内部監査とは
内部監査（ないぶかんさ）とは、企業や組織の内部にいる監査人（または社内のメンバー）が、社内のセキュリティルールや業務プロセスが正しく守られているか、システムが適切に運用されているかを客観的にチェックし、評価する活動です。業務を行っている本人やその部署の人間ではなく、独立した立場の人員が点検を行うことで、普段の業務で見落とされがちなルール違反や、システムの設定ミスなどの不備を公平に見つけ出し、改善へつなげることができます。
具体例
会社の「パスワード管理ルール」が徹底されているかを確認する内部監査の様子です。
開発部とは別の部署から選ばれた監査人が、以下のようなチェックを行います。
- 開発部の社員が、PCのディスプレイや机の上にパスワードを書いた付箋を貼ったままにしていないか（目視確認）。
- システムのログイン履歴（ログ）を確認し、退職した社員のアカウントが削除されずに残っていないか（データ確認）。
監査の結果、もし不備が見つかれば「改善指示書」を提出し、期日までに修正するよう指示を出し、セキュリティの穴を埋めていきます。
もう少し詳しく
内部監査は、ISMS（情報セキュリティマネジメントシステム）やコーポレートガバナンスにおいて、自浄作用を働かせるための非常に重要な役割を持っています。監査の公平性と客観性を担保するため、被監査部門（監査を受ける部署）とは直接の利害関係がない人が監査を行う「独立性」が最も重視されます。例えば、総務部のセキュリティ監査を行う場合、総務部員みずからが監査人になるのではなく、他部署（情報システム部や監査部など）から監査員を選出する、あるいは外部のコンサルタントなどに委託する必要があります。監査のプロセスは、事前に作成された「監査計画書」に基づいて進められ、チェックリストによる現状確認、関連書類の査閲、担当者へのインタビュー、実際の操作デモンストレーションなどの方法で「証拠（監査証跡）」を集めます。監査終了後には「内部監査報告書」を作成して経営陣へ報告し、指摘された不適合（ルール違反や不備）については、被監査部門が「是正処置計画」を作成して改善に取り組み、組織のセキュリティ体制のレベルアップを図ります。
試験でのポイント
試験において最も頻出するポイントは、内部監査人の「独立性（客観性）」の概念です。「被監査部門に所属する人物が監査を行ってはならない（独立していないため）」という原則を必ず押さえておきましょう。例えば、「A部署の監査員としてA部署のメンバーが選ばれた」というケースは不適切と判定されます。また、監査人はルール違反を「摘発・処罰すること」が本来の目的ではなく、プロセスの不備を見つけて「組織の改善に寄与すること」を目的としている点も重要です。さらに、監査のプロセスとして、監査計画の策定、実施、報告、および是正処置（フォローアップ）という一連の流れと、それぞれのプロセスで作成される文書（監査報告書など）の関係性を整理しておきましょう。
関連する用語
内部監査に関連する用語には、セキュリティの継続改善のための枠組みである「ISMS」、PDCAサイクルにおける「Check」に該当するプロセスである「PDCAサイクル運用」、そしてログを用いて客観的な証拠を集める「ログ管理」などがあります。