【情報セキュリティマネジメント】システム監査の流れ、直すのは監査人ではない｜独立性・監査証拠・報告・フォローアップ

2026.08.27

システム監査では、監査人がシステムを修正したり、被監査部門に代わって改善したりするわけではありません。

監査対象から独立した立場で事実を確認し、監査証拠を評価して結論を報告します。改善を実施するのは監査対象先であり、監査人はその後の状況をフォローアップします。

SGでは、監査を受ける側・協力する側として、何を準備し、誰が改善し、監査人が何を確認するかを判断できることが重要です。読み終えると、監査人と監査対象先の役割、監査証拠の扱い、報告後のフォローアップを事例から切り分けられるようになります。

先に結論：監査の基本は四段階

段階 監査人が行うこと 監査を受ける側の関わり
監査計画 目的、対象、範囲、時期、体制、重点項目などを定める 対象範囲や日程の調整に応じる
監査の実施 監査手続によって証拠を入手し、評価する 文書・記録を準備し、インタビューに応じる
監査報告 証拠に基づく結論、指摘事項、改善提案を伝える 指摘を確認し、改善計画を作成する
フォローアップ 改善措置の実施状況と有効性を確認する 実施結果を証拠とともに示す

実務上、監査の実施を、対象の概要を把握する予備調査と、具体的な証拠を確認する本調査に分けることがあります。

その場合は、次の五段階として表せます。

監査計画 → 予備調査 → 本調査 → 監査報告 → フォローアップ

四段階と五段階は別の流れではありません。五段階は「監査の実施」を二つに分けた表現です。

1．システム監査は独立・客観的に検証する

システム監査は、情報システムの利活用や管理の状況を、独立かつ客観的な立場から検証・評価する活動です。

監査人は、業務を実施する担当者ではなく、監査証拠に基づいて事実と評価を示す立場です。

アクセス権の不備を発見しても、監査人がサーバへログインして権限設定を修正してはいけません。監査対象先や改善責任部門が修正し、監査人はフォローアップで結果を確認します。

2．監査人には独立性と客観性が必要

監査対象のシステムを開発・運用した担当者が、自分の仕事を自分で監査すると、自己レビューによって判断が偏るおそれがあります。

次の体制では、独立性・客観性に問題が生じます。

  • 開発部門の責任者が、自部門で開発したシステムを監査する
  • 日常の運用担当者が、自分の実施した運用を監査する
  • 監査チームが被監査部門の指揮命令を受ける
  • 監査人が指摘した設定を自ら修正し、その結果を自分で評価する

監査人が組織内部の者であっても、監査対象から独立した体制と客観性を確保できれば、システム監査を実施できます。「システム監査は必ず社外の専門家が行う」とは限りません。

被監査部門の都合で結論を変えない

被監査部門の責任者が指摘に反対しても、十分な監査証拠がある指摘を、相手の希望だけで報告から除くことは適切ではありません。

監査人は反対意見と追加情報を確認し、新しい証拠によって評価が変わる場合は見直します。しかし、証拠に基づく結論を都合に合わせて変更してはいけません。

3．監査人には倫理・能力・注意・秘密保持が必要

監査人には、独立性と客観性に加え、次が求められます。

要件 内容
誠実性 正直かつ責任ある態度で監査を行う
客観性 偏見や利害関係に左右されず判断する
能力及び正当な注意 必要な知識・技能を維持し、慎重に手続と評価を行う
秘密の保持 監査で知った情報を正当な理由なく利用・開示しない

監査経験があるという理由だけで、学習や能力維持が不要になるわけではありません。

4．監査計画で目的・対象・範囲を決める

監査計画では、例えば次を定めます。

  • 監査の目的
  • 対象となるシステム・業務・期間
  • 監査範囲
  • 監査体制と役割
  • 実施時期
  • 重点的に確認するリスク
  • 実施する監査手続
  • 報告先と報告時期

本調査を始めてから、後付けで目的や対象を決めるものではありません。

予備調査を行う場合は、規程、組織図、システム概要、過去の指摘などから対象の状況を把握し、本調査で確認する項目を具体化します。

5．監査証拠は結論を裏付ける情報

監査証拠は、監査人が評価と結論を形成するために利用する情報です。

例えば、アクセス権の棚卸しを確認する場合は、次のような証拠が考えられます。

  • 棚卸しの実施記録
  • 対象時点のアクセス権一覧
  • 確認者・承認者の記録
  • 不要権限を削除した記録
  • システムから出力した設定情報・ログ
  • 担当者へのインタビュー結果

口頭説明も監査証拠になり得ます。しかし、重要な結論について説明だけで有効性を確定せず、文書、記録、観察結果、システム出力などと照合します。

証拠が不足するときは追加確認する

記録が提示されなかったからといって、追加確認をせず直ちに「未実施」と断定するのも適切ではありません。

監査人は、代替となる記録、システム出力、関係者への確認など、利用可能な証拠を追加で求めます。それでも十分な証拠が得られない場合は、証拠不足を評価や監査報告へ反映します。

