USCPAのISCとは|出題範囲・難易度・勉強法を実例つきで解説

この記事でわかること

• ISC(Information Systems and
  Controls)とは何か。選択科目3つの中での位置づけと、AUD・旧BECからどの内容が移ってきたか
• 出題範囲(Area I 情報システムとデータ管理35〜45%・Area II
  セキュリティ・機密性・プライバシー35〜45%・Area III
  SOC業務15〜25%)と、MC60%・TBS40%という他科目と異なる配点
• 合格率(2026年上半期は60%台後半)と、「簡単そうで落ちる」理由・向いている人
• 必要勉強時間(150〜200時間)と、暗記中心の科目で得点を伸ばすAreaごとの勉強法
• IT未経験からISCを選んで合格した監査法人の同僚Uさんの学習記録と、エンジニア出身の同期がつまずいた意外な論点

著者情報:しわすゆう|USCPA(米国公認会計士)。大学在学時にアビタスのUSCPA講座を受講しUSCPAを取得。新卒でBIG4監査法人に就職し会計監査を3年経験。現在はコンサル会社に勤務。

最終更新日:2026年8月29日

「ISCは合格率が高くて計算が少ないと聞くけれど、IT未経験でも受かるのか、逆にエンジニア出身なら楽なのか、そもそも何が出るのか」と、選択科目の候補にしながら中身が分からずにいませんか。

結論から言うと、ISCとは、USCPAの選択科目の1つで、情報システムの仕組みとデータ管理、サイバーセキュリティとプライバシー、SOC(受託業務に係る内部統制)報告を扱う科目です。

AUDの発展科目という位置づけで、計算はほぼなく暗記と理解が中心のため、合格率は2026年上半期で60%台後半と選択科目の中で2番目に高くなっています。

筆者はBARを選びましたが、監査法人の同僚にはIT未経験からISCで合格した人、予備校の同期にはエンジニア出身でISCを選んだ人がいて、どちらの立場でもつまずく場所が違うことを見てきました。

この記事では、ISCの位置づけ、出題範囲と形式、合格率と難易度、勉強時間と勉強法、同僚と同期の実例を整理します。

ISCとは?選択科目3つの中での位置づけ

ISC(Information Systems and
Controls|情報システムと統制)とは、2024年のCPA
Evolutionで新設された選択科目の1つで、会計士がIT環境の監査・保証業務を行うために必要な、情報システム・データ管理・セキュリティ・SOC報告の知識を問う科目である。旧BECのIT分野と旧AUDのIT統制が発展・統合された内容で、IT監査・システム監査・内部統制の仕事を志向する人向けとされる。

まず選択科目3つの中での位置を表で確認します。

項目	ISC	BAR	TCP
正式名称	Information Systems and Controls	Business Analysis and Reporting	Tax Compliance and Planning
発展元のコア科目	AUD	FAR	REG
主な内容	情報システム・データ管理・セキュリティ・SOC業務	財務分析・管理会計・技術的会計・政府会計	個人・法人の税務プランニング
旧制度から移った内容	旧BECのIT、旧AUDのIT統制・ITGC	旧BECの管理会計、旧FARの難論点	旧REGの発展
計算問題	ほぼなし	多い	多い
2026年上半期の合格率(目安)	60%台後半	40%台半ば	70〜80%
向いている人	IT監査・システム監査・内部統制、IT知識がある人、計算が苦手な人	財務分析・FP&A、FARが得意な人	税務・会計事務所、REGが得意な人

ISCの特徴は、計算がほぼなく、MCの配点が60%と他科目より高いことです。

「暗記と理解で得点できる」科目のため、計算が苦手な人やIT知識がある人にとっては最も取り組みやすい選択科目になります。

選択科目の選び方全体は「選択科目はどれ?BAR・ISC・TCPの選び方」、BARの詳細は「USCPAのBARとは|出題範囲・難易度・勉強法を合格者が解説」で解説しています。

