システム監査とは（全体像）
システム監査は、独立・客観・専門的な立場の人（システム監査人）が、情報システムをチェックして「信頼できるか・安全か・効率的か」を確かめ、評価する活動のこと。経産省の「システム監査基準」などに沿って行う。
大事なのは独立した立場であること。作った本人や使っている部署が自分でチェックするのではなく、第三者の目で公平に確かめるから意味がある。
監査にはいくつか種類がある。
- 内部監査 … 社内の監査人が、自社の業務プロセスを確認する。
- 外部監査 … 社外の第三者が、保証のために確かめる。
- J-SOX … 法律（金融商品取引法）にもとづく内部統制報告制度。上場企業に義務づけられている。
「システム監査＝ITの部分だけを見る」と思いがちだが、実際は業務プロセス全体も対象。ここが試験で問われる。
詳しく：J-SOXとCAAT、監査の進め方
ここが心臓部。まずJ-SOXとCAATを表で押さえる。
J-SOXとCAAT
| 用語 | 何か | ポイント |
|---|---|---|
| J-SOX | 内部統制報告制度（金融商品取引法） | 上場企業に義務（2008年〜） |
| CAAT | コンピュータを使った監査技法 | 大量データを効率的に分析 |
J-SOXは、上場企業が「自社のしくみがきちんと機能しているか（内部統制）」を経営者自身が評価し、監査人が監査する制度。上場企業に義務づけられていて、「任意（やってもやらなくてもよい）」ではない。「J-SOXは任意」と思うのは誤り。
CAAT（コンピュータ支援監査技法）は、コンピュータを使って監査を効率化する技法。手作業では大変な大量のデータやログを、ツールで分析・サンプリングして確かめる。データが膨大な現代では、CAATの活用が欠かせない。
監査の進め方は、おおまかに次の流れ。
システム監査の進め方
| 段階 | やること |
|---|---|
| ①予備調査・本調査 | 対象を調べる（リスクの高い所を重点的に） |
| ②監査手続 | 質問・閲覧・観察・照合などで確かめる |
| ③監査証拠・調書 | 確かめた事実と記録を残す |
| ④監査報告・フォローアップ | 経営層へ報告し、改善を確認する |
調べて終わりではなく、最後に経営層へ報告し、指摘した点が改善されたかをフォローアップするところまでが監査。
わかりやすく言い換えると
要するに、システム監査は「第三者によるシステムの健康診断」だとイメージするとラク。
つまり、自分で自分を診断するのではなく、独立した立場の人が公平にチェックするから信頼できる。そして、IT部分だけでなく仕事の進め方（業務プロセス）まで診るのがポイント。
そして、J-SOXは「上場企業に義務づけられた健康診断のルール」、CAATは「大量のデータをコンピュータでまとめて調べる検査機器」、というイメージで覚えるとつながる。
試験のツボ
🔴 一番出る：J-SOXは上場企業の義務
①J-SOX＝金融商品取引法にもとづく内部統制報告制度
②上場企業に義務づけられている（任意ではない）
🔴 次に出る：CAATはコンピュータ活用の監査技法
①CAAT＝コンピュータを使って監査を効率化する技法
②大量のデータやログを分析・サンプリングして確かめる
🟡 押さえると安定：監査は独立した立場・業務プロセスも対象
監査人は独立・客観の立場で確かめる。システム監査はIT部分だけでなく業務プロセスも対象になる。
よくある間違い
①「J-SOXは任意で、やってもやらなくてもよい」→ ✗ J-SOXは上場企業に義務づけられた内部統制の制度。
②「システム監査はITの部分だけを見るものだ」→ ✗ ITだけでなく、業務プロセス全体も対象になる。
③「CAATとは手作業だけで監査することだ」→ ✗ CAATはコンピュータを使って効率的に監査する技法。
試験での出題パターン
実際の問題でたしかめてみよう。
オリジナル問題1（システム監査の基本）
システム監査に関する次の記述のうち、正しいものはどれか。
- システム監査はシステムを作った本人が自分で点検することで、独立した立場は必要ないとされている
- システム監査は独立した立場で情報システムを検証・評価する活動で、業務プロセスも対象になる
