内部統制の整備や監査対応、システム運用の見直しといった場面で、「監査証跡（かんさしょうせき）は残せているか」と問われて戸惑った経験はないでしょうか。上司との会話や社内規程、監査法人からの指摘の中で急に出てくる言葉でありながら、正確な意味を掴めないまま話が進んでしまうことは少なくありません。
監査証跡は、ひとことでいえば「いつ・誰が・何を・どうしたか」を後から追える形で残した記録です。ただ、ログや証憑といった似た言葉と混同しやすく、「結局どこまで・どのくらい残せばよいのか」までは意外とはっきりしません。さらに、監査証跡が何を指すかは、IT運用・製造品質・内部統制・医療といった業界ごとに力点が変わります。
この記事では、監査証跡の定義とログ・証憑・監査証拠との違いから始め、なぜ必要か、何を・どのくらいの期間・どのように残すのかを、根拠となる法令や基準とあわせて整理します。あわせて業界ごとの位置づけと、監査証跡を確実に残す・管理するためのソリューションも紹介します。
目次
一括ダウンロードする
監査証跡とは
監査証跡（audit trail）とは、「いつ・誰が・何を・どうしたか」を後から追えるように、システムや業務上の操作・変更・承認を時系列で残した記録の連なりを指します。ある1件の記録そのものというより、一連の出来事を順にたどれる「証拠の道筋」と捉えるとわかりやすいでしょう。
この言葉は、システム監査・内部統制・品質管理といった場面で使われます。たとえば上場企業の内部統制報告制度（J-SOX）、医薬品製造のGMP（製造管理・品質管理の基準）、カード情報を扱う環境のセキュリティ基準など、「操作や変更をきちんと追跡できること」が求められる領域で、監査証跡の整備が問われます。
監査証跡とログ・証憑・監査証拠の違い
監査証跡と混同されやすい言葉に、ログ・証憑・監査証拠があります。いずれも「証拠として残すもの」という点では共通しますが、指し示す粒度と役割が異なります。まず全体像を対比で押さえておくと、以降の解説が読みやすくなります。
| 用語 | 何を指すか | 粒度・位置づけ |
|---|---|---|
| 監査証跡 | 操作・変更・承認を時系列で追跡できる記録の連なり | 個々の記録をつなげて「経緯」を追える仕組み全体 |
| ログ | システムが自動的に書き出す個々のイベント記録 | 監査証跡を構成する素材となる、一件ごとの記録 |
| 証憑（しょうひょう） | 請求書・領収書・契約書など取引を裏づける証拠書類 | 取引が実在したことを示す書類そのもの |
| 監査証拠 | 監査人が結論を導くために収集・評価する証拠全般 | 監査証跡や証憑を含む、監査上の証拠の総称 |
整理すると、ログは監査証跡を組み立てる素材、証憑は取引を裏づける書類、監査証拠は監査人が用いる証拠の総称です。監査証跡は、これらのうち「操作や変更の経緯を時系列でたどれるようにした記録の連なり」を指す、と押さえておくとよいでしょう。
監査証跡はなぜ必要か（目的とメリット）
監査証跡が必要とされる目的は、大きく不正の防止・発見、監査や法令への対応、そして内部統制が機能していることの証明の3つに分けられます。順に見ていきましょう。
1つ目は、不正の防止と発見です。操作した本人と日時が記録に残る状態そのものが、データの改ざんや不正操作への抑止力になります。万一問題が起きた場合も、いつ・誰の操作で発生したのかを時系列でたどれれば、原因の特定と再発防止につなげられます。
2つ目は、監査・法令対応です。上場企業などに求められる内部統制報告制度（J-SOX）は、金融商品取引法（金商法）を根拠とする制度で、財務報告に関わる体制を評価した内部統制報告書の提出を義務づけています。
…財務計算に関する書類その他の情報の適正性を確保するために必要なものとして内閣府令で定める体制について、内閣府令で定めるところにより評価した報告書（以下「内部統制報告書」という。）を有価証券報告書…と併せて内閣総理大臣に提出しなければならない。
出典：金融商品取引法 第24条の4の4｜e-Gov法令検索
3つ目は、内部統制が機能していることの証明です。金融庁・企業会計審議会が定める評価基準では、内部統制は「統制環境、リスクの評価と対応、統制活動、情報と伝達、モニタリング（監視活動）及びＩＴ（情報技術）への対応」の6つの基本的要素で構成されるとされています。監査証跡は、このうち「ITへの対応」を含む統制活動が実際に働いていることを、後から確認できる形で裏づける役割を担います。
