内部監査は、ISMS（情報セキュリティマネジメントシステム）やコーポレートガバナンスにおいて、自浄作用を働かせるための非常に重要な役割を持っています。監査の公平性と客観性を担保するため、被監査部門（監査を受ける部署）とは直接の利害関係がない人が監査を行う「独立性」が最も重視されます。例えば、総務部のセキュリティ監査を行う場合、総務部員みずからが監査人になるのではなく、他部署（情報システム部や監査部など）から監査員を選出する、あるいは外部のコンサルタントなどに委託する必要があります。監査のプロセスは、事前に作成された「監査計画書」に基づいて進められ、チェックリストによる現状確認、関連書類の査閲、担当者へのインタビュー、実際の操作デモンストレーションなどの方法で「証拠（監査証跡）」を集めます。監査終了後には「内部監査報告書」を作成して経営陣へ報告し、指摘された不適合（ルール違反や不備）については、被監査部門が「是正処置計画」を作成して改善に取り組み、組織のセキュリティ体制のレベルアップを図ります。
試験において最も頻出するポイントは、内部監査人の「独立性（客観性）」の概念です。「被監査部門に所属する人物が監査を行ってはならない（独立していないため）」という原則を必ず押さえておきましょう。例えば、「A部署の監査員としてA部署のメンバーが選ばれた」というケースは不適切と判定されます。また、監査人はルール違反を「摘発・処罰すること」が本来の目的ではなく、プロセスの不備を見つけて「組織の改善に寄与すること」を目的としている点も重要です。さらに、監査のプロセスとして、監査計画の策定、実施、報告、および是正処置（フォローアップ）という一連の流れと、それぞれのプロセスで作成される文書（監査報告書など）の関係性を整理しておきましょう。
内部監査に関連する用語には、セキュリティの継続改善のための枠組みである「ISMS」、PDCAサイクルにおける「Check」に該当するプロセスである「PDCAサイクル運用」、そしてログを用いて客観的な証拠を集める「ログ管理」などがあります。