---
type: guideline
title: Step.4 システム監査の実施
source: デジタル庁
ds_code: ds-120
category: government-system
updated: 2025-06-19
source_url: https://www.digital.go.jp/assets/contents/node/basic_page/field_ref_resources/e2a06143-ed29-4f1d-9c31-0f06fca67afc/9ab95eed/20250619_resources_standard_guidelines_guideline_06.zip
---

# Step.4 システム監査の実施

監査体制の構成員である監査責任者及び監査実施者は、Step.3にて立案した監査実施計画に基づき、予備調査及び監査手続書にて具体的に決定した上で監査を行い、その結果について監査調書及び監査報告書を作成し、ＰＭＯに報告します。

ここでは、システム監査の実施について、説明します。

## 予備調査を踏まえ監査手続を具体化する

【標準ガイドライン関連箇所：第３編第１０章第１節3)】

監査実施計画書にて大まかな進め方や評価の方針等を定義しました。その計画書に基づき、予備調査を行いながら、監査項目、監査を行うために必要な証拠、実際の監査の方法、サンプリング数等を具体的に決め、監査手続書としてまとめていきます。

予備調査では、監査実施者が監査対象を理解するため、プロジェクト計画書や業務分析資料、要件定義書等の各種文書を確認して現状を把握し、監査の内容や方針を決定するための情報を収集します。

