システム監査基準・システム管理基準とは？
システム監査基準・システム管理基準とは、経済産業省が公表する2つの基準。システム監査基準は監査人の行為規範で、独立性・専門能力・監査手続・報告のあり方を定める。システム管理基準は監査で判断のよりどころとする「あるべき管理の姿」を、ITガバナンスや企画・開発・運用・保守の観点で示す。
情報処理安全確保支援士試験の過去問では5回出題されています（2016年度〜2025年度）。
しすてむかんさきじゅん・しすてむかんりきじゅん
システム監査基準・システム管理基準の意味
経済産業省が公表する2つの基準。システム監査基準は監査人の行為規範で、独立性・専門能力・監査手続・報告のあり方を定める。システム管理基準は監査で判断のよりどころとする「あるべき管理の姿」を、ITガバナンスや企画・開発・運用・保守の観点で示す。
システム監査基準・システム管理基準の具体例
「変更管理は適切か」を確かめる際、監査人は管理基準の該当項目を判断尺度（監査要点）として用い、変更申請書と本番反映ログを突合して監査証拠を得る。監査基準の側は、被監査部門から独立していることや調書の作成・保存を要求する。
システム監査基準・システム管理基準は試験でどう引っ掛けられる？
2つの役割が逆に書かれる選択肢が定番で、「監査人の行動を律するのは管理基準」は誤り。情報セキュリティに特化した尺度としては情報セキュリティ管理基準が別途あり、ISMSの管理策に対応している点も区別しておく。
システム監査基準・システム管理基準と関連する用語
システム監査基準・システム管理基準が出た過去問
データベースに対する不正アクセスの防止・発見を目的としたアクセスコントロールについて，“システム管理基準”への準拠性を確認する監査手続として，適切なものはどれか…
正解：利用者のデータベースに対するアクセス状況を確認するために，アクセス記録を出力し内容を調査する。
要点：アクセス統制の監査はアクセス記録の点検で行う
不正アクセスの防止と発見を目的としたアクセスコントロールが有効に機能しているかを確かめるには、実際のアクセス記録を入手して内容を点検するのが直接的な監査手続です。効率性や操作性、応答時間の確認は、アクセス統制の準拠性とは目的が異なります。
出典：平成28年度 秋期 情報処理安全確保支援士試験 am2 問25（IPA）組織体が情報システムにまつわるリスクに対するコントロールを適切に整備・運用する目的として，“システム管理基準”に示されているものはどれか。
正解：情報システムが，組織体の目的を実現するように安全，有効かつ効率的に機能するため
要点：システム管理基準は安全・有効・効率的な運用が目的
システム管理基準は、情報システムが組織体の目的に沿って安全・有効・効率的に機能するよう、リスクに対するコントロールを整備・運用するための実践規範です。監査人の側の行動規範を示すものではありません。
出典：平成28年度 春期 情報処理安全確保支援士試験 am2 問25（IPA）株式会社の内部監査におけるシステム監査を，システム監査基準（平成16年）に基づいて実施する場合の監査責任者及びメンバに関する記述のうち，適切なものはどれか。
正解：あるメンバを，当該メンバが過去に在籍していた部門に対する監査に従事させる場合，一定の期間を置く。
要点：システム監査人には外観も含めた独立性が求められる
システム監査では監査人の独立性と客観性が求められ、外観上も疑いを持たれないことが重要である。過去に在籍していた部門を監査する場合は、自らが関与した業務を評価することになりかねないため、一定の期間を置いてから従事させるのが適切とされる。
出典：平成29年度 秋期 情報処理安全確保支援士試験 am2 問25（IPA）システム監査基準(平成30年)に基づくシステム監査において,リスクに基づく監査計画の策定(リスクアプローチ)で考慮すべき事項として,適切なものはどれか。
正解：情報システムリスクは常に一定ではないことから,情報システムリスクの特性の変化及び変化がもたらす影響に留意する。
要点：リスクアプローチはリスクの変動を踏まえ資源を重点配分する
リスクアプローチは、リスクの大きい領域に監査資源を重点配分する考え方である。情報システムリスクは技術や事業環境の変化とともに常に変動するため、その特性の変化と影響に留意して監査計画を見直す必要がある。よってエが適切。監査リスクは低減はできても完全な回避はできず、一律の資源配分はリスクアプローチの考え方に反する。
出典：令和5年度 春期 情報処理安全確保支援士試験 am2 問25（IPA）システム監査基準(令和5年)に基づくシステム監査において,リスク評価に基づいた監査計画の策定で考慮すべき事項として,適切なものはどれか。
正解：組織体内外の環境変化によってリスクが相当程度変化した場合には,監査計画の見直しを検討し,必要に応じて変更する。
要点：リスクが大きく変われば監査計画を見直し必要なら変更する
リスク・アプローチによる監査計画は、リスクの大きい領域に重点的に資源を割り当てる考え方に立つ。組織の内外で環境が変わりリスクの状況が相当程度変化した場合には、当初の前提が崩れるため計画を見直し、必要に応じて対象や時期、範囲を変更する。また監査リスクは合理的な水準まで低減するものであって、完全に排除することはできない点も押さえておきたい。
出典：令和7年度 秋期 情報処理安全確保支援士試験 am2 問25（IPA）
最終更新：2026-08-25／解説は資格暗記が独自に作成しています。 過去問の出典は各問題に記載のとおりです。