IT SERVICE MANAGEMENT / INTERNAL AUDIT
SMSの内部監査とは？ ITサービス管理を「決めたルールどおりか」で点検する仕組み
社内のパソコンが故障したとき、ヘルプデスクに問い合わせる。新しい社員が入ったとき、アカウントを発行する。普段は当たり前に動いているITサービスにも、品質を保つためのルールと、それが守られているかを確認する仕組みがあります。
最初に結論
内部監査とは、組織のSMSが自分たちで決めた要求事項と適用する規格の要求事項に適合し、実際に運用されているかを、計画した間隔で証拠に基づいて確かめる活動です。
ここでいう SMS はスマートフォンのショートメッセージではなく、Service Management System（サービスマネジメントシステム）のことです。
1. 身近な例：社内ヘルプデスクの「対応ルール」
社員300人の会社で「PCが起動しない」「パスワードを忘れた」などの問い合わせを社内ヘルプデスクが受け付けているとします。会社は安定してサービスを提供するため、例えば次のような社内ルール（例示）を定めました。
問い合わせの記録
すべての問い合わせをチケットに登録する
優先度の判断
業務停止など重大な障害を優先的に扱う
振り返り
毎月、対応状況と改善点を確認する
ある月に「チケットが作られていない問い合わせがある」と分かりました。問い合わせの解決が早かったとしても、決めたルールが守られていない可能性があります。そこで担当者へのヒアリング、チケット一覧、運用手順書などを調べ、ルールへの適合を確認するのが内部監査の仕事です。
2. SMSとは「サービスを回し続けるための仕組み」
SMSは、個々の担当者の頑張りに頼るのではなく、サービスの計画・提供・監視・改善を組織として実行するための管理の仕組みです。対象はヘルプデスクだけでなく、社内システム運用、顧客向けクラウドサービス、障害対応、変更管理、サービスレベル管理などに広がります。
SMSとサービスの関係（概念図）
SMSは特定のソフトウェア名ではありません。規程、担当者、プロセス、運用実績、改善活動を含む管理の枠組みです。
JIS Q 20000-1:2020は、サービスマネジメントシステムの要求事項を規定した国内規格です。この記事はその基本的な考え方を、具体例に置き換えて説明します。実務で適合性を判断するときは、適用する規格本文と組織のSMS文書を確認します。
3. 内部監査は何を、どう確認する？
「監査」は単にミスを探す作業ではありません。先に監査基準（何に適合すべきか）を明確にし、証拠を集めて、その基準に照らして判断する活動です。
① 監査基準を確認
組織自身の手順・方針と、JIS Q 20000-1など適用する要求事項を確認
② 計画を立てる
対象サービス、範囲、実施時期、監査担当者、方法を決定
③ 客観的な証拠を集める
チケット、障害記録、変更承認、教育記録、担当者への聞き取りなど
④ 基準と照らして評価
適合・不適合などの監査所見を記録し、確認した根拠を残す
⑤ 結果を共有して改善
責任者へ結果を報告し、原因分析・是正処置・有効性確認につなげる
内部監査の「内部」は組織が自らの仕組みを監査するという意味です。監査の客観性・公平性を保つため、可能な範囲で自分自身の業務を自分で監査しないなど、監査担当者の独立性にも配慮します。外部の認証審査とは目的や立場が異なります。
4. 似ている4つの活動を区別する
SMSの運用では、監視・測定、内部監査、マネジメントレビュー、サービス報告が連携します。特に大切なのは、何を知りたいのかで役割が変わる点です。
| 活動 | 中心となる問い | 具体例 |
|---|---|---|
| 監視・測定・分析・評価 | サービスはどんな状態か？ | 障害件数、復旧時間、問い合わせ対応率を測る |
| 内部監査 | 要求事項・社内ルールに適合しているか？ | 承認記録やチケットを抽出し、手順に従っているか確認 |
| マネジメントレビュー | 管理の仕組みは今後も適切・妥当・有効か？ | 経営層が監査結果や実績を見て、体制や改善方針を判断 |
| サービス報告 | サービスの実績・状況をどう伝えるか？ | 月次の稼働率や障害状況、達成状況を関係者へ報告 |
例えば「今月の対応時間の平均は40分だった」は測定結果です。「緊急障害は承認を記録するという社内手順が守られているか」は内部監査です。どちらも重要ですが、数字がよいことだけでは、ルールへの適合は証明できません。
5. PDCAのどこに位置付く？
SMSは一度作って終わりではありません。計画して運用し、状況を確認し、改善するPDCAを繰り返します。内部監査は特に「Check」の代表的な活動です。
P
Plan
目標・手順を決める
D
Do
サービスを運用する
C
Check
監視・内部監査で確かめる
A
Act
是正して改善する
Plan → Do → Check → Act → Plan … と循環
内部監査で不適合が見つかったら、記録を後から埋めるだけでは根本的な改善とは限りません。「なぜ承認が抜けたのか」を調べ、手順やシステム、教育などを見直し、再発しないか確認することが大切です。
6. 操作ラボ：あなたがヘルプデスクの監査担当になったら
社内ルールを選び、用意された証拠を調べてみましょう。証拠が足りない状態、ルールに適合する状態、不適合が見つかる状態を切り替えて、内部監査の判断を体験できます。
INTERACTIVE LAB
社内ルールへの適合を監査してみよう
あなたは社内サービスの内部監査担当です。監査対象と調査結果を選択し、「ルール」と「客観的な証拠」がどうつながるか確認してください。
① 監査対象を選ぶ
② 監査の基準を確認
組織自身が定めた要求事項
すべての問い合わせをチケットとして記録する（社内ルールの例）
実際の内部監査では、社内要求事項だけでなく適用する規格の要求事項も監査基準になります。
③ 集められた証拠の状態を選ぶ
確認方法：受付ログとチケット一覧を同期間で突合する
④ 監査所見をまとめる
要求事項：すべての問い合わせをチケットとして記録する（社内ルールの例）
何を守るべきかを最初に確認します。
このラボは架空のルールと簡略化した監査証拠による教育用モデルです。実際の内部監査では適用規格、監査計画、サンプリング、監査員の公平性、証拠の信頼性なども考慮します。
7. 運用で陥りやすい勘違い
「月次レポートを出せば監査済み」ではない
レポートはサービス状況を伝えるもの。適合性を監査するには基準と証拠の照合が必要です。
「目標達成＝手順遵守」ではない
例えば復旧目標を達成しても、必要な変更承認が抜けていれば不適合の可能性があります。
「監査員の感想」では判断しない
客観的な記録や聞き取りなど、確認できる証拠に基づいて所見を残します。
「監査が終わったら終了」ではない
不適合の原因を調べ、是正処置とその有効性の確認にまでつなげます。
8. まとめ
SMSは、ITサービスの品質を維持・改善するための管理の仕組みです。内部監査はその仕組みが組織自身の要求事項と適用規格の要求事項に適合し、有効に実施・維持されているかを、予定した間隔で調べる活動です。監視・測定が「どのような状態か」、マネジメントレビューが「経営としてどう判断するか」、サービス報告が「実績をどう共有するか」を担うと理解すれば、違いを整理できます。
参考：ISO/IEC 20000-1:2018、ISO 19011:2018。社内ルール・監査結果・数値は理解を助けるための架空の例です。個別の要求事項の正確な解釈は適用規格本文を確認してください。