なぜシステム監査をするの？その「目的」を徹底解説！〜 ITパスポート R6年 問55 〜

システム監査とは、企業や組織などにおいて、業務で使用している情報システムの信頼性・安全性・効率性などの点について、第三者の視点から、客観的に点検・評価することです。

現代の企業活動は、情報システムなしには成り立ちません。顧客管理、販売、生産、会計など、あらゆる業務がITシステムに支えられています。しかし、システムが複雑化し、サイバー攻撃やシステム障害のリスクが増大する中で、「このITシステムは本当に信頼できるのか？」「安全に運用されているのか？」「会社の役に立っているのか？」といった疑問は、常に経営層や関係者の頭を悩ませています。

そこで登場するのが「システム監査（System Audit）」です。

ITパスポート試験においても、システム監査は「マネジメント系」や「ストラテジ系」の分野で頻繁に出題される重要なテーマであり、特に「システム監査の目的」は、その核心をなす知識として問われることが多いです。

この記事では、システム監査がなぜ行われるのか、その具体的な「目的」に焦点を当て、それぞれの目的が何を意味し、なぜ重要なのかを、ITパスポート受験者の方々が迷うことなく理解できるよう、ゼロから徹底的にわかりやすく解説していきます。この記事を読み終える頃には、システム監査の意義がクリアになり、試験対策だけでなく、実社会でのIT活用にも役立つ知識が身についていることでしょう。

システム監査とは？〜ITシステムの「健康診断」〜

まず、システム監査の目的を理解する前に、システム監査そのものが何であるかを簡単に復習しましょう。

システム監査とは、企業や組織の情報システムが、「信頼性」「安全性」「効率性」「有効性」といった観点から、適切に機能し、適切に管理・運用されているかを、独立した立場の専門家（システム監査人）が客観的に評価し、改善のための助言を行う活動のことです。

例えるなら、私たちの健康状態をチェックする「健康診断」のようなものです。身体の健康診断では、異常がないか、病気にかかっていないか、もっと健康になるにはどうすればいいかなどを調べますよね。システム監査も同じで、情報システムが「健康」に機能しているか、問題はないか、もっと良くするにはどうすればいいかをチェックするのです。

そして、この「健康診断」を行うには、具体的に「何を目指して診断するのか」という明確な目的が必要です。それが、ITパスポート試験で問われるシステム監査の4つの目的なのです。

システム監査の4つの目的を徹底解説！

システム監査の目的は、大きく分けて以下の4つの要素を確保し、情報システムが企業の目標達成に貢献していることを確認することにあります。これらはITパスポート試験で非常に重要なキーワードなので、しっかりと覚えましょう。

1. 信頼性（Reliability）
2. 安全性（Security）
3. 効率性（Efficiency）
4. 有効性（Effectiveness）

それぞれ詳しく見ていきましょう。

目的1：信頼性（Reliability）

信頼性とは、情報システムが、正確に、そして継続的に稼働し、データが間違いなく処理されているか、という観点です。

• 具体的に何を確認するか？
  • 入力されたデータが正しく処理され、正確な結果が出力されているか（正確性）。
  • データが欠落したり、重複したりせず、一貫性が保たれているか（完全性・一貫性）。
  • システムが予期せぬ停止を起こさず、安定して稼働し続けているか（可用性・継続性）。
  • 障害が発生した場合に、迅速に復旧できる体制が整っているか（回復性）。
  • 処理が遅延なく、適切なタイミングで行われているか（適時性）。
• なぜ重要なのか？
  • システムの信頼性が低いと、誤ったデータに基づいて経営判断を下してしまったり、顧客への請求ミスが発生したり、システム停止によって業務が滞り、企業の信用を失う可能性があります。
  • 例えば、会計システムが誤った金額を計算したり、顧客情報が途中で消えてしまったりしたら、ビジネスは成り立ちませんよね。
• システム監査ではどう評価するか？
  • データ入力時のチェック機能の有無と有効性
  • 計算処理のロジックの正確性
  • バックアップとリカバリ（復旧）手順の適切性
  • 障害発生時の対応履歴と復旧時間
  • システム稼働率や応答速度の監視体制
  • データの整合性チェックの実施状況

目的2：安全性（Security）

安全性とは、情報漏洩、不正アクセス、データ改ざん、システム破壊などの脅威から、情報資産（データ、システム、ハードウェアなど）が適切に保護されているか、という観点です。

