システム監査技術者 頻出重要用語集
全 60 語 収録習得済: 0 / 60★ 保存: 0
システム監査技術者 頻出重要用語解説
システム監査基準・システム管理基準・内部統制(J-SOX/COSO/3線モデル)・監査手続(ウォークスルー/サンプリング/CAAT)・セキュリティ監査・クラウド/AI/アジャイル監査等のシステム監査重要用語を完全網羅。「1行要約」「3行解説」「午後I記述・午後II小論文キーワード」で合格力を高めます。
【索引】50音・英数インデックス:
【カテゴリ】専門分野:
出題フェーズ:
ステータス:
表示:
該当件数: 60 件 / 全 60 語
しすてむかんさきじゅん監査基準・独立性午前II午後I記述午後II小論文★★★
システム監査基準
System Audit Standards1行解説（要点）
経済産業省が策定した、システム監査人の行動規範および監査の計画・実施・報告に関する実践規範を定めた基準です。
3行解説（詳細ポイント）
1経済産業省が策定した、システム監査人の行動規範および監査の計画・実施・報告に関する実践規範を定めた基準です。
2平成30年改訂および令和5年改訂により、ITガバナンスとの連携やアジャイル・クラウド等の環境変化に対応したリスクベース監査が体系化されています。
3試験対策：午後I・午後IIともに、監査計画の立案から監査手続の実施、改善勧告・フォローアップに至る一連のプロセスを本基準の用語に沿って記述します。
しすてむかんりきじゅん監査基準・独立性午前II午後I記述午後II小論文★★★
システム管理基準
System Management Standards1行解説（要点）
組織がITガバナンスを確立し、情報システムのリスクを適切に管理（コントロール）するための実践規範を体系化した基準です。
3行解説（詳細ポイント）
1組織がITガバナンスを確立し、情報システムのリスクを適切に管理（コントロール）するための実践規範を体系化した基準です。
2システム監査基準と対をなし、監査人が監査目標や監査要点（クライテリア）を設定する際の判断尺度として活用されます。
3試験対策：午後I・午後IIでは、組織固有のシステム管理基準（社内規程・開発標準・運用手順）が最新技術や法改正に合わせて見直されているかを監査要点に設定します。
かんさにんのどくりつせい監査基準・独立性午前II午後I記述午後II小論文★★★
監査人の独立性（外観上・精神上）
Auditor Independence (In Appearance and In Fact)1行解説（要点）
システム監査人が被監査部門や特定の利害関係から独立した立場で、偏りのない客観的な監査判断を下すための不可欠な要件です。
3行解説（詳細ポイント）
1システム監査人が被監査部門や特定の利害関係から独立した立場で、偏りのない客観的な監査判断を下すための不可欠な要件です。
2組織上の所属や職制の分離を示す「外観上の独立性」と、公正不偏な心理状態を保つ「精神上の独立性（客観性）」の両面が求められます。
3試験対策：午後I・午後IIでは、自身が過去に開発・運用に関与したシステムを監査対象から外す措置や、兼務監査人の利害相反を防ぐ体制構築として記述します。
ほしょうがたかんさとじょげんがたかんさ監査基準・独立性午前II午後I記述午後II小論文★★★
保証型監査と助言型監査
Assurance Engagement vs Advisory Engagement1行解説（要点）
監査の目的に応じて、コントロールの適切性について独立した意見を表明する「保証型監査」と、改善に向けた提言を行う「助言型監査」に区分されます。
3行解説（詳細ポイント）
1監査の目的に応じて、コントロールの適切性について独立した意見を表明する「保証型監査」と、改善に向けた提言を行う「助言型監査」に区分されます。
2法定監査や外部報告・ガバナンス検証では保証型が中心となり、新規プロジェクト企画段階やDX推進の伴走支援では助言型が多く用いられます。
3試験対策：午後II小論文では、企画・開発段階の未然防止では助言型、本番稼働後の統制評価や外部委託先監査では保証型というように監査目的を明確に定義します。
しすてむかんさきてい監査基準・独立性午前II午後I記述午後II小論文★★★
システム監査規程（監査チャータ）
System Audit Charter1行解説（要点）
組織内におけるシステム監査の目的、監査部門の権限と責任、独立性の確保、および被監査部門の協力義務を定めた最上位の社内規程です。
3行解説（詳細ポイント）
1組織内におけるシステム監査の目的、監査部門の権限と責任、独立性の確保、および被監査部門の協力義務を定めた最上位の社内規程です。
2監査人が任意の記録・ログ・契約書を閲覧し、関係部署へヒアリングを実施できる「アクセス権」の根拠となります。
3試験対策：午後I・午後IIにおいて、被監査部門やグループ子会社・外部委託先に対する資料提出要求や立入調査を行う権限根拠として記述します。
しょくぎょうりんりとせいとうなちゅういぎむ監査基準・独立性午前II午後I記述午後II小論文★★★
職業倫理と正当な注意義務
Professional Ethics and Due Professional Care1行解説（要点）
システム監査人が業務を遂行する上で守るべき誠実性・客観性・守秘義務の倫理規範と、専門家として当然払うべき注意深さ（正当な注意義務）です。
3行解説（詳細ポイント）
1システム監査人が業務を遂行する上で守るべき誠実性・客観性・守秘義務の倫理規範と、専門家として当然払うべき注意深さ（正当な注意義務）です。
2監査人が入手した機密データの漏えい防止や、重大なリスク兆候を見逃さない懐疑心の保持が含まれます。
3試験対策：午前IIでの頻出概念であるとともに、午後試験では「監査用データ（個人情報・本番ログ）の持ち出し制限やアクセス管理」の文脈で問われます。
しすてむかんさのひんしつかんりとがいぶひょうか監査基準・独立性午前II午後I記述午後II小論文★★★
システム監査の品質管理と外部評価
Audit Quality Assurance and Improvement Program1行解説（要点）
システム監査活動自体がシステム監査基準に準拠し、有効かつ効率的に実施されているかを内部・外部から継続的にモニタリング・評価する仕組みです。
3行解説（詳細ポイント）
1システム監査活動自体がシステム監査基準に準拠し、有効かつ効率的に実施されているかを内部・外部から継続的にモニタリング・評価する仕組みです。
2監査責任者による監査調書の査閲（内部評価）と、独立した外部専門機関による定期的な品質評価（外部評価）の2軸で構成されます。
3試験対策：午後I・午後IIの監査計画・監査部門運営のテーマにおいて、監査人による判断のばらつきを防ぎ監査品質を均質化する施策として記述します。
せんもんかのりよう監査基準・独立性午前II午後I記述午後II小論文★★★
専門家の利用（外部専門家の活用）
Using the Work of an Expert1行解説（要点）
システム監査部門単独では高度な専門知識が不足する領域（ペネトレーションテスト、AIアルゴリズム検証、クラウド深層設定等）において、外部の専門家を活用することです。
3行解説（詳細ポイント）
1システム監査部門単独では高度な専門知識が不足する領域（ペネトレーションテスト、AIアルゴリズム検証、クラウド深層設定等）において、外部の専門家を活用することです。
2専門家の作業結果を利用する場合でも、監査結論に対する最終的な責任はシステム監査人自身が負い、専門家の独立性・能力・作業結果の妥当性を評価する必要があります。
3試験対策：午後I・午後IIにおいて、AIシステムや制御系セキュリティなど特殊技術領域の監査を実施する際の体制確保と留意点として記述します。
たのかんさひょうかけっかのいきょ監査基準・独立性午前II午後I記述午後II小論文★★★
他の監査・評価結果の依拠（連携）
Reliance on Other Audits and Assessments1行解説（要点）
監査の効率性と実効性を高めるため、内部監査部門の業務監査、会計監査人（J-SOX）、ISMS審査、外部委託先のSOC報告書など他の監査・評価結果を活用することです。