ISCは予備校によって講座の充実度に差があるので、アビタスの無料説明会で「ISCの教材・講義の内容とIT未経験者向けの補足があるか」を聞いておくと、この記事の出題範囲を教材の章立てと突き合わせやすくなります。

ISCの出題範囲は?3つのAreaと配点

ISCの出題範囲は、Area I
情報システムとデータ管理(35〜45%)・Area II
セキュリティ・機密性・プライバシー(35〜45%)・Area III
SOC業務の検討事項(15〜25%)の3つで、Area
IはITガバナンス・ERP・ビジネスプロセス・データ管理・IT全般統制、Area
IIはサイバー脅威・対策・インシデント対応・機密性とプライバシー、Area
IIIはSOC1・SOC2報告とTrust Services
Criteriaを扱う(2026年版ブループリント、要最新確認)。

Area別の出題範囲表

Area	配点	主な論点	発展元との関係
I. Information Systems and Data Management(情報システムとデータ管理)	35〜45%	ITガバナンスとフレームワーク(COBIT等)、ERP・会計情報システムの構造、ビジネスプロセスと取引サイクル、システム開発ライフサイクル(SDLC)、変更管理、データ管理(データベース・データガバナンス・データ分析)、IT全般統制(ITGC)と業務処理統制	旧BECのIT分野+AUDの内部統制
II. Security, Confidentiality and Privacy(セキュリティ・機密性・プライバシー)	35〜45%	サイバー脅威の種類(マルウェア・フィッシング・ランサムウェア等)、防御策(アクセス管理・暗号化・ネットワークセキュリティ)、インシデント対応と事業継続、機密性とプライバシーの原則、関連する法規制の概要	新しく重点化された分野
III. Considerations for SOC Engagements(SOC業務の検討事項)	15〜25%	SOC1・SOC2・SOC3報告の違い、Type1とType2、Trust Services Criteria(セキュリティ・可用性・処理のインテグリティ・機密性・プライバシー)、SOC報告の計画・実施・報告	AUDの保証業務の発展

出題形式と試験時間

項目	内容
試験時間	4時間
MC(4択問題)	82問(うち採点対象外のプレテスト6問程度)。6科目で最多
TBS(総合問題)	6問(うちプレテスト1問程度)。6科目で最少
配点	MC60%・TBS40%(他科目は50%・50%)
スキルレベル	Remembering & Understanding 55〜65%、Application 20〜30%、Analysis 10〜20%
受験できる時期	各四半期の最初の1ヵ月(1月・4月・7月・10月)

Remembering &
Understanding(記憶と理解)が6割前後を占め、6科目の中で最も暗記の比重が高い科目です。

MCが82問と多いため、1問あたりにかけられる時間は約1.5分で、「知っていれば即答できる」状態を作ることが得点に直結します。

ブループリントの読み方は「USCPAブループリントの読み方と活用法|4階層と配点の使い方」、AUDの内部統制は「USCPA AUD内部統制の頻出論点7つ|出題の型を実務目線で」「USCPA AUDサンプリング・IT監査の攻略|頻出パターン」で扱っています。

ISCの難易度は?「簡単そうで落ちる」3つの理由

ISCの合格率は2026年上半期で60%台後半と、選択科目3つの中で2番目に高く、コア科目のFAR・AUDより20ポイント以上高い。ただし「暗記科目だから簡単」と考えて落ちる人が一定数いて、理由は、①IT用語の量が多く日本語の対応語が定着していない、②SOC報告は監査の枠組みを理解していないと選択肢を切れない、③「知っている」と「4択で正しく切れる」の間に差があり、MC82問の正答率が伸びない、の3つである。