• 具体的に何を確認するか？
  • 許可されていない人がシステムにアクセスできないようになっているか（アクセス制御）。
  • 外部からの不正な侵入（ハッキング）や、ウイルス感染を防ぐ対策が施されているか（外部からの脅威対策）。
  • 重要なデータが暗号化されているか、改ざんされていないか（データの保護）。
  • 災害（地震、火災など）や事故（停電など）が発生した場合に、システムが守られ、復旧できる体制があるか（物理的セキュリティ・災害対策）。
  • 情報セキュリティに関するルール（ポリシー）が明確に定められ、従業員に周知・徹底されているか（セキュリティポリシー）。
• なぜ重要なのか？
  • 情報漏洩は、企業の信用を失墜させ、多額の賠償責任や法的罰則に繋がる可能性があります。
  • 不正アクセスやデータ改ざんは、業務の停止や誤った情報による損害を引き起こします。
  • 安全性は、企業の存続に直結する最も重要な要素の一つです。
• システム監査ではどう評価するか？
  • ID・パスワード管理のルールと運用状況
  • ファイアウォールやIDS/IPS（不正侵入検知/防御システム）の導入状況と設定
  • ウイルス対策ソフトの導入と更新状況
  • 物理的な入退室管理、監視カメラ、施錠などの状況
  • 情報セキュリティポリシーの策定と従業員への教育
  • インシデント（セキュリティ事故）発生時の対応計画

目的3：効率性（Efficiency）

効率性とは、IT資源（ハードウェア、ソフトウェア、人件費、時間など）が無駄なく使われ、企業目標達成のために最適に活用されているか、という観点です。

• 具体的に何を確認するか？
  • 導入されたITシステムやハードウェアが、その能力を最大限に引き出されているか（資源の有効活用）。
  • IT投資に見合った効果が得られているか、あるいはコストが無駄になっていないか（コストパフォーマンス）。
  • IT部門の業務プロセスや、システムを利用する業務プロセスに無駄がないか（業務プロセスの最適化）。
  • 過剰な設備投資や、逆に不足している資源はないか（適切な資源配分）。
• なぜ重要なのか？
  • IT投資は多額になることが多く、非効率な運用は企業の経営を圧迫します。
  • 無駄なコストは、企業の利益を減少させ、競争力を低下させます。
  • 効率的なIT活用は、業務全体の生産性向上に直結します。
• システム監査ではどう評価するか？
  • サーバーやネットワーク機器の稼働率、利用率
  • IT関連費用の予算と実績の比較分析
  • IT部門の人員配置の適切性
  • システム運用マニュアルや手順書の効率性
  • 重複するシステムや機能の有無
  • ソフトウェアライセンスの適切な管理

目的4：有効性（Effectiveness）

有効性とは、情報システムが、企業の経営目標達成や業務改善にどれだけ貢献しているか、導入目的を達成しているか、という観点です。

• 具体的に何を確認するか？
  • 情報システムが、企業の経営戦略や事業計画と整合しているか（経営戦略との整合性）。
  • システム導入によって、当初期待された業務改善や顧客満足度向上などの効果が実際に得られているか（導入効果の達成）。
  • システムが、利用者のニーズや期待に応えられているか（利用者満足度）。
  • ITが新しいビジネス機会の創出や競争優位性の確立に貢献しているか（ビジネス価値の創出）。
• なぜ重要なのか？
  • IT投資は、単にシステムを導入するだけでなく、最終的に企業のビジネス目標達成に貢献しなければ意味がありません。
  • 有効性が低いシステムは、いくら信頼性や安全性、効率性が高くても、企業の価値向上には繋がりません。
  • IT投資の正当性を経営層や株主に説明するためにも不可欠です。
• システム監査ではどう評価するか？
  • IT戦略と経営戦略の整合性の確認
  • システム導入前後の業務改善効果の測定（KPIなど）
  • システム利用者へのアンケートやヒアリングによる満足度調査
  • IT投資の費用対効果（ROI）分析
  • システムがビジネス目標達成に貢献している具体的な事例の有無

ITパスポート試験対策としてのシステム監査の目的

ITパスポート試験では、システム監査の4つの目的について、その定義や具体的な内容、そして関連する事例が問われることが多いです。

• キーワードと意味を正確に覚える： 「信頼性」「安全性」「効率性」「有効性」の4つの言葉と、それぞれが何を意味するのかを明確に区別して覚えましょう。
• 具体例と結びつける： 各目的が、実際のITシステムや業務においてどのような状況で評価されるのかを具体的にイメージできると、理解が深まります。
  • 例：「データが正確に計算される」→信頼性
  • 例：「不正アクセスを防ぐ」→安全性
  • 例：「無駄なコストを削減する」→効率性
  • 例：「売上向上に貢献する」→有効性
• 「攻め」と「守り」の視点： 信頼性・安全性は主に「守り」の側面、効率性・有効性は主に「攻め」の側面を持つと考えると、それぞれの目的の重要性がより理解しやすくなります。

システム監査に関する問題（令和6年 問55）

システム監査の目的に関する記述として、適切なものはどれか。

　ア.  開発すべきシステムの具体的な用途を分析し、システム要件を明らかにすること

    イ.  情報システムが設置されている施設とその環境を総合的に企画、管理、活用すること

    ウ.  情報システムに係るリスクに適切に対応しているかどうかを評価することによって、組織体の目標達成に寄与すること

    エ.  知識、スキル、ツール及び技法をプロジェクト活動に適用することによってプロジェクトの要求事項を満足させること

出典：令和6年度  ITパスポート試験公開問題 問55

正しいと思う選択肢をクリックしてみてください！！！