組織体の情報システムのリスクに対するコントロールがリスクアセスメントに基づいて適切に整備・運用されているかを、独立かつ専門的な立場のシステム監査人が検証または評価すること。システム監査は、監査計画の策定、監査の実施（予備調査、本調査、評価、結論）、監査報告とフォローアップという流れで行われる。判断の尺度としてシステム管理基準を使うことができる。