サービスマネジメントとシステム監査｜ITIL・SLA・内部統制

🎯 このレッスンのゴール

ITサービスマネジメントとITIL・SLA・SLMの関係が分かる
インシデント管理と問題管理のちがいを説明できる
サービスデスクやUPSなどファシリティ管理の用語を区別できる
システム監査の目的・流れと、内部統制・ITガバナンスの考え方を言える

こんにちは、ナビ役の「モニタくん」です。システムは「作って終わり」ではなく、止めずに使い続けることが大事。きょうはサービスを安定して回すしくみと、それを外からチェックする監査を学びます。用語は多いけれど、表で整理すればスッキリしますよ。

1. ITサービスマネジメントとITIL

ITサービスマネジメント（ITSM）とは、ITを「サービス」としてとらえ、利用者の満足度を保ちながら安定して提供し続けるための運用管理の考え方です。システムを作る（開発）だけでなく、作ったあと毎日きちんと動かし続ける（運用）部分を、計画的に管理します。

その運用のお手本としてまとめられたのがITIL（アイティル）です。ITILは特定の決まり（規格）ではなく、世界中の優れた運用のやり方を集めたベストプラクティス集（成功事例集）。「こうすればうまく回りやすい」というノウハウ集だと考えてください。

たとえ話：ITILは「料理の名店のレシピ集」

ITILは「こうすれば失敗しにくい」というお手本レシピを集めた本のようなものです。レシピどおりにしなければ罰せられる法律ではなく、参考にして自分の店（会社）に合わせて使うもの。だから「ITIL＝義務的なルール」ではなく「ベストプラクティス集」と覚えるのがポイントです。

2. SLAとSLM

サービスを提供するとき、「どのくらいの品質で提供します」という約束を、利用者（顧客）とあらかじめ文書で取り決めます。これがSLA（Service Level Agreement：サービスレベル合意書）です。約束を数値で示すのが特徴です。

具体例：SLAに書く内容

「サービスの稼働率は99.5%以上」「障害連絡から1時間以内に一次対応する」「問い合わせ受付は平日9〜18時」――このように数値や条件で具体的に約束したものがSLAです。あいまいな「がんばります」ではなく、達成できたか後で測れる形にするのがコツです。

そして、結んだSLAが守られているかを定期的に測定・確認し、足りなければ改善していく継続的な管理活動をSLM（Service Level Management：サービスレベル管理）といいます。SLA（約束＝書類）とSLM（その約束を守り改善し続ける活動）の関係を区別しておきましょう。

ポイント：SLAとSLMの区別

・SLA＝サービス品質を数値で取り決めた「合意書（約束そのもの）」。
・SLM＝そのSLAを測定・評価し、改善し続ける「管理活動（PDCAを回す）」。
“A”はAgreement（合意書）、“M”はManagement（管理）と覚えると混同しません。

3. サービスデスクと運用の管理プロセス

ITILでは、運用の仕事をいくつかの「管理プロセス」に分けて考えます。ITパスポートでは、それぞれが何を目的にしているかを区別できれば十分です。まずは利用者の窓口から見ていきましょう。

サービスデスクは、利用者からの問い合わせや障害連絡をまとめて受け付ける単一の窓口（SPOC）です。「どこに連絡すればいいの？」と利用者が迷わないよう、入口を一つにまとめる役割を持ちます。

用語	目的（何をするか）
サービスデスク	利用者の問い合わせ・障害連絡を受け付ける単一窓口。記録し、担当へつなぐ。
インシデント管理	障害が起きたとき、原因が不明でもとにかく早くサービスを復旧させる。
問題管理	インシデントの根本原因を調べ、再発しないように取り除く。
変更管理	システムへの変更を、影響を評価したうえで計画的・安全に進める。
構成管理	機器・ソフトなどの構成情報（CI）を正確に把握・記録しておく。
リリース管理	承認された変更を、本番環境へ確実に展開（リリース）する。

ここが頻出：インシデント管理と問題管理のちがい

・インシデント管理＝「今すぐ直す」。原因がわからなくても、まずサービスを復旧して業務を止めない（早期復旧が最優先）。
・問題管理＝「二度と起こさない」。落ち着いてから根本原因を突き止め、再発を防ぐ。
＝スピード重視がインシデント管理、原因究明が問題管理。この対比が試験で繰り返し問われます。

具体例：社内システムがダウンした

朝、業務システムが落ちて全員が仕事できない――まずサーバを再起動して動かし、業務を復旧させました。これがインシデント管理です。その日の午後、「なぜ落ちたのか」を調べたらメモリ不足が判明し、メモリを増設して再発を防止しました。これが問題管理です。同じ障害でも、目的が「復旧」か「原因除去」かで担当プロセスが変わります。

