システム監査の要点とまちがえやすい点（ITパスポート試験 論点テキスト）
ITパスポート試験のマネジメント系（サービスマネジメント）のうち、「システム監査」にあたる10論点を、要点61本・まちがえやすい点33本にまとめました。
最終更新：2026年10月6日
ご利用にあたって：本ページおよびアプリ「ITウカール」は、政府・経済産業省・独立行政法人情報処理推進機構（IPA）のいずれとも関係のない、個人開発の非公式サイト・アプリです。公式の文章の転載ではありません。出題範囲・受験の情報は、必ずITパスポート試験の公式サイトでご確認ください。
このページの論点
システム監査
監査の種類と対象領域
内部監査、情報セキュリティ監査、個人情報保護監査、コンプライアンス監査それぞれの実施主体と検証対象を扱う。
要点
- 内部監査は、監査対象部門から独立した組織内の監査部門などが、組織内部の視点で実施する監査である。
- 外部監査は、監査対象組織に属さない外部の専門機関や監査人が、独立した第三者の立場から実施する監査である。
- 情報セキュリティ監査は、機密性・完全性・可用性を確保する対策が適切に整備・運用されているかを、独立した立場から検証する監査である。
- 個人情報保護監査は、個人情報の取得・利用・保管・廃棄などの取扱いが、個人情報保護法や組織内規程に適合しているかを検証する監査である。
- コンプライアンス監査は、業務活動が関連する法令、社内規程、業界のガイドラインなどを遵守して行われているかを検証する監査である。
- 業務監査は、企業の業務活動全般が、方針や規程に沿って適切かつ効率的に行われているかを検証し、評価する監査。
まちがえやすい点
- 情報セキュリティ監査は機密性・完全性・可用性を検証の対象とし、個人情報の取扱いを対象とする個人情報保護監査とは検証領域が異なる。
- コンプライアンス監査は遵守状況全般を対象とし、財務報告の適正性を検証する財務諸表監査や、環境負荷対策を検証する環境監査とは対象範囲が異なる。
監査人の独立性
システム監査人に求められる独立性の意味と、外観上の独立性と精神上の独立性の違い、客観性を保つ監査体制を扱う。
要点
- 独立性は、システム監査人が監査対象の業務や組織から離れた立場に立ち、利害関係にとらわれず公正かつ客観的に判断を行うための原則である。
- 外観上の独立性は、監査人が監査対象と資本関係や指揮命令関係を持たず、第三者から見て客観的に利害関係がないと認められる状態である。
- 精神的独立性は、公正かつ客観的に判断しようとする監査人の内心の態度であり、公正不偏の態度とも呼ばれる。
- 監査の客観性を確保するには、対象から独立した監査部門が、対象に対する利害関係を持たない要員で監査チームを編成する。
- システム監査の結論は、監査人の印象ではなく、収集した監査証拠に基づいて導く。
- 内部統制は組織が自ら整える仕組みであり、システム監査人はそれを独立した立場で点検・評価する。被監査部門の担当者が自部門を監査することはできない。
まちがえやすい点
- 外観上の独立性は第三者から見た利害関係の有無という外形の状態を指し、監査人の心の中の姿勢を指す精神上の独立性とは着目する側面が異なる。
- 監査人の役割は問題点の指摘と改善の助言までであり、是正を自ら行うと独立性を損なうため、是正を担う被監査部門とは役割が異なる。
- 守秘義務は秘密保持の義務、職業倫理は行動の規範であり、いずれも公正不偏の内心の姿勢である精神的独立性そのものではない。
システム監査基準・管理基準・倫理規程
システム監査基準、システム管理基準、システム監査人の倫理規程のそれぞれの役割と関係を扱う。
要点
- システム監査基準は、監査人が監査を実施する際に従うべき行為規範であり、一般基準・実施基準・報告基準などを定めている。
- システム管理基準は、情報システムに関する管理上のあるべき姿を示し、システム監査を行う際の判断尺度として活用される。
- システム監査人の倫理規程（行動規範）は、公正かつ客観的な立場の保持や守秘義務の遵守など、監査人としてふさわしい行動のあり方を定める。
まちがえやすい点
- システム監査基準は監査人の行動規範と手続の枠組みを示し、システム管理基準は管理のあるべき姿を示す。両者は相互に補完する別個の基準であり、役割を入れ替えて覚えないよう注意する。