- システム監査はITの部分だけを見るもので、仕事の進め方や業務プロセスは対象外とされている
- システム監査は新しいシステムを開発する作業そのものを指し、検証や評価は含まないものとされる
解答は 2 だ、わが子よ。
システム監査は、独立した立場で情報システムを検証・評価する活動で、IT部分だけでなく業務プロセスも対象になる。第三者の目で公平に確かめるのが肝ぞ。
選択肢1は「本人が点検・独立不要」が誤り、選択肢3は「ITだけ」が誤り、選択肢4は「開発作業そのもの」が誤りである。
| 選択肢 | 判定 | 理由 |
|---|---|---|
| 1 | ✗ | 独立した立場で確かめることが必要 |
| 2 | ✓ | 独立した立場で検証し業務プロセスも対象で正しい |
| 3 | ✗ | ITだけでなく業務プロセスも対象 |
| 4 | ✗ | 開発作業ではなく検証・評価の活動 |
オリジナル問題2（J-SOX）
J-SOXに関する次の記述のうち、正しいものはどれか。
- J-SOXはすべての個人が守るべき交通ルールのことで、企業の内部統制とは無関係なものとされる
- J-SOXはやってもやらなくてもよい任意の取り組みで、上場企業に義務づけられてはいないとされる
- J-SOXはゲームソフトの年齢区分を決める制度で、内部統制の報告とは関係がないものとされている
- J-SOXは金融商品取引法にもとづく内部統制報告制度で、上場企業に義務づけられているものである
解答は 4 だ。
J-SOXは、金融商品取引法にもとづく内部統制報告制度で、上場企業に義務づけられている。「任意」ではない点に注意ぞ、わが子よ。
選択肢1は「交通ルール」が誤り、選択肢2は「任意・義務でない」が誤り、選択肢3は「ゲームの年齢区分」が誤りである。
| 選択肢 | 判定 | 理由 |
|---|---|---|
| 1 | ✗ | 交通ルールのことではない |
| 2 | ✗ | 上場企業に義務づけられている |
| 3 | ✗ | ゲームの年齢区分の制度ではない |
| 4 | ✓ | 内部統制報告制度で上場企業の義務で正しい |
オリジナル問題3（CAAT）
CAATに関する次の記述のうち、正しいものはどれか。
- CAATはコンピュータを使って監査を効率化する技法で、大量のデータやログの分析に役立つものである
- CAATは紙の書類を手作業だけで一枚ずつ調べる方法で、コンピュータはいっさい使わないとされている
- CAATはサーバーを物理的に冷やす空調設備のことで、監査の作業とは無関係なものとされている
- CAATは社員の出社時刻を記録する勤怠管理のしくみで、システム監査とは関係がないものとされる
解答は 1 だ、わが子よ。
CAATは、コンピュータを使って監査を効率化する技法で、大量のデータやログの分析・サンプリングに役立つ。手作業では大変な検査をまとめてこなせるのぞ。
選択肢2は「手作業だけ・コンピュータを使わない」が誤り、選択肢3は「空調設備」、選択肢4は「勤怠管理」がいずれも誤りである。
| 選択肢 | 判定 | 理由 |
|---|---|---|
| 1 | ✓ | コンピュータ活用で大量データを効率監査し正しい |
| 2 | ✗ | コンピュータを使う技法である |
| 3 | ✗ | 空調設備のことではない |
| 4 | ✗ | 勤怠管理のしくみではない |
まとめ
押さえどころ
- 🔴 J-SOXは上場企業の義務 … 金融商品取引法にもとづく内部統制報告制度。任意ではない。
- 🔴 CAATはコンピュータ活用の監査技法 … 大量のデータやログを効率的に分析・サンプリングする。
- 🟡 独立した立場・業務プロセスも対象 … 監査人は独立・客観の立場。システム監査はIT部分だけでなく業務プロセスも対象。
次に学ぶ
- COBIT・ISO/IEC 38500 ── システム監査が支えるITガバナンス（経営によるITの方向づけ）の枠組み。
- リスク管理（ISO 31000・4T） ── 監査はリスクの高い所を重点的に確かめる。リスクの考え方と合わせて押さえると整理しやすい。
執筆: SikakuQuest編集部