アクセス権限やシステム変更は、担当者と管理者が確認している。それなら、さらにIT監査の専門家を置く意味はどこにあるのでしょうか。
CISAは、ITの管理や対策が適切かを、証拠から評価する専門性を示す国際資格です。日常管理をもう一人に担当させる資格というより、担当部門の「問題ありません」という説明を、経営や顧客がどこまで信頼できるか確かめる仕事につながります。
この記事では、国内外の仕事内容、取得条件・費用から、自社で必要になる場面まで紹介します。資格取得を検討する人にも、働く場所と役割を具体的にイメージできる内容を目指します。
CISAとは？公認情報システム監査人の国際資格
CISAはCertified Information Systems Auditorの略で、日本語では公認情報システム監査人と呼ばれます。読み方はシーサ。ISACAが認定し、1978年の開始以来、累計20万人超が取得しています。これは現在の有効保有者数とは異なります。
ニュースに登場する米国の政府機関CISAとは、同じ略称でも別のものです。また、日本の国家試験であるシステム監査技術者試験とも区別されます。
国内の活用例では、NRIセキュアが2026年4月時点でCISA取得者111人を公表しています。馴染みが薄くても、監査やセキュリティ支援の現場で使われている資格です。
CISA保有者はどんな仕事をしている？国内外の実例
国内では、会計の数字を支えるシステムも監査する
PwC Japan監査法人の担当者インタビューでは、製造業や金融業などの会計監査に伴うシステム監査が紹介されています。会計システムの処理、財務数値に影響するアクセス管理、システムを使った業務手続きを評価し、公認会計士とも協働しています。
例えば、売上の数字が正しく見えても、その数字を作るプログラムを担当者が無断で変更できるなら、報告の信頼性に問題が残ります。経理の計算だけでなく、数字が生成される仕組みまで確かめる役割です。
同インタビューでは、「承認があるか」だけでなく、なぜその部署・役職の人が承認者として適切なのか、根拠を積み上げる難しさも説明されています。チェック欄の有無を見る仕事とは異なります。
国内の保有者には、官公庁・金融の監査や事業継続の評価を担う人もいる
CISA・CISMなどを保有するPwC Japanの丹羽一晃氏は、官公庁、金融・サービス業でシステム監査や情報セキュリティ監査、緊急時対応計画の有効性評価などを担当した経歴を公開しています。
安全対策を実装する仕事に限らず、「備えが目的に合っているか」「必要な時に機能する体制か」を評価する仕事があることが分かります。
海外では、事業会社の内部監査で新技術も扱う
ISACAは、RELXの内部監査マネージャーJas Gill氏を紹介しています。CISA・CISMを取得し、新しい技術についての監査を主導し、管理上の不足を見つけ、関係者に伝える仕事を担っています。
外部から企業を評価する監査法人と、自社の継続的な評価を行う内部監査部門。どちらにも活用の場があります。
担当者・管理者の確認と、IT監査は何が違う？
違いは、担当者が確認するかどうかではなく、確認する立場と、結論を支える根拠です。
| 立場 | 受注システムを例にした役割 |
|---|---|
| 業務担当者 | 受注内容を入力し、決められた手順で処理する |
| 管理者 | 承認、権限管理、例外処理などが適切に行われるよう管理する |
| IT監査担当者 | その管理方法で誤処理や不正を防げるか、実際に運用されたかを記録・設定などから評価する |
この表は説明例です。実務では、まず重要なリスクと評価対象を決め、手続きの確認、記録の検証、必要なサンプル抽出などを経て、問題の影響と改善案を報告します。改善したと説明された内容を、後で確かめる仕事もあります。
例えば、管理者が「退職者の権限は削除済み」と説明していても、外部サービスや委託先のアカウントまで対象に含まれているかは別の確認事項です。IT、業務、人事、委託管理を横断して、結論の範囲を明確にします。
どんな会社に必要？外注と社内配置の分かれ目
「監査したほうが安心」だけでは、一人分の人件費を抱える理由にはなりません。考える軸は、重要性に加え、専門的な監査業務の量と継続性です。
| 会社の状況 | 体制を考える方向 |