- システム管理基準は情報システムの管理者が実施すべき対策の基準であり、監査人自身の行動規範を定めた倫理規程とは別である。
監査計画・調査手順・リスクアプローチ
監査計画の種類、予備調査から本調査・フォローアップまでの段階、リスクアプローチによる資源配分を扱う。
要点
- 予備調査は、監査対象の業務内容、組織体制、規程・マニュアルなどの実態を事前に把握するために行う調査である。
- 本調査は、予備調査で把握した実態を踏まえ、監査の結論を裏付けるために必要かつ十分な監査証拠を実際に収集する段階である。
- フォローアップは、監査報告書で示した改善事項や勧告を、被監査部門が適切な時期に実施しているかを監査終了後に監査人が確認する活動である。
- システム監査計画には、複数年度にわたる監査対象領域や重点方針を定める中長期計画と、個々の監査案件を具体的に定める個別監査計画とがある。
- リスクアプローチは、リスクの大きさを評価し、限られた監査資源をリスクの高い領域に重点的に配分する考え方である。
- 監査手続書は、いつ・誰が・何を・どう確かめるかという監査手続の実施内容を、具体的に定める文書である。
- リスクアプローチは、監査対象のリスクの大きさを評価し、リスクが高い領域に監査の手続や時間を重点的に配分する考え方。
まちがえやすい点
- フォローアップは監査人による改善状況の事後確認であり、是正措置の決定・実施を担う被監査部門側とは責任が異なる。
- 監査手続書は手続の具体的な実施内容を定める文書であり、全体方針や日程を示す監査計画書や、実施した手続と証拠を記録する監査調書とは異なる。
- 予備調査は実態把握のための事前調査であり、監査証拠を実際に収集する本調査とは段階が異なる。
- リスクアプローチは資源配分の方針を示す考え方であり、対象の一部を抽出して検証する技法であるサンプリング法とは着目する段階が異なる。
監査証拠・監査調書・監査報告書
監査証跡と監査証拠の入手方法、監査調書と監査報告書の役割の違い、信頼性や委託先管理で確認する事項を扱う。
要点
- 監査証跡は、取引やデータ処理の内容を時系列にたどって確認できるよう記録された履歴であり、監査証拠の重要な収集源となる。
- 監査調書は、監査人が実施した監査手続の内容、入手した監査証拠、判断の根拠などを記録した文書である。
- システム監査報告書は、監査の目的・対象範囲・発見した問題点・改善勧告などを取りまとめ、監査を依頼した経営者などに提出する文書である。
- 監査証拠は、インタビュー、資料の閲覧、業務手順の観察、監査人自身による処理の再実施などの方法で客観的に入手する。
- 情報システムの信頼性は、データ処理の正確性や、障害発生時に早期復旧できる体制が整っているかといった観点から評価される。
- 委託先管理の監査では、委託契約で委託先の責任範囲、再委託の可否、セキュリティ対策などが明確に取り決められているかを確かめる。
- 監査証拠は、監査人が意見や結論の根拠とするために、文書の閲覧、観察、質問などで入手し、その十分性と適切性を評価する資料や情報。
- 監査調書は、監査人が実施した監査手続の内容、入手した監査証拠、そこから導いた結論などを記録した文書。
- システム監査報告書は、監査の結論や指摘事項、改善提案などを取りまとめ、監査を依頼した者に提出する文書。
- 改善提案のフォローアップは、監査で指摘・提案した事項の改善が計画どおり実施されているかを、監査人が確認し、必要に応じて助言する活動。
まちがえやすい点
- 監査調書は監査の実施過程を記録する内部資料であり、対外的な報告を目的とする監査報告書とは役割が異なる。
- ログイン履歴やバックアップログは監査証跡の一部となりうるが、取引やデータ処理を時系列にたどれる包括的な記録である監査証跡そのものとは異なる。
- 口頭の回答だけで裏付けを取らないことや、被監査部門の自己点検結果を検証せずに用いることは客観性を欠き、閲覧・観察・再実施などの適切な証拠入手方法ではない。
- 必要な機能を目的に沿って使えるかは有効性、資源や運用コストの適正さは効率性、不正アクセスや漏えいの防止は安全性の観点であり、信頼性の観点で確認する事項とは別である。
