独立した監査人が点検し、保証や助言を行うことです（自作システムの自己監査はNG）。
監査は「計画→予備調査→本調査→評価・結論→報告→フォローアップ」の順で進みます。
内部統制とは会社が自ら作るチェックの仕組みで、4つの目的は業務の有効性・効率性／財務報告の信頼性／法令遵守／資産の保全です。

いかがでしたか？　言葉はかたく見えますが、「外からのチェック＝監査」「自前のチェック＝内部統制」に分け、監査人の独立性と流れの順番を押さえれば十分に戦えます。まずは「監査人は当事者になれない（独立性）」から覚えてみましょう！　これで第8章は完結です。おつかれさまでした。

8. よくある質問（FAQ）

Q1. システム監査とは何ですか？わかりやすく教えてください。

A. システム監査とは、情報システムがリスクにきちんと対応できているかを、独立した立場の監査人が点検し、保証や助言を行うことです。当事者ではない第三者が調べるからこそ、その結果は信頼できます。監査人が守るルールを定めたものをシステム監査基準といいます（2026年7月時点）。

Q2. システム監査人に独立性が必要なのはなぜですか？

A. 監査対象の当事者が自分で点検すると、どうしても評価が甘くなる（お手盛りになる）からです。そのため、自分が作ったり運用したりしているシステムを、自分で監査することはできません。テストの採点を本人にさせないのと同じ考え方です。

Q3. システム監査はどんな順番で進みますか？

A. 「監査計画の策定→予備調査→本調査→評価・結論→監査報告→フォローアップ」の順で進みます。予備調査は下調べ、本調査が本番のチェックです。最後のフォローアップで、改善提案が実行されたかを後日確認するところまでがワンセットです。

Q4. 内部統制の4つの目的は何ですか？

A. 業務の有効性及び効率性／財務報告の信頼性／法令等の遵守（コンプライアンス）／資産の保全、の4つです。内部統制とは、不正やミスを防ぐために会社が自ら作り運用する社内の仕組みのことで、この4つの目的はテキストや過去問で頻出の定番の枠組みです。