|---|---|
| 重要システムが少なく、業務全体を管理者が把握できる | 日常管理を維持し、重要な変更などで外部評価を利用 |
| 大規模刷新や取引先の監査要求が発生 | 目的と対象を定め、外部専門家の支援を検討 |
| システム・委託先が増え、社内で説明の妥当性を評価しにくい | 社内責任者を定め、専門部分を外注する体制を検討 |
| 子会社・海外拠点など監査対象が通年で続く | 内部監査部門にIT監査の専門人材を持つ合理性が高まる |
これは公式な配置基準ではなく、経営判断のための整理です。危険が大きいことと、一人分の監査業務が継続的にあることは別です。必要な時だけ外注する判断もあれば、社内で業務理解と改善の追跡を積み重ねる判断もあります。
また、採用したいのは資格の名称ではなく、自社の監査を遂行できる人です。CISAは、経験と専門知識を判断する材料の一つになります。社内の役割設計については、セキュリティ人材不足と採用も参考になります。
CISAとCISM・CISSPの違い
| 資格 | 中心となる視点 |
|---|---|
| CISA | 管理や対策が適切か、証拠に基づいて評価・報告する |
| CISM | 組織のセキュリティを企画し、運営する |
| CISSP | 技術と管理を横断して、安全な仕組みを設計・運用する |
扱う知識には重複があります。担当したい仕事が監査計画・証拠収集・評価・報告ならCISA、管理プログラムの運営ならCISM、幅広い安全設計・運用ならCISSPが比較の起点になります。
取得条件・受験料・維持費は？
試験合格と資格認定を分けて考える
試験は150問、4時間です。認定には原則として情報システム監査・コントロール・セキュリティ等の実務経験5年以上が必要です。学歴等による代替制度もあり、申請時には自分に適用できる条件を確認します。
試験に合格しただけで経験要件を満たしたことにはなりません。認定申請は合格後5年以内に行い、経験は上司などの確認を受けます。
| 費用・維持条件 | 公開条件 |
|---|---|
| 受験料 | ISACA会員575米ドル／非会員760米ドル |
| 認定申請料 | 50米ドル |
| 年間維持手数料 | 会員45米ドル／非会員85米ドル |
| 継続教育 | 年20時間以上、3年間で120時間以上のCPE |
会員価格にはISACAの会費等を別に考える必要があります。日本円の支払額は為替等で変わるため、受験料だけでなく教材・研修・維持費まで含めて検討すると負担を把握しやすくなります。
難易度は、IT知識と評価の考え方の両方にある
学習では「自分なら対策を実装する」視点から、監査目的に対して何の証拠を集め、何を結論にできるかという視点への切り替えが重要です。
例えば、障害への備えがあるかという問いに、バックアップ設定の画面だけを見ても、業務を再開できるとは限りません。復元の試験や必要時間を含め、何を確認すれば目的に答えられるかを考えることになります。
公式の出題範囲と教材を使い、知識が足りない部分と、評価の順序で迷う部分を分けて復習すると、実務経験とのつながりが見えやすくなります。
まとめ｜ITを管理する経験を、評価できる専門性へ
CISAは、すべての会社に専任者を置くための資格ではありません。ITへの依存が大きくなり、担当部門の説明を経営や顧客が確かめる必要が高まる場面で、その専門性が生きます。
取得を考えるなら、自分が今後、仕組みを作る側、運営する側、評価する側のどこに軸を置きたいかが判断の起点です。開発・運用の経験を持つ人にとっても、業務とITを理解し、根拠を示して評価する仕事への道が見えてきます。
参考資料
- ISACA：CISA：資格概要、試験・料金。
- ISACA：認定条件、維持条件：経験、申請、CPE。
- NRIセキュア会社概要：2026年4月時点の資格取得者数。
- PwC Japan：担当者インタビュー、丹羽一晃氏の経歴：国内の仕事。
- ISACA：Jas Gill氏：2025年公開、事業会社の内部監査の例。
本記事の文章・表・図解・グラフは、Skill Business Architecture Labが独自に編集・作成しています。引用・紹介する場合は、引用箇所が分かる形で、記事名・サイト名・記事URLをご記載ください。
コメント