代表的なシステム監査技法
テストデータ法、ITF法、監査モジュール法、ウォークスルー法、CAAT、統計的サンプリングの仕組みと違いを扱う。
要点
- テストデータ法は、結果が既知のテストデータを被監査システムに入力し、処理結果が期待どおりかを確かめて処理の正確性を検証する技法である。
- ITF法（統合テスト施設法）は、本番環境に監査用の架空実体を組み込み、通常業務と一緒に処理させて検証する技法である。
- コンピュータ支援監査技法（CAAT）は、監査用ソフトで大量のデータを抽出・集計・分析し、監査証拠を得る技法の総称である。
- ウォークスルー法は、取引データの流れを入口から出口まで実際に追跡し、内部統制が設計どおりに機能するかを確かめる技法である。
- 監査モジュール法は、プログラムに監査用モジュールを組み込み、着目すべき取引を継続的に抽出・記録して監査証拠を収集する技法である。
- 統計的サンプリングは、全件検証が現実的でない場合に、統計的な手法で母集団から一部を抽出し、その結果から母集団全体の状況を推定する手法である。
まちがえやすい点
- ITF法は本番環境に架空実体を組み込んで通常業務と一緒に処理させる点で、結果既知のデータを入力して検証するテストデータ法とは異なる。
- 監査モジュール法は着目取引を常時抽出する技法であり、聞取りによる確認を行うインタビュー法とは別である。
- 全数調査は母集団すべてを検証する方法であり、一部を抽出して推定するサンプリングとは異なる手法である。
- ウォークスルー法は処理の流れの追跡、突合・照合法は記録同士の突き合わせであり、ソフトによるデータ分析の総称であるCAATとは異なる。
内部統制
内部統制の目的と構成要素
内部統制の目的、基本的要素の役割、有効に機能しない場合がある限界を扱う。
要点
- 内部統制の目的は、業務の有効性・効率性、財務報告の信頼性、事業活動に関わる法令等の遵守、資産の保全の4つとして整理されるのが一般的である。
- 内部統制の基本的要素は、統制環境・リスクの評価と対応・統制活動・情報と伝達・モニタリング・ITへの対応の6つである。
- 情報と伝達は、内部統制に必要な情報を組織内外の関係者に適切なタイミングで伝え、共有する仕組みを指す構成要素である。
- 統制活動は、経営者の指示・命令が組織内で適切に実行されるよう、権限や職責の分離、承認手続などの具体的な仕組みや手続を定めた構成要素である。
- モニタリングは、継続的に監視する日常的モニタリングと、内部監査部門など独立した主体が定期的に評価する独立的評価とに大別される。
- ITへの対応は、組織のITへの対応方針を定め、他の内部統制の要素が情報技術の面から有効に機能することを支える要素である。
- COSOフレームワークは、米国のトレッドウェイ委員会組織委員会が公表した、内部統制の目的と構成要素を立方体で示した枠組みである。
- 内部統制には、担当者の判断の誤り、複数人の共謀による無効化、経営者自らによる統制の無視により、有効に機能しない事態が生じ得る限界がある。
- レピュテーションリスクは、不祥事や情報漏えいなどで組織の評判やブランドイメージが損なわれ、事業に損失が生じるおそれ。
まちがえやすい点
- 統制環境は組織全体の意識や文化といった土台であり、具体的な仕組みや手続を定める統制活動とは異なる。
- 可用性・機密性・完全性は情報セキュリティの3要素、予算・納期・品質はプロジェクトマネジメントの管理対象であり、内部統制の目的ではない。
- 内部統制はリスクを合理的な水準まで下げるものであり、不正やミスを完全に無くすものとは異なる。
- 内部統制は業務プロセスに加えてIT統制やモニタリングも構成要素とし、その有効性は外部の監査人ではなく経営者自身が評価する。
統制活動の分類と職務分掌
予防的統制と発見的統制の違い、権限を分ける職務分掌の仕組みを扱う。
要点
- 予防的統制は、誤りや不正がそもそも発生しないよう未然に防ぐ統制であり、入力チェックや権限の制限などが該当する。
- 発見的統制は、発生した誤りや不正を事後に見つける統制であり、処理結果の照合による差異の検出が該当する。
- 是正的統制は発見後に是正を行う統制、指導的統制は望ましい行動を促す統制である。
