指摘事項とは？
指摘事項とは、監査で発見された問題点のうち、重要性の観点から報告すべきと判断した事項。事実、判断の根拠となる基準、リスク（影響）を明示して記載する。
情報処理安全確保支援士試験の過去問では4回出題されています（2018年度〜2023年度）。
してきじこう
指摘事項の意味
監査で発見された問題点のうち、重要性の観点から報告すべきと判断した事項。事実、判断の根拠となる基準、リスク（影響）を明示して記載する。
指摘事項の具体例
「退職者のアカウントが3件残存していた」という事実に、社内規程の該当条項と不正アクセスのリスクを添えて記載する。
指摘事項は試験でどう引っ掛けられる？
報告書に記載する前に、意見交換会などで被監査部門と事実確認を行うのが原則。事実誤認のまま報告すると報告書全体の信頼を損なう。
指摘事項と関連する用語
指摘事項が出た過去問
データベースの直接修正に関して,監査人がシステム監査報告書で報告すべき指摘事項はどれか。ここで,直接修正とは,アプリケーションの機能を経由せずに,特権IDを使用…
正解：更新ログを加工して,アプリケーションの機能を経由した正常な処理によるログとして残していた。
要点：特権IDの直接修正はログの偽装こそ重大な統制違反
特権IDによる直接修正は、アプリケーションの統制を迂回する行為であるため、申請・承認と作業記録の保全が統制の要となる。更新ログを書き換えて通常処理を装っていたのであれば、実施した事実そのものを隠蔽したことになり、証跡の信頼性が失われて事後の検証も不可能になる。これは統制上の重大な欠陥であり、監査人が指摘すべき事項である。
出典：平成30年度 春期 情報処理安全確保支援士試験 am2 問25（IPA）プライバシーマークを取得しているA社は、個人情報管理台帳の取扱いについて内部監査を行った。判明した状況のうち、監査人が指摘事項として監査報告書に記載すべきものは…
正解：個人情報管理台帳の見直しは、新たな個人情報の取得があった場合にだけ行っている。
要点：個人情報管理台帳は定期と随時の見直しで実態と合わせる
個人情報管理台帳は、保有する個人情報の実態を正確に映していなければ、リスク分析も保管期限の管理も機能しない。取得時だけ更新する運用では、利用目的の変更、提供先の追加、廃棄や保管期限の到来といった変化が反映されず、台帳と実態が乖離する。少なくとも定期的な見直しと、重要な変更が生じた都度の更新が必要であり、この状態は指摘対象となる。
出典：令和2年度 10月 情報処理安全確保支援士試験 am2 問25（IPA）ソフトウェア開発プロセスにおけるセキュリティを確保するための取組について,JIS Q 27001:2014(情報セキュリティマネジメントシステム-要求事項)の附…
正解：ソフトウェア開発におけるセキュリティ機能の試験は,開発期間が終了した後に実施している。
要点：セキュリティ機能の試験は開発過程の中で実施する
JIS Q 27001の附属書Aは、セキュリティ機能の試験を開発の過程の中で実施することを求めている。開発期間が終わってから試験するのでは、欠陥の是正が後手に回り、修正の負担も大きくなるため、監査人は改善が必要な事項として指摘すべきである。他の3つは管理策に沿った望ましい状態である。
出典：令和3年度 春期 情報処理安全確保支援士試験 am2 問25（IPA）データベースの直接修正に関して、監査人が、システム監査報告書で報告すべき指摘事項はどれか。ここで、直接修正とは、アプリケーションソフトウェアの機能を経由せずに、…
正解：更新ログ上は、アプリケーションソフトウェアの機能を経由したデータ更新として記録していた。
要点：特権IDの直接修正は事実どおり記録し追跡できることが必須
特権IDによる直接修正は、通常の業務処理の統制を迂回する操作なので、誰が何をいつ変更したかを事実どおりに記録し追跡できることが不可欠である。更新ログにアプリケーション経由の更新として記録されていれば、直接修正の事実が隠れてしまい、事後の検証も責任追跡もできなくなる。これは統制上の重大な欠陥であり、監査人が指摘すべき事項に当たる。
出典：令和5年度 秋期 情報処理安全確保支援士試験 am2 問25（IPA）
最終更新：2026-08-25／解説は資格暗記が独自に作成しています。 過去問の出典は各問題に記載のとおりです。