システム監査・5/11・8分

監査報告とフォローアップ

ゴール

システム監査の報告からフォローアップまでで、監査人・監査依頼者・被監査部門・経営者がそれぞれ何をするかを区別できるようになる。「監査人の責任」「報告書の提出先」「原案の意見交換の目的」「フォローアップとは何か」を問う4択を、選択肢の動詞を見て解けるようになる。

この分野は毎回ほぼ同じ形で出題されます。正解はいつも「監査人は報告と確認だけを行い、直すのは被監査側」という一つの考え方から出せるので、覚えれば確実に1問取れます。実務でも、外部監査やセキュリティ診断で誰が何に責任を持つかを整理するときに、そのまま役立ちます。

このレッスンで稽古する（用語チェック・過去問）

結論：問題を見つけた後、監査人がするのは「報告」と「確認」だけ

監査人の本業は、証拠を集めて点検し、監査意見（監査の結論としての評価）を述べることです。問題を見つけて報告した後に監査人がするのは、「監査依頼者に報告する」と「改善状況を確認する（フォローアップ）」の2つだけです。是正・指示・管理・計画策定・技術支援はしません。

たとえると健康診断の医師です。検査して所見と生活改善のアドバイス（＝改善勧告）を書き、結果を本人に渡し、次の健診で改善したかを確かめます。代わりに運動したり、食事を管理したりはしません。

この線引きの理由は独立性（監査対象から離れていて、利害関係を持たないこと）です。監査人が自分で直したり指示したりすると、次の監査で「自分の仕事を自分で評価する」ことになり、監査意見が信用されなくなります。

報告した後に監査人がするのは「報告」と「確認」の2つだけで、独立性の線を越えて是正・指示・管理・計画策定・技術支援には入らない。

全体の流れ

報告書を出してから改善を確認するまでの順番です。改善計画の評価は、改善を実施する前に行います。

flowchart TD
  A["監査人：証拠を集めて監査を実施"] --> B["監査人：監査報告書の原案を作成"]
  B --> C["監査人と被監査部門：原案の意見交換（事実誤認の確認）"]
  C --> D["監査人：監査報告書を監査依頼者に提出"]
  D --> D2["監査依頼者：被監査部門に改善を指示"]
  D2 --> E["被監査部門：改善計画を作成・提出"]
  E --> F["経営者：経営資源の状況を踏まえて改善計画を評価"]
  F --> H["被監査部門：改善を実施"]
  H --> G["監査人：フォローアップ（改善の実施状況を確認）"]

監査依頼者は多くの場合、経営者（取締役会など）です。

誰が何をするか（役割の比較表）

選択肢には、立場ごとの仕事を入れ替えたものが並びます。主語と動詞の組み合わせで判断します。

立場	すること	試験で正解になる言い方
システム監査人	監査の実施、報告書の作成、監査意見の表明、フォローアップ	「監査依頼者に報告する」「監査報告書に記載した監査意見に責任を負う」「改善状況を確認する」
監査依頼者（経営者など）	報告書を受け取り、改善を指示する	「監査報告に基づき改善指示を行う」
被監査部門（監査対象部門）	改善計画を作り、改善を実施する。対象システムを管理する	「改善の実施は被監査側」
経営者（ITガバナンスの立場）	改善計画を評価する	「経営資源の状況を踏まえて改善を実施」

監査人の責任＝監査報告書に書いた監査意見です。「外部への開示」「対象システムの管理」「指摘した問題点の改善」は監査人の責任ではありません。

あわせて押さえる点が2つあります。

監査チームは、被監査部門のメンバーで組まない（自分の部門を監査することになり、独立性がない）。
他の専門家の支援を受けても、監査結果の判断責任は監査人に残る。

報告書の原案を被監査部門と意見交換するのは「事実誤認の確認」のため

監査人は、報告書を確定する前に原案を被監査部門に見せて意見交換します。目的は、指摘事項と改善勧告に事実誤認（事実の取り違え）がないかを確かめることです。何を指摘するかを最後に決めるのは、あくまで監査人です。