これらの目的は、裏を返せば「監査証跡がないと何に困るか」でもあります。誰がいつ操作したのかを示せなければ、不正の抑止も原因究明も難しくなり、監査や上場審査の場面で内部統制の有効性を客観的に説明できません。
監査証跡で記録する種類と項目
監査証跡として記録する対象は、いくつかの種類に分けられ、それぞれで残す項目が決まってきます。自社のどの業務が該当するかを拾いながら読み進めてください。
監査証跡の主な種類は次のとおりです。1つの業務に複数の種類が関わることも珍しくありません。
- システム証跡: 設定変更・権限付与・ジョブ実行など、システムそのものへの操作の記録
- トランザクション証跡: 受発注・仕訳・決裁など、業務データの登録・変更・承認の記録
- アクセス証跡: ログイン・ログアウト・ファイル閲覧など、誰がどの情報にアクセスしたかの記録
- ユーザー操作証跡: 画面上の入力・修正・削除といった利用者の操作履歴
- ネットワーク証跡: 通信・接続やアクセス経路の記録。IT運用で不正な通信の追跡に使う
そして、いずれの種類でも共通して押さえたい記録項目が「いつ・誰が・何を・どうしたか」です。具体的には、操作日時、操作者（ユーザーID）、操作の対象、操作内容、変更前後の値、承認者や承認日時などを残すと、後から経緯を正確にたどれます。手作業のメモや後追いの入力ではこれらが抜け落ちやすく、追跡性が損なわれる点に注意が必要です。
監査証跡の保存期間（対象×期間×根拠法令）
監査証跡をどのくらいの期間残すかは「何を対象にするか」で変わり、法令で年数が定まっているものと、慣行として目安が示されているものがあります。両者を区別して確認することが大切です。
まず、法令で保存期間が定まっている主な対象は次のとおりです。年数の根拠となる条文もあわせて示します。
| 対象 | 保存期間 | 根拠となる主な法令 |
|---|---|---|
| 会計帳簿・事業に関する重要資料 | 10年 | 会社法 第432条第2項 |
| 計算書類（決算書類）・附属明細書 | 10年 | 会社法 第435条第4項 |
| 帳簿書類（税務） | 原則7年（欠損金の繰越がある事業年度は10年） | 法人税法施行規則 第59条・第26条の3 |
| 電子取引の取引情報 | 電子データでの保存が義務（期間は税務の帳簿書類に準じる） | 電子帳簿保存法 第7条 |
| アクセスログ・システムログ | 1〜3年が目安（一律に定める法令はなく、社内規程・業界基準で設定） | ―（慣行・社内規程） |
| カード情報を扱う環境の監査ログ | 監査ログの保持が求められる（保持期間はPCI DSSの規定で確認） | PCI DSS |
会社法では、会計帳簿や計算書類の保存期間を明確に定めています。たとえば会計帳簿については、次のように規定されています。
株式会社は、会計帳簿の閉鎖の時から十年間、その会計帳簿及びその事業に関する重要な資料を保存しなければならない。
出典：会社法 第432条第2項｜e-Gov法令検索
一方で、アクセスログやシステムログそのものの保存期間を一律に定める法令は見当たりません。監査証跡そのもの（操作・変更の記録）は、対象となる帳簿・データの保存期間に合わせるか、リスクに応じて社内規程で保存年数を定めるのが実務上の一般的な進め方です。
上表のうち法令で定まらない年数はあくまで目安です。「1年が目安」といった数字を鵜呑みにせず、自社が根拠とすべき法令・基準に立ち返って設定することをおすすめします。
出典・参考資料（4件）
データインテグリティとALCOA原則
記録が残っていても、後から書き換えられたり、いつの記録か分からなかったりすれば、証跡としての価値は失われます。この信頼性を支えるのが「データインテグリティ（データの完全性）」という考え方で、特に製造品質や医薬の分野で重視されます。
データインテグリティの中核となるのが、ALCOA（アルコア）原則です。医薬品などの分野で国際的に参照される医薬品査察協定・医薬品査察協同スキーム（PIC/S）のガイダンスでは、データが備えるべき性質として次のように示されています。
These practices should ensure that data is attributable, legible, contemporaneous, original, accurate, complete, consistent, enduring, and available.
