分野 B｜ビジネス
システム監査・情報セキュリティ監査（監査の進め方）
今の制度の過去問（3回分）では、各監査の説明、システム監査の目的と監査人、実施の流れが、3回分で9問出ています。
シラバス案 Ver.0.1（2026年8月31日公表）の『3-12-3 システム監査の実施』
最終更新
よく出る形
- 各監査（会計、業務、情報セキュリティ、システム）の説明を選ぶ（3回分で2問）
- システム監査の目的や、監査人の役割を選ぶ（3回分で2問）
- 事例で、システム監査人にふさわしい立場の人を選ぶ（3回分で2問）
- 判断尺度（監査の物差し）の選び方、実施の流れの段階を選ぶ（3回分で2問）
- ISMS（情報セキュリティ管理の仕組み）の内部監査の記述を選ぶ（3回分で1問）
- 問われるとしたら：法定／任意、内部／外部の分類を、事例で選ぶ形
- 問われるとしたら：システム監査基準の説明を選ぶ形
- 問われるとしたら：監査調書（監査の記録）、報告書の記述を判定する形
覚えること
- システム監査：情報システムのリスクへの対応を評価し、組織体の目標達成に寄与する
- 会計監査：財務諸表（決算の書類）が適正に作成されているかを検証する
- 業務監査：業務が方針や規程に従い、合理的かつ効率的に行われているかを検証する
- 情報セキュリティ監査：情報資産に関わるリスクマネジメントが効果的に行われているかを検証
- 法定監査は法令で義務づけられた監査。任意監査は組織が自主的に行う監査
- 内部監査は組織が自らの監査部門で行い、外部監査は組織外の第三者が行う
- システム監査の流れ：監査計画、予備調査（下調べ）、本調査、評価・結論、報告、フォローアップ
- 予備調査：監査対象の概要を把握し、本調査の範囲や方法を決める
- 本調査：被監査部門（監査を受ける部門）の資料や記録を調べ、監査証拠を入手する
- 評価・結論：入手した証拠に基づいて、監査意見を検討する
- 監査調書：実施した手続や入手した証拠を記録した資料。作成して保管する
- 監査報告書：監査の結果をまとめ、必要な改善提案を付ける
- フォローアップ：提案した改善が実施されたかを、監査人が後から確認する
- リスクアプローチ：情報システムのリスクの大きさを踏まえて、監査の重点を決める
- システム監査人：監査対象の開発や運用に関与しない、独立した立場の者
- 監査人は独立して客観的に判断する。改善の実施は被監査部門が行う
- 判断尺度：システム管理基準が代表的で、テーマに応じて他の基準も使える
- システム監査基準：監査人の倫理と、監査の体制や実施のあり方を示し、監査人が従う基準
- ISMS の内部監査：要求事項への適合性に加え、ISMS 活動の有効性も判定する
- 参考：新案は監査を3-12-3に置き、法定／任意、内部／外部が加わる
想定問題
4問（四肢択一）。選ぶと、その場で正解と解説が開きます。
この監査の分類として、最も適切なものはどれか。
A 社は、法令で義務づけられていないが、経営者の判断で、A 社とは独立した第三者である社外の監査法人に、情報システムの運用の監査を依頼した。
正解：エ 任意監査であり、外部監査である
ポイント
監査を、法令による義務の有無と、実施する者の立場の2つの軸で分類する問題です。
考え方と解き方
第三者に頼んだことと、法令の義務がないことは別の軸です。どちらか一方だけで決めると、2つに絞れずに迷います。
- 法令で義務づけられていない監査は、任意監査です。独立した第三者の社外の監査法人が実施する監査は、外部監査です。
- したがって、最も適切なのは エ です。
ほかの選択肢
- ア 法令で義務づけられた法定監査で、組織が自らの監査部門で行う内部監査です。事例は、法令の義務がなく、独立した第三者が行っています。
- イ 法令で義務づけられた法定監査で、外部の者が行う外部監査です。事例は、法令の義務がありません。
- ウ 自主的に行う任意監査ですが、内部監査は組織が自らの監査部門で行います。事例は、独立した第三者の監査法人が行っています。
覚えておくこと
- 法定監査は法令で義務づけられた監査。任意監査は組織が自主的に行う監査
- 内部監査は組織が自らの監査部門で行い、外部監査は組織外の第三者が行う
（テーマ・覚えること）
システム監査基準の説明として、最も適切なものはどれか。
