---
title: "内部監査でITを見るときの観点｜アメリア・テクノロジー株式会社"
url: https://www.ameliatechnology.co.jp/blog/internal-audit-it-viewpoints/
description: "内部監査でITを見るときは、開発・変更、運用、アクセス、委託先の4つの領域を軸に、規程と実態が合っているかを確かめます。計画の立て方、領域ごとに確かめる点、ITに詳しくない監査の担当が進めるときの工夫、報告と改善の追い方を説明します。"
updated: 2026-11-12
publisher: "アメリア・テクノロジー株式会社"
---
# 内部監査でITを見るときの観点

内部監査でITを見るときは、開発・変更、運用、アクセス、委託先の4つの領域を軸に、規程と実態が合っているかを確かめます。計画の立て方、領域ごとに確かめる点、ITに詳しくない監査の担当が進めるときの工夫、報告と改善の追い方を説明します。

2026.11.12 [経営とDX](https://www.ameliatechnology.co.jp/blog/category/management/)

執筆 [石田誠](https://www.ameliatechnology.co.jp/blog/author/ishida/)（グループCTO）

経営とDX（MANAGEMENT）のコラム

## この記事の要点

- 内部監査でITを見るときの軸は、システムの開発・変更、運用、アクセスの管理、委託先の管理の4つの領域です。
- 確かめるのは、規程や手順が決まっているかと、実際にそのとおり動いている記録があるかの両方です。
- 計画の段階で、対象のシステムをリスクで絞り込み、報告では重要度と直し方を添えて、改善の進み具合まで追います。

内部監査でITを見るときは、システムの開発・変更、運用、アクセスの管理、委託先の管理の4つの領域を軸にすると、確かめる点を漏れなく並べやすくなります。どの領域でも、規程や手順が決まっているかと、実際にそのとおりに動いた記録が残っているかの両方を確かめます。対象のシステムはリスクの大きさで絞り込み、報告では重要度と直し方を添えて、改善が進んだかまで追うことが大切です。

## 内部監査で、なぜITを見るのか

内部監査でITを見るのは、業務の手続きの多くがシステムの中で行われ、承認や記録もシステムに残るようになっているためです。紙の伝票の承認印を確かめるだけでは、システムの中で誰が何を変えたかは分かりません。

[内部監査](https://www.ameliatechnology.co.jp/glossary/internal-audit/)とは、会社の中で業務の執行から独立した担当が、業務やリスクの管理が適切に行われているかを確かめ、経営者や取締役会に報告する活動です。ITを対象にする部分は、外部の専門家が行う[システム監査](https://www.ameliatechnology.co.jp/glossary/system-audit/)と重なるところが多く、経済産業省の「システム監査基準」と「システム管理基準」（いずれも2023年4月26日改訂）が、進め方と物差しの参考になります。システム監査基準は、システム監査の目的を、保証を目的とするものと、改善の助言を目的とするものに分けて説明しています。

出典：[経済産業省「システム監査基準」（2023年4月26日改訂）](https://www.meti.go.jp/policy/netsecurity/sys-kansa/sys-kansa-2023r.pdf)、[経済産業省「システム管理基準」（2023年4月26日改訂）](https://www.meti.go.jp/policy/netsecurity/sys-kansa/sys-kanri-2023.pdf)

システム監査の考え方の全体は、[システム監査とは何か。目的・基準・進め方](https://www.ameliatechnology.co.jp/blog/system-audit-basics/)で説明しています。

## 確かめる領域は、どう分けるか

確かめる領域は、[IT全般統制](https://www.ameliatechnology.co.jp/glossary/it-general-controls/)の4つの領域で分けると整理しやすくなります。金融庁の企業会計審議会が定める内部統制の評価と監査の実施基準は、IT全般統制の例として、システムの開発・保守に係る管理、システムの運用・管理、内外からのアクセス管理などシステムの安全性の確保、外部委託に関する契約の管理の4つを挙げています。

出典：[財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）（金融庁、2023年4月7日）](https://www.fsa.go.jp/news/r4/sonota/20230407/20230407.html)

実施基準は財務報告に関わる統制のための基準ですが、4つの領域の分け方は、財務報告に関わらないシステムを見るときにも使えます。上場の準備の中でIT全般統制を整える進め方は、[上場準備で整えるIT全般統制](https://www.ameliatechnology.co.jp/blog/ipo-it-general-controls/)で扱っています。

| 領域 | 規程・手順で確かめること | 記録で確かめること |
|---|---|---|
| 開発・変更 | 変更の申請・承認・テスト・本番への反映の手順があるか | 実際の変更に、承認とテストの記録がついているか |
| 運用 | 定例の処理、障害への対応、バックアップの手順があるか | 障害の記録と対応の結果、バックアップから戻せたかの記録 |
| アクセス | アカウントの発行・変更・削除と、権限の付与の決まりがあるか | 退職した人のアカウントが残っていないか、権限の見直しの記録 |
| 委託先 | 委託先を選ぶ基準と、契約で決めることがあるか | 委託先からの報告、評価の結果、事故の連絡の記録 |

