はじめに
「IT監査」という言葉を耳にしたことはあるものの、具体的に何をするのかわからない——そんな方は多いのではないでしょうか。IT部門に配属されたばかりの方、内部監査部門に異動になった方、あるいは経営層として監査を受ける立場になった方など、IT監査に初めて関わる場面は様々です。
本記事では、IT監査の基本的な概念から目的、種類、具体的な作業内容まで、できるだけわかりやすく解説します。IT監査の全体像を把握することで、自社の監査対応や監査業務への理解が深まるはずです。
IT監査とは何か
一言で言うと
IT監査とは、組織のITシステムや情報技術に関するリスクを評価し、適切な内部統制が機能しているかを独立した立場で検証する活動です。
財務監査が「会計・財務情報の正確性」を検証するように、IT監査は「ITシステムの信頼性・安全性・効率性」を検証します。
なぜIT監査が必要なのか
現代の企業活動はITなしには成り立ちません。受発注、決済、人事管理、顧客管理——あらゆる業務がシステムで処理されています。このため、ITに関するリスクが顕在化すると、企業活動全体に甚大な影響を与えます。
IT監査が必要な主な理由：
情報漏洩リスクの増大：サイバー攻撃や内部不正による情報漏洩は、企業の信頼を一瞬で失墜させます。2023年だけでも国内で報告された個人情報漏洩件数は数千万件に上ります。
法令・規制への対応：個人情報保護法、金融商品取引法（J-SOX）、PCI DSSなど、ITに関する法令・規制は年々厳格化しています。
業務の継続性確保：システム障害やランサムウェア被害によって業務が停止するリスクに備える必要があります。
経営判断の信頼性確保：経営層が意思決定に使う情報の多くはITシステムから生成されます。そのシステムの信頼性を確保することは、正確な経営判断に直結します。
IT監査の目的
IT監査の目的は大きく3つに整理できます。
1. リスクの評価と管理
ITシステムに潜むリスク（不正アクセス、データ改ざん、システム障害など）を特定・評価し、適切な対策が講じられているかを確認します。
2. 内部統制の有効性検証
企業が設計・運用している内部統制（アクセス制御、変更管理、バックアップなど）が実際に機能しているかを検証します。「設計されている」だけでなく「実際に運用されている」かどうかが重要です。
3. コンプライアンスの確認
法令・規制・社内規程への準拠状況を確認します。特に金融機関や上場企業では、外部からの規制要件への対応状況が厳しくチェックされます。
IT監査の種類
IT監査にはいくつかの種類があります。状況に応じて適切な種類の監査が実施されます。
内部監査と外部監査
| 区分 | 実施者 | 目的 | 特徴 |
|---|---|---|---|
| 内部監査 | 社内の内部監査部門 | 経営改善・内部統制強化 | 継続的・定期的に実施 |
| 外部監査 | 監査法人・認証機関 | 第三者による客観的評価 | 法的要件や認証取得目的 |
監査の対象による分類
IT全般統制監査（ITGC） ITシステム全体に共通する統制を評価します。アクセス管理、変更管理、運用管理、バックアップ管理などが対象です。財務報告に関わるシステムの信頼性を支える基盤として、J-SOX対応で特に重要視されます。
業務処理統制監査 特定の業務システム（会計システム、受発注システムなど）における処理の正確性・完全性を評価します。入力チェック機能、自動計算の正確性、承認ワークフローなどが対象です。
情報セキュリティ監査 組織の情報セキュリティ対策の有効性を評価します。ISMSの要求事項への準拠、セキュリティポリシーの遵守状況、脆弱性管理などが対象です。
システム開発・変更監査 新規システムの開発プロジェクトや既存システムの変更が、適切な手続きと品質管理のもとで実施されているかを評価します。
IT監査のプロセス：4つのステップ
IT監査は一般的に以下の4つのステップで進みます。
ステップ1：監査計画の策定
監査の目的・範囲・スケジュールを定めた計画を策定します。
主な作業：
- リスクアセスメント（どの領域が高リスクか）
- 監査対象システムの特定
- 監査手続きの設計（何をどのように確認するか）
- 必要なリソースの確保
実務ポイント： 監査計画はリスクベースで策定することが重要です。すべてのシステムを同じ深度で監査することは現実的ではないため、リスクの高い領域に監査資源を集中させます。
ステップ2：予備調査（現状把握）
監査対象のシステムや業務プロセスの現状を把握します。
主な作業：
- システム構成図・ネットワーク図の入手
- 業務フロー・手順書の確認
- 関係者へのヒアリング
- 前回監査の指摘事項の確認
ステップ3：本調査（証跡の収集と評価）
設計された統制が実際に運用されているかを検証します。ここがIT監査の核心部分です。
主な調査手法：
| 手法 | 内容 | 具体例 |
|---|---|---|
| ヒアリング | 担当者への聞き取り | 「アクセス権の棚卸しはいつ実施しましたか？」 |
| 観察 | 実際の業務を見る | 本番環境へのアクセス手順を実際に確認する |
| 文書レビュー | 記録・ログを確認 | アクセスログ・変更履歴・承認記録を確認 |
| 再実施 | 手続きを自ら実行 | サンプルデータを使って処理結果を検証 |
| データ分析 | 大量データを分析 | 全アクセスログを分析して不正の痕跡を探す |
証跡（エビデンス）の例：
- アクセス権限一覧のスクリーンショット
- 変更申請書と承認記録
- バックアップ完了ログ
- セキュリティパッチ適用記録
- インシデント対応記録
ステップ4：報告
調査結果をまとめ、監査報告書を作成して経営層・監査委員会に報告します。
監査報告書の主な構成：
- 監査の目的・範囲・実施期間