正解：イ 監査人の倫理と、監査の体制や実施のあり方を示し、監査人が従う基準
ポイント
システム監査基準が何を定めた基準かを選ぶ問題です。
考え方と解き方
システム監査基準とシステム管理基準は名前が似ているので、監査人の行為規範と、監査の判断尺度に使う管理の基準を取りちがえます。
- システム監査基準は、システム監査人の倫理と、監査の体制や実施のあり方を示し、監査人が従う基準です。
- したがって、最も適切なのは イ です。
ほかの選択肢
- ア 情報システムの管理のあるべき姿を示し、監査の判断尺度に使うのは、システム管理基準です。
- ウ 財務諸表の作成と表示の方法を示すのは、会計の基準の説明です。
- エ 品質マネジメントの要求事項を示し、認証の審査に使うのは、品質マネジメントシステムの規格の説明です。
覚えておくこと
- システム監査基準：監査人の倫理と、監査の体制や実施のあり方を示し、監査人が従う基準
（テーマ・覚えること）
システム監査に関する記述 a〜c のうち、適切なものだけを全て挙げたものはどれか。
A 社のシステム監査人の B さんは、情報システムの監査を進めている。
- a システム監査人は、実施した監査手続や入手した証拠を、監査調書として記録し、保管する。
- b システム監査報告書には、監査の結果とともに、必要な改善提案を記載する。
- c 監査意見は、被監査部門から聞き取った説明だけを根拠にし、記録や資料は確かめずにまとめる。
正解：ア a、b
ポイント
監査調書、監査報告書、監査意見の根拠の記述を、a〜c それぞれ判定して組み合わせる問題です。
考え方と解き方
担当者の説明は現場を最もよく知る情報なので、そのまま根拠にしてよいと考え、記録や資料で裏づける手順を飛ばします。
- a は適切です。実施した手続や入手した証拠は、監査調書として記録し、保管します。
- b は適切です。報告書には、監査の結果とともに、必要な改善提案を記載します。
- c は不適切です。監査意見は、記録や資料などの十分かつ適切な監査証拠に基づいて導くもので、説明を聞くだけでは根拠になりません。
- したがって、適切なのは a、b で、ア です。
ほかの選択肢
- イ c は不適切なので、a、c は適切な組合せではありません。b も適切です。
- ウ a も適切なので、b だけでは足りません。
- エ c は不適切なので、c だけでは適切な組合せではありません。a、b が適切です。
覚えておくこと
- 監査調書：実施した手続や入手した証拠を記録した資料。作成して保管する
- 監査報告書：監査の結果をまとめ、必要な改善提案を付ける
- 評価・結論：入手した証拠に基づいて、監査意見を検討する
（テーマ・覚えること）
システム監査の実施に関する記述として、最も不適切なものはどれか。
正解：ウ 監査計画は、本調査を終えた後に、入手した証拠を踏まえて作成する。
ポイント
システム監査の実施の流れのうち、不適切な記述を選ぶ問題です。
考え方と解き方
証拠を踏まえて作ると聞くと、計画が後でもよいように見えますが、計画は何を調べるかを決めるもので、調べる前に必要です。
- システム監査は、監査計画の策定、監査の実施、報告とフォローアップの順に進みます。ウは計画を本調査の後に作るとしており、正しくは、本調査の前に計画を作る、です。
- したがって、最も不適切なのは ウ です。
ほかの選択肢
- ア リスクの大きさを踏まえて監査の重点を決めるのは、リスクアプローチなので、適切です。
- イ フォローアップは、提案に基づく改善の実施状況を確認する作業なので、適切です。
- エ 予備調査は、本調査の前に、監査対象の実態を把握するために行うので、適切です。
覚えておくこと
- システム監査の流れ：監査計画、予備調査（下調べ）、本調査、評価・結論、報告、フォローアップ
（テーマ・覚えること）
このテーマの過去問
- 令和6年度 問42システム監査人の役割として，適切なものだけを…四肢択一
- 令和6年度 問48システム監査で用いる判断尺度の選定方法に関す…四肢択一
- 令和6年度 問55システム監査の目的に関する記述として，適切な…四肢択一
- 令和7年度 問38情報セキュリティ監査の説明として，最も適切な…四肢択一
- 令和7年度 問51社内で開発及び運用を行っている経理システムの…四肢択一
