出題範囲（10分野）
- 報告/フォローアップ80問
- インフラ/運用/セキュリティ監査79問
- アプリケーション監査79問
- ITガバナンス/内部統制80問
- 監査基準/手続/計画80問
- 監査計画/リスクベースド監査80問
- ITガバナンス/ITGC/アプリ統制74問
- 監査技法/証拠/サンプリング/CAAT80問
- フォローアップ/品質管理/コンプライアンス80問
- 報告/是正勧告/コミュニケーション80問
システム監査技術者試験の例題（6問・解説つき）
スキルサートのAIが出題範囲に沿って作成した演習問題です（過去問ではありません）。アプリでは毎週新しい問題が追加されます。
例題1報告/フォローアップ
システム監査基準に従い、監査人が監査報告書を作成する際に記載すべき事項として、最も適切なものはどれか。
- 発見された個々の不備事項に対する、被監査部門による詳細な原因分析結果
- 指摘事項の改善を担当する、被監査部門内の責任者名とその職位
- 監査期間中に発生した予期せぬトラブルと、それに対する監査人の対応記録
- 監査の目的、対象範囲、実施時期、監査の結論、及び改善勧告を記載する
- 改善勧告を実施するために必要となる、具体的な予算額の見積り
解答と解説を見る
正解: 監査の目的、対象範囲、実施時期、監査の結論、及び改善勧告を記載する
システム監査基準（令和5年改訂版など）によれば、システム監査報告書には、監査の目的、対象範囲、実施時期、実施した監査手続の概要、監査の結論、および改善勧告などを記載することが求められています。報告書は、監査依頼者や経営層に対して、監査の結果を正確かつ簡潔に伝えるための公式な文書です。被監査部門による詳細な原因分析や予算見積りは、通常はフォローアップ段階や被監査部門側の改善計画に含まれるべき事項であり、監査報告書の必須記載項目ではありません。正解は「監査の目的、対象範囲、実施時期、監査の結論、及び改善勧告を記載する」です。
例題2インフラ/運用/セキュリティ監査
組織が利用しているSaaS（Software as a Service）のセキュリティ管理状況を確認するためのシステム監査手続として、最も適切なものはどれか。
- 監査人が直接クラウドサービス事業者のデータセンターに赴き、サーバラックの施錠状況や入退室管理を物理的に実査する。
- クラウドサービス事業者が発行した受託業務の内部統制保証報告書（SOC2報告書など）を入手し、監査範囲や例外事項、利用者側で必要な補完的統制を評価する。
- クラウドサービス事業者が提供するセキュリティ設定ガイドラインを、自社の社内セキュリティ規定にそのまま転記していることを確認する。
- 事業者が公開しているサービス品質保証制度（SLA）において、稼働率が100%に設定されていることを確認する。
- SaaS上で管理されている全てのデータが、1日1回以上の頻度でオンプレミス環境の磁気テープにバックアップされていることを確認する。
解答と解説を見る
正解: クラウドサービス事業者が発行した受託業務の内部統制保証報告書（SOC2報告書など）を入手し、監査範囲や例外事項、利用者側で必要な補完的統制を評価する。
正解は「クラウドサービス事業者が発行した受託業務の内部統制保証報告書（SOC2報告書など）を入手し、監査範囲や例外事項、利用者側で必要な補完的統制を評価する。」です。クラウド監査において、利用者は事業者の基盤を直接監査できないことが多いため、第三者による監査報告書を活用することが一般的です。報告書の内容から、事業者の統制が有効であるか、また「利用者側で実施すべき統制（ユーザIDの適切な管理など）」が自社で適切に運用されているかを確認することが、監査上の重要な手続となります。
例題3アプリケーション監査
アプリケーションシステムの入力管理に関する監査において、データの妥当性チェック（バリデーション）の有効性を確認するための監査手続として、最も適切なものはどれか。
- 入力端末の設置場所を確認し、部外者が不正にデータを入力できない物理的環境にあるかを検証する。
- データの入力担当者が、最新の入力マニュアルに従って操作を行っているかを横で観察する。
- 入力されたデータが承認者の電子署名によって承認されているか、ワークフローのログを確認する。
- エラーとなるべきテストデータを入力し、システムが期待通りにエラーを検出するかを確認する。
- 前日の入力合計件数と当日の入力合計件数を比較し、入力件数に異常な増減がないかを分析する。
解答と解説を見る
正解: エラーとなるべきテストデータを入力し、システムが期待通りにエラーを検出するかを確認する。