3行解説（詳細ポイント）
1監査の効率性と実効性を高めるため、内部監査部門の業務監査、会計監査人（J-SOX）、ISMS審査、外部委託先のSOC報告書など他の監査・評価結果を活用することです。
2無条件に依拠するのではなく、他の監査の目的・対象範囲・実施時期・実施者の独立性・検証手続の厳密性を確認した上で利用可能範囲を判断します。
3試験対策：午後II（令和3年問2等）の頻出テーマであり、「他の監査の目的・範囲とシステム監査の目的とのギャップを特定し、不足分に追加監査手続を実施した」構成で論述します。
さんようかんさ監査基準・独立性午前II午後I記述午後II小論文★★★
三様監査（監査役・会計監査人・内部監査部門の連携）
Tripartite Audit Coordination1行解説（要点）
コーポレートガバナンスの一翼を担う「監査役（または監査等委員会・監査委員会）」「会計監査人（公認会計士）」「内部監査部門（システム監査を含む）」の三者が相互に連携する体制です。
3行解説（詳細ポイント）
1コーポレートガバナンスの一翼を担う「監査役（または監査等委員会・監査委員会）」「会計監査人（公認会計士）」「内部監査部門（システム監査を含む）」の三者が相互に連携する体制です。
2それぞれの監査目的（適法性・妥当性、財務諸表の適正性、業務の有効性・効率性）の違いを尊重しつつ、情報共有により全社的な監査品質を高めます。
3試験対策：午前IIおよび午後IIのガバナンス・監査計画論述において、経営層・監査役への報告経路および会計監査人との情報交換体制として記述します。
あいてぃーがばなんすガバナンス・統制午前II午後I記述午後II小論文★★★
ITガバナンス（EDMモデル）
IT Governance (Evaluate, Direct, Monitor)1行解説（要点）
経営陣がステークホルダのニーズに基づき、組織の価値向上とリスク最適化を目指してIT利活用を評価（Evaluate）・方向付け（Direct）・モニタリング（Monitor）する仕組みです。
3行解説（詳細ポイント）
1経営陣がステークホルダのニーズに基づき、組織の価値向上とリスク最適化を目指してIT利活用を評価（Evaluate）・方向付け（Direct）・モニタリング（Monitor）する仕組みです。
2JIS Q 38500（ISO/IEC 38500）およびシステム管理基準において、マネジメント（計画・構築・実行）の上位に位置付けられます。
3試験対策：午後I（令和2年問3等）・午後II（令和6年問1等）の王道テーマであり、個別システムではなく「組織全体のIT投資・リスク管理態勢に経営陣がどう関与しているか」を監査の着眼点とします。
すりーでぃふぇんすらいんガバナンス・統制午前II午後I記述午後II小論文★★★
3ディフェンスライン（3ラインモデル）
Three Lines Model (Three Lines of Defense)1行解説（要点）
組織のリスク管理と内部統制の役割を「第1線（現業・システム部門）」「第2線（リスク管理・セキュリティ・品質管理部門）」「第3線（内部監査・システム監査部門）」の3層で整理した統治モデルです。
3行解説（詳細ポイント）
1組織のリスク管理と内部統制の役割を「第1線（現業・システム部門）」「第2線（リスク管理・セキュリティ・品質管理部門）」「第3線（内部監査・システム監査部門）」の3層で整理した統治モデルです。
2システム監査人は第3線として、第1線の自律的統制と第2線の牽制・モニタリング機能が有効に働いているかを独立した立場から評価します。
3試験対策：午後II小論文（IT組織の役割変更や他部門のリスク評価利用など）で、第2線（PMO・CISO室・品質管理部）と第3線（システム監査）の役割分担を明確にする際に極めて有効です。
こそないぶとうせいふれーむわーくガバナンス・統制午前II午後I記述午後II小論文★★★
COSO内部統制フレームワーク（3目的・5構成要素）
COSO Internal Control Integrated Framework1行解説（要点）
内部統制を「業務の有効性・効率性、報告の信頼性、法規制の遵守」の3目的を達成するために、5つの構成要素（統制環境、リスク評価、統制活動、情報と伝達、モニタリング）で捉える国際的枠組みです。
3行解説（詳細ポイント）
1内部統制を「業務の有効性・効率性、報告の信頼性、法規制の遵守」の3目的を達成するために、5つの構成要素（統制環境、リスク評価、統制活動、情報と伝達、モニタリング）で捉える国際的枠組みです。
2日本の金融商品取引法（J-SOX）では、これに「資産の保全」を加えた4目的と、「ITへの対応」を独立させた6基本的要素として定義されています。
3試験対策：午前IIの頻出知識であり、午後試験では「統制活動（ルール・手続）を作っただけでなく、統制環境（経営層の姿勢）やモニタリングが機能しているか」を評価する軸になります。
あいてぃーぜんぱんとうせいとあいてぃーぎょうむしょりとうせいガバナンス・統制午前II午後I記述午後II小論文★★★
IT全般統制（ITGC）とIT業務処理統制（ITAC）
IT General Controls (ITGC) and IT Application Controls (ITAC)1行解説（要点）
財務報告等に係るIT統制を、複数の業務処理システムを横断的に支える基盤統制「IT全般統制（ITGC）」と、個々の業務システム内に組み込まれた「IT業務処理統制（ITAC）」に分けた概念です。
3行解説（詳細ポイント）
1財務報告等に係るIT統制を、複数の業務処理システムを横断的に支える基盤統制「IT全般統制（ITGC）」と、個々の業務システム内に組み込まれた「IT業務処理統制（ITAC）」に分けた概念です。
2ITGC（開発・変更管理、運用・管理、アクセスセキュリティ、外部委託管理）が有効であって初めて、プログラム化されたITAC（自動計算・入力チェック等）の継続的信頼性が保証されます。
3試験対策：午前II・午後Iともに必須であり、「本番プログラムの変更管理や特権アクセス管理（ITGC）に不備があると、業務アプリの自動チェック（ITAC）も改ざんされ得る」という因果関係を理解します。
りすくべーすあぷろーちガバナンス・統制午前II午後I記述午後II小論文★★★
リスクベースアプローチ（リスクアプローチ監査）
Risk-Based Audit Approach1行解説（要点）
限られた監査資源（人員・期間・予算）を最も効果的に配分するため、組織や情報システムのリスクの大きさを評価し、リスクの高い領域に監査資源を重点投下する手法です。
3行解説（詳細ポイント）
1限られた監査資源（人員・期間・予算）を最も効果的に配分するため、組織や情報システムのリスクの大きさを評価し、リスクの高い領域に監査資源を重点投下する手法です。
2年度監査計画における監査対象システムの選定だけでなく、個別監査計画における重点監査項目・監査手続の深さ・サンプル数の決定にも適用されます。
3試験対策：午後I（令和2年問2・令和7年問1等）・午後II（平成30年問2・令和4年問1等）の中核テーマであり、影響度×発生可能性＋戦略的重要度から監査優先順位を導く論理を記述します。
かんさりすくもでるガバナンス・統制午前II午後I記述午後II小論文★★★
監査リスクモデル（固有リスク・統制リスク・発見リスク）
Audit Risk Model (Inherent, Control, and Detection Risk)1行解説（要点）
監査人が重大な問題や不備を見落として誤った監査結論を表明してしまう「監査リスク（AR）」を、固有リスク（IR）×統制リスク（CR）×発見リスク（DR）の積で捉えるモデルです。
3行解説（詳細ポイント）
1監査人が重大な問題や不備を見落として誤った監査結論を表明してしまう「監査リスク（AR）」を、固有リスク（IR）×統制リスク（CR）×発見リスク（DR）の積で捉えるモデルです。
2固有リスクと統制リスクが高い対象ほど、監査人は監査手続を充実させて「発見リスク（DR）」を低く抑える必要があります。
3試験対策：午前IIの定番問題であるとともに、午後II（令和4年問1等）の「監査上の制約により本来の監査手続が採れない場合の監査リスク評価と代替手続」の論述で核となります。