- 令和7年度 問52A社は会計システムの再構築のプロジェクトを立…四肢択一
- 令和7年度 問59ISMSにおける内部監査に関する記述のうち，…四肢択一
- 令和8年度 問47監査を会計監査，業務監査，情報セキュリティ監…四肢択一・まずこの1問
- 令和8年度 問51システム監査において，各部署の外部媒体の管理…四肢択一
同じ分野のテーマ（ビジネス）
- DXとは（社会の変化・顧客体験・SDGs）今の制度の過去問（3回分）では、DX の説明とデジタルディスラプションを表す用語が3回分で2問出ています。
- イノベーションの種類と理論（オープンイノベーション・リーンスタートアップ）今の制度の過去問（3回分）では、ベンチャーキャピタル、オープンAPI、キャズムが3回分で3問出ています。
- PoC・チェンジマネジメント（変革の進め方）今の制度の過去問（3回分）では、バックキャスティング、PoC、ハッカソン、投資の回収期間の計算が3回分で5問出ています。
- 経営戦略の基本（経営理念・M&A・コアコンピタンス）今の制度の過去問（3回分）では、MVV のビジョンが3回分で1問出ています。
- SWOT分析・KPI・バランススコアカード（戦略の手法）今の制度の過去問（3回分）では、VRIO 分析、ニッチ戦略、バリューエンジニアリングが、3回分で3問出ています。
- デジタル戦略（DX戦略・BYOD・デジタルディバイド）今の制度の過去問（3回分）では、BYOD の説明が、3回分で1問出ています。
- 情報システム戦略・EA（SoR・SoE・As-is/To-be）今の制度の過去問（3回分）では、SoR と SoE、EA、システム化構想の立案、情報システム化基本計画が、3回分で4問出ています。
- 要件定義と調達（RFI・RFP・入札）今の制度の過去問（3回分）では、RFI、RFP、業務要件定義、要件定義への利用者の関わりが、3回分で4問出ています。
- 3C分析・PEST分析・STP分析（ビジネス調査）今の制度の過去問（3回分）では、STP 分析のポジショニングが、3回分で1問出ています。
- ビジネスモデル（サブスクリプション・フリーミアム・ビジネスモデルキャンバス）今の制度の過去問（3回分）では、サブスクリプション、シェアリングエコノミー、フリーミアムの用語が、3回分で3問出ています。
- ビジネスプロセス改善（BPR・BPM・RPA）今の制度の過去問（3回分）では、RPA、業務プロセスの可視化、BPO の用語などが、3回分で6問出ています。
- プロダクトライフサイクル・ブランディング今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- マーケティング戦略とWebマーケティング（SEO・リスティング広告）今の制度の過去問（3回分）では、リスティング広告の説明が1問出ています。
- サービスマネジメントとSLA（サービスレベル管理）今の制度の過去問（3回分）では、SLA とサービスレベル管理、可用性、稼働率の計算などが5問出ています。
- サービスデスク・インシデント管理・変更管理今の制度の過去問（3回分）では、サービスデスクの役割や評価の指標などが3問出ています。
- プロジェクトマネジメントの基本（PMO・ステークホルダ・リスク）今の制度の過去問（3回分）では、プロジェクトの定義、憲章、会議、変更要求、要員の配置などが6問出ています。
- WBS・ガントチャート・アローダイアグラム（スケジュール）今の制度の過去問（3回分）では、WBS、スコープ、アローダイアグラムなど、スコープとスケジュールの問題が6問出ています。
- デザイン思考・UX・人間中心設計・ペルソナ今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- ユーザー調査（インタビュー・アンケート・フィールドワーク）今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- カスタマージャーニーマップ・プロトタイプ・ユーザビリティテスト今の制度の過去問（3回分）では、構造化シナリオ法の三つのシナリオが1問出ています。ほかの手法は、新しいシラバス案（Ver.0.1）にある項目で、問われるとしたらの形でまとめています。
