システム監査技術者（AU）は、ITの仕組みや管理が適切かを、証拠に基づいて評価する力を問う国家試験です。システムを作る・動かす経験を、経営や利用部門に「この管理をどこまで信頼できるか」と説明する力へ広げたい人に関わる資格です。
名前だけでは、プログラムを調べる技術者なのか、会計監査のような仕事なのか、イメージしにくいかもしれません。実際に扱うのは、アクセス権限やクラウドの管理から、IT投資の費用・効果、障害に備える計画まで。技術の知識を使いながら、組織の仕事や判断の仕組みも確かめます。
この記事では資格そのものの規模と取得条件、実際の保有者の仕事、公開試験で問われる考え方を紹介します。取得を考える実務者が、自分の経験に何を足せるか判断するための内容です。人材育成での使い方も添えます。
なお、2026年度のAUは2027年2～3月に実施予定です。これとは別に、2027年度からの試験制度見直しが予定されています。以下は2026年10月26日に確認した情報を基に、現行試験と新制度の案を分けて説明します。
システム監査技術者とは？資格の位置づけと受験者の規模
システム監査技術者試験は、経済産業省所管の情報処理技術者試験の一つです。略号はAU、英語名称はSystems Auditor Examination。IPAが試験事務を行っています。
ここでいう「監査」は、担当者の説明を聞くだけでなく、決められた基準と実際の仕組み・記録を照らし、適切に管理されているかを確かめることです。例えば「重要な設定変更は承認しています」という説明に対して、承認記録と実際の変更履歴を照合し、承認前に変更できる抜け道がないかまで調べます。この例は、監査の考え方を説明するためのものです。
AUが対象とするのは、監査対象から独立した立場で評価し、改善を助言する人材です。「独立した立場」は、必ず社外の人であるという意味ではありません。自分が作った仕組みを自分だけで適切と判断することを避け、監査対象との関係に左右されず評価できることが要点です。
試験に合格すれば、その時点の知識・技能が一定水準に達していたことを示せます。一方、合格だけでどの業種・システムの監査も一人で担当できると認定されるわけではありません。
2025年度秋期は2,245人が受験、362人が合格
IPAが公表した2025年度秋期のAUの実績は次のとおりです。
| 指標 | 2025年度秋期の実績 |
|---|---|
| 応募者 | 3,183人 |
| 実際の受験者 | 2,245人 |
| 合格者 | 362人 |
| 合格率 | 16.1％ |
| 合格者の平均年齢 | 42.6歳 |
出典：IPA「令和7年度秋期情報処理技術者試験等の合格発表」（2025年12月25日）。合格率の母数は応募者ではなく受験者です。
この数字から分かるのは、一回の試験で数千人が受験し、数百人が合格する規模だということです。362人は全国で働くシステム監査人の人数でも、資格を持つ人の総数でもありません。また、平均年齢は受験条件ではなく、その回の合格者の特徴です。
16.1％という合格率も、自分の合格確率をそのまま表すものではありません。受験者の経験や準備状況が含まれた結果だからです。難しさを理解するには、人数とともに、どのような答えを求められる試験かを見ると分かりやすくなります。
どこで何をする仕事につながるのか
システム監査では、ITを使う組織が困る事態を考え、それを防ぐ仕組みが機能しているか調べます。誤ったデータで経営判断する、担当者が不正な操作を隠す、システム停止から事業を再開できない、といった事態が対象です。
その際に使われる「コントロール」は、機器の操作という意味に限りません。不正やミスを防いだり発見したりするための権限設定、承認、記録、点検などを含みます。「監査証拠」は、その仕組みを評価する根拠となる資料や記録、確認結果です。
仕事の流れは、何を重点的に調べるか計画し、関係者への質問や資料・設定・記録の確認を行い、結果を報告するというものです。IPAの対象者像では、報告先はトップマネジメントや関係者とされ、改善の進み具合を追うフォローアップも役割に含まれています。
報告は、単なる問題一覧ではありません。例えば説明用の場面として、退職者のアカウントが残っていることを発見したなら、誰のアカウントが、どの期間、どのシステムで利用可能だったかを証拠とともに示します。さらに、退職情報が管理担当者へ届かないのか、届いても削除されないのかを確かめます。原因によって改善する仕事が違うためです。