しょくむのぶんりガバナンス・統制午前II午後I記述午後II小論文★★★
職務の分離（SoD）と代替統制
Segregation of Duties (SoD) and Compensating Controls1行解説（要点）
不正や誤謬を防ぐため、業務上の「申請と承認」「発注と検収」「システム開発と本番運用」「システム管理とログ監査」などの相容れない職務を異なる担当者・部門に分離する統制です。
3行解説（詳細ポイント）
1不正や誤謬を防ぐため、業務上の「申請と承認」「発注と検収」「システム開発と本番運用」「システム管理とログ監査」などの相容れない職務を異なる担当者・部門に分離する統制です。
2少人数組織やDevOps環境で厳格な職務分離が困難な場合は、第三者への自動通知や全件ログ査閲などの「代替統制（補完統制）」を組み込みます。
3試験対策：午後Iで毎年のように問われる最重要コントロールです（令和7年問2のシステム管理者1名体制、令和6年問1のDevOps環境、平成29年問1の棚卸差異修正など）。
よぼうてきとうせいはっけんてきとうせいガバナンス・統制午前II午後I記述午後II小論文★★★
予防的統制・発見的統制・是正的統制
Preventive, Detective, and Corrective Controls1行解説（要点）
リスクに対するコントロールを、事象の発生前に防ぐ「予防的統制」、発生した異常を速やかに検知する「発見的統制」、発生後に被害を抑え復旧・再発防止する「是正的統制」に分類したものです。
3行解説（詳細ポイント）
1リスクに対するコントロールを、事象の発生前に防ぐ「予防的統制」、発生した異常を速やかに検知する「発見的統制」、発生後に被害を抑え復旧・再発防止する「是正的統制」に分類したものです。
2単一の予防的統制だけに頼るのではなく、万一すり抜けた場合に検知・復旧できる多層的なコントロール設計が求められます。
3試験対策：午後I・午後IIでコントロールの妥当性を評価する際、「事前防止策（予防）だけでなく、すり抜けた場合のログ監視・照合（発見）と回復手順（是正）が揃っているか」を着眼点にします。
いんぷっとぷろせすあうとぷっととうせいガバナンス・統制午前II午後I記述午後II小論文★★★
インプット・プロセス・アウトプット統制（IPO統制）
Input, Processing, and Output Controls1行解説（要点）
業務処理システム（ITAC）におけるデータの流れを「入力（Input）」「処理（Processing）」「出力（Output）」の3段階に分け、データの正確性・網羅性・正当性を保証する統制です。
3行解説（詳細ポイント）
1業務処理システム（ITAC）におけるデータの流れを「入力（Input）」「処理（Processing）」「出力（Output）」の3段階に分け、データの正確性・網羅性・正当性を保証する統制です。
2エディットバリデーション（論理チェック・チェックディジット）、バッチトータルチェック、ラン・ツー・ラン・コントロールなどが代表例です。
3試験対策：午前IIの頻出知識であり、午後I（令和5年問3の受講実績表アップロード照合、平成30年問3の少額受注分割入力対策等）で具体的なチェック方式として問われます。
とうせいじこひょうかガバナンス・統制午前II午後I記述午後II小論文★★★
統制自己評価（CSA：Control Self-Assessment）
Control Self-Assessment (CSA)1行解説（要点）
業務やシステムを直接担当する現場部門（第1線）自身が、質問票やワークショップを通じて自部門のリスクとコントロールの有効性を定期的に点検・評価する手法です。
3行解説（詳細ポイント）
1業務やシステムを直接担当する現場部門（第1線）自身が、質問票やワークショップを通じて自部門のリスクとコントロールの有効性を定期的に点検・評価する手法です。
2現場のリスク意識を高め全社を広くカバーできる利点がある一方、評価の甘さや虚偽申告のリスクがあるため、システム監査人による客観的な裏付け検証が不可欠です。
3試験対策：午後I・午後IIにおいて、監査部門のリソース制約を補う施策や、グループ子会社・多数拠点のセキュリティ規程遵守状況を監査する際の前提手法として記述します。
かんさけいかくのさんかいそう監査手続・調書午前II午後I記述午後II小論文★★★
監査計画の3階層（中長期計画・基本計画・個別計画）
Audit Planning Hierarchy (Long-term, Annual, and Individual Audit Plans)1行解説（要点）
システム監査を体系的に推進するため、3〜5年スパンの「中長期監査計画」、単年度の「基本監査計画（年度計画）」、各監査案件ごとの「個別監査計画」の3段階で策定する計画体系です。
3行解説（詳細ポイント）
1システム監査を体系的に推進するため、3〜5年スパンの「中長期監査計画」、単年度の「基本監査計画（年度計画）」、各監査案件ごとの「個別監査計画」の3段階で策定する計画体系です。
2経営戦略やIT環境の変化（DX・クラウド移行等）に応じて、年度途中でも計画を柔軟に見直すことが求められます。
3試験対策：午後I（令和2年問2等）・午後II（令和4年問1等）の頻出知識であり、各階層に書くべき項目を取り違えないことが重要です。
よびちょうさとほんちょうさ監査手続・調書午前II午後I記述午後II小論文★★★
予備調査と本調査
Preliminary Survey and Main Audit Fieldwork1行解説（要点）
個別監査において、被監査対象の概要とリスクを把握して個別監査計画・監査手続書を精緻化する「予備調査」と、実際にコントロールの整備・運用状況を検証する「本調査」の2段階プロセスです。
3行解説（詳細ポイント）
1個別監査において、被監査対象の概要とリスクを把握して個別監査計画・監査手続書を精緻化する「予備調査」と、実際にコントロールの整備・運用状況を検証する「本調査」の2段階プロセスです。
2予備調査が不十分だと、本調査で的外れな資料要求や手続変更が多発し、監査の効率と信頼性が損なわれます。
3試験対策：午後I・午後IIにおいて、「予備調査で規程やシステム構成図・業務フローを把握してリスクを識別し、本調査で運用記録やログを突合した」という時系列整理に不可欠です。
せいびじょうきょうのひょうかとうんようじょうきょうのひょうか監査手続・調書午前II午後I記述午後II小論文★★★
整備状況の評価と運用状況の評価
Evaluation of Design Effectiveness and Operating Effectiveness1行解説（要点）
内部統制の有効性を、ルールや仕組みがリスクを抑えるように適切に設計・構築されているかを見る「整備状況」と、それが現場で定められた通りに継続実行されているかを見る「運用状況」の2段階で評価することです。
3行解説（詳細ポイント）
1内部統制の有効性を、ルールや仕組みがリスクを抑えるように適切に設計・構築されているかを見る「整備状況」と、それが現場で定められた通りに継続実行されているかを見る「運用状況」の2段階で評価することです。
2システム監査報告書の総合評価においても、整備状況と運用状況の両面から評価結果を明記する必要があります。
3試験対策：午後I（令和6年問2設問1、令和5年問2設問5等）で直接問われる超重要概念です。「運用開始前の監査（整備状況）」か「運用段階の監査（運用状況）」かを必ず区別します。
かんさもくてきかんさもくひょうかんさようてん監査手続・調書午前II午後I記述午後II小論文★★★
監査目的・監査目標・監査要点（クライテリア）
Audit Purpose, Audit Objectives, and Audit Criteria1行解説（要点）
監査で達成したい最終ゴールである「監査目的（監査目標）」を、具体的に検証可能な個別の確認事項へとブレークダウンしたものが「監査要点（クライテリア）」です。
3行解説（詳細ポイント）
1監査で達成したい最終ゴールである「監査目的（監査目標）」を、具体的に検証可能な個別の確認事項へとブレークダウンしたものが「監査要点（クライテリア）」です。
