IT監査・内部統制コンサルのスキルシートの書き方｜面談で評価される実績の見せ方

IT監査・内部統制コンサルのスキルシートは、プロジェクトごとに案件の型と立場（会社の側か、監査人の側か）、評価の対象、担った工程、報告の相手を書くのが基本です。監査の仕事の成果は、見つけた不備の数ではなく、どの範囲をどの手続で確かめ、どう判断したかにあります。工程と判断を分けて書くと、任せられる範囲が伝わります。

一方で、不備の内容や件数、統制の弱点は、発注元にとって外に出せない情報です。中身は書かず、範囲と進め方で示します。求められるスキルはIT監査・内部統制コンサルのスキルの記事、全体の構成はスキルシートの基本で扱っています。

一行目に「案件の型」と「立場」を書く

IT監査・内部統制の経験は、同じ「評価」でも、誰の立場で行ったかで読まれ方が変わります。プロジェクト欄の冒頭に、型と立場をそろえて書きましょう。

監査法人の出身の方は、監査人の側で行った評価と、会社の側で行った支援を分けて書きます。同じ手続に見えても、会社の側では評価の範囲を自分たちで決め、監査人に説明する立場になるため、読み手はそこを分けて見ています。

評価の対象は「種類」と「数」でぼかす

対象の仕組みは、案件の難しさを伝える大事な情報です。ただし、製品名とバージョンを細かく並べると、発注元の仕組みが推測されることがあります。

• 種類：ERP、会計システム、販売管理、人事給与、インフラ、クラウドのアカウント管理
• 数：「評価対象のシステム10前後」「IT基盤3つ」のように幅をもたせる
• 技術：「主要なクラウドサービスの権限管理を評価」のように、技術の分野で書く

実施基準では、IT全般統制は通常、IT基盤を単位として構築するとされています。「IT基盤ごとに評価の単位を整理した」のように書けると、評価の組み立てを理解していることが伝わります。

担った工程を分けて書く

評価の工程は、範囲の決定、整備状況の確認、運用状況のテスト、不備の評価、報告に分けられます。全部を担っていない場合は、担った工程だけを書きます。

「主導した」「担当した」「補助した」で読まれ方が変わります。リードの指示でテストを行った部分は、そのとおりに書きましょう。

書かない情報

守秘義務の一般的な考え方はスキルシートに書いてよいこと・いけないことで扱っています。ここでは、この職種に固有の注意をまとめます。

上場会社の場合、業種、規模、決算期を細かく書くと、組み合わせから会社が推測されることがあります。業種は広めに、規模は「上場企業（大規模）」程度に、時期は年単位でぼかすのが安全です。

プロジェクト欄の記入例

以下は書き方を示すための架空の例で、実在の案件や実績ではありません。業界や規模はぼかしています。

期間：20XX年〜20XX年（1年）
案件の型・立場：J-SOXのIT統制の評価支援（会社の側、経営者の評価を担う部署の支援）
案件概要：製造業（上場・大規模） IT全般統制とIT業務処理統制の年度の評価
評価の対象：ERP、販売管理、人事給与などシステム10前後、IT基盤3つ（オンプレミスとクラウド）
規模・立場：評価チーム4名（自分はIT全般統制のリード）
担った工程：IT基盤ごとの評価単位の整理、テスト手続の設計、運用状況のテストのレビュー、不備の評価の案の作成
報告の相手：評価の部署の責任者（評価の結果）、IT部門の責任者（改善の計画）、外部の監査人との打ち合わせへの同席
工夫・成果：クラウドへの移行で変わった権限の管理の流れを、移行の前後で分けて評価する手順を作った。証跡の依頼を一覧で管理し、期末に作業が集中しないよう前倒しで回収した

期間：20XX年（6か月）
案件の型・立場：外部委託先の評価（委託する会社の側）
案件概要：金融関連（中規模） ITの運用を委託している先の評価の仕組みづくり
担った工程：受託会社の報告書の対象の期間と範囲の確認、委託する会社の側で整えるべき統制の洗い出し、報告書のない委託先に向けた質問票の作成
工夫・成果：委託先ごとの評価の方法を一覧にまとめ、翌年以降も社内で回せる形にした

不備の内容や件数は書いていません。それでも、対象の広さと担った工程が書かれていれば、どの程度の役割を担える人かは伝わります。

基準や指針は「使い方」と一緒に書く

内部統制の基準、システム監査の基準、業界の安全対策の基準など、参考にした基準の名前を書くことはよくあります。名前だけでは、読んだことがあるだけなのか、手続に落とし込んだのかが分かりません。

• 「改訂後の内部統制の基準を踏まえ、評価の頻度を判断する資料を作成した」
• 「業界の安全対策の基準の項目と監査の手続を対応づけた」

内部統制の基準は2023年4月に改訂の意見書が公表され、2024年4月1日以後に開始する事業年度から適用されています（2026年10月時点、金融庁の公表資料で確認）。改訂の後の評価に関わった経験があれば、そのことが分かるように書くと、経験の新しさが伝わります。

資格の書き方

資格は、正式な名称と取得した年月を書きます。CISAは、認定を保つために継続的な専門教育の方針を守ることが求められるとISACAが案内しているため、有効な状態かどうかが分かるようにしておきます。システム監査技術者試験は、IPAが現行の試験制度を2026年度の実施で終える予定としています（2026年10月時点）。合格した年度を書いておけば十分です。資格の扱いはCISAの記事とシステム監査技術者試験の記事で解説しています。

よくある質問

監査を受ける側だった経験も書けますか？

書けます。IT部門で証跡を用意した経験や、監査人の質問に答えた経験は、統制の対象をよく知っている証になります。立場が「受ける側」だったことは隠さずに書き、どの統制の運用を担っていたかを添えると、評価する側の案件でも判断材料になります。

監査法人の経験はどう書けばよいですか？

関わった監査の型（財務諸表監査の中のIT統制の評価、アドバイザリーなど）と担った工程を書きます。監査先の名前や業種の細かい組み合わせは書かず、規模と業種を広めにぼかします。

セキュリティコンサルの案件にも応募したい場合は、どう書き分けますか？

要約と並び順を入れ替えます。セキュリティコンサルの案件では、規程づくりやリスク評価が読まれるため、監査の経験は「評価する力」として添える形が読みやすくなります。書き方はセキュリティコンサルタントのスキルシートの記事をご覧ください。