はじめに：なぜ今IT監査が重要なのか

「IT監査って何をするの？」「情報システム部門にいるけど、監査対応が苦手…」

こんな悩みを抱えている方は多いのではないでしょうか。

近年、企業のデジタルトランスフォーメーション（DX）が加速する中、IT監査の重要性は年々高まっています。2023年の調査によると、上場企業の約95%がIT監査を実施しており、中堅企業でも導入率は70%を超えています。

本記事では、IT監査の基本概念から実務で使えるポイントまで、初心者にもわかりやすく解説します。この記事を読み終える頃には、IT監査の全体像を把握し、実務に自信を持って取り組めるようになるでしょう。

IT監査の背景と概要

IT監査とは何か

IT監査（ITシステム監査） とは、企業や組織の情報システムが適切に管理・運用されているかを独立した立場から評価・検証することです。

具体的には以下の3つの観点から評価を行います。

1. 信頼性：システムが正確に動作し、データが正しく処理されているか
2. 安全性：情報漏洩やサイバー攻撃から適切に保護されているか
3. 効率性：投資に見合った効果が得られているか

わかりやすく例えると、IT監査は「会社のITの健康診断」のようなものです。人間が定期健診で病気の早期発見を目指すように、IT監査ではシステムの問題点を早期に発見し、改善につなげます。

IT監査が必要とされる理由

IT監査が重視される背景には、以下のような社会的要因があります。

1. サイバー攻撃の増加

警察庁の発表によると、2023年のサイバー犯罪検挙件数は約12,000件で、5年前と比較して約1.5倍に増加しています。ランサムウェア攻撃による被害額は、1件あたり平均で数千万円から数億円に及ぶケースも珍しくありません。

2. 法規制の強化

個人情報保護法の改正、サイバーセキュリティ基本法の施行など、企業に求められるコンプライアンス（法令遵守）要件は年々厳しくなっています。

3. 内部統制の要請

上場企業には、金融商品取引法（J-SOX法）により、財務報告に関わるIT統制の整備・運用・評価が義務付けられています。

IT監査と情報セキュリティ監査の違い

よく混同される2つの概念を整理しておきましょう。

情報セキュリティ監査はIT監査の一部と考えることもできますが、それぞれ独立した監査として実施されることも多いです。

IT監査の具体的な手順と要点（7項目）

ここからは、IT監査を実施する際の具体的な流れとポイントを解説します。

要点1：監査計画の策定

IT監査の第一歩は、監査計画書の作成です。「何を」「いつ」「どのように」監査するかを明確にします。

監査計画に含めるべき項目：

• 監査の目的と範囲
• 監査対象システム・部門
• 監査期間とスケジュール
• 監査チームの構成と役割分担
• 使用する監査基準・フレームワーク
• リスク評価に基づく重点領域

実務ポイント： 監査計画は、対象部門の繁忙期を避けて立てましょう。例えば、経理システムの監査を決算期に行うと、現場の協力が得られにくくなります。

要点2：予備調査（事前調査）

本格的な監査に入る前に、対象システムや業務プロセスの概要を把握します。

予備調査で確認する事項：

• システム構成図、ネットワーク図
• 業務フロー図
• 既存の規程・マニュアル類
• 過去の監査報告書
• インシデント履歴

具体例： ある製造業の基幹システム監査では、予備調査で以下の情報を収集しました。

・サーバー台数：物理12台、仮想50台
・利用者数：約500名
・外部接続：3拠点とVPN接続
・直近3年のセキュリティインシデント：2件

この情報をもとに、本調査での重点項目を決定します。

要点3：リスク評価の実施

IT監査では、すべてを均等に監査するのではなく、リスクベースアプローチを採用します。リスクの高い領域に監査資源を集中させることで、効率的かつ効果的な監査が可能になります。