これに対して、日々アカウントを削除する作業や、システムを改修する作業は運用・開発側の役割です。監査では、それらが適切に行われたことを確かめ、経営や責任者が改善を判断できる材料にします。監査人がすべての対策を代わりに実行するわけではありません。
外部の監査サービスでは、組織の規程や基準への適合を確かめる
情報セキュリティサービス台帳に掲載されているITプロ技術者機構は、官公庁や独立行政法人などに対する監査の実績を説明しています。組織のルールどおりに管理できているかを確認する仕事で、情報セキュリティ関連規程と基準との関係や、個人情報保護などを対象としています。
同台帳には、2024年4月1日時点でシステム監査技術者2人、CISA3人などが在籍すると記されています。これは、AUの知識が関わる仕事が外部向けの監査サービスにも存在することを示す例です。掲載時点の人数であり、資格の重複もあり得るため、各資格の人数を足して担当者総数とはできません。
また、サービスの説明と資格者の在籍から、AU取得だけで監査品質が向上したとまでは判断できません。実際の仕事には、対象組織の業務を理解し、資料を読み、関係者に質問し、判断を記録する経験も関わります。
保有者の仕事は、監査専任に限らない
NRIセキュアのSANS講師紹介では、JCOMの渡辺慎太郎氏が情報セキュリティ本部副本部長として戦略や事案対処に従事し、AUやCISAなど複数の資格を保有していることが紹介されています。
こちらは監査サービスの提供とは異なり、事業会社でセキュリティを担う保有者の例です。AUを取った結果その役職に就いた、あるいはその仕事にAUが必須という意味ではありません。ITの管理を評価する学習が関わり得る職務は、監査専任だけではないと理解できます。
取得を検討するときは「この資格で就ける職業」を一つ探すよりも、自分が担当する仕事の中で、管理の妥当性を説明する場面があるかを見ると意味を捉えやすくなります。
システム監査技術者の難易度は？公開問題で分かる、求められる力
AUでは専門用語を知っているだけでなく、状況に応じて何を疑い、どの証拠で確かめるかを説明する力が問われます。2025年度秋期の公開試験の採点講評には、この違いが具体的に表れています。以下は実企業で起きた事件や導入事例ではなく、公開試験ケースの要点を説明したものです。
操作ログがあっても、その記録を信頼できるとは限らない
午後Ⅰ問2は、クラウドを利用するシステムが題材です。設問3の講評では、管理者の操作ログを暗号化し、アクセスを制限して保管することに加え、その管理者自身がログを変更・削除できないか確かめる点が示されています。
ログは、いつ誰が何をしたかという記録です。不正な操作をした人がその記録も消せるなら、後からログを読んでも不正を発見できないかもしれません。保管していることと、証拠として信頼できることは別です。
ここで求められるのは、「ログを取るべきだ」という一般的な知識から、記録の信頼性を損なう権限はないか、という確認へ進むことです。技術の名称を多く挙げるより、なぜその設定を調べるのか説明できることに意味があります。
IT投資では、費用の漏れと効果の根拠も対象になる
午後Ⅰ問3では、IT投資計画が扱われています。講評では、委託する側と開発する側の範囲、セキュリティ対策の責任範囲、投資効果を営業部門がどこまで確認したか、といった点が示されています。
例えば説明用に、開発会社へ払う料金だけを集計した計画を考えます。利用企業側が用意する対策や作業が抜けていれば、見積書の足し算が正しくても、投資全体の金額は小さく見えてしまいます。責任範囲を確認するのは、誰が負担する費用かを整理するためでもあります。
効果についても、「利益率が上がる」という計算だけでは、営業現場でその前提が成り立つかは分かりません。現場の業務を担う部門が何を確認したかが、判断の根拠になります。
つまりAUが扱うのは、システムへの侵入や不正操作だけではありません。ITを使った事業の計画を、責任分担と証拠から評価する視点も含みます。
論述では「何を確認するか」と「どう確かめるか」をつなぐ
2025年度秋期の午後Ⅱ講評では、監査証拠が具体的でない記述や、問題文の趣旨を踏まえていない論述が指摘されています。また、新しい技術の名称を挙げるだけで、その導入によって何が起きるか説明できていない答案にも言及しています。
例えば「AIを使うので危険だ」だけでは、どの業務で、何を誤り、どのような損失につながるのかが見えません。説明用の場面なら、誤った出力が顧客への回答として送られることを問題とし、送信前の確認手続きと、その手続きが実際に使われた記録へ話を進められます。