たとえるなら新聞記者の事実確認です。取材先に「この数字や日付は合っていますか」とは確認しますが、記事の論調について承認はもらいません。

選択肢のパターン	判定	理由
事実誤認がないことを確認する	○	意見交換の目的そのもの
確認した上で、監査人が必要と判断した事項を指摘事項として記載する	○	最終判断は監査人
被監査部門の責任者の承認を受ける／承認された事項だけ記載する	×	指摘の内容を被監査側が決めると独立性が崩れる
依頼者に提出する前に被監査部門へ監査報告を行う	×	報告先は監査依頼者
口頭確認で追加調査の代わりにする	×	指摘には監査証拠の裏付けが必要
監査証拠の裏付けの有無にかかわらず記載する	×	証拠のない指摘はできない
重要性を考えず全部漏れなく記載する	×	不備の内容と重要性を判断して記載する

原案の意見交換で被監査部門と確かめるのは事実誤認だけで、何を指摘事項にするかは監査人が最終判断し、報告書は監査依頼者に提出する。

報告書の提出先と、改善計画の評価

監査報告書の提出先は監査依頼者（経営者など）です。監査対象プロジェクトの責任者、利用部門の長、情報システム部門の長は、いずれも誤りです。

被監査部門が出した改善計画を経営者がITガバナンス（経営がITを統制し、事業の価値につなげる仕組み）の観点で評価するときの方針は、「経営資源（人・物・金・情報）の状況を踏まえて改善を実施する」です。「1年以内」「機能面だけ」「部門予算の範囲内」のように、一つの制約だけで判断する選択肢は誤りです。

監査報告書の提出先は監査依頼者だけで、改善計画は経営者が経営資源（人・物・金・情報）の状況を踏まえて評価する。

フォローアップ＝改善の様子を確認する（モニタリング）

フォローアップとは、改善勧告（改善提案）に対して、被監査部門が計画どおりに改善しているかを、監査人が定期的に確認することです。免除試験で4回出題されている頻出テーマです。選択肢の動詞を見れば解けます。

選択肢の動詞	判定	本来の担当
改善状況をモニタリングする／改善実施状況を確認する／計画どおりか定期的に確認する	○	監査人
改善の実施を部門の長に指示する	×	監査依頼者（経営者）
改善実施プロジェクトを管理する・進捗管理する	×	被監査部門
改善実施計画を策定する	×	被監査部門
改善活動を技術的に支援する	×	被監査部門（監査人がすると独立性を損なう）
効果を測定して被監査部門の長に報告する	×	報告先は監査依頼者

被監査部門が改善を進める間、監査人は手を出さずに計画どおりかを定期的に確認し、結果を監査依頼者へ報告する。

試験での問われ方

出題パターンは次の3つに集約されます。

「監査人の責任・活動はどれか」 → 正解は「報告する（依頼者へ）」「確認する」「監査意見」。
「誰に報告・提出するか」 → 正解は監査依頼者。被監査部門・利用部門・情報システム部門の長は誤り。
「原案の意見交換の目的」「指摘事項の書き方」 → 正解は「事実誤認がないことを確認した上で、監査人が判断」。

誤りの選択肢には、「命じる・指示する・管理する・策定する・支援する・自ら是正する・承認を受ける」といった、監査人が被監査側の仕事に入り込む動詞が入っています。これを見つけたら消去します。

要点（試験直前に読む）

監査人の本業は、証拠に基づく監査と監査意見の表明。問題を報告した後にするのは「依頼者への報告」と「改善状況の確認」だけで、是正・指示・管理・計画策定・技術支援はしない。
監査人の責任は「監査報告書に記載した監査意見」。外部への開示、対象システムの管理、問題点の改善は監査人の責任ではない。
監査報告書の提出先は監査依頼者（経営者など）。被監査部門・利用部門・情報システム部門の長ではない。
原案を被監査部門と意見交換する目的は、事実誤認の確認。指摘するかどうかの最終判断は監査人で、被監査部門の承認は不要。
フォローアップは、改善が計画どおり進んでいるかを確認（モニタリング）すること。
改善計画の評価方針は「経営資源の状況を踏まえて改善を実施する」。