2「リスク → コントロール → 監査要点 → 監査手続 → 監査証拠」の5要素が一貫して論理的につながっている必要があります。
3試験対策：午後I・午後IIのすべての設問を貫く骨格です。設問で「監査要点を答えよ」と問われたら確認すべき統制状態を、「監査手続を答えよ」と問われたら証拠と確認方法を答えます。
かんさてつづきとかんさぎほう監査手続・調書午前II午後I記述午後II小論文★★★
監査手続と監査技法（閲覧・突合・質問・実査・ウォークスルー）
Audit Procedures and Audit Techniques1行解説（要点）
監査要点を検証して監査証拠を入手するために監査人が実施する具体的な行動が「監査手続」であり、その手段（閲覧・照合/突合・質問・観察・実査・再実施等）が「監査技法」です。
3行解説（詳細ポイント）
1監査要点を検証して監査証拠を入手するために監査人が実施する具体的な行動が「監査手続」であり、その手段（閲覧・照合/突合・質問・観察・実査・再実施等）が「監査技法」です。
2記述試験では必ず「①何を（監査証拠・対象）」「②どのように（監査技法）」「③何を確かめるか（確認事項）」の3要素を揃えて記述します。
3試験対策：午後I・午後IIの採点講評で毎年必ず指摘される最重要の記述ルールです。「〜を確認する」だけでなく、必ず「〇〇（具体的な文書・ログ名）を閲覧（または突合・ヒアリング）し、〜を確かめる」と書きます。
じゅうぶんかつせつなかのうさしょうこ監査手続・調書午前II午後I記述午後II小論文★★★
十分かつ適切な監査証拠（十分性と適切性）
Sufficient and Appropriate Audit Evidence1行解説（要点）
監査人が合理的な監査結論を導くための根拠となる情報であり、量的尺度である「十分性（Sufficiency）」と質的尺度である「適切性（Appropriateness：関連性・信頼性）」の両方を満たす必要があります。
3行解説（詳細ポイント）
1監査人が合理的な監査結論を導くための根拠となる情報であり、量的尺度である「十分性（Sufficiency）」と質的尺度である「適切性（Appropriateness：関連性・信頼性）」の両方を満たす必要があります。
2口頭回答よりも文書記録、内部作成資料よりも外部第三者資料や自動生成された改ざん不能ログの方が証拠としての信頼性が高くなります。
3試験対策：午後I・午後IIにおいて、「どの資料・ログを監査証拠として選ぶべきか（例：単なる生ログではなく集計分析されたオープンAPI運用報告書、改ざん監視対象ファイルリスト等）」の判断根拠になります。
しささんぷりんぐとせいさ監査手続・調書午前II午後I記述午後II小論文★★★
試査（サンプリング）と精査（全件調査）・母集団の網羅性
Audit Sampling vs 100% Examination and Population Completeness1行解説（要点）
監査対象の全項目を調べる「精査（全件調査）」と、母集団から一部のサンプルを抽出して調べ母集団全体の特性を推定する「試査（サンプリング）」の使い分けです。
3行解説（詳細ポイント）
1監査対象の全項目を調べる「精査（全件調査）」と、母集団から一部のサンプルを抽出して調べ母集団全体の特性を推定する「試査（サンプリング）」の使い分けです。
2試査を行う場合、抽出元の「母集団自体に漏れがないこと（母集団の網羅性）」を事前に確認することが極めて重要です。
3試験対策：午後I（令和6年問2設問3、平成29年問2設問3(2)等）で直接出題される核心論点です。「申請書からサンプリングする前に、変更ログを母集団として申請書自体の漏れがないか確かめる」論理を押さえます。
きゃっとこんぴゅーたりようかんさぎほう監査手続・調書午前II午後I記述午後II小論文★★★
CAAT（コンピュータ利用監査技法）とデータ分析監査
Computer Assisted Audit Techniques (CAATs)1行解説（要点）
監査専用のソフトウェアや汎用データ分析ツール・スクリプトを用いて、大量の取引データやアクセスログの全件集計・突合・異常値抽出・テストデータ検証を行う監査技法です。
3行解説（詳細ポイント）
1監査専用のソフトウェアや汎用データ分析ツール・スクリプトを用いて、大量の取引データやアクセスログの全件集計・突合・異常値抽出・テストデータ検証を行う監査技法です。
2従来の手作業による試査（サンプリング）では発見困難だった微小な不正兆候や権限逸脱を網羅的に検出できます。
3試験対策：午後I（令和2年問2設問5、平成29年問2設問3等）および午後IIで、監査業務の高度化・効率化や発見リスク低減の具体策として記述します。
かんさちょうしょ監査手続・調書午前II午後I記述午後II小論文★★★
監査調書（作成・査閲・保管）
Audit Working Papers1行解説（要点）
システム監査人が実施した監査手続、入手した監査証拠、発見事項、および導き出した監査結論とその論理的根拠を体系的に記録した公式文書です。
3行解説（詳細ポイント）
1システム監査人が実施した監査手続、入手した監査証拠、発見事項、および導き出した監査結論とその論理的根拠を体系的に記録した公式文書です。
2監査報告書の裏付けとなるとともに、監査責任者による品質レビューや次回監査の引き継ぎ資料として不可欠な役割を果たします。
3試験対策：午後I（令和6年問2等）の中心テーマであり、「監査調書には、リスク・監査目標・実施した監査手続・結果（監査証拠）・発見事項を論理的に結び付けて記載し、監査責任者のレビューを受ける」原則を押さえます。
かんさほうこくしょとかいぜんかんこくふぉろーあっぷ監査手続・調書午前II午後I記述午後II小論文★★★
監査報告書と改善勧告・フォローアップ監査
Audit Report, Recommendations, and Follow-up Audit1行解説（要点）
監査の結論・発見された指摘事項・具体的な改善勧告（改善提案）を取りまとめて監査依頼者（経営陣等）へ報告し、その後、被監査部門による是正措置の実施状況を追跡確認（フォローアップ）するプロセスです。
3行解説（詳細ポイント）
1監査の結論・発見された指摘事項・具体的な改善勧告（改善提案）を取りまとめて監査依頼者（経営陣等）へ報告し、その後、被監査部門による是正措置の実施状況を追跡確認（フォローアップ）するプロセスです。
2指摘事項の事実関係に誤りがないよう、報告書確定前に被監査部門と事実確認（エグジットミーティング）を行います。
3試験対策：午後I・午後IIの最終フェーズで頻出です。「監査人は改善を勧告し、被監査部門が改善計画を策定・実行し、監査人がその定着をフォローアップする」という役割分担を厳守します。
あいてぃーとうしけいかくすてーじげーとかんさ企画・開発監査午前II午後I記述午後II小論文★★★
IT投資計画・ステージゲート監査
IT Investment Planning and Stage-Gate Audit1行解説（要点）
IT投資の企画段階から開発・本番稼働後に至る各段階（ステージゲート）において、投資額見積りの網羅性、投資対効果（ROI）試算の妥当性、および継続・中止判断の客観性を検証する監査です。
3行解説（詳細ポイント）
1IT投資の企画段階から開発・本番稼働後に至る各段階（ステージゲート）において、投資額見積りの網羅性、投資対効果（ROI）試算の妥当性、および継続・中止判断の客観性を検証する監査です。
2早期承認を得るための過小見積りや、効果額の過大試算、本番稼働後の効果未検証といったリスクを重点的に監査します。
3試験対策：午後I（令和7年問3、平成30年問1等）・午後II（平成28年問1、令和6年問1等）の頻出テーマです。「連携先改修費や教育費の計上漏れ」「利害関係者を除いたゲート審査」「稼働2年後以降の効果測定」が鉄板の着眼点です。
きかんしすてむさいこうちくおーぷんかけいかくのかんさ企画・開発監査午前II午後I記述午後II小論文★★★
基幹システム再構築・オープン化計画の監査
Legacy System Rebuilding and Modernization Audit1行解説（要点）