### 監査手続書を作成するまでの流れを掴む

ここでは、ある省のシステム監査の様子を見ながら、どのように監査手続を決めていくかを具体的に見ていきます。

- 事例10-2

変更管理の妥当性を監査する手続を検討する

<table style="width:97%;">
<colgroup>
<col style="width: 96%" />
</colgroup>
<thead>
<tr>
<th><p>事例：変更管理の妥当性を監査する手続を検討する</p>
<p>ある省では、過去に起きた失敗事例等から、運用・保守業務において、ＰＪＭＯが主体的に変更管理を行っていないことで、設計書等のドキュメント類と実際のシステム構成、運用業務内容等に不整合が生じてインシデント発生時への対応の遅れが発生することや、発注者が承認していない設定変更により障害を発生させる要因となることを大きなリスクとして捉えていました。</p>
<p>そこで、ＰＭＯは、システム監査として、変更管理の妥当性を中心に確認することとしました。監査で確認する内容は次のようなものです。</p>
<p>![](../assets/ds-120-ch10-image7.png)</p>
<table style="width:84%;">
<colgroup>
<col style="width: 10%" />
<col style="width: 73%" />
</colgroup>
<thead>
<tr>
<th style="text-align: center;">項番</th>
<th>確認観点</th>
</tr>
</thead>
<tbody>
<tr>
<td style="text-align: center;">①</td>
<td><ul>
<li><p>変更作業に係る管理及び報告が要件として求められているか</p></li>
</ul></td>
</tr>
<tr>
<td style="text-align: center;">②</td>
<td><ul>
<li><p>調達仕様書・要件定義書の各要件が抜け漏れなく実現できるものとなっているか</p></li>
<li><p>ＰＪＭＯの承認の上で作業が進められているか</p></li>
<li><p>承認後の変更は、再度の承認の上で行われているか</p></li>
</ul></td>
</tr>
<tr>
<td style="text-align: center;">③</td>
<td><ul>
<li><p>作業等は設計書等のルールに基づいて実施されているか（作業員のその場の判断で変更がされていないか）</p></li>
<li><p>変更が含まれる作業を実施する場合はＰＪＭＯの承認の上で設計書等の変更が適切に行われているか</p></li>
</ul></td>
</tr>
<tr>
<td style="text-align: center;">④</td>
<td><ul>
<li><p>改修に伴う設計書等の更新が、ＰＪＭＯの承認の上で適切に行われているか</p></li>
</ul></td>
</tr>
</tbody>
</table>
<p>あるプロジェクトの監査を行うことになった担当者は、監査内容の決定に先立って、そのプロジェクトが現在どのような状況か、どのような関係者・体制でプロジェクトを運用しているか、変更管理のプロセスはどうなっているか、どの程度の変更が発生しているかを知るために、予備調査として次のようなことを行いました。</p>
<p>【予備調査の内容】</p>
<ul>
<li><p>プロジェクトの内容、全体の計画、体制がわかる資料（例：プロジェクト計画書）をＰＪＭＯより提出してもらい、内容を確認</p></li>
<li><p>保守・運用の具体的な内容がわかる資料（例：運用・保守計画書、運用・保守設計書）をＰＪＭＯより提出してもらい、内容を確認</p></li>
<li><p>変更管理のルールがわかる資料（例：運用・保守管理要領）をＰＪＭＯより提出してもらい、内容を確認</p></li>
<li><p>昨年度・今年度の変更実績がわかる資料（例：変更管理簿）をＰＪＭＯより提出してもらい、内容を確認</p></li>
</ul>
<p>予備調査の結果から、そのプロジェクトが運用・保守で変更を行う際に、次のような手続で変更管理を行っていることがわかりました。</p>
<ol type="1">
<li><p>変更が必要になった場合は、運用・保守定例で起案し、ＰＪＭＯから変更内容の承認を受ける。承認されたら、変更管理簿に記載する。</p></li>
<li><p>変更に関する設計書等の修正が完了したら、ＰＪＭＯに机上でのレビューを依頼する。</p></li>
<li><p>変更に関する検証（テスト等）が完了したら、ＰＪＭＯに結果を本番反映の計画も含めて運用・保守定例で報告し、ＰＪＭＯの承認を受ける。承認を受けたら、変更管理簿に記載する。</p></li>
<li><p>変更が完了したら、ＰＪＭＯに報告し、変更管理簿を更新する。</p></li>
</ol>
<p>予備調査の結果を受けて、監査の担当者は、監査手続を作成しました。以下に、システム構成の変更管理に係る監査チェック項目の具体例をご紹介します。</p>
<p>【監査チェック項目例】</p>
<table style="width:91%;">
<colgroup>
<col style="width: 14%" />
<col style="width: 28%" />
<col style="width: 27%" />
<col style="width: 20%" />
</colgroup>
<thead>
<tr>
<th style="text-align: center;">監査内容</th>
<th style="text-align: center;">監査項目</th>
<th style="text-align: center;">監査証拠</th>
<th style="text-align: center;">監査技法</th>
</tr>
</thead>
<tbody>
<tr>
<td rowspan="4">変更発生時の内容、承認者等必要な事項が抜け漏れなく記録されているか。</td>
<td><p>（起案時）</p>
<p>ＰＪＭＯによる承認が行われており、承認者、承認日等が記録されているか。</p></td>
<td><ul>
<li><p>議事録等の運用・保守定例での承認記録がわかる資料</p></li>
<li><p>変更管理簿</p></li>
</ul></td>
<td><ul>
<li><p>資料精査</p></li>
<li><p>インタビュー</p></li>
<li><p>定例会の観察</p></li>
</ul></td>
</tr>
<tr>
<td><p>（設計完了時）</p>
<p>ＰＪＭＯによるレビューが行われ、承認が行われていること。</p></td>
<td><ul>
<li><p>メール等のレビューのやり取り及び承認したことがわかる資料</p></li>
<li><p>変更管理簿</p></li>
</ul></td>
<td><ul>
<li><p>資料精査</p></li>
<li><p>インタビュー</p></li>
</ul></td>
</tr>
<tr>
<td><p>（検証完了時）</p>
<p>ＰＪＭＯに検証内容を説明し、承認を受けていること。</p></td>
<td><ul>
<li><p>運用・保守定例での検証内容の説明資料</p></li>
<li><p>議事録等の運用・保守定例での承認記録がわかる資料</p></li>
<li><p>変更管理簿</p></li>
</ul></td>
<td><ul>
<li><p>資料精査</p></li>
<li><p>インタビュー</p></li>
<li><p>定例会の観察</p></li>
</ul></td>
</tr>
<tr>
<td><p>（本番反映後）</p>
<p>ＰＪＭＯに報告が行われていること。</p></td>
<td><ul>
<li><p>メールや議事録等のＰＪＭＯに報告したことがわかる資料</p></li>
</ul></td>
<td><ul>
<li><p>資料精査</p></li>
<li><p>インタビュー</p></li>
<li><p>定例会の観察</p></li>
</ul></td>
</tr>
<tr>
<td rowspan="3">変更内容について妥当性の評価は行われているか。</td>
<td><p>（起案時）</p>
<p>起案者がＰＪＭＯに変更内容を適切に説明しているか。</p></td>
<td><ul>
<li><p>運用・保守定例でＰＪＭＯに変更内容を説明した資料</p></li>
<li><p>議事録等の質疑内容がわかる資料</p></li>
</ul></td>
<td><ul>
<li><p>資料精査</p></li>
<li><p>インタビュー</p></li>
<li><p>定例会の観察</p></li>
</ul></td>
</tr>
<tr>
<td><p>（設計完了時）</p>
<p>ＰＪＭＯがレビューを適切に行っているか。</p>
<p>起案者が、指摘内容が適切に修正されているか。</p></td>
<td><ul>
<li><p>メール等のレビューのやり取り及び承認したことがわかる資料</p></li>
<li><p>変更前後の設計書</p></li>
<li><p>レビュー指摘表等のＰＪＭＯがレビューした内容がわかる資料</p></li>
</ul></td>
<td><ul>
<li><p>資料精査</p></li>
<li><p>インタビュー</p></li>
</ul></td>
</tr>
<tr>
<td><p>（検証完了時）</p>
<p>ＰＪＭＯが検証内容を確認しているか。</p></td>
<td><ul>
<li><p>運用・保守定例での検証内容の説明資料</p></li>
<li><p>議事録等の質疑内容がわかる資料</p></li>
<li><p>議事録等の運用・保守定例での承認記録がわかる資料</p></li>
</ul></td>
<td><ul>
<li><p>資料精査</p></li>
<li><p>インタビュー</p></li>
<li><p>定例会の観察</p></li>
</ul></td>
</tr>
</tbody>
</table>
<p>監査体制は、この監査手続書に従って、資料精査やインタビュー、観察等の実地調査を進めていきます。</p></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

