LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

開発も運用も委託先に任せているが、管理がきちんと回っているのか社内では判断できない。取引先から、システムの管理体制を説明するよう求められた——。情報システムの担当者が少ない会社では、こうした悩みが起こりがちです。システム監査は、専門の監査人が一定の基準に沿ってITシステムの使い方や管理の仕方を確かめ、保証や改善の助言を行う取り組みです。

社内に監査できる人がいなければ、外部の監査人に頼むことができます。ただし万能ではなく、何を確かめたいのかを先に決めておかないと、結果を生かしにくくなります。本記事では、IT投資の判断や情報システムの管理を担う方に向けて、システム監査の種類、外部に頼める範囲、監査の進め方、そして委託先を選ぶときに確認したい点を整理します。

システム監査とは

経済産業省の「システム監査基準」（令和5年4月26日改訂）は、システム監査を、専門性と客観性を備えた監査人がITシステムの利活用を検証・評価し、利用者に「保証を与える、又は改善のための助言を行う監査」と位置づけています。^*1 何を監査するかは、経営者が何を確かめたいかによって、次の3つから選ばれます。

• ITガバナンス：経営戦略とIT戦略が合っているか、ITの使い方が有効か
• ITマネジメント：サービスの水準を保てているか、維持管理が効率的か、プライバシーの規制に対応できているか
• コントロール：システムの機能が、業務の変化に合わせて正しく保守されているか

監査で使う物差しになるのが、同じく経済産業省の「システム管理基準」です。ITガバナンス編とITマネジメント編からなり、マネジメント編は企画・開発・運用・保守・廃棄の各工程に加え、外部サービス管理、事業継続管理、人的資源管理まで扱っています。^*2 情報セキュリティに限らず、システムの作り方と使い方の全体を見る点がシステム監査の特徴です。

保証型と助言型の違い

システム監査基準は、監査を「保証を目的としたシステム監査」と「助言を目的としたシステム監査」の2つに分けています。^*1 外部の監査人に頼むときは、まずどちらを頼むのかを決めます。

基準は、助言型の監査で不備を指摘してもらい、管理の成熟度が確認できた時点で保証型の監査に進むのが通例だと説明しています。^*1 初めて外部に頼む会社なら、助言型から始めると、指摘と改善提案を受け取りながら社内の管理を整えられます。取引先に管理の水準を示すための第三者評価の例はSOC2報告書とはで扱っています。

外部に頼める範囲

システム監査基準は、社内に適切な監査人がいない場合、高度な技能が要る場合、遠隔地の拠点を監査する場合などに、監査の全部又は一部を外部の専門家に委託することがあると述べています。^*1 外部委託は丸ごとに限らず、範囲を切って頼むこともできます。

• 領域で切る：システム管理基準のうち、開発プロセスだけ、運用と保守のプロセスだけ、外部サービス管理だけ、のように見る範囲を絞る
• 目的で切る：助言型で不備の洗い出しだけを頼み、改善を終えてから保証型を改めて頼む
• 工程で切る：監査の目的と計画は社内で決め、資料の確認や現場の調査を専門家に頼む

一方で、外部委託しても手放せないものがあります。基準は、監査を外部に委託するときは組織の長の承認を得ること、委託しても監査の最終的な責任は組織の長にあると認識することを求めています。^*1 監査の目的を決めること、結果を受けて改善を指示することは社内に残る仕事です。なお、財務報告に関わるIT統制には経済産業省の追補版のガイダンスがあり^*3、内部統制の仕組みは内部統制（J-SOX）システムも参考になります。

システム監査の進め方

外部の監査人に頼んだ場合も、監査は基準が定める順に進みます。依頼する側が何を用意し、いつ関わるのかを先に知っておくと、社内の段取りが組みやすくなります。

• ステップ1：目的と対象を決める（保証か助言か、どの領域を見るかを決め、監査計画に落とす）
• ステップ2：予備調査（手順書や組織図などの閲覧と、関係部門へのインタビューで実態をつかむ）
• ステップ3：本調査（口頭の説明だけに頼らず、書類や現物との照合、操作の観察、テストで証拠を集める）^*1
• ステップ4：監査報告（目的・対象範囲・実施期間・実施者・結論・指摘事項・改善提案などを記載する）
• ステップ5：フォローアップ（改善計画とその実施状況を監査人が確かめる）