長年保守を繰り返してブラックボックス化したレガシーシステムをオープン系環境やクラウドへ再構築・移行するプロジェクトの企画・計画段階における監査です。
3行解説（詳細ポイント）
1長年保守を繰り返してブラックボックス化したレガシーシステムをオープン系環境やクラウドへ再構築・移行するプロジェクトの企画・計画段階における監査です。
2設計書の陳腐化、未使用機能の放置、自動変換ツールの過信、非機能要件の検討漏れによる納期遅延・コスト超過リスクを検証します。
3試験対策：午後I（令和3年問2・問3、平成31年問3等）の頻出テーマであり、「現行仕様の棚卸・未使用機能の除外」「変換ツールのトライアル範囲」「非機能要件の検討」が問われます。
がいぶいたくかいはつぷろじぇくとかんりかんさ企画・開発監査午前II午後I記述午後II小論文★★★
外部委託開発プロジェクト管理監査（丸投げ防止・発注者責任）
Outsourced System Development Project Audit1行解説（要点）
情報システム部門の体制が十分でない企業がシステム開発を外部ベンダ（複数の委託先を含む）に委託する際、いわゆる「丸投げ」を防ぎ発注者責任が果たされているかを検証する監査です。
3行解説（詳細ポイント）
1情報システム部門の体制が十分でない企業がシステム開発を外部ベンダ（複数の委託先を含む）に委託する際、いわゆる「丸投げ」を防ぎ発注者責任が果たされているかを検証する監査です。
2要件優先順位の決定、利用部門の関与、委託先報告の客観的検証、委託先間の調整、要件変更ルールの合意などが監査要点となります。
3試験対策：午後I（平成31年問2、平成28年問3、令和3年問3等）の定番テーマです。「委託先の進捗報告を鵜呑みにせず成果物で裏付ける」「複数ベンダ間の調整と引継ぎ期間確保」を記述します。
あじゃいるかいはつでぶおぷすのしすてむかんさ企画・開発監査午前II午後I記述午後II小論文★★★
アジャイル開発・DevOpsのシステム監査
Agile Development and DevOps Audit1行解説（要点）
短周期の反復開発（アジャイル）や開発と運用を融合させたDevOps環境において、スピードと柔軟性を損なわずに品質・セキュリティ・職務分離の統制が機能しているかを検証する監査です。
3行解説（詳細ポイント）
1短周期の反復開発（アジャイル）や開発と運用を融合させたDevOps環境において、スピードと柔軟性を損なわずに品質・セキュリティ・職務分離の統制が機能しているかを検証する監査です。
2従来のウォーターフォール型の文書審査ではなく、CI/CDパイプラインの自動制御や開発着手前の体制・環境整備に着目します。
3試験対策：午後I（令和6年問1）・午後II（平成30年問1）で正面から出題された重要テーマです。「CI/CDツールによる職務分離の代替」「UAT（受入テスト）自動化の限界」「開発着手前の体制・スキル・基準整備」を押さえます。
ろーこーどのーこーどかいはつのかんさ企画・開発監査午前II午後I記述午後II小論文★★★
ローコード／ノーコード開発・EUC（市民開発）の監査
Low-Code / No-Code Development and EUC Governance Audit1行解説（要点）
事業部門（ユーザ部門）がローコード／ノーコード開発ツールやRPA・表計算マクロを用いて自ら業務アプリを構築する際、アプリの乱立（野良アプリ化）や情報漏えい・属人化を防ぐ統制を検証する監査です。
3行解説（詳細ポイント）
1事業部門（ユーザ部門）がローコード／ノーコード開発ツールやRPA・表計算マクロを用いて自ら業務アプリを構築する際、アプリの乱立（野良アプリ化）や情報漏えい・属人化を防ぐ統制を検証する監査です。
2短期間・低コストという利点を潰さないよう、アプリの規模・難易度・取扱データの機密性に応じた段階的な管理ルールが求められます。
3試験対策：午後I（令和5年問2、平成31年問1）および午後II（令和3年問1）で出題された現代的テーマです。「申請負担と統制のバランス」「類似アプリの重複確認」「本番データ参照権限と操作ログ保全」を記述します。
てすとけいかくけつごうてすとひんしつかんりのかんさ企画・開発監査午前II午後I記述午後II小論文★★★
テスト計画・結合テスト・品質管理の監査
Testing and Software Quality Management Audit1行解説（要点）
システム開発の設計・テスト工程において、レビュー指摘密度やテスト密度などの品質指標が適切に管理され、表面的な数値合わせではなく実質的な品質が確保されているかを検証する監査です。
3行解説（詳細ポイント）
1システム開発の設計・テスト工程において、レビュー指摘密度やテスト密度などの品質指標が適切に管理され、表面的な数値合わせではなく実質的な品質が確保されているかを検証する監査です。
2工程完了判定基準の妥当性、インターフェース疎通確認、課題管理表による根本原因・再発防止策の管理などを精査します。
3試験対策：午後I（令和3年問3、平成29年問2）および午後II（平成28年問2）で出題される王道テーマです。「テスト件数（量）だけでなくテスト項目の質」「基準未達理由の品質管理部審査」が鍵です。
しすてむいこうはんていこんてぃんじぇんしーぷらんのかんさ企画・開発監査午前II午後I記述午後II小論文★★★
システム移行判定・コンティンジェンシープランの監査
System Migration Decision and Contingency Plan Audit1行解説（要点）
新システムへの本番移行（カットオーバー）に際し、中間・最終移行判定基準が利用部門や顧客影響も含めて策定・運用され、万一の移行失敗時の切り戻し計画（コンティンジェンシープラン）が実効性を持つかを検証する監査です。
3行解説（詳細ポイント）
1新システムへの本番移行（カットオーバー）に際し、中間・最終移行判定基準が利用部門や顧客影響も含めて策定・運用され、万一の移行失敗時の切り戻し計画（コンティンジェンシープラン）が実効性を持つかを検証する監査です。
2システム部門の都合だけで移行を強行すると、業務停止や顧客トラブルを招くため、全ステークホルダ合意の検証が不可欠です。
3試験対策：午後I（平成28年問2、平成29年問1等）の頻出テーマであり、「利用部門との顧客告知協議」「中間移行判定条件の達成確認」「訓練結果に基づくコンティンジェンシープラン（CP）の見直し」を押さえます。
しすてむとうごうでーたいこうのかんさ企画・開発監査午前II午後I記述午後II小論文★★★
システム統合・データ移行（コード体系・マスタ統合）の監査
System Consolidation and Data Migration Audit1行解説（要点）
M&Aやグループ再編に伴って複数社の業務システム・マスタデータ・在庫データを統合する際、コード体系の不一致や移行時の属性書き換わり、棚卸差異の未処理によるデータ不整合を防ぐ監査です。
3行解説（詳細ポイント）
1M&Aやグループ再編に伴って複数社の業務システム・マスタデータ・在庫データを統合する際、コード体系の不一致や移行時の属性書き換わり、棚卸差異の未処理によるデータ不整合を防ぐ監査です。
2日常の定常運用とは異なる一時的な移行処理特有のリスクとコントロールに着目します。
3試験対策：午後I（平成29年問1等）の重要テーマであり、「企業間の製品コード変換」「在庫移管前の全件棚卸差異承認」「移行処理による最終出庫日等の業務属性上書き防止」が問われます。
ぎょうむかいかくわーくふろーどうにゅうのかんさ企画・開発監査午前II午後I記述午後II小論文★★★
業務改革（BPR）・脱ハンコ・ワークフロー導入の監査
BPR and Digital Workflow Implementation Audit1行解説（要点）
リモートワーク対応や業務効率化のために紙の申請書・押印を電子ワークフローへ移行する際、表面的な電子化にとどまらず本来の業務見直し・法的根拠確認・システム連携が適切に行われているかを検証する監査です。
3行解説（詳細ポイント）
1リモートワーク対応や業務効率化のために紙の申請書・押印を電子ワークフローへ移行する際、表面的な電子化にとどまらず本来の業務見直し・法的根拠確認・システム連携が適切に行われているかを検証する監査です。