- 職務分掌（権限の分離）は、取引の申請・承認・実行・記録などの権限を複数の担当者に分散させ、1人が不正を単独で実行・隠蔽することを困難にする仕組みである。
まちがえやすい点
- 利用者の限定や必須入力のチェックは発生を防ぐ予防的統制であり、システムの二重化は可用性を高める対策で、いずれも事後に検出する発見的統制とは異なる。
- 職務分掌は権限そのものを分散させる統制活動であり、統制が有効に機能しているかを継続的に監視・評価するモニタリングとは性質が異なる。
内部統制の制度・評価とITガバナンス
内部統制報告制度、3線防御モデル、コントロール自己評価、COBITの位置づけを扱う。
要点
- 内部統制報告制度（J-SOX）は、金融商品取引法に基づき、上場企業が財務報告に係る内部統制の整備・運用状況を自ら評価し、内部統制報告書を提出することを義務付ける制度である。
- 3線防御モデルは、業務執行部門を第1線、リスク管理・コンプライアンス部門を第2線、内部監査部門を第3線として役割を整理する考え方である。
- コントロール自己評価（CSA）は、現場部門自身が業務に組み込まれた内部統制の有効性を自己点検し報告する取組みである。
- COBITは、ISACAなどが策定した、ITガバナンス・ITマネジメントの成熟度を評価・改善するための代表的なフレームワークである。
まちがえやすい点
- システム監査制度は組織が任意に実施するものであり、財務報告に関する内部統制評価を義務付けるJ-SOXとは制度の性格が異なる。
- CSAは現場部門自身が実施し、システム監査は監査対象から独立した監査人が実施する点で、実施主体が異なる。
- ITILはITサービスマネジメントのベストプラクティス集であり、ガバナンス評価に特化したCOBITとは主眼とする領域が異なる。
- PDCAサイクルは業務改善の手順、バランススコアカードは経営戦略の評価指標体系であり、役割分担を示す3線防御モデルとは目的が異なる。
IT統制の区分
IT全社的統制、IT全般統制、IT業務処理統制の違いと、業務処理統制の入力・処理・出力の区分を扱う。
要点
- IT全社的統制は、経営者がITに関する戦略・投資判断・組織体制などを方向付け、企業全体のIT統制環境を整備する取組みである。
- IT全般統制は、システムの開発・保守、運用管理、外部委託先の管理、アクセス管理など、複数の業務システムに共通して適用される統制活動である。
- IT業務処理統制は、個々の業務システムにおいて、入力・処理・出力の各段階で承認された正確なデータのみが処理されるよう組み込まれる統制活動である。
- アクセス権限の付与・変更・削除を、申請と承認の手続を経てから行う運用ルールは、IT全般統制の具体例である。
- 業務処理統制は、データの流れに着目して入力統制、処理統制、出力統制の3区分に分類されるのが一般的である。
- IT全般統制は開発・変更管理やアクセス管理といった基盤部分を対象とし、基盤が弱ければ個別の業務処理統制も無効化されうる。
まちがえやすい点
- 入力チェックや在庫数のチェックなど個々の業務システムに組み込まれた統制は業務処理統制であり、複数システムに共通するIT全般統制とは適用範囲が異なる。
- 予防統制・発見統制・是正統制は統制の機能による分類であり、処理段階による分類である入力・処理・出力統制とは観点が異なる。
- IT業務処理統制は個別業務の中の統制であり、基盤に対する統制であるIT全般統制とは対象が異なる。
- IT全社的統制は経営レベルでの方向付けとIT統制環境の整備を指し、複数システム共通の統制活動であるIT全般統制とは異なる。
ほかのページ
この論点の問題は、アプリで解けます
ITウカールは、ITパスポート試験の対策アプリです。論点テキストはアプリの中でも無料で読めて、各論点の問題を解いて理解を確かめられます。分野別の演習・本番形式の模擬試験・間違えた問題の復習まで、1つのアプリで進められます。
出典と作り方
この読み物は、IPA「ITパスポート試験 シラバス Ver.6.5」の中分類の順に、アプリ「ITウカール」の収録問題の解説をもとにアプリ製薬が作成したものです。公式の文章の転載ではありません。問題文・選択肢は載せていません。