これは答案の書き方だけでなく、報告を受ける人にとっても大切な違いです。根拠が具体的なら、何を直す必要があるか判断できます。AUの難しさには、ITの知識を覚えたうえで、対象の事情に即した評価と説明へ組み立てることがあります。
取得条件・試験内容・費用は？
実務経験がなくても受験できるが、試験は高度な判断を求める
2026年度試験の公式受験案内では、年齢や国籍などの受験制限はありません。AUの受験のために、先に基本情報技術者や応用情報技術者へ合格することが必須という制度でもありません。
ただし、受験できることと、容易に答えられることは別です。業務やシステムの状況を読んで評価し、論述する試験なので、開発・運用・管理などの経験を整理しながら学ぶ人と、用語や業務の流れから学ぶ人では、準備する内容が変わります。
現行2026年度の試験は、会場のパソコンで解答するCBT方式です。自宅でいつでも受けられる方式ではありません。
| 科目 | 時間 | 形式・解答数 |
|---|---|---|
| A-1 | 50分 | 四肢択一、30問すべてに解答 |
| A-2 | 40分 | 四肢択一、25問すべてに解答 |
| B-1 | 90分 | 記述式、3問から2問に解答 |
| B-2 | 120分 | 論述式、2問から1問に解答 |
出典：IPA「システム監査技術者試験」。2025年度までの午前Ⅰ・午前Ⅱ・午後Ⅰ・午後Ⅱが、それぞれA-1・A-2・B-1・B-2に対応します。2026年度のCBT化によって、記述・論述がなくなったわけではありません。
一定の過去の合格や科目通過により、A-1の免除を申請できる制度もあります。これは受験の必須条件ではなく、条件を満たす人の一部科目免除です。自分の対象年度はIPAの日程案内にある免除対象一覧で確認できます。
受験料だけでなく、学習方法と時間の負担も考える
2026年度のAUの受験手数料は7,500円（税込）です。これに、選ぶ教材や講座、会場までの移動などが加わります。講座の受講は受験要件ではなく、受験料に教材や添削の費用が含まれているわけでもありません。
IPAはシラバス、過去問題、解答例、採点講評を公開しています。まず公式の問題と講評を見れば、知識を選択する部分と、自分で文章を組み立てる部分の差を把握できます。IPA自体が特定の教材や講座を推奨しているわけではありません。
学習は、大きく三つに分けて考えると自分の不足が見えます。
- ITと業務の基礎を理解する。システムの構成や運用、契約、事業の流れなど、問題文の状況を読み取る土台です。
- 監査の方法を理解する。何を根拠に評価し、どのように証拠を集め、結果を報告するかを学びます。
- 状況に即して説明する。リスク、調べる対象、確認方法、判断の関係を、自分の文章でつなぎます。
例えば運用経験が長い人なら、権限やログの仕組みを知っていても、「自分が適切に設定した」という説明から、「第三者として何を根拠に適切と判断するか」へ視点を変える練習が必要になります。業務企画の経験者なら、投資の目的を説明できても、技術面の証拠をどう確かめるかを補うことになります。
そのため、一律に「何時間勉強すれば合格」と決めるより、公開問題を読めるか、理由と確認方法を書けるかを分けて見るほうが、自分の学習計画に結びつきます。独学は費用を抑えやすい一方、自分の記述のどこが曖昧かを見つける作業も自分で担います。添削や講座を選ぶ場合は、この不足を補えるかが比較の軸になります。
合格の有効期限はないが、知識の更新は別の問題
IPAは、試験合格に有効期限はなく、過去の試験合格が無効になることはないと説明しています。AUの試験合格を維持するために、CISAのような毎年の認定維持費や継続教育報告を行う制度ではありません。
一方、合格は受験時点の水準を示します。クラウドの使い方や業務の仕組みが変われば、実務では新しく学ぶことが生まれます。「更新手続きがない」と「合格時の知識だけでずっと対応できる」は分けて考えられます。
どんな経験の人に、学ぶ意味があるのか
AUの学習が役立つ場面は、監査部門へ異動するときだけではありません。ただし、経験によって得られるものと、別に補うものが違います。
開発・運用経験者：担当業務を、評価する側から見直す
開発・運用経験者には、技術の知識を監査の判断へつなげる意味があります。変更作業の承認、委託先との役割分担、障害時の対応など、経験してきた仕事を「どこで失敗し得るか」「何を確かめればよいか」という形に整理できます。
ただし、自分の経験したシステムのやり方が、ほかの会社でも適切とは限りません。会社が何を守ろうとし、どの程度の停止や誤りを許容できるかによって、評価の基準が変わるためです。資格学習を実務へつなぐには、対象業務の目的と事情を聞き取る経験も加わります。