リスク評価の手順：

1. リスクの識別：想定されるリスクを洗い出す
2. リスクの分析：発生可能性と影響度を評価する
3. リスクの優先順位付け：高・中・低に分類する

リスク評価マトリクスの例：

実務ポイント： リスク評価は、IT部門だけでなく業務部門の担当者にもヒアリングしましょう。現場でしかわからないリスクが見つかることがあります。

要点4：監査証拠の収集

本調査では、評価結論を裏付ける監査証拠を収集します。監査証拠は、十分かつ適切なものでなければなりません。

監査証拠の種類：

代表的な監査技法：

1. ヒアリング：担当者から直接説明を聞く
2. ウォークスルー：業務プロセスを実際にたどる
3. 閲覧：文書や記録を確認する
4. 観察：実際の作業を見学する
5. 再実施：コントロールの動作を自ら確認する

具体例： アクセス権管理の監査では、以下のような証拠を収集します。

・アクセス権付与申請書（10件サンプル）
・アクセス権台帳と実際の設定状況の照合
・退職者のアカウント削除状況（直近3ヶ月分）
・特権IDの利用ログ（1ヶ月分）

要点5：統制の評価

収集した証拠をもとに、IT統制（ITコントロール）が有効に機能しているかを評価します。

IT統制の種類：

1. IT全般統制（ITGC：IT General Controls）

ITシステム全体に共通する統制です。

• セキュリティ管理（アクセス管理、認証管理）
• システム開発・変更管理
• システム運用管理
• 外部委託管理

2. IT業務処理統制（ITAC：IT Application Controls）

個別のアプリケーションに組み込まれた統制です。

• 入力統制（入力データのチェック機能）
• 処理統制（計算ロジックの正確性）
• 出力統制（帳票の配布管理）

評価基準の例：

• 有効：統制が設計どおりに機能している
• 一部有効：軽微な不備があるが概ね機能している
• 無効：重大な不備があり機能していない

要点6：監査報告書の作成

監査結果をまとめ、監査報告書として経営層や関係者に報告します。

監査報告書の構成例：

1. エグゼクティブサマリー（1〜2ページ）

   • 監査の概要
   • 総合評価
   • 重要な指摘事項

2. 監査の概要

   • 監査目的
   • 監査範囲
   • 監査期間
   • 監査手法

3. 詳細な監査結果

   • 個別の指摘事項
   • 発見事項の詳細
   • リスク評価
   • 改善提案

4. 総合所見

   • 総括的な評価
   • 今後の課題

指摘事項の書き方の例：

【指摘事項】パスワードポリシーの不備

【発見事項】
現在のパスワードポリシーでは、最小文字数が6文字、
有効期限が設定されていない。

【リスク】
脆弱なパスワードによる不正アクセスのリスクがある。
NIST SP800-63Bでは最小8文字が推奨されている。

【改善提案】
1. 最小文字数を8文字以上に変更する
2. パスワードの有効期限（90日など）を設定する
3. 複雑性要件（英数字記号の組み合わせ）を導入する

【重要度】中
【対応期限】3ヶ月以内

要点7：フォローアップ

監査は報告書の提出で終わりではありません。指摘事項が適切に改善されたかを確認するフォローアップが重要です。

フォローアップのポイント：

• 改善期限の設定と進捗管理
• 改善完了の証拠収集
• 改善が困難な場合の代替策の検討
• 次回監査への引き継ぎ

実務ポイント： フォローアップは、指摘の重要度に応じて頻度を変えましょう。重要度「高」の指摘は毎月、「中」は四半期ごと、「低」は次回監査時に確認するなど、メリハリをつけることが効率的です。