- 総括意見（全体的な評価）
- 個別の指摘事項（リスクレベル・現状・推奨対応策）
- 前回指摘事項のフォローアップ結果
指摘事項のリスクレベル分類：
| レベル | 内容 | 対応期限の目安 |
|---|---|---|
| 高（Critical） | 重大なリスクあり、即時対応が必要 | 1ヶ月以内 |
| 中（Major） | 相当のリスクあり、早期対応が必要 | 3ヶ月以内 |
| 低（Minor） | 軽微なリスク、計画的に対応 | 6ヶ月〜1年以内 |
IT監査でよく評価される領域
初めてIT監査に関わる方のために、代表的な評価領域と確認ポイントを紹介します。
アクセス管理
「必要な人だけが必要な範囲で情報にアクセスできているか」を確認します。
主な確認ポイント：
- 最小権限の原則が守られているか（業務に不要な権限が付与されていないか）
- 退職者・異動者のアカウントが適時に削除・変更されているか
- 特権ID（管理者権限）の利用が適切に管理・記録されているか
- 定期的なアクセス権限棚卸しが実施されているか
変更管理
「システムへの変更が適切な承認と手順のもとで実施されているか」を確認します。
主な確認ポイント：
- 変更申請・承認プロセスが文書化されているか
- 緊急変更の手順が整備されているか
- 変更後のテストと承認が実施されているか
- 本番環境への変更権限が適切に制限されているか
運用管理
「日常的なシステム運用が安定して行われているか」を確認します。
主な確認ポイント：
- バックアップが定期的に実施され、リストア試験も行われているか
- システム監視（障害検知）の仕組みが整備されているか
- 運用手順書が最新の状態に保たれているか
- インシデント対応手順が整備・周知されているか
物理セキュリティ
「サーバー等の重要設備が物理的に保護されているか」を確認します。
主な確認ポイント：
- データセンター・サーバー室への入退室が管理されているか
- 入退室記録が保管されているか
- 不要な機器が適切に廃棄されているか（ハードディスクの消去等）
IT監査担当者に求められるスキル
IT監査を担当するには、技術的知識だけでなく多様なスキルが求められます。
技術的スキル
- ネットワーク・サーバーの基礎知識
- データベースの基礎知識
- クラウド（AWS・Azure・GCP）の理解
- セキュリティの基礎知識（暗号化・認証・脆弱性管理）
監査スキル
- リスクアセスメントの手法
- 証跡収集・評価の方法
- 監査調書・報告書の作成
- ヒアリング・コミュニケーション能力
業務・法令知識
- 自社業界の業務プロセスの理解
- 関連する法令・規制（個人情報保護法、J-SOX等）
- 情報セキュリティ基準（ISO 27001、PCI DSS等）
IT監査に関連する主要な資格
IT監査の専門性を高める資格として以下が代表的です。
| 資格名 | 発行機関 | 特徴 |
|---|---|---|
| CISA（公認情報システム監査人） | ISACA | IT監査の国際資格。最も認知度が高い |
| CISSP | ISC2 | 情報セキュリティの国際資格。幅広い知識が必要 |
| 公認内部監査人（CIA） | IIA | 内部監査全般の国際資格 |
| システム監査技術者 | IPA | 日本の国家資格。IT監査の実務知識を証明 |
特にCISAはIT監査担当者の「標準資格」として広く認知されており、取得を目指す方が多いです。
よくある質問
Q1. IT監査とシステム監査は何が違いますか？
A. 厳密な定義は文脈によって異なりますが、日本ではほぼ同義語として使われることが多いです。経済産業省の「システム監査基準」ではITシステム全般を対象とした監査を「システム監査」と呼んでいます。グローバルな文脈では「IT監査（IT Audit）」という呼称が一般的です。
Q2. IT監査は何年ごとに実施するのですか？
A. 法的要件や監査の種類によって異なります。J-SOX対応の内部統制評価は毎年実施が必要です。ISMS内部監査も年1回以上が要件です。リスクベースの内部IT監査は、高リスク領域を毎年、低リスク領域を2〜3年に1回というサイクルで実施するケースが多いです。
Q3. IT監査を受ける側（被監査部門）として何を準備すればよいですか？
A. 以下の3点を事前に整備しておくことをお勧めします。①ドキュメントの整備：業務手順書・システム構成図・規程類を最新の状態に保つ。②証跡の保管：作業ログ・承認記録・変更履歴などを適切に保管・検索できる状態にしておく。③担当者の把握：各システムの担当者・管理者を明確にしておく。監査はリスク管理の改善機会と捉え、指摘事項を前向きに受け止めることが重要です。
まとめ
IT監査は、企業のITシステムに関するリスクを評価し、内部統制の有効性を検証する重要な活動です。本記事の要点を整理します。
IT監査の本質：
- 独立した立場から、ITシステムのリスクと統制を客観的に評価する
- 「設計されている統制」だけでなく「実際に機能している統制」を確認する
- 問題点の発見だけでなく、改善提言を通じて企業価値向上に貢献する
IT監査のプロセス： 計画 → 予備調査 → 本調査（証跡収集・評価）→ 報告
まず取り組むべきこと：
- 自社のIT監査体制・方針を確認する
- 代表的な評価領域（アクセス管理・変更管理・運用管理）の現状を把握する
- 証跡となる記録・ログが適切に保管されているかを確認する
IT監査は一度実施して終わりではなく、PDCAサイクルを回しながら継続的に改善していくものです。まずは小さな一歩から始めてみてください。
本記事はIT監査の入門的な解説を目的としています。各組織の状況や適用される法令・規制によって、具体的な監査手続きや対応内容は異なります。