2稼働後のワークフローログを分析して業務プロセスのボトルネックを解消する継続的改善も含まれます。
3試験対策：午後I（令和4年問2等）で出題された実践テーマです。「不要な申請自体の廃止・項目簡素化」「規程改訂と法務部への電子署名確認」「ログ分析によるボトルネック解消」を押さえます。
しんぎじゅつどうにゅうぴーおーしーのきかくだんかいかんさ企画・開発監査午前II午後I記述午後II小論文★★★
新技術導入・PoC（概念実証）の企画段階監査
Emerging Technology and Proof of Concept (PoC) Audit1行解説（要点）
AI、IoT、データ分析などの新技術を用いたシステム企画において、PoC（概念実証）が単なる実験で終わる「PoC死」や精度不足のままの本番強行を防ぎ、投資判断が適切に行われているかを検証する監査です。
3行解説（詳細ポイント）
1AI、IoT、データ分析などの新技術を用いたシステム企画において、PoC（概念実証）が単なる実験で終わる「PoC死」や精度不足のままの本番強行を防ぎ、投資判断が適切に行われているかを検証する監査です。
2活動テーマに即した仮説の設定、PoCの評価基準・終了基準の事前定義、および結果評価に基づく本番移行判断が要となります。
3試験対策：午後I（令和3年問1、令和2年問1）・午後II（令和7年問1、令和2年問1、平成31年問1）で繰り返し出題されている最頻出テーマの一つです。
へんこうかんりりりーすかんりのかんさ運用・BCP・委託午前II午後I記述午後II小論文★★★
変更管理・リリース管理の監査
Change and Release Management Audit1行解説（要点）
本番稼働中のプログラムや設定パラメータの変更にあたり、変更要求の承認、影響分析、テスト、本番リリース承認、および緊急変更時の事後承認が適切に行われているかを検証する監査です。
3行解説（詳細ポイント）
1本番稼働中のプログラムや設定パラメータの変更にあたり、変更要求の承認、影響分析、テスト、本番リリース承認、および緊急変更時の事後承認が適切に行われているかを検証する監査です。
2「変更管理台帳（承認記録）」と「本番環境の更新ログ（タイムスタンプ・ハッシュ値）」を双向方向から突合し、未承認変更（勝手な修正）がないことを確かめます。
3試験対策：午後Iで最頻出の運用監査手続です。「台帳からログを見る（承認されたものが正しく適用されたか）」だけでなく「本番ログから台帳を見る（未承認の勝手な変更がないか）」の方向性が問われます。
とっけんあいでぃーかんりあくせすけんたなおろしのかんさ運用・BCP・委託午前II午後I記述午後II小論文★★★
特権ID管理・アクセス権棚卸の監査
Privileged ID Management and Access Rights Review Audit1行解説（要点）
OSのrootやDB管理者等の「特権ID」の貸出・利用ログ点検、および一般利用者を含む全アカウントの「アクセス権の定期棚卸（異動・退職者の権限剥奪等）」を検証する監査です。
3行解説（詳細ポイント）
1OSのrootやDB管理者等の「特権ID」の貸出・利用ログ点検、および一般利用者を含む全アカウントの「アクセス権の定期棚卸（異動・退職者の権限剥奪等）」を検証する監査です。
2特権IDを複数人で共用している場合の個人特定手段や、申請された作業内容と実際の操作コマンドログの突合が重要な監査要点となります。
3試験対策：午後I（令和7年問2、令和5年問2、令和3年問2、平成28年問2等）でほぼ毎年出題される最重要の運用・セキュリティ監査テーマです。
がいぶいたくかんりくらうどさーびすりようのかんさ運用・BCP・委託午前II午後I記述午後II小論文★★★
外部委託管理・クラウドサービス利用の監査
Outsourcing and Cloud Service Utilization Audit1行解説（要点）
情報システムの運用や基盤を外部ベンダやクラウドサービス（SaaS/PaaS/IaaS）に委託・利用する際、選定審査、契約（SLA・監査権・再委託条件）、責任分界点、および運用モニタリングを検証する監査です。
3行解説（詳細ポイント）
1情報システムの運用や基盤を外部ベンダやクラウドサービス（SaaS/PaaS/IaaS）に委託・利用する際、選定審査、契約（SLA・監査権・再委託条件）、責任分界点、および運用モニタリングを検証する監査です。
2業務やシステムを外部に出しても、最終的な説明責任と内部統制の責任は委託元（自社）に残るという大原則に基づきます。
3試験対策：午後I（令和6年問2、令和5年問2、令和4年問3、平成29年問2）・午後II（令和5年問2、令和3年問2）で極めて高い頻度で出題されています。
じゅたくぎょうむにかかるないぶとうせいのほしょうほうこくしょ運用・BCP・委託午前II午後I記述午後II小論文★★★
受託業務に係る内部統制の保証報告書（SOC1 / SOC2報告書）
System and Organization Controls (SOC 1 / SOC 2) Reports1行解説（要点）
クラウド事業者やデータセンター等の受託会社（サービスオーガニゼーション）の内部統制について、独立した第三者（公認会計士・監査法人等）が評価した保証報告書です。
3行解説（詳細ポイント）
1クラウド事業者やデータセンター等の受託会社（サービスオーガニゼーション）の内部統制について、独立した第三者（公認会計士・監査法人等）が評価した保証報告書です。
2財務報告に関連する内部統制を対象とする「SOC1報告書」と、セキュリティ・可用性・処理のインテグリティ・機密性・プライバシー（トラストサービス原則）を対象とする「SOC2報告書」があります。
3試験対策：午前IIおよび午後I・午後IIのクラウド監査・外部委託監査で定番の知識です。さらに「Type1（特定時点の整備状況）」と「Type2（対象期間の整備＋運用状況）」の違いと、「相補的利用企業統制（CUECs）」の確認が重要です。
じぎょうけいぞくけいかくあいてぃーさーびすけいぞくせいかんりのかんさ運用・BCP・委託午前II午後I記述午後II小論文★★★
事業継続計画（BCP）・ITサービス継続性管理（IT-BCP/DRP）の監査
Business Continuity Plan (BCP) and Disaster Recovery Plan (DRP) Audit1行解説（要点）
大規模災害、広域通信障害、ランサムウェア攻撃等が発生した際、目標復旧時間（RTO）および目標復旧時点（RPO）以内に重要業務とITシステムを復旧・継続できるかを検証する監査です。
3行解説（詳細ポイント）
1大規模災害、広域通信障害、ランサムウェア攻撃等が発生した際、目標復旧時間（RTO）および目標復旧時点（RPO）以内に重要業務とITシステムを復旧・継続できるかを検証する監査です。
2業務側のBCPとIT側のIT-BCP（DRP）の間でRTO/RPOの整合性が取れているか、および実効性ある復旧訓練・見直しが行われているかが焦点となります。
3試験対策：午後I（令和3年問3の緊急事態対応、平成29年問2等）・午後IIで頻出です。ビジネス環境やシステム構成の変化に伴う「BCPの陳腐化防止」も重要な論点です。
いんしでんとかんりもんだいかんりのかんさ運用・BCP・委託午前II午後I記述午後II小論文★★★
インシデント管理・問題管理の監査
Incident and Problem Management Audit1行解説（要点）
システム障害や問い合わせに対して迅速にサービスを回復させる「インシデント管理」と、障害の根本原因を究明して恒久対策・再発防止を行う「問題管理」が適切に機能しているかを検証する監査です。
3行解説（詳細ポイント）
1システム障害や問い合わせに対して迅速にサービスを回復させる「インシデント管理」と、障害の根本原因を究明して恒久対策・再発防止を行う「問題管理」が適切に機能しているかを検証する監査です。
2一時的な復旧（ワークアラウンド）だけで完了扱いとなり、根本原因分析（RCA）や類似システムへの水平展開（横展開）が放置されていないかを監査します。