IT監査で使われる主要なフレームワークと基準

IT監査を実施する際の拠り所となるフレームワークや基準を紹介します。

COBIT（Control Objectives for Information and Related Technologies）

ISACAが策定したITガバナンスのフレームワークです。最新版のCOBIT 2019では、40のガバナンスとマネジメント目標が定義されています。

特徴：

• 経営目標とITの整合性を重視
• 成熟度モデルによる評価が可能
• グローバルスタンダードとして広く認知

ISO/IEC 27001

情報セキュリティマネジメントシステム（ISMS）の国際規格です。情報セキュリティ監査の基準として広く活用されています。

特徴：

• 93の管理策（附属書A）
• PDCA サイクルによる継続的改善
• 第三者認証の取得が可能

システム監査基準（経済産業省）

日本のシステム監査の指針として、経済産業省が策定した基準です。2018年に改訂版が公表されました。

構成：

• システム監査基準（監査人の行動規範）
• システム管理基準（監査の着眼点）

NIST CSF（Cybersecurity Framework）

米国国立標準技術研究所（NIST）が策定したサイバーセキュリティのフレームワークです。2024年にバージョン2.0が公開されました。

5つの機能（+1）：

1. Govern（統治）※2.0で追加
2. Identify（識別）
3. Protect（防御）
4. Detect（検知）
5. Respond（対応）
6. Recover（復旧）

実務で役立つIT監査のチェックリスト

ここでは、実際の監査で使えるチェックリストの例を紹介します。

アクセス管理のチェックリスト

□ アクセス権付与の申請・承認プロセスが文書化されているか
□ アクセス権の定期的な棚卸しが実施されているか（推奨：年1回以上）
□ 退職者・異動者のアカウント無効化が速やかに行われているか
□ 特権ID（管理者権限）の使用者が最小限に限定されているか
□ 特権IDの使用がログに記録・モニタリングされているか
□ 共有アカウントの使用が禁止または厳格に管理されているか
□ パスワードポリシーが適切に設定されているか
□ 多要素認証（MFA）が導入されているか（特にリモートアクセス）

変更管理のチェックリスト

□ システム変更の申請・承認プロセスが文書化されているか
□ 変更の影響分析が実施されているか
□ テスト環境でのテストが実施されてから本番適用されているか
□ 変更の承認者と実施者が分離されているか（職務分離）
□ 緊急変更の手続きが定められ、事後承認されているか
□ 変更履歴が適切に記録・保管されているか
□ ロールバック（切り戻し）手順が準備されているか

バックアップ・災害対策のチェックリスト

□ バックアップ対象とスケジュールが定められているか
□ バックアップの成功・失敗が監視されているか
□ バックアップ媒体が適切に保管されているか（オフサイト含む）
□ リストア（復元）テストが定期的に実施されているか
□ 災害復旧計画（DRP）が文書化されているか
□ 目標復旧時間（RTO）・目標復旧地点（RPO）が定義されているか
□ 災害復旧訓練が定期的に実施されているか

よくある質問（FAQ）

Q1：IT監査の資格にはどのようなものがありますか？

IT監査に関連する代表的な資格は以下のとおりです。

1. CISA（Certified Information Systems Auditor）

• ISACAが認定する国際資格
• IT監査の分野では最も認知度が高い
• 5年以上の実務経験が必要
• 取得者数：世界で約15万人

2. 公認システム監査人（CSA）

• 日本システム監査人協会が認定
• 日本国内で広く認知されている
• システム監査技術者試験の合格が前提

3. 情報処理安全確保支援士（登録セキスペ）

• 経済産業省が認定する国家資格
• セキュリティ分野に特化
• 3年ごとの更新講習が必要

4. システム監査技術者試験

• IPA（情報処理推進機構）が実施
• 合格率は約15%程度
• 午後Ⅱは論述式

実務ポイント： 資格取得は知識の証明になりますが、実務経験がないと試験に合格しても活用は難しいです。まずは監査チームのメンバーとして経験を積み、並行して資格取得を目指すことをお勧めします。

Q2：IT監査と内部監査、外部監査の違いは何ですか？

IT監査は、監査の「分野」を表す言葉です。一方、内部監査・外部監査は監査の「主体」を表します。

内部監査

• 組織内部の監査部門が実施
• 経営者のために行う
• 業務改善・リスク管理が主目的
• 監査対象の制限なし

外部監査

• 組織外部の独立した監査法人等が実施
• 株主・投資家などステークホルダーのために行う
• 財務諸表の適正性保証が主目的
• 法律等で定められた範囲を監査

IT監査は、内部監査部門が行うこともあれば、外部の監査法人がJ-SOX監査の一環として行うこともあります。また、専門のIT監査会社に委託するケースも増えています。

