1.2システム監査基準とシステム管理基準

システム監査人が「あるべき姿と比べて何が不足しているか」を指摘するには、比較の基準（ものさし）が必要です。経済産業省は2つの基準を公表しており、システム監査基準が「監査人がどう監査を行うべきか」という監査人自身の行為規範、システム管理基準が「被監査組織は情報システムをどう管理すべきか」という管理のあるべき姿（監査時の評価項目のよりどころ）です。この節では、両者が「監査する側の規範」と「監査される側のあるべき姿」という役割の異なる基準であることを理解し、実務でどちらを判断基準として参照すべきかを判断できるようにします。

1.2.1システム監査基準の3区分

• 一般基準＝監査人の適格性・独立性・職業倫理・監査能力など、監査を行う監査人そのものが備えるべき要件を定めた基準。監査人の独立性（精神的・外観的）や客観性、専門的能力の維持がここに位置づけられる。
• 実施基準＝監査計画の立案、監査の実施、監査証拠の入手と評価、監査調書の作成など、監査を実施するプロセスに関する基準。リスクアプローチや監査手続の適切な選択・実施はここに含まれる。
• 報告基準＝監査結果の報告に関する基準で、監査報告書に記載すべき事項（監査の対象・実施した手続・発見した指摘事項・改善勧告・意見等）や、報告の適時性・客観性を定める。フォローアップ（改善状況の確認）の考え方もここに関連する。

1.2.2システム管理基準の役割

• システム管理基準＝組織体が情報システムを企画・開発・運用・保守する各局面で備えるべき管理のあるべき姿（コントロールの目安）を体系化したもの。ITガバナンス・企画・開発・運用・保守・共通業務などの区分でコントロール項目が示され、監査人が「被監査組織の管理が十分か」を評価する際の評価項目・比較基準として用いられる。
• 両基準の関係を一言でいえば、システム監査基準＝監査人の「行動規範」、システム管理基準＝被監査組織の「あるべき姿」。監査人は自らの監査手続を監査基準に照らして適切に行い、被監査組織の実態を管理基準（や個別の規程・法令）に照らして評価する。「どちらが監査人向けの規範で、どちらが評価のものさしか」を取り違えないことが重要。

あなたはシステム監査人で、ある組織の情報システム運用管理の監査を進めています。被監査組織の担当者から「当社のシステム運用が適切かどうかは、どの基準に照らして評価するのですか」と尋ねられました。ここで「システム監査基準に照らして評価します」とだけ答えると基準の“向き”を取り違えています——システム監査基準は監査人である私自身が独立性を保ち適切な手続で監査を行うための規範であり、被監査組織の運用管理が十分かを測る評価項目のよりどころは主にシステム管理基準（および当該組織の社内規程・関連法令・契約）です。したがって正しくは、「変更管理・アクセス管理・バックアップ・インシデント対応などの運用コントロールが整備・運用されているかを、システム管理基準に示された管理のあるべき姿や貴社の運用規程と突き合わせて評価し、その差分を指摘・勧告します。一方で、私が独立した立場で客観的にこの監査を実施しているか自体は、システム監査基準（一般基準・実施基準）に照らして自らを律しています」と説明するのが適切です。監査の現場では、「監査人自身の行為を律する基準（監査基準）」と「被監査組織の管理を評価するものさし（管理基準）」を意識的に使い分けることが、指摘の根拠を明確にし、監査の説得力を支えます。

1.2.3この節のまとめ

• システム監査基準は監査人の行為規範で、一般基準（適格性・独立性・倫理）・実施基準（手続）・報告基準（報告）の3区分から成る
• システム管理基準は被監査組織の情報システム管理のあるべき姿で、監査時の評価項目・比較基準のよりどころとなる
• 両基準は「監査する側の規範」と「監査される側のあるべき姿」で向きが異なる——判断基準として取り違えないことが重要