システム監査とは何か：目的・基準と監査人の立場

結論：監査人は「外から見て、確かめて、指摘する人」

システム監査とは、情報システムのリスクに対して社内の仕組み（コントロール）が整っていて、実際に動いているかを、第三者の目で確かめて改善につなげる活動です。

監査人の立場はこの3語で覚えます。

• 独立：監査される部門に属さない
• 確認：文書を閲覧し、状況を確かめる（自分で作らない・決めない・運用しない）
• 指摘・勧告：改善を勧める（命令はしない）

たとえるなら健康診断の医師です。検査して「血圧が高いので塩分を控えましょう」と勧めますが、患者の献立を作ったり、食事を命令したりはしません。直すかどうかは本人（経営者・被監査部門）が決めます。

目的と対象：何のために、何を見るか

目的は、情報システムのリスクに対するコントロールの整備・運用状況を評価し、改善につなげることでITガバナンスの実現に寄与することです。ITガバナンスとは「経営者がITを経営目標に沿って統制すること」。

対象はITに係る内部統制です。内部統制とは、業務を正しく・不正なく進めるために組織が設ける仕組みのこと。例えば「データベースへの入力・更新の正確性をどう確保しているか」はシステム監査の対象ですが、「経営計画の策定経緯」「人事考課の結果」「生産設備の見直し」はITの統制ではないので対象外です。

2つの基準：「監査基準」は監査人の、「管理基準」は会社のもの

経済産業省が定める基準が2つあり、名前が似ているので試験で取り違えを狙われます。

覚え方：「監査」基準は監査人を縛る、「管理」基準は会社の管理を測る物差し。

システム管理基準では、情報システム全体の最適化目標を立てるときの着眼点は経営戦略への貢献を明確にすることです。教育訓練・保守手順・人材調達といった個別の管理項目と取り違えないようにしましょう。また、ウイルス対策基準・不正アクセス対策基準・ソフトウェア管理ガイドラインは別の基準です。

最頻出：監査人の独立性

監査人は監査対象から独立していなければなりません。自分の部署を自分で監査すれば、甘くなる（少なくとも周りからそう見える）からです。

独立性には2種類あります。

専門能力（継続学習・研修・必要な知識の明示）は独立性とは別の要件です。「外観上の独立性を担保する措置は？」に研修制度を選ぶと誤答になります。

判定の手順：

1. 監査人の今の所属を見る
2. 監査対象の部門を見る
3. 一致していたら（自分の部門を監査していたら）独立性違反

• 総務部の人が総務部を監査 → NG
• 情報システム部が開発し経理部が運用するシステムの監査人 → どちらにも属さない人にする
• 監査部の人が外部委託先を監査 → OK
• 5年前まで情報システム部にいた人が、マーケティング部を監査 → OK（監査対象は元の部署ではない）
• 情報システム部長の直属・経理部長の直属にする → NG（対象部門の指揮下になる）
• 公認会計士だから適任 → 資格の話で、独立性の答えにはならない

監査人の役割：「確認・指摘」はOK、「作成・制定・実施・命令」はNG

監査人の役割は、監査対象から独立した専門的な立場で、コントロールの整備・運用について保証または助言を行うことです。保証とは「適切です」とお墨付きを与えること、助言とは改善のアドバイスのことです。

監査人が自分で台帳を作ったり方針を決めたりすると、自分が作ったものを自分で監査することになり、独立性が崩れます。

手続きの面でも注意点があります。監査意見は十分な証拠に基づいて出します。調査が不十分なのに経験で意見を書く、期限が来たからと調査途中で報告書に移る、はどちらも不適切です。

監査規程の承認者は経営者

システム監査規程（監査の目的・権限・責任などを定めたルール）の最終承認者は経営者です。情報システム部門の長・利用部門の長・被監査部門の長が承認すると、監査される側が監査のルールを決めることになり、独立性に反します。

監査は経営者の指示で行い、結果も経営者に報告する、という流れで一貫しています。

全体の流れ

flowchart LR
  A["経営者"] -->|"監査規程を承認・監査を依頼"| B["システム監査人（独立した部門）"]
  B -->|"閲覧・確認（協力を要請）"| C["被監査部門"]
  B -->|"監査報告書（指摘・勧告）"| A
  A -->|"改善を指示"| C

ポイントは、改善を指示するのは経営者であり、監査人から被監査部門へ「命令」の矢印は存在しないことです。