システム監査技術者 COSO・COBIT の使い分け

システム監査技術者（AU）試験では、COSO と COBIT の使い分けが頻出します。両者の位置付けを混同せず、論述で正確に使い分けることが評価のポイントです。

COSO は『内部統制の総論的フレームワーク』。統制環境・リスク評価・統制活動・情報と伝達・モニタリングの 5 構成要素で構成されます。財務報告に関する内部統制（J-SOX 対応）の文脈で多用されます。

COBIT は『IT ガバナンスの実装フレームワーク』。COBIT 2019 では 40 のマネジメント目標と 11 のガバナンス目標を定義します。COSO の上位概念を IT 統制に具体化した位置付けです。

使い分けの目安: 全社的な内部統制を述べるなら COSO、IT 部門の統制成熟度を述べるなら COBIT、両方が絡む場合は『COSO の枠組みを COBIT で IT に展開した』と書きます。

AU 論述では『監査の判断基準』として両者を引用するのが安全。具体名を出すだけで論述の権威性が高まります。