システム監査とは（全体像）
システム監査とは、情報システムが、きちんと信頼できるか・安全か・効率的かを、第三者の立場からチェックする活動のことだ。
ここで一番のポイント。監査する人（監査人）は、独立した立場（第三者）で見る。身内びいきにならないよう、利害から離れて公平にチェックする、というわけだ。だから監査人には、独立性（利害から離れている）・客観性（公平に見る）・専門性（見る力がある）の3つが求められる。「監査人は身内でよい」と思い込むと誤りになる。
詳しく：3つの要件と2つの基準
ここが心臓部。まず、監査人に求められる3つの要件を押さえよう。
監査人の3つの要件と2つの基準
| 項目 | やさしい意味 |
|---|---|
| 独立性 | 利害から離れた立場で見る |
| 客観性 | かたよらず、公平に見る |
| 専門性 | きちんと見るための知識・力がある |
| システム監査基準 | 監査する人の「行動のルール」 |
| システム管理基準 | 監査される対象が「守るべき水準」 |
3つの要件は、独立性・客観性・専門性。第三者として、公平に、力を持って見る、ということだ。
そして、よく混同されるのが2つの基準。
- システム監査基準 … 監査する人（監査人）の、行動のルール。どう監査すべきか、を示す。
- システム管理基準 … 監査される対象（システム管理）が、守るべき水準。どうあるべきか、を示す。
「監査基準と管理基準は同じ」と思い込むと誤りになる。監査基準は監査人の行動、管理基準は対象の水準、と区別しよう。
なお、監査には、社内の監査人による内部監査と、社外による外部監査がある。内部監査も、内部統制の一環として大切だ。
わかりやすく言い換えると
身近なたとえで整理しよう。
システム監査は、「お店のやり方を、社外の専門家が、公平な立場でチェックすること」のイメージ。つまり、身内でなく、独立した立場で見てもらう。
3つの要件は、「利害から離れている（独立）」「かたよらない（客観）」「見る力がある（専門）」こと。要するに、公平に・正しく見られる人、ということだ。
2つの基準の違いは、「チェックする人の作法（監査基準）」と「チェックされる側が守る水準（管理基準）」。つまり、見る側のルールか、見られる側のルールか、だ。
試験のツボ
🔴 一番出る：監査人の独立性
①監査人は、独立した立場（第三者）で見る
②求められるのは、独立性・客観性・専門性の3つ
🔴 次に出る：2つの基準の違い
①システム監査基準＝監査する人の行動のルール
②システム管理基準＝監査される対象が守る水準
🟡 押さえると安定：内部監査と外部監査
①社内の監査人による内部監査
②社外による外部監査（内部監査も大切）
よくある間違い
①「システム監査は、身内（利害のある人）が行えばよい」→ ✗ 監査人は、独立した立場（第三者）で見る。独立性・客観性・専門性が求められる。
②「システム監査基準とシステム管理基準は、同じものだ」→ ✗ 監査基準は監査人の行動のルール、管理基準は対象が守る水準。別もの。
③「内部監査は、行う必要のないものだ」→ ✗ 内部監査も、内部統制の一環として大切な活動。
試験での出題パターン
実際の問題でたしかめてみよう。
オリジナル問題1（システム監査の正体）
システム監査に関する次の記述のうち、最も適切なものはどれか。
- 社員の出退勤を記録して、毎月の給与を計算するためのしくみである
- 取引先へ毎月の請求書を郵送する、決まった事務作業のことを指す
- 情報システムを、独立した第三者の立場で検証する活動のことである
- 完成したシステムを宣伝して、より多く売るための広告活動である
解答は 3 だ。
システム監査は、情報システムを、第三者の立場で検証する活動である。信頼性・安全性・効率性を、公平にチェックするのだ。
選択肢1は給与計算、選択肢2は請求書の事務、選択肢4は広告で、どれも違う。
| 選択肢 | 判定 | 理由 |
|---|---|---|
| 1 | ✗ | 給与計算のしくみではない |
| 2 | ✗ | 請求書の事務の話 |
| 3 | ✓ | 第三者の立場で検証する活動で正しい |
| 4 | ✗ | 広告活動ではない |
オリジナル問題2（監査人の要件）
システム監査人に求められるものとして、最も適切なものはどれか。
- 独立性・客観性・専門性をもち、公平な立場で見ることである
- 社員の給与を、毎月正しく計算する力だけが求められるとされる
- 取引先へ請求書を、毎月もれなく郵送する力だけが求められる
- 完成したシステムを、より多く売る宣伝の力だけが求められる
解答は 1 だ。
監査人には、独立性・客観性・専門性をもち、公平な立場で見ることが求められる。身内びいきにならない、というわけだ。
選択肢2の給与計算、選択肢3の請求書、選択肢4の宣伝は、いずれも違う。
| 選択肢 | 判定 | 理由 |
|---|---|---|
| 1 | ✓ | 独立性・客観性・専門性で正しい |
| 2 | ✗ | 給与計算の力ではない |
| 3 | ✗ | 請求書の郵送の力ではない |
| 4 | ✗ | 宣伝の力ではない |
オリジナル問題3（2つの基準の違い）
システム監査基準とシステム管理基準の違いに関する次の記述のうち、最も適切なものはどれか。
- 監査基準は対象の守る水準、管理基準は監査人の行動のルールである
- 監査基準も管理基準も、社員の給与を計算するためのものである
- 監査基準も管理基準も同じで、呼び名が違うだけだとされている
- 監査基準は監査人の行動のルール、管理基準は対象の守る水準である
解答は 4 だ。
監査基準は監査人の行動のルール、管理基準は対象の守る水準である。見る側のルールか、見られる側のルールか、の違いなのだ。
選択肢1は説明が逆、選択肢2は給与計算、選択肢3は「同じ」が誤りである。
| 選択肢 | 判定 | 理由 |
|---|---|---|
| 1 | ✗ | 監査基準と管理基準の説明が逆 |
| 2 | ✗ | 給与計算のものではない |
| 3 | ✗ | 両者には違いがある |
| 4 | ✓ | 監査人の行動と対象の水準で正しい |
まとめ
押さえどころ
- 🔴 システム監査 ＝ 情報システムを、第三者（独立した立場）から検証する活動。
- 🔴 監査人の3要件 ＝ 独立性・客観性・専門性。公平に、力を持って見る。
- 🟡 2つの基準の違い ＝ システム監査基準は監査人の行動のルール、システム管理基準は対象が守る水準。
次に学ぶ
- ITIL 4 ── ITサービス運営のお手本集。システム監査とあわせ、IT管理の質を高める。
- 内部統制 ── 会社が自らを正しく保つしくみ。システム監査は、それを支える活動。
執筆: SikakuQuest編集部