1.1システム監査の目的と体系

システム監査技術者の午前II専門では、単に「システム監査とは何か」という定義暗記ではなく、目の前の情報システムに対し、リスクと重要性の制約下で、どの評価視点（信頼性・安全性・効率性・有効性・準拠性）に照らして何を確かめ、どう改善を勧告するかを判断する力が問われます。システム監査とは、独立かつ専門的な立場のシステム監査人が、情報システムやその管理体制を点検・評価し、問題点を指摘して改善を促す営みであり、監査人は「システムを作る側」でも「運用する側」でもなく、それらが適切かを外から評価する側である点が本質です。

1.1.1システム監査の5つの評価視点

• 信頼性＝情報システムが誤りなく安定して稼働し、障害時にも整合性のある正しい処理結果を提供できること。安全性＝機密性・完全性・可用性が確保され、不正アクセスや災害・事故から資産と情報が守られていること。
• 効率性＝経営資源（人・物・金・情報・時間）が無駄なく活用され、費用対効果に見合ったコストと性能で運用されていること。有効性＝情報システムが経営目標や業務要件の達成に実際に役立っていること（作ったが使われていない、では有効性が低い）。
• 準拠性＝法令・社内規程・契約・各種基準（システム監査基準・システム管理基準等）に情報システムとその管理が従っていること。監査人はこれら5つの視点のうち、その監査の目的に照らして重要なものを選び重点化する。

1.1.2内部監査と外部監査、監査の位置づけ

• 内部監査＝組織自身が設けた内部監査部門が、自組織の情報システムを点検・評価する監査。経営者に直属し被監査部門から独立していることが求められる。外部監査＝組織の外部の独立した監査人（監査法人・コンサルティング会社等）が実施する監査で、第三者としての客観性・独立性が構造的に確保されやすい。
• システム監査はそれ自体が価値を生む活動ではなく、経営目標の達成を情報システム面から支える「評価と助言」の活動である。監査人は指摘（問題点の発見）にとどまらず、改善につながる勧告を行い、後日その改善状況を確認（フォローアップ）するところまでを責務とする。

あなたは内部監査部門のシステム監査人で、ある基幹業務システムの監査を依頼されたとします。経営陣からの問題意識は「このシステムには多額の投資をしたのに、現場の業務改善につながっている実感がない」というものでした。ここで安易に「システムが正しく動いているか（信頼性）」や「セキュリティは大丈夫か（安全性）」だけを確認して終えると、経営陣が本当に知りたい問い＝『投資した情報システムが経営目標・業務要件の達成に実際に役立っているか』に答えられません。この監査で重点化すべきは有効性の視点であり、監査人は「システムは仕様どおり稼働しているか」ではなく、「当初の目的（業務時間の短縮・エラー削減等）が実際に達成されているか」「利用部門は本当に活用しているか」「使われていない機能や形骸化した運用はないか」を利用実績データや現場インタビュー、当初の投資計画との突合によって確かめます。もし調査の結果「システムは技術的には問題なく動くが、入力手順が煩雑で現場が別のExcel台帳で二重管理している」と判明したなら、監査人は信頼性ではなく有効性の欠如を指摘し、業務プロセスと合わせた改善（UIの簡素化や運用の見直し）を勧告します。「まずこの監査の目的が5つの視点のどれを問うているのかを見極め、そこから確かめるべき事実と証拠を設計する」という手順が、システム監査の出発点です。

1.1.3この節のまとめ

• システム監査は情報システムの信頼性・安全性・効率性・有効性・準拠性を独立的立場から評価し改善を勧告する営み
• 有効性は「経営目標達成への貢献」を問う視点で、技術的に動くこと（信頼性）とは別軸である
• 監査人は作る/運用する側ではなく評価する側であり、監査目的に応じて5つの視点のどれを重点化するかを判断する