出典：Good Practices for Data Management and Integrity in Regulated GMP/GDP Environments（PI 041-1）｜PIC/S
ALCOAは、帰属性（Attributable：誰が記録したか）、判読性（Legible：読み取れるか）、同時性（Contemporaneous：その場で記録したか）、原本性（Original：原本か）、正確性（Accurate：正確か）の5つの頭文字です。
この5つに、次の4つを加えたものはALCOA+と呼ばれます。監査証跡を、監査や調査で実際に使える記録にするうえで、あわせて押さえておきたい性質です。
- 完全性（Complete）：再試験や再処理、変更履歴も含め、記録に欠落がないこと。
- 一貫性（Consistent）：日時の順序や各記録のつながりに矛盾がなく、時系列でたどれること。
- 永続性（Enduring）：定められた保存期間を通じて、消失・劣化せず読み取れる形で残ること。
- 利用可能性（Available）：監査や調査で求められたときに、すぐ取り出して確認できること。
監査証跡は、これらの性質を満たす形で残してはじめて信頼できる記録になります。医薬品分野に限らず、内部統制やIT運用でも「誰が記録したか・元のまま保たれているか・その場で残したか」を点検する物差しとして使える考え方です。
この考え方は医薬分野に限りません。国内でも、電子帳簿保存法は電子取引データの「真実性の確保」を求めており、次のいずれかの方法で担保することとされています。
出典：電子帳簿保存法施行規則 第4条第1項｜e-Gov法令検索
- 当該電磁的記録の記録事項について訂正又は削除を行った場合には、これらの事実及び内容を確認することができること。／…訂正又は削除を行うことができないこと。
- 当該電磁的記録の記録事項について正当な理由がない訂正及び削除の防止に関する事務処理の規程を定め、当該規程に沿った運用を行い、当該電磁的記録の保存に併せて当該規程の備付けを行うこと。
訂正・削除の履歴を残す、あるいは訂正・削除ができない仕組みにする、という発想は、監査証跡の改ざん防止そのものです。ALCOA原則と電子帳簿保存法の要件は、いずれも「記録が後から書き換えられていないこと」を担保する点で通じています。
出典・参考資料（2件）
監査証跡の残し方・管理方法
監査証跡を実際に残し、管理するうえでの柱は、記録を自動で漏れなく残すことと、後から書き換えられない状態を保つことの2つです。手作業に頼るほど記録漏れや改ざんのリスクが高まるため、システムで自動的に残す仕組みが基本になります。
この2つの柱を、実務では次の4点で具体化します。自動記録とタイムスタンプが「漏れなく残す」を、改ざん防止とアクセス制御が「書き換えられない状態を保つ」を担います。
- 自動記録: 操作や変更が発生したその場で、システムが自動的に記録を残す。後追いの手入力に頼らない
- 改ざん防止: 記録を訂正・削除できない、または訂正・削除の履歴自体が残る仕組みにする
- タイムスタンプ: 記録に正確な日時を付与し、「いつ」の記録かを客観的に示す
- アクセス制御: 記録を閲覧・操作できる権限を限定し、記録そのものの信頼性を守る
監査証跡のレビュー（定期レビュー・例外レビューの考え方）
監査証跡は残すだけでなく、内容を確認する「レビュー」まで含めて実務とされる場面があります。特に医薬品製造の分野では、査察でレビューの運用が問われることがあります。
とはいえ、すべての記録を毎回すべて確認するのは現実的ではありません。PIC/Sのガイダンスでも、リスクに応じて変更・異常に絞って確認する「例外によるレビュー（Review by Exception）」の考え方が示されています。まずは変更が起きた記録や通常と違う操作に注目して確認する、と捉えておくとよいでしょう。詳細な運用手順は、業界や査察の要求に応じて自社で設計することになります。
業界別に見る監査証跡の位置づけ
