システム監査基準・システム管理基準とは？

システム監査基準・システム管理基準の意味

システム監査基準は、システム監査を行う監査人の行為規範・監査手続の枠組みを定めたもの。システム管理基準は、監査を受ける組織側がITガバナンスとITマネジメントを適切に実施するための実践規範であり、監査時の判断尺度（監査上の基準）として用いられる。

システム監査基準・システム管理基準の具体例

監査人の独立性・客観性の保持や監査調書の作成はシステム監査基準、情報システムの企画・開発・運用・保全の管理項目はシステム管理基準の内容。

システム監査基準・システム管理基準は試験でどう引っ掛けられる？

監査基準＝監査する側の規範、管理基準＝管理する側の規範（かつ監査の判断尺度）。役割の向きを取り違えないこと。

システム監査基準・システム管理基準と関連する用語

• ITガバナンス
• 内部監査
• 内部統制

システム監査基準・システム管理基準が出た過去問

• システム監査基準(平成30年)に基づくシステム監査において、リスクの評価に基づく監査計画の策定(リスクアプローチ)で考慮すべき事項として、適切なものはどれか。

  正解：情報システムリスクは常に一定ではないことから、情報システムリスクの特性の変化及び変化がもたらす影響に留意する。

  要点：リスクアプローチはリスクの変化に応じ監査資源を配分する

  リスクアプローチは、情報システムリスクの大きさに応じて監査資源を重点的に配分する考え方である。リスクは事業環境や技術の変化に伴って一定ではないため、その特性の変化と影響に留意して監査計画を見直す必要がある。監査リスクは合理的な水準まで低減するもので、完全な回避はできない。

  出典：令和1年度 秋期 ITサービスマネージャ試験 am2 問16（IPA）

• システム管理基準（平成30年）に基づく、ITガバナンスにおける情報システムの資源管理の監査で判明した経営陣の対応のうち、監査人が、指摘事項として監査報告書に記載…

  正解：内部人材の数とスキルが不足していたが、情報システム戦略において外部資源の活用について考慮していなかった。

  要点：内部資源が不足するなら外部資源の活用検討が求められる

  システム管理基準では、情報システム戦略の策定において、内部資源だけで賄えない場合に外部資源の活用を検討することが求められる。人材の数とスキルが不足しているのに外部資源の活用を検討していない状態は、この要求を満たしておらず、監査人が指摘事項として報告すべき事象である。他の3つは方針の承認や適切な考慮がなされている例であり、指摘の対象にならない。

  出典：令和5年度 春期 ITサービスマネージャ試験 am2 問14（IPA）

• システム監査基準(令和5年)におけるシステム監査基準の説明として、適切なものはどれか。

  正解：システム監査が効果的かつ効率的に行われるために、システム監査のあるべき体制や実施方法等を示したもの

  要点：システム監査基準＝監査のやり方、システム管理基準＝判断の尺度

  システム監査基準は、システム監査が効果的かつ効率的に実施されるように、監査人の行為規範や監査の体制・実施方法を示した基準である。一方、監査で何を良しとするかという判断の尺度を示すのはシステム管理基準であり、両者は役割が対になっている。「どう監査するか」がシステム監査基準、「何に照らして判定するか」がシステム管理基準と覚えるとよい。

  出典：令和6年度 春期 ITサービスマネージャ試験 am2 問14（IPA）