業務企画・管理の経験者：ITを使う計画を確かめる視点を得る
業務企画や管理の経験者は、投資効果、責任分担、承認などを扱う部分で、自分の仕事との接点を持てます。専門部署から説明を受けたときに、確認したい事実や根拠を整理する学習になります。
一方、ITの仕組みが分からなければ、資料に書かれている設定や処理の意味を読み違えることがあります。技術を全部自分で実装できることと、説明や証拠を理解できることは同じではありませんが、評価に必要な技術の基礎は補うことになります。
監査の初任者・未経験者：体系を学ぶ入口と、実務の入口を分ける
監査部門へ来たばかりの人には、計画から証拠の収集、報告までを体系的に理解する足場になります。そのうえで、実際の監査調書や報告書を読み、先輩の判断と自分の判断を比較する経験が重要です。
ITの実務経験も少ない人が受験することはできますが、資格名だけを目標にすると、問題に出てくる仕事の前提をつかむところで負担が大きくなります。まず基礎知識と業務の具体像を身につけ、AUの公開問題でその知識がどう評価に使われるかを見る進め方が考えられます。
取得をすぐに目指さなくても、公開問題を読んで「自分の担当業務なら、何が証拠になるだろう」と考えることには学習上の意味があります。資格の取得時期と、監査の視点を学び始める時期は同じでなくても構いません。
育成では、合格後に任せる仕事までつなげる
育成担当者がAUを使う場合は、合格者数だけで育成成果を判断するより、任せたい仕事との関係を明確にすると活用しやすくなります。
例えば育成の設計例として、まず一つの監査項目について資料を整理し、先任者の確認を受けながら評価理由を書く。その後、関係者への質問や報告の一部へ担当を広げる方法があります。これは企業の実施事例ではなく、資格学習と実務経験を接続するための考え方です。
資格を評価することと、すべてを一人で任せることを分ければ、取得者の知識を使いながら、業務理解や判断経験も育てられます。AU合格だけで即戦力や昇進、転職の成功が保証されるわけではありません。
CISAとの違いは？合格・認定・維持の仕組みから選ぶ
AUとCISAは、ITの管理を証拠に基づいて評価する仕事と関わります。ただし、資格の成り立ちと取得後の扱いが違います。AUは日本の国家試験、CISAはISACAが認定する公認情報システム監査人の国際資格です。
| 比較する点 | AU | CISA |
|---|---|---|
| 基本の位置づけ | 国家試験の合格 | ISACAによる資格認定 |
| 経験と取得の関係 | 受験に実務経験の必須条件はない | 受験と認定は別。認定には原則として関連実務経験5年以上などの条件がある |
| 学習・評価の特徴 | 選択式に加え、状況に応じた記述・論述がある | 情報システム監査等の知識を試験で評価し、認定時に経験も確認する |
| 取得後 | 試験合格に有効期限なし | 継続教育の報告と認定維持費が必要 |
表の出典：IPAのAU案内・試験FAQ、ISACAの認定条件・認定維持。
CISAでは、経験条件を満たす前に受験することはできますが、試験に合格しただけで認定済みにはなりません。公式案内では合格後5年以内に認定を申請し、申請前10年間の関連経験を確認する仕組みです。認定条件の詳細は、経験の代替規定を含めISACAの申請要件に従います。
認定後は、毎年20時間以上、3年間で120時間以上の継続教育が必要です。年間維持費はISACA会員45米ドル、非会員85米ドル。これは受験料や会員になるための会費を含む総費用ではありません。
日本語で監査の状況を読み、判断を文章にまとめる学習をしたい人には、AUの問題と講評が具体的な材料になります。一方、希望する勤務先や業務でCISAが評価され、経験条件や継続教育も含めて専門性を示したい人には、CISAを検討する理由があります。国際資格だから必ず上位、日本の試験だから国内でしか役立たない、といった一列の順位にはできません。
両方を持つ実務者もいるため、二者択一とも限りません。先に決めたいのは資格の順番より、どの仕事を担当したいか、現在の経験に何が足りないかです。監査の仕事や企業で必要になる場面をさらに知りたい場合は、CISAの仕事内容・取得条件を紹介した記事でも説明しています。
2026年度の受験日程と、2027年度の制度見直し
2027年2～3月に受けるのは、2026年度の現行AU
IPAの2026年度日程では、AUは後期試験に含まれます。申込みは2027年1月27日から2月27日、A-1・A-2は2月20日から3月2日、B-1・B-2は3月16日から3月28日が実施期間です。合格発表は2027年6月頃の予定です。