ここまでは監査証跡の共通の考え方を見てきました。ただ、監査証跡が何を指し、何が求められるかは業界によって力点が変わります。自分の業界に引き寄せて、どこを押さえるべきかを確認してください。
IT運用・情報セキュリティ
IT運用では、サーバーやネットワーク機器が出力するイベントログを集約し、不正アクセスや障害の追跡に使います。情報セキュリティマネジメントの国際規格であるISO/IEC 27001でも、ログの取得は管理策の一つに位置づけられています。
また、個人データを扱う場合は、国内では個人情報保護法が求める安全管理措置の一環として、誰がいつ個人データにアクセス・操作したかを記録・確認できる状態が実務上重要になります。海外拠点やEU居住者のデータを扱う場合は、EUの一般データ保護規則（GDPR）も処理活動の記録（第30条）や説明責任を求めています（GDPR自体が監査証跡を直接義務づけるわけではありません）。
製造品質・医薬（GMP）
医薬品などの製造品質分野では、監査証跡は査察の対象となる重要な記録です。米国のFDAが定める電子記録・電子署名の規則（21 CFR Part 11）では、電子記録の作成・変更・削除について、次のように監査証跡の整備を求めています。
(e) Use of secure, computer-generated, time-stamped audit trails to independently record the date and time of operator entries and actions that create, modify, or delete electronic records. Record changes shall not obscure previously recorded information.
出典：21 CFR §11.10(e)（Electronic Records; Electronic Signatures）｜govinfo（米国連邦規則集）
欧州のGMP基準であるEU GMP Annex 11でも、GMPに関わる変更・削除の記録（システムが生成する監査証跡）をリスク評価に基づいて組み込み、変更・削除には理由を記録することが求められています。日本の医薬品製造でも、これらに整合する形でデータインテグリティと監査証跡の整備が問われます。
内部統制・IPO準備
上場企業や上場準備企業では、内部統制報告制度（J-SOX）への対応として、財務報告に関わるシステムの操作・変更が追跡できることが求められます。誰がいつ会計データを登録・変更したかを監査証跡として残すことは、内部統制の有効性を監査人に示すうえで欠かせません。あわせて、会社法や電子帳簿保存法による帳簿・取引データの保存要件も満たす必要があります。
医療
医療分野では、患者情報などへのアクセスや操作の記録が重視されます。保健医療福祉情報システム工業会（JAHIS）は「ヘルスケア分野における監査証跡のメッセージ標準規約」を定めており、医療システムにおける監査ログの生成やイベント別のメッセージ仕様が標準化されています。医療システムを扱う場合は、こうした業界標準を参照するとよいでしょう。
出典・参考資料（6件）
一括ダウンロードする
監査証跡を残す・管理するツール
手作業では自動記録や改ざん防止に限界があるため、監査証跡は業務システムやIT運用の仕組みの中で残せる製品が実務では選ばれます。ツールを選ぶときは、操作・変更を自動で記録できるか、変更履歴を改ざんされない形で保持できるか、内部統制・監査対応に使えるか、既存システムと連携できるか、といった観点で見るとよいでしょう。まずは、こうした観点で代表的なサービスを比較で確認してください。
| サービス名 | Oracle NetSuite GRC | LMIS |
|---|---|---|
| 提供会社 | 日本オラクル株式会社 | 株式会社ユニリタ |