3試験対策：午後I（令和7年問2、令和6年問3等）で頻出です。「インシデント管理（迅速な復旧）」と「問題管理（根本原因究明・再発防止）」の役割分担と連携の監査が問われます。
さーびすれべるかんりこうせいかんりのかんさ運用・BCP・委託午前II午後I記述午後II小論文★★★
サービスレベル管理（SLM / SLA）・構成管理の監査
Service Level Management (SLM) and Configuration Management Audit1行解説（要点）
利用部門や委託先と合意したサービス品質目標（SLA：稼働率・応答時間・サポート時間等）の達成状況モニタリング、およびハードウェア・ソフトウェア・ライセンス等の構成アイテム（CI）の正確性を検証する監査です。
3行解説（詳細ポイント）
1利用部門や委託先と合意したサービス品質目標（SLA：稼働率・応答時間・サポート時間等）の達成状況モニタリング、およびハードウェア・ソフトウェア・ライセンス等の構成アイテム（CI）の正確性を検証する監査です。
2構成管理データベース（CMDB）や資産台帳が実態と乖離していると、脆弱性対応やライセンス管理、障害影響範囲の特定がすべて破綻します。
3試験対策：午前IIおよび午後I（令和6年問3のソフトウェア資産・パッチ管理、平成29年問2の委託先SLA管理等）で必須の監査領域です。
じょぶかんりきゃぱしてぃかんりのかんさ運用・BCP・委託午前II午後I記述午後II小論文★★★
ジョブ管理・キャパシティ管理の監査
Batch Job Scheduling and Capacity Management Audit1行解説（要点）
日次・月次の定型バッチジョブが正しい順序・スケジュールで漏れなく実行されているかを検証する「ジョブ管理監査」と、CPU・メモリ・ストレージ・回線帯域等の資源需要を予測・監視する「キャパシティ管理監査」です。
3行解説（詳細ポイント）
1日次・月次の定型バッチジョブが正しい順序・スケジュールで漏れなく実行されているかを検証する「ジョブ管理監査」と、CPU・メモリ・ストレージ・回線帯域等の資源需要を予測・監視する「キャパシティ管理監査」です。
2バッチジョブの異常終了（アベンド）時の再実行（リラン）手続や、オペレータによる手動介入・データ直接修正の統制が特に厳しく問われます。
3試験対策：午後I（平成28年問3等）や全般統制（ITGC）の運用管理領域における基本テーマです。
ばっくあっぷりすとあのかんさ運用・BCP・委託午前II午後I記述午後II小論文★★★
バックアップ・リストア（復元検証）の監査
Backup and Recovery Verification Audit1行解説（要点）
障害やサイバー攻撃（ランサムウェア等）によるデータ消失に備え、定められた周期・世代でバックアップが取得され、かつ実際に正常にリストア（復元）できるかを検証する監査です。
3行解説（詳細ポイント）
1障害やサイバー攻撃（ランサムウェア等）によるデータ消失に備え、定められた周期・世代でバックアップが取得され、かつ実際に正常にリストア（復元）できるかを検証する監査です。
2「バックアップジョブが正常終了しているか」だけでなく、「イミュータブル（書き換え不能）・ネットワーク隔離保管されているか」「定期的なリストアテストが行われているか」が核心です。
3試験対策：午前II・午後I・午後IIの運用・BCP・セキュリティ監査で頻出です。バックアップ媒体の暗号化や持ち出し管理（情報漏えい防止）も合わせて問われます。
しすてむはいきこうかいじのでーたしょうきょかんさ運用・BCP・委託午前II午後I記述午後II小論文★★★
システム廃棄・更改時のデータ消去監査
System Decommissioning and Data Sanitization Audit1行解説（要点）
システムのライフサイクル終了（廃棄・リプレース・リース返却・クラウド解約）にあたり、記憶媒体やクラウド上の機密データが復元不能な方法で完全に消去されたかを検証する監査です。
3行解説（詳細ポイント）
1システムのライフサイクル終了（廃棄・リプレース・リース返却・クラウド解約）にあたり、記憶媒体やクラウド上の機密データが復元不能な方法で完全に消去されたかを検証する監査です。
2単なるOS上のファイル削除や通常フォーマットではなく、専用消去ソフトによる上書き消去、磁気破壊、物理破壊、暗号化消去（Crypto Erase）および消去証明書の入手を確かめます。
3試験対策：午前IIおよび午後I（令和7年問3のシステム再構築、外部委託終了時等）で問われるライフサイクル最終段階の重要統制です。
じょうほうせきゅりてぃかんさきじゅんセキュリティ・AI監査午前II午後I記述午後II小論文★★★
情報セキュリティ監査基準（保証型監査と助言型監査）
Information Security Audit Standards1行解説（要点）
経済産業省が策定した、組織の情報セキュリティマネジメントおよびコントロールの適切性を独立・専門的な立場から検証・評価するための監査基準です。
3行解説（詳細ポイント）
1経済産業省が策定した、組織の情報セキュリティマネジメントおよびコントロールの適切性を独立・専門的な立場から検証・評価するための監査基準です。
2情報セキュリティ管理基準（JIS Q 27001 / 27002ベース）を判断の尺度とし、外部への信頼性付与を目的とする「保証型監査」と、内部の改善支援を目的とする「助言型監査」を使い分けます。
3試験対策：午前IIの頻出知識であり、午後試験においても情報セキュリティ監査の計画・実施・報告の準拠フレームワークとなります。
しーさーとせきゅりてぃいんしでんとたいおうたいせいのかんさセキュリティ・AI監査午前II午後I記述午後II小論文★★★
CSIRT・セキュリティインシデント対応体制の監査
CSIRT and Security Incident Response Audit1行解説（要点）
サイバー攻撃や情報漏えい等のセキュリティインシデント発生時に、検知・トリアージ・初動隔離・経営報告・フォレンジック保全・対外公表（法令届出）が迅速かつ適切に行えるかを検証する監査です。
3行解説（詳細ポイント）
1サイバー攻撃や情報漏えい等のセキュリティインシデント発生時に、検知・トリアージ・初動隔離・経営報告・フォレンジック保全・対外公表（法令届出）が迅速かつ適切に行えるかを検証する監査です。
2平時の体制整備（CSIRT設置・マニュアル策定）だけでなく、夜間休日を含む緊急連絡網の実効性や証拠保全手順（メモリ・ログ消去防止）が問われます。
3試験対策：午後I（令和6年問3、令和3年問2、平成28年問2等）・午後IIのセキュリティ監査で頻出のテーマです。
ぜいじゃくせいかんりせきゅりてぃぱっちてきようのかんさセキュリティ・AI監査午前II午後I記述午後II小論文★★★
脆弱性管理・セキュリティパッチ適用の監査
Vulnerability and Security Patch Management Audit1行解説（要点）
OS、ミドルウェア、フレームワーク、ネットワーク機器等の脆弱性情報を適時に収集し、影響を受ける自社システムを特定して、リスクに応じた優先順位でセキュリティパッチ適用や回避策を実施しているかを検証する監査です。
3行解説（詳細ポイント）
1OS、ミドルウェア、フレームワーク、ネットワーク機器等の脆弱性情報を適時に収集し、影響を受ける自社システムを特定して、リスクに応じた優先順位でセキュリティパッチ適用や回避策を実施しているかを検証する監査です。
2令和6年問3で丸ごと1問出題された重要テーマであり、構成管理台帳（ソフトウェア一覧）の最新性と、即時適用困難な場合の緩和策（WAF適用等）が焦点となります。
3試験対策：午後I（令和6年問3、令和4年問3等）で直撃するテーマです。「情報収集→影響システム特定→適用計画・事前検証→本番適用と結果確認」の一連のフローを監査します。
がいぶこうかいゑぶおーぷんえーぴーあいれんけいのせきゅりてぃかんさセキュリティ・AI監査午前II午後I記述午後II小論文★★★
外部公開Web・オープンAPI連携のセキュリティ監査