難しい理由	内容	対策の方向
①IT用語の量	ITGC・SDLC・ERP・暗号化方式・攻撃手法など、英語の略語と概念が数百単位で出る。IT未経験者は用語の対応語から覚える必要がある	用語集を自作し、「略語→正式名称→意味→何の統制に関係するか」の4列で整理する
②SOC報告の枠組み	SOC1とSOC2、Type1とType2、Trust Services Criteriaの違いは、AUDの保証業務の理解が前提。エンジニア出身者がここでつまずく	AUDの内部統制・保証業務を復習してからArea IIIに入る
③「知っている」と「切れる」の差	概念は知っていても、4択の似た選択肢を切れない。MCが60%を占めるため正答率の差がそのまま点数に出る	MC問題集を「正解の理由」と「他の選択肢が誤りの理由」まで言える状態で3周する
(補足)受験者層	IT実務者と「計算が苦手だから」で選ぶ人が混在。合格率はTCPより低い	—

「暗記科目だから短期間で」と考えると、用語量に押されて正答率が上がらないまま本番を迎えるのがISCの典型的な失敗です。

合格率の推移は「USCPA合格率の推移|科目別10年データと日本人の実態を解説」、合格点の意味は「USCPA合格点75点の意味と採点の仕組み|74点で落ちる理由」で扱っています。

ISCの勉強時間と勉強法は?

ISCの必要勉強時間は、IT未経験者で180〜200時間、IT実務経験者で120〜150時間が目安で、6科目の中で最も少ない。勉強法は、Area
I・IIで用語と概念を「4列の用語集」で固めながらMCを反復し(全体の70%)、Area
IIIはAUDの保証業務を復習してからSOCの型を覚え(20%)、残り10%でTBS演習と模試を行う。AUDの直後に受けると、内部統制とSOCの理解が残っているため時短になる。

Areaごとの勉強法と時間配分(180時間の場合)

Area	時間の目安	勉強法
I. 情報システムとデータ管理	65時間(36%)	ITガバナンス・ERP・SDLC・ITGCを「何のための統制か」で整理。取引サイクルはAUDの内部統制と結びつける。データ管理は用語の定義を確実に
II. セキュリティ・機密性・プライバシー	60時間(33%)	攻撃手法と防御策を対応表で覚える(フィッシング→教育・認証、ランサムウェア→バックアップ等)。暗号化は仕組みの概要で十分。インシデント対応の手順を順番で暗記
III. SOC業務	35時間(19%)	SOC1/2/3・Type1/2・Trust Services Criteriaを1枚の表にする。AUDの内部統制・保証業務を復習してから入る。報告書の構成要素を暗記
TBS演習・模試	20時間(11%)	TBSは「シナリオを読んで統制の不備や対策を選ぶ」形式。模試2回でMC82問の時間配分(1問1.5分)を固定する

ISCの勉強法で押さえる4点

ポイント	内容
①用語集を4列で作る	「略語→正式名称→意味→関係する統制」の4列で自作する。IT未経験者は最初の2週間をこれに充てる
②MCは「他の選択肢が誤りの理由」まで	正答率が7割で止まる人は、正解を覚えているだけで選択肢を切れていない。誤りの理由を言える状態を目指す
③AUDの直後に受ける	Area I・IIIはAUDの内部統制・保証業務の理解が前提。AUD合格から3ヵ月以内なら復習が30時間減る
④エンジニア出身者はSOCを先に	IT知識は武器だが、SOC報告の監査の枠組みは別物。Area IIIから入ると全体の構造がつかみやすい

受験順は「USCPA科目の受験順番|FARが最初の理由と選択科目別ルート」、AUDの学習は「USCPA AUDの勉強法|暗記に頼らない監査実務3年の攻略」、頻出論点は「USCPA ISC頻出論点|3領域の配点と最初に固める論点」で扱っています。