4. ファシリティマネジメント

ファシリティマネジメントとは、システムを動かす建物・設備・環境を、安全・快適・効率的に保つための管理です。とくにサーバなどを集めたデータセンタでは、停電・災害・不正侵入からシステムを守るしくみが欠かせません。

設備・対策	役割
UPS（無停電電源装置）	停電した瞬間に電池で電気を供給し、その間に安全に終了・切替する。短時間の停電対策。
自家発電装置	停電が長く続くときに自前で発電し、電力を供給し続ける（UPSがしのいでいる間に起動）。
空調設備	機器の発熱を抑え、温度・湿度を一定に保って故障を防ぐ。
施錠・入退室管理	ICカードや生体認証で許可された人だけを入室させ、入退室を記録する。
耐震・免震構造	地震の揺れから建物や機器を守り、サービス停止を防ぐ。

注意：UPSと自家発電のちがい

どちらも停電対策ですが役割が分かれます。UPSは内蔵バッテリで「停電した瞬間〜数分」をつなぐもの。長時間はもちません。自家発電装置は燃料で発電し、長い停電に備えます。実際は「停電→UPSが即つなぐ→その間に自家発電が立ち上がる」という連携で使われます。

5. システム監査とは

システム監査とは、情報システムが安全・正確・効率的に運用されているかを、独立した立場の専門家がチェックし、問題点を指摘して改善を助言する活動です。監査する人をシステム監査人といいます。

ポイント：監査人は「独立した立場」が命

システム監査人は、監査の対象となる部門から独立していなければなりません。たとえば自分が作ったシステムを自分で監査すると、身内に甘くなり公正に評価できないからです。独立した立場だからこそ、評価や助言に説得力が生まれます。なお監査人は問題を指摘・助言するだけで、改善を実行する責任は監査される側（被監査部門）が負います。

システム監査は、行き当たりばったりではなく決まった流れで進みます。次の順番を押さえましょう。

システム監査の流れ（この順番）

監査計画 → 予備調査 → 本調査 → 評価・結論（報告） → フォローアップ

段階	やること
① 監査計画	監査の目的・範囲・スケジュールなどを決める。
② 予備調査	資料や聞き取りで、対象の概要・しくみを事前に把握する。
③ 本調査	実際に調べて監査証拠を集め、調書（記録）に残す。
④ 評価・報告	証拠にもとづき評価し、監査報告書で結果・改善提案を伝える。
⑤ フォローアップ	指摘した点がきちんと改善されたかを後から確認する。

具体例：監査証拠と監査調書

本調査で「入退室の記録が残っているか」を確かめ、その記録の写しや確認結果を集めます。この、結論の根拠になる事実が監査証拠です。そして調査の過程や入手した証拠をまとめた記録ノートが監査調書。報告書は、この調書の証拠にもとづいて書かれるので、勝手な思い込みでは指摘できません。

6. 内部統制とITガバナンス

内部統制とは、会社が不正やミスを防ぎ、健全に業務を運営するために自ら整えるしくみです。社員一人ひとりがルールを守って働き、組織として正しく回るための「会社の自浄装置」だとイメージしてください。内部統制には、次の4つの目的があります。

内部統制の4つの目的	意味
業務の有効性・効率性	仕事がムダなく、目的にそって行われるようにする。
財務報告の信頼性	決算書などの数字にウソや誤りがないようにする。
法令等の順守（コンプライアンス）	法律・社内ルールを守って業務を行う。
資産の保全	会社の財産が不正に持ち出されたり失われたりしないよう守る。

この内部統制を支える具体的なしくみのひとつが職務分掌（しょくむぶんしょう）です。これは一人の人にすべての権限を集中させず、作業と承認・チェックを別々の人に分けること。不正やミスを一人で完結できないようにして、抑止する効果があります。

たとえ話：職務分掌は「会計係とチェック係を分ける」

お金を扱う人が、自分で支払って自分で承認までできてしまうと、こっそり横領してもバレません。そこで「支払う人」と「承認する人」を別にするのが職務分掌。文化祭で「会計係」と「監査係」を分けるのと同じ発想で、互いにチェックが効くようにするわけです。

さらに、IT全体を経営の視点から正しい方向へ導き、活用を統制する取り組みをITガバナンスといいます。経営者が責任をもって、ITが企業戦略に役立つよう管理・統制する考え方です。内部統制やシステム監査は、このITガバナンスを実現するための手段の一つと位置づけられます。