図：IPAの2026年度日程と制度見直しの公表内容から作成。期間の長さは比例していません。
会場ごとに予約枠があり、A群とB群を申し込み時に同時予約する案内です。申込期限まで待てば希望日時が必ず空いている、という意味ではありません。具体的な手続きは、受付開始前に掲載される案内で確認できます。
2025年度までの問題を学ぶ際は、旧名称の午前・午後と、現行のA・Bを対応させて読むと混乱を減らせます。CBTへの移行と、次年度の制度改編は別の変更です。
2027年度からの新制度は、現行AUの単なる名称変更ではない
IPAが公表している見直し案では、応用情報技術者試験と高度試験を大括りにして再編し、プロフェッショナルデジタルスキル試験（仮称）として、マネジメント、データ・AI、システムの三つの領域を設ける予定です。新制度は2027年度からの移行予定で、公表内容は変更される場合がある検討状況です。
したがって、現行AUの4科目や論述の形式を、そのまま新制度の受験案内に置き換えることはできません。新しいシラバスも案として公表されている段階の情報と、現行年度の確定した案内を分けて見ることになります。
過去のAU合格が、制度改編によって自動的に無効になるわけではありません。一方、旧試験の合格が新試験の合格へ自動的に切り替わるわけでもありません。一部科目の免除や経過措置については、案や検討段階の説明を確定した権利として扱わず、今後の正式案内との照合が必要です。
現在のAU受験を検討する人は、2026年度の条件で学習計画を立てられます。翌年度以降を考える人は、新制度の正式な範囲が固まった段階で受験対象を選ぶことになります。どちらの場合も、管理の目的を理解し、証拠から評価し、理由を説明する学習は、試験名だけに依存するものではありません。
まとめ：ITの経験を、根拠をもって評価する力へ
システム監査技術者は、ITを作る・使う側の説明を、証拠に基づいて確かめ、改善につながる報告を組み立てる力を問う国家試験です。ログの保存や投資額の計算を知っているだけでなく、記録が信頼できるか、費用や効果の前提が妥当かまで考える点に特徴があります。
開発・運用経験者には、自分の経験を評価する側から整理する意味があります。業務企画や監査の初任者には、ITの管理をどう確かめるか体系的に学ぶ意味があります。そのうえで、対象業務を理解し、質問し、判断を報告する経験を積むことが、資格を仕事につなげます。
まず公式問題と採点講評を読めば、知識の不足なのか、証拠や理由を説明する難しさなのかが見えてきます。その違いと、現在の仕事・目指す役割を照らすことが、自分がAUを学ぶ意味を判断する出発点になります。
参考資料
情報確認日：2026年10月26日。企業・団体の紹介は掲載者による職務や在籍状況の説明であり、資格取得の効果を測定した調査ではありません。
- IPA：システム監査技術者試験 — 2026年7月6日更新。位置づけ、対象者、役割、科目と形式。
- IPA：2025年度秋期試験の合格発表 — 2025年12月25日公表。受験者・合格者・平均年齢。
- 情報セキュリティサービス台帳：監査サービス — 登録020-0011-10、ITプロ技術者機構。2024年4月1日時点の資格者在籍情報とサービス内容。
- NRIセキュア：渡辺慎太郎氏の講師紹介 — JCOMでの職務と保有資格。閲覧時点の掲載情報。
- IPA：2025年度秋期AU午後Ⅰ採点講評 — 全1ページ、問2設問3・問3。本文は要点を要約し、説明用の例を加えています。
- IPA：2025年度秋期AU午後Ⅱ採点講評 — 全1ページ、全問共通・問1。論述で問われる具体性。
- IPA：2025年度公開問題・解答例 — 原問題を確認する入口。
- CBT-Solutions：2026年度の受験資格 — 受験制限について。
- IPA：試験に関するFAQ — 国家試験の主催、学習資料、過去の合格の扱い。
- ISACA：CISA認定条件・認定維持 — 受験と認定の区別、実務経験、継続教育、年間維持費。
- IPA：2026年度の申込・実施日程 — 2026年9月17日更新。日程、税込手数料、CBT、免除対象。
- IPA：試験制度見直しの検討状況 — 2026年4月28日更新。2027年度の再編予定と検討段階の条件。
本記事の文章・表・図解・グラフは、Skill Business Architecture Labが独自に編集・作成しています。引用・紹介する場合は、引用箇所が分かる形で、記事名・サイト名・記事URLをご記載ください。
コメント