| 提供形態 | クラウドERPの付帯機能 （NetSuite ERPに標準付帯） | クラウド （Salesforce Platform基盤） |
| 監査証跡の記録対象 | 会計・受発注など 業務データの操作・変更 | IT運用プロセスの 申請・承認・変更ログ |
| 自動記録 | ● | ● |
| 変更履歴の保持・改ざん対策 | ●常時有効・アクセス制御で保護 | ●承認履歴・変更ログを保存 |
| 内部統制・監査対応 | ◎SOC1/2・ISO27001・PCI DSS対応 | ●IT全般統制・システム監査に対応 |
| 料金 | NetSuite ERPライセンスに含む （GRC単独価格なし） | 初期30万円＋月額10万円〜 （税別・25ユーザー基本プラン、2026年9月時点） |
| 詳細情報 | 公式資料を見る | サービス詳細を見る |
1. Oracle NetSuite GRC（日本オラクル株式会社）
Oracle NetSuite GRCは、クラウドERP「Oracle NetSuite」のプラットフォームに組み込まれた、ガバナンス・リスク・コンプライアンス機能群です。単独のGRC専用製品ではなく、ERPを契約すると標準で付帯する点が特徴で、会計や受発注といった業務データと、それを守る統制の仕組みが同じ基盤の上で動きます。
監査証跡の観点では、誰がいつどのデータをどう変更したかを業務システムそのものの中に記録します。職務分掌・多要素認証・IPアドレス制限といったアクセス管理に加え、SOC1/2（内部統制の保証報告書）やISO27001、PCI DSSといった第三者評価・監査への対応まで、内部統制に必要な仕組みを一つの基盤に集約できます。
IPO準備で内部統制を整えたい企業や、業務と統制を一体で管理したい企業に向いています。
業務データと統制を同じ基盤に置くことが、監査証跡を残す実務にどう関わるのか。提供元の日本オラクルは、次のように述べています。
統制のためのツールを別で持っていると、業務システム側のデータをエクスポートして、突き合わせて、チェックして、という作業がどうしても発生します。ここがかなり労働集約的で、ミスも起きやすいんです。NetSuiteの場合は、取引が発生したその瞬間のデータがそのまま統制の対象になります。ワークフローによる承認や、不正につながりかねない操作の検知も、業務の流れの中で自動的に回っていきます。あとから人手で照合する作業そのものを減らせるので、内部監査や経理の方の負担を大きく軽くできるという声をよくいただきます。
2. LMIS（株式会社ユニリタ）
LMISは、株式会社ユニリタが提供するITIL（ITサービス管理のベストプラクティス集）準拠のクラウド型ITサービスマネジメント基盤です。Salesforce Platformを基盤に、インシデント管理・変更管理・リリース管理といったIT運用の主要プロセスをカバーし、IT全般統制やシステム監査対応の基盤としても利用できます。
監査証跡の観点では、電子化されたワークフローで申請から承認までをデジタル化し、承認履歴や変更ログをクラウド上のデータベースに自動保存します。必須項目が未入力の場合は申請をブロックするなど、記録の抜け漏れを防ぐプロセス制御も備えます。IT運用の現場で、変更や対応の経緯を追える状態を整えたい企業に適しています。
ここで取り上げたのは、監査証跡の記録・管理に関わるツールの一例です。内部統制やコンプライアンスへの対応まで視野に入れて幅広く比較・検討したい場合は、以下の記事でGRCツールの選び方や主要サービスの機能を詳しく解説しています。
まとめ
監査証跡は、「いつ・誰が・何を・どうしたか」を後から追える形で残した記録の連なりです。ログや証憑とは粒度が異なり、操作や変更の経緯を時系列でたどれる点に本質があります。不正防止・監査/法令対応・内部統制の証明という目的のために、業務やシステムに応じて何を・どのくらい・どう残すかを設計することが重要です。
