システム監査とは何か。目的・基準・進め方

システム監査とは、専門性と客観性を備えた監査人が、一定の基準にもとづいてITシステムの利活用を検証・評価し、その結論や改善のための助言を報告することです。日本では、経済産業省の「システム監査基準」が行動の規範を、「システム管理基準」が確かめるときの物差しを示しています（いずれも2023年4月26日の改訂が、2026年10月時点の最新です）。

システム監査とは

システム監査は、ITシステムとその管理の状態を、開発や運用を担う人とは別の立場から確かめる活動です。システム監査基準は、システム監査を「専門性と客観性を備えた監査人が、一定の基準に基づいてITシステムの利活用に係る検証・評価を行い」、結論や助言を伝える活動として位置づけています。

システム監査基準が示す目的は、ITシステムに係るリスクに適切に対応しているかを監査人が検証・評価し、保証や助言を通じて、組織の経営活動と業務活動の効果的かつ効率的な遂行とその変革を支え、組織の目標の達成に役立つこと、または利害関係者への説明責任を果たすことです。不正や誤りを見つけることだけが目的ではなく、ITをうまく使えているかを確かめ、経営の判断に役立てる点に重きがあります。

出典：経済産業省「システム監査基準」（2023年4月26日改訂）

保証を目的とする監査と、助言を目的とする監査は何が違うのか

システム監査基準は、システム監査を目的によって2つに分けて説明しています。

助言を目的とする監査は、依頼者からの具体的な要請にもとづいて行うのが一般的とされています。助言の場合でも、監査人は客観性を保ち、経営の責任を自ら引き受けることはしません。

実際には、1つの監査の中で、評価の結論を示したうえで改善の助言を添える形もあります。依頼の前に、結果を誰に、何のために見せるのかを決めておくと、どちらの目的で行うかが定まります。

何を物差しにして確かめるのか

監査には、良し悪しを判断するための物差しが要ります。システム監査基準は、ITシステムのガバナンス、マネジメント、コントロールを検証・評価するときの判断の尺度として、「システム管理基準」か、それを組織の特性や状況に合わせて調整した基準・規程を使うことが望ましいとしています。

システム管理基準は、ITガバナンスとITマネジメントの実践の規範をまとめたものです。監査人の物差しとして使うほか、取締役会や経営者が自社のITを管理するときの手引きとしても使えるようにまとめられています。

目的によっては、ほかの基準を物差しに加えます。

• 情報セキュリティを中心に確かめる場合：経済産業省の「情報セキュリティ管理基準」や、ISMSの規格
• 財務報告に関わる統制を確かめる場合：内部統制報告制度（J-SOX）の評価の基準とIT全般統制の考え方
• AIの仕組みを確かめる場合：経済産業省・総務省の「AI事業者ガイドライン」などの公的な指針

自社の規程がある場合は、その規程が守られているかも確かめる対象になります。

監査人に求められる独立性とは

システム監査基準は、監査が誠実かつ客観的に行われることを求めています。そのための考え方が独立性です。

• 精神的な独立性：誠実に行動し、客観性を保つという、監査人の心の持ち方
• 外観的な独立性：監査の対象から独立した立場で行われていると、外から見て分かること

外観的な独立性は、監査人本人が公正であると考えているだけでは足りないという考え方です。たとえば、監査の担当が対象の部門と同じ指揮命令の系統にある場合は、外から見た独立性が損なわれるとされています。外部に監査を頼むときも、頼む側が、その監査人の専門性と独立性を確かめることが求められます。

開発会社に監査を頼むときに考えることは、システム監査の独立性で詳しく扱っています。

システム監査はどう進めるのか

システム監査基準は、監査の計画、実施、報告、フォローアップについて基準を定めています。実務では、次の流れで進めるのが基本です。

1. 計画：目的、対象、範囲、物差しを決めます。システム監査基準は、リスクの大きいところに重点を置く考え方（リスク・アプローチ）で計画を立て、リスクの変化に応じて見直すことを求めています
2. 予備調査：資料の確認や聞き取りで、対象の業務、体制、システムの実態をつかみます
3. 本調査：結論を裏づけるのに十分で適切な証拠を集めます。口頭の説明だけに頼らず、書類や記録、設定の画面などで裏づけをとります
4. 評価：集めた証拠を物差しに照らし、結論を出します。手続、証拠、結論は監査調書に記録し、後から確かめられるように残します
5. 報告：監査報告書にまとめ、依頼者や取締役会などに報告します。改善が必要な点には改善の提案を添えます
6. フォローアップ：改善の計画とその実施の状況を確かめ、取締役会や経営者に報告します

フォローアップについて、システム監査基準は、監査人は改善の実施そのものに責任を負わないとしています。改善を進めるのは、対象の部門や経営者です。監査人が改善の計画の作成や実施に関わると、独立性と客観性を損なうことに留意すべきとされているためです。

指摘を受けた後の直し方と、直したことの確かめ方は、監査の指摘を、どう直し、どう確かめるかで扱っています。

法令にもとづく監査との違いと、使われる場面

法令で義務づけられた監査とは何が違うのか

システム監査は、会計監査や、金融商品取引法にもとづく内部統制監査のように、法令で義務づけられた監査とは別のものです。

システム監査の結果は、法令にもとづく監査の意見に代わるものではありません。一方で、上場の準備でIT全般統制を整える、取締役会がITのリスクを確かめるなど、法令にもとづく監査や会社の法的な義務に備える場面で役立ちます。どの監査が求められるかは、会社の状況によって異なるため、監査法人や弁護士などの専門家にご確認ください。

どんなときに使うのか

システム監査は、目的に合わせて範囲を決めて行います。よく使われるのは、次のような場面です。

• M&Aのとき：ITデューデリジェンスとして、対象の会社のシステムのリスクと、統合の費用を見積もる（ITデューデリジェンスでは何を見るのか）
• 上場の準備のとき：財務報告に関わるシステムのIT全般統制とIT業務処理統制を点検する（上場準備で整えるIT全般統制）
• 取締役会・監査役への報告のとき：セキュリティ、委託先の管理、生成AIの使い方などを定期的に確かめる（取締役会・監査役が確かめたいITのリスク）
• 委託先やクラウドを使うとき：委託先の管理の状態を確かめる

社内に内部監査の部門があっても、ITの専門の知識を持つ人が足りない場合は、外部の専門家と分担することもあります。

当社のご支援

アメリア・テクノロジーは、経済産業省のシステム監査基準とシステム管理基準を参考に、ITデューデリジェンス、上場準備のIT統制の点検、定期のシステム監査、AIの仕組みの点検を行っています。当社が開発・運用に関わったシステムは監査しない、監査と改善の担当を分けるなど、中立を保つための決まりにもとづいて進めます。法令にもとづく会計監査や内部統制監査ではありません。範囲の決め方からご相談いただけますので、詳しくはシステム監査をご覧ください。