ひっかけ

「被監査部門に是正を命じる」「改善の実施を部門の長に指示する」は誤り。指示するのは監査依頼者で、監査人は報告するだけ。
「改善実施プロジェクトの（進捗）管理」「改善実施計画の策定」「技術的支援」は誤り。監査人がフォローアップでするのは確認（モニタリング）だけ。
「被監査部門の責任者の承認を受ける」「承認された事項だけ記載する」は誤り。意見交換の目的は事実誤認の確認で、承認を得ることではない。
「監査証拠の裏付けの有無にかかわらず記載」「重要性を考えず全部記載」「口頭確認で追加調査に代える」は誤り。指摘には証拠の裏付けと重要性の判断が要る。
改善計画の評価で「1年以内」「機能面だけ」「部門予算の範囲内」のように一つの制約で判断する選択肢は誤り。正解は「経営資源の状況を踏まえて」。

用語（16）

システム監査人 しすてむかんさにん
情報システムを、独立した立場から証拠に基づいて点検・評価し、監査意見を述べる人。
⚠ 被監査部門の担当者と混同しない。監査人は報告と確認までを行い、改善の実施・管理はしない。

監査依頼者 かんさいらいしゃ
監査を依頼し、監査報告書を受け取って改善を指示する人。多くは経営者。
⚠ 被監査部門の長と取り違えやすい。報告書の提出先は依頼者であり、被監査部門ではない。

被監査部門 ひかんさぶもん（監査対象部門）
監査を受ける側の部門で、改善計画の作成と改善の実施に責任を持つ。
⚠ 監査人と役割が逆になった選択肢が多い。是正・管理・計画策定はこちらの仕事。

監査報告書 かんさほうこくしょ
監査の結果として、監査意見・指摘事項・改善勧告をまとめ、監査依頼者に提出する文書。

監査意見 かんさいけん
監査人が、集めた証拠に基づいて報告書に示す評価や結論。監査人はこれに責任を負う。
⚠ 「指摘した問題点の改善」も監査人の責任と思いやすいが、改善は被監査側の責任。

指摘事項 してきじこう
監査で見つかった不備のうち、監査人が証拠と重要性から報告が必要と判断したもの。
⚠ 被監査部門の承認は不要。ただし事前に事実誤認がないかは確認する。

改善勧告 かいぜんかんこく（改善提案）
指摘事項について、監査人が報告書の中で示す改善の勧め。
⚠ 「改善指示」と混同しない。指示するのは監査依頼者で、監査人は勧めるだけ。

原案の意見交換 げんあんのいけんこうかん
報告書を確定する前に、原案の内容を被監査部門と確認し合うこと。
⚠ 目的は事実誤認の確認。承認を得ることや、追加調査の代わりにすることではない。

事実誤認 じじつごにん
調査結果の事実を取り違えて理解していること。

監査証拠 かんさしょうこ
監査意見や指摘事項の裏付けとなる資料や記録。
⚠ 証拠の裏付けがない事項は、監査人が必要と思っても指摘事項にできない。

フォローアップ ふぉろーあっぷ
改善勧告に対して、被監査部門の改善が計画どおりに進んでいるかを監査人が確認する活動。
⚠ 進捗管理・技術支援・計画策定と取り違えやすい。監査人は確認するだけで、手は出さない。

モニタリング もにたりんぐ
状況を継続的に見守り、確認すること。
⚠ 「管理」とは違う。管理は自分でコントロールすること、モニタリングは見て確かめるだけ。

独立性 どくりつせい
監査人が監査対象から離れていて利害関係を持たず、公正に判断できる状態。
⚠ 被監査部門のメンバーで監査チームを組む、自ら是正する、といった行為は独立性を損なう。

改善計画 かいぜんけいかく
改善勧告を受けて被監査部門が作成し、提出する改善の実施計画。
⚠ 監査人が策定する選択肢は誤り。

ITガバナンス あいてぃーがばなんす
経営者がITの活用を方向づけ、統制し、事業の価値につなげる仕組み。
⚠ 改善計画は、この観点から経営資源の状況を踏まえて評価する。

経営資源 けいえいしげん
企業が持つ人・物・金・情報などの資源。
⚠ 「部門予算の範囲内」は経営資源のごく一部しか見ていないため、誤りの選択肢になる。

このレッスンの過去問

このレッスンで稽古する

← 監査証拠と監査調書

システム管理基準の構成と情報戦略 →