保存期間は会社法や税務の法令で定まる対象と、慣行で目安が示される対象を区別して押さえ、記録は自動化と改ざん防止を前提に残すのが基本です。手作業での管理に限界を感じている場合は、業務システムやIT運用の仕組みの中で監査証跡を自動的に残せるツールの活用を検討してみてください。
一括ダウンロードする
よくある質問（FAQ）
Q. 監査証跡とは何ですか？
A. 監査証跡とは、「いつ・誰が・何を・どうしたか」を後から追えるように、操作・変更・承認を時系列で残した記録の連なりです。1件の記録そのものではなく、一連の出来事を順にたどれる「証拠の道筋」を指します。システム監査・内部統制（J-SOX）・医薬品製造（GMP）など、操作や変更の追跡が求められる場面で整備が問われます。
Q. 監査証跡とアクセスログはどう違うのですか？
A. 監査証跡は操作や変更の経緯を時系列でたどれる記録の連なりで、アクセスログはそのうち「誰がいつどの情報にアクセスしたか」を担う個々のイベント記録にあたります。アクセスログのほかに、設定変更や権限付与を残すシステム証跡、データの登録・変更・承認を残すトランザクション証跡などが組み合わさって、はじめて「経緯を追える」監査証跡になります。
アクセスログ単体では「誰が入ったか」は分かっても「何をどう変えたか」までは追いきれない点が違いです。
Q. 監査証跡は何年保存すればよいですか？
A. 監査証跡の保存期間は対象によって異なり、会計帳簿・計算書類は10年（会社法）、税務上の帳簿書類は原則7年（法人税法。欠損金の繰越がある事業年度は10年）、電子取引の取引情報は電子データでの保存が義務（電子帳簿保存法）です。
一方で、アクセスログやシステムログそのものの保存年数を一律に定める法令はなく、1〜3年を目安に、自社のリスクや業界基準に応じて社内規程で定めるのが一般的です。「◯年が目安」という数字を鵜呑みにせず、自社が根拠とすべき法令・基準に立ち返って設定してください。
出典・参考資料（3件）
Q. 監査証跡は紙やExcelなどの手作業でも残せますか？
A. 監査証跡は紙やExcelでも残せますが、手作業は記録漏れや後からの書き換えを防ぎきれず、追跡性・真正性の面で限界があります。操作日時・操作者・変更前後の値といった項目を後追いの手入力に頼ると抜け落ちやすく、「同時性（その場で記録したか）」「原本性（書き換えられていないか）」を担保しづらくなります。
実務では、操作が発生したその場でシステムが自動的に記録し、訂正・削除の履歴が残る仕組みで残すのが基本です。
Q. 監査証跡の改ざんを防ぐための最低限の要件は何ですか？
A. 監査証跡の改ざんを防ぐには、記録を訂正・削除できない（またはその履歴が必ず残る）仕組みを土台に、自動記録・正確なタイムスタンプ・閲覧や操作の権限の限定を組み合わせることが最低限の要件です。
電子帳簿保存法でも、電子取引データの真実性確保として「訂正・削除の事実と内容を確認できること（または訂正・削除ができないこと）」、あるいは「正当な理由のない訂正・削除を防止する事務処理規程を定めて運用すること」のいずれかが求められています。
出典・参考資料（1件）
Q. 監査証跡はJ-SOX（内部統制報告制度）とどう関係しますか？
A. 監査証跡は、J-SOX（金融商品取引法に基づく内部統制報告制度）で、財務報告に関わる内部統制が有効に機能していることを監査人に客観的に示すための裏づけになります。誰がいつ会計データを登録・変更したかを追跡できる状態は、内部統制の基本的要素である「統制活動」「ITへの対応」が実際に働いていることの証拠となり、上場企業やIPO準備企業の監査対応で欠かせません。
出典・参考資料（1件）
GRCツールの料金・資料を一括チェック
MCB FinTechカタログでは、監査証跡の管理や内部統制に役立つGRCツールの最新資料をワンクリックで一括入手できます。対応する統制領域・監査対応機能・料金・サポート体制など、比較に必要な情報をすばやく把握できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