正解は「エラーとなるべきテストデータを入力し、システムが期待通りにエラーを検出するかを確認する。」です。これはシステム監査技術における「テストデータ法」と呼ばれる手法であり、アプリケーションに組み込まれたロジック（入力値の範囲チェックや形式チェック等）が仕様通りに機能しているかを直接的に検証するために非常に有効です。他の選択肢、例えば担当者の観察や件数比較などは運用の状況や傾向を把握するものであり、プログラムの処理ロジック自体の正確性を網羅的に保証するものではありません。
例題4ITガバナンス/内部統制
経済産業省の「ITガバナンスシステム実施ガイダンス」において、ITガバナンスの定義として最も適切なものはどれか。
- サイバー攻撃から組織の重要な情報資産を保護するために、最新のセキュリティ対策ソフトを導入し、アクセス権限を厳格に管理すること。
- 業務プロセスの自動化を推進するために、ERPやRPAなどのITツールを導入し、業務効率化の目標達成を管理すること。
- 情報システム部門が主体となり、システムの安定稼働と保守コストの削減を目的として、情報資産を適切に管理・運用すること。
- 経営陣が、ステークホルダーの意向を踏まえ、ITの活用を通じて組織の価値を最大化するために、戦略の策定や実行を統治すること。
- 法令遵守のために、コンプライアンス委員会を設置し、全社員に対して定期的なITリテラシー教育を実施すること。
解答と解説を見る
正解: 経営陣が、ステークホルダーの意向を踏まえ、ITの活用を通じて組織の価値を最大化するために、戦略の策定や実行を統治すること。
正解は「経営陣が、ステークホルダーの意向を踏まえ、ITの活用を通じて組織の価値を最大化するために、戦略の策定や実行を統治すること。」です。ITガバナンスとは、経営陣が組織の目的を達成するために、ITを戦略的に活用するように統治する仕組みを指します。単なるシステムの運用管理（ITマネジメント）とは異なり、経営層が主体となってステークホルダー（株主や顧客など）に対する説明責任を果たし、ビジネス価値を高めるための活動を包含します。他の選択肢は、情報システムの管理（運用）やセキュリティ対策、教育などの個別の活動に焦点を当てており、ガバナンスの本質である「経営層による統治」の観点が不足しています。
例題5監査基準/手続/計画
システム監査基準（令和5年改訂版）における「監査人の独立性」に関する記述として、最も適切なものはどれか。
- 監査人は、被監査部門の責任者と密接な利害関係がある場合、監査報告書にその旨を記載すれば監査を継続してよい。
- 監査人は、監査の効率性を高めるために、被監査部門の日常的な意思決定プロセスに関与することが推奨される。
- 監査人は、精神上の独立性及び外観上の独立性を保持しなければならない。
- 内部監査としてのシステム監査においては、組織内の独立性があれば、精神上の独立性を維持する必要はない。
- 監査人は、過去に自らが開発に関与したシステムであっても、現状の運用を評価するのであれば監査を担当できる。
解答と解説を見る
正解: 監査人は、精神上の独立性及び外観上の独立性を保持しなければならない。
正解は「精神上の独立性及び外観上の独立性を保持しなければならない。」です。システム監査基準において、監査人は公平不偏の態度で監査を実施するために、実質的な精神的独立性と、第三者から見て疑念を抱かれない外観的独立性の両面を保持することが求められています。業務の代行や意思決定への関与、過去に自らが構築したシステムの監査（自己監査）は、独立性を損なうため禁止されています。客観的な立場を維持するためには、いかなる制約や偏向も受けず、証拠に基づいた公正な判断を行うことが不可欠です。
例題6監査計画/リスクベースド監査
システム監査の計画立案において、リスクベース型監査（リスクベースド監査）のアプローチを採用する最大の目的として、最も適切なものはどれか。
- 最新のIT技術が導入されている領域を優先的に監査することで、技術的な脆弱性をすべて排除する。
- 過去に重大な事故が発生したシステムのみを監査対象とすることで、監査コストを最小限に抑える。
- 監査対象業務の全項目を網羅的に検証することで、監査漏れのリスクをゼロにする。
- 監査リソースを、重要性の高いリスクが存在する領域に重点的に配分し、効果的かつ効率的な監査を実施する。
- 監査対象部門の全ての業務プロセスを標準化し、IT統制の自己評価（CSA）を代替手段として活用する。
解答と解説を見る
正解: 監査リソースを、重要性の高いリスクが存在する領域に重点的に配分し、効果的かつ効率的な監査を実施する。