## 開発・変更では、何を確かめるか

開発・変更の領域では、本番のシステムへの変更が、承認とテストを経て行われているかを確かめます。変更の記録の一覧から何件かを選び、申請、承認、テスト、反映の記録がそろっているかを照らし合わせる方法がよく使われます。

見つかりやすいのは、緊急の修正が手順を飛ばして行われ、後から記録が足されていない例や、開発した人がそのまま本番に反映していて、別の人の確認が入っていない例です。[変更管理](https://www.ameliatechnology.co.jp/glossary/change-management/)の監査の進め方は、[本番環境の変更管理。承認と記録をどう残すか](https://www.ameliatechnology.co.jp/blog/change-management-audit/)で詳しく説明しています。

## アクセスの管理では、何を確かめるか

アクセスの管理の領域では、必要な人に、必要な範囲の権限だけが与えられているかを確かめます。確かめ方の例です。

- 人事の退職者の一覧と、システムのアカウントの一覧を突き合わせ、残っているアカウントがないかを見る
- 管理者の権限（[特権ID](https://www.ameliatechnology.co.jp/glossary/privileged-id/)）を持つアカウントの数と、使った記録を確かめる
- [アクセス権の棚卸し](https://www.ameliatechnology.co.jp/glossary/access-review/)が、決めた頻度で行われ、見直した結果が反映されているかを見る

クラウドのサービスやSaaSは、部門が個別に契約していて、情報システムの担当が把握していないことがあります。アカウントの一覧を集める段階で、どのサービスを対象にするかを決めておくと、抜けが少なくなります。特権IDと棚卸しの確かめ方は、[アクセス権の棚卸しと特権IDの管理の進め方](https://www.ameliatechnology.co.jp/blog/access-review-privileged-id/)で扱っています。

## 運用と委託先では、何を確かめるか

運用の領域では、障害への対応とバックアップが、決めたとおりに行われているかを確かめます。バックアップは「取っている」だけでなく、実際に戻せることを確かめた記録があるかまで見ると、事故のときに使えるかどうかが分かります。止まったときに業務をどう続けるかの計画は、[ITのBCP。システムが止まっても業務を続けるために](https://www.ameliatechnology.co.jp/blog/it-bcp-planning/)で説明しています。

委託先の領域では、重要な業務やシステムを任せている委託先を把握し、契約と日々の管理で必要なことを確かめているかを見ます。契約に事故の報告や再委託の条件が書かれているか、委託先から定期の報告を受けているか、といった点です。契約に書いておくことは、[委託先とのセキュリティの取り決め。契約に書いておくこと](https://www.ameliatechnology.co.jp/blog/outsourcing-security-clauses/)で整理しています。

## 監査の計画は、どう立てるか

監査の計画では、すべてのシステムを毎年同じように見るのではなく、リスクの大きさで対象と深さを決めます。

1. 対象を選ぶ：売上や会計、個人情報、止められない業務に関わるシステムを先に選ぶ
2. 物差しを決める：自社の規程、システム管理基準、必要に応じて[ISMS](https://www.ameliatechnology.co.jp/glossary/isms/)の規格などから、何を基準に判断するかを決める
3. 資料と聞き取りで確かめる：規程・手順書・構成図・契約書を読み、担当者に実際の運用を聞く
4. 記録で確かめる：変更の記録、アカウントの一覧、ログなどから件数を選び、決まりどおりかを照らし合わせる
5. 報告し、改善を追う：指摘を重要度の順に並べ、根拠と直し方を添えて報告し、期限を決めて進み具合を確かめる

ITに詳しくない監査の担当が進める場合は、専門用語の細部に入り込むより、「誰が承認したか」「記録は残っているか」「決まりと実態が合っているか」という、ほかの業務の監査と同じ問いを立てると進めやすくなります。技術の判断が要るところは、社外の専門家に一部を頼む形もあります。

## 指摘の後は、どう進めるか

指摘の後は、改善の計画を作るのは監査を受けた部門で、監査の担当はその計画が指摘に見合っているか、期限までに直ったかを確かめる、という役割の分け方が基本です。監査の担当が改善の作業に入り込むと、次の監査で自分の作業を確かめることになり、客観性が保ちにくくなります。指摘の書き方と改善の追い方は、[監査の指摘を改善につなげる。重要度・改善計画・フォローアップ](https://www.ameliatechnology.co.jp/blog/audit-findings-remediation/)で詳しく扱っています。

## 当社のご支援

アメリア・テクノロジーの[システム監査](https://www.ameliatechnology.co.jp/service/system-audit/)では、経済産業省の「システム監査基準」「システム管理基準」を参考に、目的に合わせて範囲を決め、資料と聞き取り、アクセスの権限や設定、変更の記録などで確かめ、重要度の順に指摘と直し方の提案をまとめてご報告しています。内部監査の担当の方が、ITの領域だけを社外の専門家に頼みたい場合もご相談いただけます。当社が開発・運用に関わったシステムは監査の対象にしないなど、中立を保つための決まりを設けています。M&Aや上場に向けた準備の状態をおおまかに確かめたい場合は、無料の[M&A・上場に向けたIT準備度診断](https://www.ameliatechnology.co.jp/diagnosis/ma-ipo/)もお使いください。

