システム監査とは
システム監査とは、企業や組織が利用している情報システムが、安全かつ有効に、そして法律や社内ルールを守って正しく運用されているかどうかを、独立した第三者の立場から客観的に点検・評価することです。評価した結果を踏まえて、問題点があれば改善のためのアドバイス（勧告）を行います。
システムが正しく動いているかをチェックするだけでなく、「個人情報が漏洩しない仕組みになっているか（安全性）」「無駄なコストがかかりすぎていないか（効率性）」「災害時に復旧できるようになっているか（信頼性）」など、多角的な視点から評価します。監査を行う人を「システム監査人」と呼び、客観的な意見を述べることが求められます。
具体例
例えば、あるネットショップ運営会社でシステム監査を行う場合の具体例です。
- 顧客の個人情報が保存されているデータベースへのアクセスログ（誰がいつデータを見たかの記録である「監査証跡」）が改ざんできない状態で保存されているかを確認する。
- 退職した社員のシステム利用アカウントが、速やかに削除されているかを実際の登録データと突合して点検する。
- 情報システム部の開発手順書と、実際のシステム変更의記録を比較し、ルール通りに承認が得られているかを検証する。
もう少し詳しく
システム監査は、経済産業省が策定した「システム監査基準」および「システム管理基準」に準拠して実施されるのが一般的です。監査業務は大きく分けて「予備調査」「本調査」「評価・結論」「報告」というプロセスで進められます。監査人は、被監査部門から提出された規程類やシステムログなどの証拠（監査証跡）を収集・検証し、監査対象のシステムが適切にコントロールされているかを確認します。
また、システム監査において最も重視されるのが「独立性」と「客観性」です。監査を行う者は、監査対象となるシステムの開発や運用に直接関わっていない第三者でなければなりません。自分自身や自分が所属する部署が関わったシステムを監査すると、都合の悪い問題点を見逃したり正当な評価ができなかったりする恐れがあるためです。監査結果は「システム監査報告書」として経営者に提出され、指摘事項に対する改善勧告が行われますが、監査人自身が改善作業を直接行うことはありません（これを指導業務の分離と呼びます）。
試験でのポイント
国家試験におけるシステム監査の出題では、「監査人の独立性」が頻出テーマです。例えば、「システム開発のプロジェクトマネージャーが、自身が担当したプロジェクトのシステム監査人を兼ねることは適切か」といった問いに対して、独立性が損なわれるため不適切であると判断できる必要があります。また、「監査証跡（ログや操作記録など）」や「システム監査報告書」の役割についてもよく問われます。
さらに、システム監査と「システム自己点検」や「セキュリティ診断」の違いも重要です。自己点検やセキュリティ診断は運用担当者自身や専門業者がシステムの脆弱性をチェックする技術的な行為であるのに対し、システム監査は「管理体制やプロセス自体が適切に機能しているか」を独立した立場から客観的に評価する制度的な行為です。この違いを明確に区別できるようにしておきましょう。
関連する用語
システム監査に関連する用語には、監査の証拠となるシステム記録である「監査証跡」、監査結果を経営者に伝える「システム監査報告書」があります。また、企業全体のITに関する指揮・管理体制を示す「ITガバナンス」や、企業経営の健全性を保つための「内部統制」とも密接に関連しており、これらを実現するための検証手段としてシステム監査が位置づけられています。