- 変化への適応とコラボレーション（マインド・スタンス）今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 顧客・ユーザーへの共感と常識にとらわれない発想今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 小さく試して直す・柔軟な意思決定・事実に基づく判断今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- アジャイル（スプリント・ふりかえり・KPT）今の制度の過去問（3回分）では、アジャイル開発の特徴を問う問題が3問出ています。
- データマネジメントとデータガバナンスの考え方今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- データ品質管理とメタデータ管理今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- データライフサイクル（生成・保管・処理・活用・廃棄）今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- データ基盤（データレイク・DWH・データマート・ETL）今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- データの種類と加工（構造化データ・名寄せ・欠損値）今の制度の過去問（3回分）では、名寄せ、ライフログ（人の行動ログ）、アノテーション、ビッグデータの3V が、合わせて4問出ています。
- 確率・平均値・中央値・尺度（統計の基本）今の制度の過去問（3回分）では、確率の計算と、データの尺度を問う問題が2問出ています。
- 相関分析・回帰分析・仮説検定・バイアス今の制度の過去問（3回分）では、回帰分析を選ぶ問題が1問出ています。
- グラフとQC七つ道具（パレート図・散布図）・ブレーンストーミング今の制度の過去問（3回分）では、パレート図の説明を選ぶ形とブレーンストーミングの進め方を選ぶ形が、合わせて2問出ています。
- 線形計画法・在庫管理・日程計画今の制度の過去問（3回分）では、定期発注方式の計算式を問う問題が1問出ています。
- AI社会原則とAI事業者ガイドライン今の制度の過去問（3回分）では、人間中心の AI 社会原則のイノベーションの原則を選ぶ形と、AI で使うデータのバイアス対策を選ぶ形が、合わせて2問出ています。
- 識別AIの活用（需要予測・顧客セグメンテーション）今の制度の過去問（3回分）では、AI を導入して作業効率が向上した事例を選ぶ形が1問出ています。
- 生成AIの活用（プロンプトエンジニアリング・マルチモーダル）今の制度の過去問（3回分）では、プロンプトエンジニアリングの説明を選ぶ形が1問出ています。
- AIエージェントの活用（自律性・ガードレール）今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 企業の仕組み（株式会社・CSR・IPO・人的資本経営）今の制度の過去問（3回分）では、企業の社会的責任（CSR）を選ぶ問題が1問出ています。
- 経営管理と組織形態（PDCA・事業部制・CxO）今の制度の過去問（3回分）では、CxO が1問、PDCA が2問、組織形態が2問出ています。
- 人材マネジメント（OJT・リスキリング・テレワーク・DE&I）今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 損益分岐点・貸借対照表・損益計算書（会計の基本）今の制度の過去問（3回分）では、損益分岐点や利益の計算、損益計算書の金額、売上原価、間接費が3回分で4問出ています。
- 財務指標（ROE・ROA・ROI・自己資本比率）今の制度の過去問（3回分）では、損益計算書だけで計算できる指標の選択と、自己資本比率の計算が、3回分で2問出ています。
- コーポレートガバナンスとコンプライアンス今の制度の過去問（3回分）では、コーポレートガバナンスの説明と、その強化策が、3回分で3問出ています。
- 内部統制（J-SOX・職務分掌・3つのラインモデル）今の制度の過去問（3回分）では、内部統制の構成要素、けん制や活動の内容、ITへの対応が、3回分で4問出ています。