正解は『監査リソースを、重要性の高いリスクが存在する領域に重点的に配分し、効果的かつ効率的な監査を実施する。』です。リスクベースド監査は、限られた監査リソース（人員、時間、予算）を、組織の目標達成に大きな影響を及ぼすリスク（ハイリスクな領域）に集中させることで、監査の効果と効率を最大化することを目的としています。全ての項目を均等に調べる網羅的なアプローチに比べ、重要な不備を見逃す可能性を低減し、かつ効率的な監査が可能となります。リスクの把握には、ビジネス上の影響度と発生可能性の二軸での評価が一般的に用いられます。
システム監査技術者試験の重要用語
- システム監査報告書
- 監査の結果をとりまとめた公式な文書であり、監査の目的、範囲、実施した手続き、および監査人の意見を記載して依頼者に提出する。客観的な事実に基づき、正確、簡潔、かつ明瞭に記述することが求められる。監査人は、報告書の内容について被監査部門と事前に事実確認を行い、誤解がないよう努めなければならない。
- 事業継続計画（BCP）
- 災害やシステム障害などの緊急事態において、重要な事業を中断させない、あるいは早期に復旧させるための計画です。システム監査では、復旧時間目標（RTO）や復旧時点目標（RPO）が妥当か、定期的な訓練が行われているかを確認します。インフラの可用性を確保する上での中核的な管理項目として、その実効性が厳格に評価されます。
- 入力コントロール
- アプリケーションに入力されるデータの正確性、完全性、妥当性を確保するための統制活動です。データの二重入力の防止や、入力漏れのチェック、エラーデータの修正と再入力の手順が含まれます。システム監査では、適切なバリデーション（論理チェックや形式チェック）が実装され、意図しないデータが混入しない仕組みが機能しているかを評価します。
- ITガバナンス
- 組織の戦略目標を達成するために、経営陣がITの活用を適切に統制し、価値を最大化しつつリスクを管理する仕組みのこと。システム監査においては、経営戦略とIT戦略が整合しているか、投資対効果やリスク管理が適切に行われているかを評価する対象となる。経済産業省の「ITガバナンス実行ガイド」などが指針として用いられる。
- システム監査基準
- 経済産業省が策定した、システム監査の品質を確保し、有効かつ効率的な監査を実施するための指針です。監査人の独立性や専門能力、倫理観を定めた「一般基準」、監査計画の策定や実施方法を定めた「実施基準」、報告書の作成やフォローアップを定めた「報告基準」の3層で構成されています。監査人が実務を行う上での拠り所となる重要な文書です。
- リスクベースド監査
- 組織の目標達成を阻害するリスクを特定・評価し、リスクの高い領域に重点的に監査資源を配分する手法。限られた監査資源を効率的かつ効果的に活用することを目的としており、システム監査において極めて重要視される。リスクの大きさに応じて監査の頻度や範囲、深度を決定することで、重要な問題の看過を防ぎ、監査の質を向上させる。
- ITガバナンス
- 組織の経営陣がIT戦略を策定し、ビジネス目標の達成に向けてITを適切に制御・活用する仕組み。IT投資の最適化、リスク管理、価値提供、資源管理、業績測定の領域に焦点を当て、組織全体の競争力を高めることを目的とする。システム監査では、経営層によるIT活用の監督状況や戦略との整合性が適切に保たれているかを評価する上で重要な概念である。
- コンピュータ支援監査技法（CAAT）
- コンピュータを活用して監査を実施する技法のこと。大量の業務データを効率的かつ網羅的に検証するために、表計算ソフトや専用の監査ツールを用いる。全件検証が可能になるなど、監査の精度と効率を飛躍的に高めることができる。システム監査においては、ログ分析やマスタデータの整合性確認などで頻繁に利用される。
よくある質問
- システム監査技術者試験の問題はスキルサートで何問解けますか？
- 全792問・10分野の問題を用意しています。問題は出題範囲に沿って随時追加しています。
- 無料で使えますか？
- 無料プランで週10回の演習（1回10問）と、毎日の「今日の1問」を利用できます。解説を読み、わからない点はAIに質問できます。
- ここの問題は過去問ですか？
- 過去問ではありません。出題範囲に沿ってAIが作成した演習問題です。すべて解説つきで、間違えた問題は繰り返し解けます。
システム監査技術者試験の対策はアプリで
AIが毎週生成する新作問題・ランクマッチ・週次ランキング・AI診断で「続けられる」資格学習を。無料で始められます。