なお、工程レビューを実施しているプロジェクトを監査する場合は、工程レビュー時に提出を求めた資料や自己点検の内容を予備調査に活用することができます。

## 根本原因を究明し改善点を発見する

【標準ガイドライン関連箇所：第３編第１０章第１節3)】

監査手続書の作成が完了したら、実地調査を実施し、評価結果をシステム監査報告書としてまとめます。ここでは、監査の実施に関するノウハウをご紹介します。

### インタビュー時には情報を上手に引き出す

実地調査でＰＪＭＯにインタビューをする際には注意が必要です。システム監査を受けるＰＪＭＯは、システム監査で指摘を減らしたいために、当たり障りのない回答をして実情を隠そうとすることもあります。目に見える問題における表面的な原因はすぐにわかりますが、的確に改善を行っていくためには、問題を深掘りして根本的な原因を見つけることが大切です。

そのため、インタビューでは、次の点に注意してください。

インタビュー時の注意点

- 「はい」、「いいえ」で答えられる質問のみにしない

- 曖昧な解答で済ませない。重要な事項については質問を深掘りする

- 複数の人からの回答を得る

- 回答しやすい環境を作る

インタビュー時の心得

- 一度にたくさんの質問をしない

- 曖昧な質問をしない

- 誘導的な質問をしない

- 監査実施者が長く話さない（できるだけ回答者に長く話させる）

- 相手の話の腰を折らない（回答者の話をしっかりと聞く）

- 相手の答えに対して批判しない

- 相手と議論しない

- 横柄な態度やいらいらした姿勢をとらない

- 卑屈な態度をとらない

- わかっていないのにわかったと言わない（わからないことは聞く）

### 改善提案は報告の場で具体例を混ぜながら行う

実地調査が完了し監査報告書をまとめた後は、多くの場合、ＰＪＭＯに指摘内容を共有します。システム監査は問題解決によりプロジェクトの目標達成に近づくことが目的ですので、ＰＪＭＯが指摘内容の改善を検討する際に表面的な解決にとどまることなく、より効率的かつ効果的な管理となるような助言を心掛けましょう。

そのためには、監査を実施する際に、例えば、「ルールを逸脱しているかどうか」だけではなく、「なぜルールどおりにやっていないのか」の原因を探ることが、とても大切です。そうしてつかんだ根本原因に対して、他のプロジェクトの好事例等を踏まえながら具体的に提案を行うことが効果的です。

- 事例10-3

ある省でのシステム監査の効果向上への取り組み

<table style="width:97%;">
<colgroup>
<col style="width: 96%" />
</colgroup>
<thead>
<tr>
<th><p>事例：ある省でのシステム監査の効果向上への取り組み</p>
<p>ある省では、プロジェクトの管理プロセスが標準ガイドライン及び省で定めたルールに準拠しているかを評価するシステム監査を実施しています。</p>
<p>過去のシステム監査では、ＰＪＭＯのシステム監査に対する理解が低いことやプロジェクトが多忙であることから、監査に前向きではなく、指摘に対しては表面上の改善が行われるだけ、というようなことが散見されました。</p>
<p>そこで、ＰＭＯは、次のような取り組みを行いました。</p>
<p>【改善提案の工夫】</p>
<p>この監査では、監査結果報告書にてルールに対する不適合を指摘することとなりますが、改善提案では単なる是正にとどまらず、現状よりも効率的かつ効果的な管理となるような提案とすることを心掛けます。ＰＪＭＯとの監査結果の共有の場では、ＰＪＭＯが改善案をイメージできるよう、他のプロジェクトのやり方や改善施策等を具体的に伝えたり、ＣＩＯ補佐官等の持つ知見を伝えたりすることで、ＰＪＭＯが前向きな改善を行えるようにします。</p>
<p>【報告ルートの明確化】</p>
<p>ＰＪＭＯに対して、監査結果の報告先が府省ＣＩＯや情報化推進委員会等であることを明確にします。これは、監査責任者を通して現場の課題感を直接幹部に伝えられるという点で、ＰＪＭＯにとってもメリットがあります。</p>
<p>また、上記以外にも、研修等を通して、ＰＪＭＯにシステム監査の必要性や効果を伝えるよう努めています。</p></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

### システム監査報告書の様式を把握する

システム監査報告書の様式を使用して、作成の時間を削減しましょう。各府省で様式が提供されている場合はそれを使用し、提供されていない場合は、以下の様式を活用してください。

- 様式例10-2

システム監査報告書のひな形

<table style="width:97%;">
<colgroup>
<col style="width: 96%" />
</colgroup>
<thead>
<tr>
<th><p>様式例：システム監査報告書のひな形</p>
<p>システム監査報告書のひな形を本章別紙としてまとめています。</p>
<p>![](../assets/ds-120-ch10-image8.png)</p></th>
</tr>
</thead>
<tbody>
</tbody>
</table>