注意：似た言葉の整理

・内部統制＝会社が自分で整える、不正・ミス防止のしくみ（中の人が作る）。
・システム監査＝独立した立場でそれを評価・助言する活動（外の目でチェック）。
・ITガバナンス＝経営者がITの方向づけと統制を行う、より大きな枠組み。
「作る側（内部統制）」と「点検する側（監査）」を取りちがえないようにしましょう。

用語が多く見えても、対比で覚えれば大丈夫。「早期復旧＝インシデント管理／原因除去＝問題管理」「作る＝内部統制／点検する＝監査」。この2つの軸を押さえたら、確認テストで力だめししましょう！

演習確認テスト（○×・全7問）

〇か×で答えてみましょう。ボタンを押すと答えと解説が出ます。

Q1. ITILは、必ず守らなければならない法律で定められた規格である。

正解は ×。ITILは法律や強制規格ではなく、優れた運用のやり方を集めたベストプラクティス集（成功事例集）です。参考にして自社に合わせて使います。

Q2. SLAは、サービスの品質を数値などで具体的に取り決めた合意書である。

正解は〇。SLA（サービスレベル合意書）は、稼働率や対応時間などを数値で約束した文書です。それを管理・改善し続ける活動がSLMです。

Q3. 障害が起きたとき、原因が不明でもまずサービスを復旧させるのは「問題管理」である。

正解は ×。原因が不明でもとにかく早く復旧させるのはインシデント管理です。問題管理は、その後に根本原因を調べて再発を防ぎます。

Q4. サービスデスクは、利用者からの問い合わせや障害連絡を受け付ける単一の窓口である。

正解は〇。サービスデスクは利用者が迷わないよう、問い合わせ・障害連絡をまとめて受ける単一窓口（SPOC）です。

Q5. UPS（無停電電源装置）は、停電した瞬間に電気を供給し、安全に処理を行う時間をかせぐための装置である。

正解は〇。UPSは内蔵バッテリで短時間の停電をつなぎます。長い停電には自家発電装置で備えるのが一般的です。

Q6. システム監査人は、自分が開発・運用している部門のシステムを監査するのが望ましい。

正解は ×。監査人は対象部門から独立した立場でなければなりません。自分の担当を自分で監査すると公正に評価できないためです。

Q7. 職務分掌は、作業する人と承認・チェックする人を分けて、不正やミスを防ぐしくみである。

正解は〇。職務分掌は権限を一人に集中させず分担させることで、内部統制を支えます。一人で不正を完結できないようにするのが狙いです。

暗記一問一答（全8問）

Q1. ITサービスの運用のお手本を集めたベストプラクティス集を何という？

A. ITIL（アイティル）です。強制規格ではなく、優れた運用事例をまとめたものです。

Q2. サービスの品質を数値で取り決めた合意書を何という？

A. SLA（サービスレベル合意書）です。それを測定・改善し続ける管理活動はSLM（サービスレベル管理）。

Q3. 原因が不明でもまずサービスを早く復旧させる管理は？

A. インシデント管理です。目的は早期復旧（業務を止めない）。

Q4. 障害の根本原因を調べ、再発を防ぐ管理は？

A. 問題管理です。原因を取り除いて二度と起こさないことが目的です。

Q5. 利用者の問い合わせを受け付ける単一の窓口を何という？

A. サービスデスクです（単一窓口＝SPOC）。

Q6. 停電の瞬間に電池で電気を供給する装置は？

A. UPS（無停電電源装置）です。長時間の停電には自家発電装置で備えます。

Q7. システム監査の正しい進め方の順番は？

A. 監査計画 → 予備調査 → 本調査 → 評価・報告 → フォローアップ、の順です。

Q8. 不正やミスを防ぐため会社が自ら整えるしくみを何という？

A. 内部統制です。目的は「業務の有効性・効率性／財務報告の信頼性／法令順守／資産の保全」の4つ。

📌 このページのまとめ

ITサービスマネジメントは、ITを安定提供し続ける運用管理。お手本集がITIL（ベストプラクティス集）。
SLA＝品質を数値で約束した合意書、SLM＝それを測定・改善し続ける活動。
インシデント管理＝早期復旧、問題管理＝根本原因の除去。窓口はサービスデスク（単一窓口）。
変更・構成・リリース管理など、運用プロセスは目的で区別する。
ファシリティ管理：UPS（瞬間〜短時間）と自家発電（長時間）、空調・入退室管理・耐震など。
システム監査は独立した立場で評価・助言。流れは計画→予備調査→本調査→報告→フォローアップ、根拠は監査証拠・調書。
内部統制（4目的）と職務分掌でミス・不正を防止。全体を経営視点で導くのがITガバナンス。