「説明だけで問題なしとする」「証拠を集めず即座に不備と断定する」「確認を次回監査へ先送りして今回は評価しない」のいずれも、十分な証拠に基づく評価とはいえません。

監査の実施内容、入手した証拠、評価、結論に至った過程は、後から確認できるよう記録します。実務では、こうした監査の記録を監査調書として残します。

ただし、SGでは監査証拠を入手・評価して結論を形成することが中心です。監査調書の詳細な様式や、高度な監査技法の使い分けまでは深追いしません。

6．監査報告は証拠に基づいて行う

監査報告では、監査の目的・対象・範囲、実施結果、評価、指摘事項、改善の方向性などを関係者へ伝えます。

監査人は、被監査部門の希望に合わせて指摘を削除したり、証拠のない推測を事実として報告したりしてはいけません。

一方、被監査部門の説明や反対意見を無視するのでもありません。事実関係を確認し、必要に応じて監査報告へ適切に反映します。

7．改善を実施するのは監査対象先

指摘事項への改善措置を計画・実施する責任は、経営者、監査対象先又は指定された改善責任部門にあります。

考えられる対応には次があります。

  • 指摘の原因を除去する改善
  • 当面の代替措置
  • 適切な権限者による残存リスクの受容

判断を行わず、対応を無期限に保留することは適切ではありません。

監査人が改善作業を代行すると、自ら実施した作業を自ら評価することになり、独立性を損ないます。

8．フォローアップは改善措置を確認する

フォローアップでは、監査対象先が実施した改善措置について、次を確認します。

  • 計画した措置が実施されたか
  • 指摘の原因へ対応しているか
  • 改善が有効に機能しているか
  • 残存リスクが明確になっているか
  • 必要な記録が更新されているか

改善を実施するのは監査対象先であり、その実施状況を確認するのが監査人です。

令和8年度のSG公開問題でも、監査対象先が実施した改善措置を監査人が確認するフォローアップが問われています。

全ての指摘が完全に解消されるまで監査報告を作成できないという意味ではありません。フォローアップの対象、時期、深さは、リスクの重要性や監査計画に応じて決めます。

9．監査の種類は目的・対象・基準で分ける

監査の種類 主な目的・対象
システム監査 情報システムの利活用や管理を幅広く検証・評価する
情報セキュリティ監査 情報セキュリティ管理基準などを尺度に、対策の適切性・有効性を評価する
コンプライアンス監査 法令、社内規程、行動規範などの順守状況を評価する
ISMS内部監査 ISMSが組織・規格の要求事項に適合し、有効に実施・維持されているか確認する

監査の種類は、監査人が社内の者か社外の者かだけでは区別できません。

システム監査には内部監査と外部監査があり、ISMS内部監査も組織のために外部者へ委託する場合があります。認証機関による審査は、ISMS内部監査とは別の第三者による審査です。

ISMS内部監査とマネジメントレビューの関係は、「内部監査とマネジメントレビュー」の記事で扱います。

10．科目Bでの使われ方

事例の記述 判断の方向
棚卸しを行ったと説明するが、記録がない 記録やシステム出力などの裏付けを確認する
開発責任者が自分のシステムを監査する 独立性・客観性に問題がある
指摘に納得できないので削除を求める 証拠に基づく結論を都合で変えない
監査人へ設定変更を依頼する 改善は監査対象先が実施する
改善したと口頭で伝える フォローアップで実施状況と有効性を証拠で示す
社外監査人なので情報セキュリティ監査と判断する 所属ではなく目的・対象・基準で区別する

判断手順は次のとおりです。

  1. 監査の計画・実施・報告・フォローアップのどの段階か
  2. 監査人が監査対象から独立しているか
  3. 結論を裏付ける十分な証拠があるか
  4. 改善する者と確認する者を取り違えていないか
  5. 監査の目的・対象・評価基準は何か

担当者としては、監査で指摘を受けたら、その場で反論や弁明に終始せず、事実関係を確認して記録します。改善の方針や期限を担当者限りで決めず、責任者へ報告して組織として回答します。

よくある取り違え

誤った説明 正しい整理
本調査の後に監査計画を作る 計画してから実施する
開発・運用担当者が自分の業務を監査する 独立性・客観性を確保する
被監査部門が反対した指摘は削除する 証拠に基づいて判断する
口頭説明だけで統制が有効と確定する 記録・出力・観察などと照合する
記録がないため追加確認せず不備と断定する 代替証拠を含めて確認する
監査人が設定を修正する 改善は監査対象先が行う
フォローアップで監査人が改善を実施する 監査人は改善状況を確認する
システム監査は必ず社外監査 内部・外部のどちらでも実施され得る
情報セキュリティ監査はシステム利用全般を評価する セキュリティ対策を主な対象とする

まとめ

  • システム監査は、情報システムの利活用・管理を独立かつ客観的に検証・評価する
  • 基本の流れは、監査計画・実施・報告・フォローアップ
  • 実施を予備調査と本調査に分ければ五段階として表せる
  • 監査人は、独立性、客観性、能力、正当な注意、秘密保持を確保する
  • 自ら開発・運用・改善した対象を自分で監査しない
  • 監査証拠は、文書、記録、観察、システム出力、インタビューなどから入手する
  • 重要な結論は、口頭説明だけでなく客観的な記録と照合する
  • 監査の手続、証拠、評価、結論の過程は、後から確認できるよう記録する
  • 改善を実施するのは監査対象先であり、監査人はフォローアップで確認する
  • 監査の種類は、実施者の所属ではなく目的・対象・基準で区別する
  • SGでは、監査に協力し、必要な文書をそろえ、指摘への改善を進める立場で判断する

関連記事

  • C3-T06：内部監査とマネジメントレビュー
  • C10-T06：内部統制とITガバナンス
  • C3-T05：ISMSのPDCAと運用
  • C10-T04：用語の衝突を整理する

本記事は、2026年8月3日時点のSGシラバスVer.4.1を基準に作成しています。

参考資料

  • IPA「情報セキュリティマネジメント試験（レベル2）シラバス Ver.4.1」
  • IPA「令和8年度 情報セキュリティマネジメント試験 科目A・B 公開問題」
  • 経済産業省「システム監査基準」（令和5年4月26日改訂）
  • 経済産業省「情報セキュリティ監査基準」（令和7年経済産業省告示第125号）

関連する問題

コメント

タイトルとURLをコピーしました