Q3：IT監査を受ける側として、どのような準備をすればよいですか？

監査を受ける側（被監査部門）として、以下の準備をしておくとスムーズです。

事前準備

1. 資料の整理

   • システム構成図、ネットワーク図
   • 運用手順書、マニュアル
   • 規程・ポリシー文書
   • 過去の監査報告書と改善状況

2. 担当者の選定

   • 監査対応の窓口担当者を決める
   • 各領域の詳しい担当者をリストアップする

3. スケジュール調整

   • ヒアリング可能な日程を確保
   • 繁忙期との調整

監査中の対応

1. 誠実に対応する

   • 隠し事をしない（後で発覚するとより問題になる）
   • わからないことは正直に「確認します」と答える

2. 証跡を適切に提供する

   • 求められた資料は速やかに提出
   • 機密情報の取り扱いは監査人と事前に合意

3. 記録を残す

   • 提出した資料のリストを作成
   • 口頭での説明内容もメモしておく

実務ポイント： 監査を「粗探し」と捉えるのではなく、「改善のきっかけ」と前向きに捉えましょう。監査人と対立するのではなく、協力して組織をより良くするというマインドセットが重要です。

IT監査の最新トレンド

IT監査を取り巻く環境は常に変化しています。最新のトレンドを把握しておきましょう。

クラウド環境の監査

AWS、Azure、GCPなどのクラウドサービス利用が拡大する中、クラウド特有のリスクと統制の評価が重要になっています。

クラウド監査のポイント：

• 責任共有モデルの理解（クラウド事業者と利用者の責任範囲）
• SOC2レポートの活用
• クラウド設定の継続的な監視

自動化・AI活用

監査業務においても、RPA（ロボティック・プロセス・オートメーション）やAIの活用が進んでいます。

活用例：

• 大量のログデータの自動分析
• アクセス権の異常検知
• 監査証拠の自動収集
• 監査報告書ドラフトの自動生成

ゼロトラストセキュリティ

「信頼しない、常に検証する」というゼロトラストの考え方が浸透する中、従来の境界型セキュリティを前提とした監査基準の見直しが進んでいます。

ESG・サステナビリティへの対応

環境（E）・社会（S）・ガバナンス（G）の観点から、ITシステムの評価も求められるようになっています。データセンターの省エネ対策や、AIの倫理的な利用なども監査の対象になりつつあります。

まとめ：IT監査成功のための5つのポイント

最後に、IT監査を成功させるためのポイントを整理します。

1. リスクベースアプローチを採用する

限られた監査資源を有効活用するため、リスクの高い領域に重点を置きましょう。すべてを均等に見ようとすると、重要なリスクを見逃す可能性があります。

2. 適切な監査証拠を収集する

評価結論を裏付ける十分かつ適切な証拠を収集しましょう。口頭の説明だけでなく、文書や記録、実際の設定画面など、複数の証拠を組み合わせることが重要です。

3. コミュニケーションを大切にする

監査は対立ではなく協働です。被監査部門と良好な関係を築き、オープンなコミュニケーションを心がけましょう。

4. 継続的に改善する

監査は一度実施して終わりではありません。フォローアップを通じて改善を確認し、次回の監査に活かすPDCAサイクルを回しましょう。

5. 最新動向をキャッチアップする

IT環境は急速に変化しています。クラウド、AI、ゼロトラストなど、新しい技術やコンセプトに関する知識を常にアップデートしましょう。

IT監査は、組織のITリスクを可視化し、改善につなげる重要な活動です。本記事で解説した内容を参考に、ぜひ実務に活かしてください。

最初は難しく感じるかもしれませんが、基本を押さえて経験を積めば、必ず力がつきます。IT監査のプロフェッショナルとして成長されることを応援しています。

関連キーワード： IT監査、システム監査、情報セキュリティ監査、内部統制、ITガバナンス、COBIT、ISO27001、CISA、J-SOX、IT統制