Public Web Application and Open API Security Audit1行解説（要点）
インターネット上に公開するWebシステムや外部事業者と連携するオープンAPIについて、認証・認可（OAuth 2.0等）、通信暗号化、入力値検証、レート制限、および脆弱性診断の実施状況を検証する監査です。
3行解説（詳細ポイント）
1インターネット上に公開するWebシステムや外部事業者と連携するオープンAPIについて、認証・認可（OAuth 2.0等）、通信暗号化、入力値検証、レート制限、および脆弱性診断の実施状況を検証する監査です。
2平成31年問1（オープンAPIのセキュリティ監査）や令和4年問3（Webサーバのセキュリティ監査）で出題された実践的テーマです。
3試験対策：午後I・午後IIにおいて、外部とのデジタルエコシステム連携（API公開）を進める際の「ビジネス利便性とセキュリティ統制の両立」を監査する視点として重要です。
くらうどきばんのせっていこうせいかんさセキュリティ・AI監査午前II午後I記述午後II小論文★★★
クラウド基盤（IaaS/PaaS/コンテナ）の設定・構成監査
Cloud Infrastructure (IaaS/PaaS/Container) Configuration Audit1行解説（要点）
AWS・Azure・GCP等のクラウド環境やコンテナ基盤において、IAM権限、ストレージ公開設定、セキュリティグループ（FW）、鍵管理、コンテナイメージの脆弱性管理が適切に構成・維持されているかを検証する監査です。
3行解説（詳細ポイント）
1AWS・Azure・GCP等のクラウド環境やコンテナ基盤において、IAM権限、ストレージ公開設定、セキュリティグループ（FW）、鍵管理、コンテナイメージの脆弱性管理が適切に構成・維持されているかを検証する監査です。
2クラウドの重大インシデントの大半はクラウド事業者側の障害ではなく、利用者側の「設定ミス（オブジェクトストレージの意図せぬ全体公開等）」に起因します。
3試験対策：午後I令和6年問2（PaaS上のコンテナ環境を利用したシステム開発・運用の監査）に代表される、現代のシステム監査で最注目の領域です。
えーあいきかいがくしゅうしすてむのかいはつうんようかんさセキュリティ・AI監査午前II午後I記述午後II小論文★★★
AI・機械学習システムの開発・運用監査
AI and Machine Learning System Governance and Audit1行解説（要点）
機械学習や生成AIを組み込んだシステムについて、学習データの品質・権利処理、モデルの判断バイアス・公平性、説明可能性、ハルシネーション対策、および本番稼働後の精度劣化（ドリフト）監視を検証する監査です。
3行解説（詳細ポイント）
1機械学習や生成AIを組み込んだシステムについて、学習データの品質・権利処理、モデルの判断バイアス・公平性、説明可能性、ハルシネーション対策、および本番稼働後の精度劣化（ドリフト）監視を検証する監査です。
2従来の「仕様書どおりに100%決定論的に動くシステム」とは異なり、AIは「確率的に誤り得る」「時間とともに環境変化で精度が落ちる」という特性を踏まえた監査が必要です。
3試験対策：午後I（令和3年問1）・午後II（令和7年問1「生成AIの業務利用とシステム監査」、令和2年問1「AI技術を利用したシステムの監査」）で直撃している最重点テーマです！
あーるぴーえーどうにゅううんようのかんさセキュリティ・AI監査午前II午後I記述午後II小論文★★★
RPA（業務自動化ロボット）導入・運用の監査
Robotic Process Automation (RPA) Governance and Audit1行解説（要点）
定型業務を自動化するRPA（ソフトウェアロボット）について、野良ロボット（未登録・管理不全ロボット）の発生防止、ロボット用IDの権限管理、連携先システムの画面変更時の停止対策、および異常終了時の検知を検証する監査です。
3行解説（詳細ポイント）
1定型業務を自動化するRPA（ソフトウェアロボット）について、野良ロボット（未登録・管理不全ロボット）の発生防止、ロボット用IDの権限管理、連携先システムの画面変更時の停止対策、および異常終了時の検知を検証する監査です。
2利用部門（EUC）が手軽に作れる反面、作成者の異動・退職でブラックボックス化しやすく、誤動作時に大量の不正データを短時間で生み出すリスクがあります。
3試験対策：午後I（令和元年問1「RPA導入のシステム監査」）で丸ごと1問出題されたほか、ローコード・EUC監査の代表例として午後IIでも頻出です。
こじんじょうほうほごぷらいばしーがばなんすのかんさセキュリティ・AI監査午前II午後I記述午後II小論文★★★
個人情報保護・プライバシーガバナンスの監査
Personal Data Protection and Privacy Governance Audit1行解説（要点）
個人情報保護法および社内規程に基づき、個人データの取得（利用目的の明示・同意）、保管（安全管理措置・アクセス制限）、利用・加工（仮名加工・匿名加工）、第三者提供、および保存期間経過後の消去が適切に行われているかを検証する監査です。
3行解説（詳細ポイント）
1個人情報保護法および社内規程に基づき、個人データの取得（利用目的の明示・同意）、保管（安全管理措置・アクセス制限）、利用・加工（仮名加工・匿名加工）、第三者提供、および保存期間経過後の消去が適切に行われているかを検証する監査です。
2「取得から廃棄までのライフサイクル全体」で個人データの所在と取扱状況を追跡できる台帳管理と技術的保護措置が要となります。
3試験対策：午前IIの法規問題および午後I（令和3年問2の顧客情報管理監査等）・午後IIの顧客データ活用案件で必須のテーマです。
でーたりかつようきばんのかんさセキュリティ・AI監査午前II午後I記述午後II小論文★★★
データ利活用基盤（DWH・BI・データレイク）の監査
Data Utilization Platform (DWH / BI / Data Lake) Audit1行解説（要点）
社内外の多様なデータを集約して分析・意思決定に活用するデータ基盤（データレイク、DWH、BIツール）において、データ品質（正確性・最新性）、メタデータ管理、および集約に伴うアクセス権逆転（権限昇格）の防止を検証する監査です。
3行解説（詳細ポイント）
1社内外の多様なデータを集約して分析・意思決定に活用するデータ基盤（データレイク、DWH、BIツール）において、データ品質（正確性・最新性）、メタデータ管理、および集約に伴うアクセス権逆転（権限昇格）の防止を検証する監査です。
2各業務システムでは厳格にアクセス制限されていた機密データが、データレイクに集約された途端に誰でもBIツールから閲覧・抽出できるようになってしまうリスク（権限の抜け穴）が特に危険です。
3試験対策：午後I（令和7年問1「データ利活用のシステム監査」、平成30年問2「データウェアハウスの監査」）で出題されているトレンドテーマです。
ないぶふせいぼうしろぐかんしのかんさセキュリティ・AI監査午前II午後I記述午後II小論文★★★
内部不正防止・ログ監視（SIEM・UEBA）の監査
Internal Fraud Prevention and Log Monitoring Audit1行解説（要点）
従業員や委託先要員などの内部関係者による情報持ち出し、データ改ざん、着服等の内部不正を予防・早期発見するため、不正のトライアングル（機会・動機・正当化）に基づく統制とログ監視の実効性を検証する監査です。
3行解説（詳細ポイント）
1従業員や委託先要員などの内部関係者による情報持ち出し、データ改ざん、着服等の内部不正を予防・早期発見するため、不正のトライアングル（機会・動機・正当化）に基づく統制とログ監視の実効性を検証する監査です。
2特にシステム監査では、不正の「機会」を潰すための職務分離・アクセス制御・私物端末（BYOD）制限・記憶媒体制御と、「必ず発覚する」という抑止力を生むログの改ざん防止・異常検知を重視します。
3試験対策：午後I（令和7年問2、令和5年問2、令和3年問2、平成28年問2等）・午後IIで一貫して問われる最重要テーマです。