- 内部監査
- IT全般統制
- システム監査
- ITガバナンス

## この記事に出てくる用語

- [内部監査](https://www.ameliatechnology.co.jp/glossary/internal-audit/)
- [システム監査](https://www.ameliatechnology.co.jp/glossary/system-audit/)
- [IT全般統制](https://www.ameliatechnology.co.jp/glossary/it-general-controls/)
- [バックアップ](https://www.ameliatechnology.co.jp/glossary/backup/)
- [仕様変更・変更管理](https://www.ameliatechnology.co.jp/glossary/change-request/)
- [変更管理](https://www.ameliatechnology.co.jp/glossary/change-management/)
- [本番環境・ステージング環境・開発環境](https://www.ameliatechnology.co.jp/glossary/environments/)
- [特権ID](https://www.ameliatechnology.co.jp/glossary/privileged-id/)

## 関連する法令・指針（参考情報）

- 指針
   経済産業省「システム監査基準」（2023年4月26日改訂）
   システム監査の目的（保証または改善のための助言）と、監査人の独立性・客観性、監査の計画・実施・報告・フォローアップなど、システム監査を行うときの行動の規範を示した基準です。
   [発行元の公式ページで開く](https://www.meti.go.jp/policy/netsecurity/sys-kansa/sys-kansa-2023r.pdf)
- 指針
   経済産業省「システム管理基準」（2023年4月26日改訂）
   システム監査基準の姉妹編として、ITガバナンスとITマネジメントの実践の規範をまとめた基準です。監査人の判断の尺度として使うほか、取締役会や経営者がITを管理するときにも使えるようにまとめられています。
   [発行元の公式ページで開く](https://www.meti.go.jp/policy/netsecurity/sys-kansa/sys-kanri-2023.pdf)
- 指針
   金融庁（企業会計審議会）「財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）」（2023年4月7日）
   内部統制報告制度の評価と監査の基準を改訂したものです。2024年4月1日以後に始まる事業年度から適用されています。ITへの対応では、ITの委託業務の重要性や、クラウドなどの利用に伴うセキュリティの確保が強調されています。
   [発行元の公式ページで開く](https://www.fsa.go.jp/news/r4/sonota/20230407/20230407.html)

法令は2026年10月21日時点の内容です。要旨は当社がまとめたもので、条文・判決・指針の全文ではありません。個別の事案への当てはめは、弁護士・社会保険労務士などの専門家にご確認ください。表記の決まりは[法令・指針の参考情報と凡例](https://www.ameliatechnology.co.jp/knowledge/legal/)をご覧ください。

この記事を書いた人

[石田誠](https://www.ameliatechnology.co.jp/blog/author/ishida/) グループCTO

インターネットの黎明期から、ホスティング事業の立ち上げや、インフラ・セキュリティのプロジェクトに携わってきました。現在は、AWS・Azure へのクラウド移行の支援と、業務アプリケーションの要件定義から実装までを担っています。

このコラムは一般的な情報の提供を目的としたもので、個別の状況への助言ではありません。製品・サービスの名前と内容は、記事の更新日の時点のものです。

## あわせて読みたい

- [移行期間のサービス契約（TSA）とは。決めておくこと](https://www.ameliatechnology.co.jp/blog/tsa-transition-service-agreement/)
- [システムの総費用（TCO）はどう見積もるか](https://www.ameliatechnology.co.jp/blog/system-tco-estimate/)
- [サプライチェーンのセキュリティ。取引先を経由する攻撃への備え](https://www.ameliatechnology.co.jp/blog/supply-chain-security/)

[経営とDXのコラムを見る](https://www.ameliatechnology.co.jp/blog/category/management/) [コラムの一覧に戻る](https://www.ameliatechnology.co.jp/blog/)

## 次の一歩

### 取り組む順番を決める

AI活用の診断では、現場のお話をうかがい、2〜4週間で優先順位と計画をまとめます。

[AI活用の診断を見る](https://www.ameliatechnology.co.jp/pricing/#diagnosis)

### M&Aの前後のシステムを整える

フロレンティナと一体で、譲渡の前の磨き上げと、譲受の後のシステム統合を進めます。

[M&Aの前後の支援を見る](https://www.ameliatechnology.co.jp/group/#packages)

## ご関心に合わせて、お選びください。

[情報を集めている方へ会社案内、AI開発の例、セキュリティ診断の報告書の見本をお送りします。資料をダウンロード](https://www.ameliatechnology.co.jp/download/)[課題が見えている方へオンラインで30分、お話をうかがいます。費用はかかりません。無料で相談する](https://www.ameliatechnology.co.jp/contact/)[進め方を決めたい方へ2〜4週間で、優先順位と計画をまとめるAI活用の診断です。診断について見る](https://www.ameliatechnology.co.jp/pricing/#diagnosis)

---

出典：アメリア・テクノロジー株式会社「内部監査でITを見るときの観点｜アメリア・テクノロジー株式会社」 https://www.ameliatechnology.co.jp/blog/internal-audit-it-viewpoints/