システム監査 【information systems audit】

概要

システム監査（information systems audit）とは、組織内で用いられている情報システムの信頼性や安全性、効率性などを独立した立場で点検・評価し、問題点の指摘や改善策の勧告を行うこと。

監査の対象となるのは、情報システムの企画・開発・導入から運用・保守・廃棄までの各段階、および、情報システムに関連する組織体制や業務手順、情報資産の管理状況、コンプライアンス規定、事業継続計画（BCP）などである。

これらについて、主にリスクへの備えの観点から、システムの有用性や費用対効果、障害や災害への耐性や対策、外部からの攻撃などの脅威からの防護、個人情報や機密情報の保護などを総合的に調査する。このような業務を行う専門家や職種を「システム監査人」という。

調査は現場への立ち入りやスタッフへの聞き取り、資料や記録の収集と精査などを伴い、報告や提言などはこれらの活動で得られた証拠を元に組み立てられる。結果は組織の長に報告され、問題点がある場合は改善策の勧告などを行うこともある。その後も実施状況を点検して改善を促すなどフォローアップを行なう。

日本では1985年に当時の通商産業省が「システム監査基準」を策定・公表し、数次に渡る改訂を経て現在も経済産業省が発行を継続している。国内の企業などへのシステム監査はこれを基準として実施されることが多い。