依頼する側の負担が大きいのはステップ2と3です。予備調査では手順書や体制図の提出を求められ、本調査では記録と現物の照合に立ち会います。運用の記録や変更の履歴が散らばっていると、集めるだけで日程が延びがちです。また、改善そのものは監査対象先の責任で行うもので、監査人が改善計画の策定や実行に関わると独立性と客観性を損なうとされています。^*1 指摘を直す作業は、監査人とは別に段取りしておきます。

委託先を選ぶときに確認しておきたい点

経済産業省は、外部のシステム監査を希望する企業が監査を実施できる企業を探せるよう、「システム監査企業台帳」を公開しています。^*3 台帳には各社が申告した監査の実績などが載っています。候補を挙げたら、見積もりの前に次の点を確かめます。

• 専門の能力：担当する監査人が、見てほしい領域（開発・運用・外部サービスなど）を評価できるか
• 独立性：自社と身分上又は経済上の特別な利害関係が無いか
• 品質管理の体制：委託先の中で監査の品質をどう確かめているか
• 契約の書き方：委託する監査業務の内容と、委託先の権限と責任を契約書に明記できるか^*1
• 社内の窓口：監査人と連携し、監督する担当を社内に置けるか

見落とされやすいのが独立性です。基準は、委託元と身分上の密接な利害関係があると、独立性が損なわれている外観を呈することに留意するよう求めています。^*1 普段から付き合いのある開発会社や運用の委託先は事情に詳しい反面、自社の仕事を自社で評価する形になりかねません。監査は利害関係の無い専門家に頼み、指摘の改善は普段の委託先と進める、と役割を分けると整理しやすくなります。

まとめ：システム監査の委託で確かめたい3つの点

システム監査を外部委託するうえで、確かめておきたい点は3つに整理できます。第一に、保証と助言のどちらを頼むのか、どの領域を見てもらうのかを先に決めること。第二に、委託先の能力・独立性・品質管理を確かめ、業務の内容と権限・責任を契約書に書くこと。第三に、委託しても最終的な責任は社内に残るため、窓口を置いて監査と改善の段取りを社内で持つことです。この3点を踏まえておけば、「報告書は受け取ったが、何から直せばよいのか誰も動けない」という事態を避けやすくなります。監査に備えた記録の整備や指摘の改善に迷いがあれば、外部の手を借りるのも一つの選択肢です。

よくある質問

出典

1. *1　参考：経済産業省「システム監査基準」（令和5年4月26日改訂）（https://www.meti.go.jp/policy/netsecurity/sys-kansa/sys-kansa-2023r.pdf）。出典：システム監査の意義と目的、保証と助言の区分、監査対象の選び方、任意監査であること、外部委託時の契約・利害関係・最終責任・承認、独立性、品質管理、予備調査と本調査、監査報告書の記載事項、フォローアップの記述を参照（2026年10月確認）
2. *2　参考：経済産業省「システム管理基準」（令和5年4月26日改訂）（https://www.meti.go.jp/policy/netsecurity/sys-kansa/sys-kanri-2023.pdf）。出典：ITガバナンス編・ITマネジメント編の構成（企画・開発・運用・保守・廃棄、外部サービス管理、事業継続管理、人的資源管理）を参照（2026年10月確認）
3. *3　参考：経済産業省「システム監査」（システム監査基準・管理基準、システム監査企業台帳、システム管理基準 追補版）（https://www.meti.go.jp/policy/netsecurity/sys-kansa/）。出典：システム監査企業台帳の説明、情報セキュリティ管理基準参照表、財務報告に係るIT統制ガイダンスの掲載を参照（2026年10月確認）

Tweet