システム管理基準
更新日:
用語解説
システム管理基準は、情報システムに関するリスクを適切に管理するため、組織が整備・運用すべき統制とマネジメントの在り方を示し、システム監査人が管理状況を評価する際の判断尺度となる経済産業省の基準です。
■ 試験で押さえるポイント
ITガバナンス、企画、開発、運用、保守、外部サービス、事業継続、情報セキュリティなど、情報システムのライフサイクルと管理体制を広く扱います。
経営者の方針・責任、職務分離、承認、変更・構成、委託先、記録、モニタリング等を、リスクに応じて組織の管理規程・手順へ具体化します。
システム監査基準は監査人の行為規範と監査手続、システム管理基準は監査判断の尺度という役割差があります。
2023年4月26日改訂版が公表されており、チェック項目を形式的に満たすだけでなく、組織の目的・リスクに応じた統制の有効性を評価します。
■ 選択肢での判断ポイント
管理主体が整備すべき事項と監査判断の尺度を示す基準です。監査人の独立性・手続を定めるシステム監査基準と区別します。
例: 本番変更で申請者と承認者を分け、試験、切戻し、実施記録を管理する規程を整備し、監査人が基準を尺度に運用証跡を評価します。