IT未経験のUさんとエンジニア出身の同期、それぞれの学習記録

筆者はBARを選んだため、ISCについては監査法人の同僚Uさんと予備校の同期の学習を聞いています。

IT未経験からISCで合格した同僚Uさん

Uさんは文系出身で、監査法人に入るまでIT関連の知識はほぼありませんでした。

時期	内容
AUD合格のスコアリリース	「計算が苦手なので、選択科目は暗記中心のISC」と決めて翌週から開始
1〜2週目	用語集の自作。教材に出るIT用語を「略語→正式名称→意味→関係する統制」の4列でまとめ、約300語になった
3〜6週目	Area I。ERP・SDLC・ITGCはAUDの内部統制の知識で理解できたが、データベースとデータ管理の用語で時間を使った
7〜9週目	Area II。攻撃手法と防御策を対応表にし、MCを反復。暗号化の仕組みは「概要だけ」に絞った
10〜11週目	Area III。AUDで学んだ保証業務の枠組みが残っていたため、SOCの型は表1枚で整理できた
12〜13週目	模試2回。1回目はMCの正答率65%で不安になり、「他の選択肢が誤りの理由」を言う練習に切り替えたところ2回目で78%に
14週目	受験。学習時間は合計約190時間
受験から約2ヵ月後	合格(80点前後)

Uさんは「IT未経験でも、用語集を先に作ってから教材を読んだら、あとはAUDの内部統制の延長だった。最初の2週間の用語集が全部だった」と話していました。

エンジニア出身の同期がつまずいた論点

予備校の同期にはシステムエンジニアからUSCPAを目指した人がいて、「ISCは楽勝」と考えてAUDより先にISCの学習を始めました。

つまずいた論点	何が起きたか	立て直し方
SOC報告の枠組み	SOC1とSOC2、Type1とType2の違いを「システムの話」として理解しようとして混乱した	AUDの保証業務(監査人が何を証明するか)を先に学び直してから、SOCを「保証報告の一種」として整理した
内部統制の用語	統制の「予防・発見・是正」「全般統制・業務処理統制」など、監査の分類が馴染まなかった	AUDの内部統制の章を先に終えた
4択の切り方	技術的には正しい選択肢が、会計士の視点では不正解になる問題を落とした	「試験は会計士がITを見る視点で出る」と割り切り、MCの解説を監査の視点で読み直した

同期は最終的にAUDを先に受けてからISCに戻り、合格しています。

「IT知識があるほどArea I・IIは速いが、Area
IIIと4択の切り方は監査の理解がないと逆に詰まる」というのが、同期の実感でした。

2人の実例を整理すると

• IT未経験者は用語集を最初に作る。作ってしまえば残りはAUDの内部統制の延長
• エンジニア出身者はAUDを先に受けてからISCに入る。SOCと4択の切り方は監査の視点が要る
• MCの正答率は「誤りの理由」を言えるかで決まる。7割で止まったら学習法を変える

理系・エンジニア向けの戦略は「理系・エンジニアにUSCPAは有利?ISC新設で広がるキャリア」、AUDでの詰まり方は「USCPA AUD沼の脱出法|点が伸びない5つの原因と対策」で扱っています。

ISCを選ぶか決めてから学習を始めるには

ISCは、計算が苦手な人・IT知識がある人・IT監査や内部統制の仕事を志向する人にとって、最も学習時間が少なく済む選択科目です。

AUDで内部統制と保証業務の理解が固まっているなら、AUDの直後にISCを受ける計画を立ててみてください。

逆に、FARの計算が得意なら BAR、税務の実務があるなら
TCPの方が仕事に直結する場合があります。

予備校ごとのISC講座の有無・IT未経験者向けの補足教材・模試の回数は「USCPA予備校おすすめ比較｜費用・教材・サポートで選ぶ3校」で比べてください。

「自分のIT知識の有無や志向で、ISCが合っているか」を個別に相談したい方は、アビタスの無料説明会で選択科目の選び方ごと聞けます。

よくある質問(FAQ)

Q1. ISCとは何ですか?

USCPAの選択科目の1つで、Information Systems and
Controls(情報システムと統制)の略です。

情報システムの仕組みとデータ管理、サイバーセキュリティとプライバシー、SOC(受託業務に係る内部統制)報告の3分野で構成されます。

会計士がIT環境の監査・保証業務を行うために必要な知識を問う科目で、AUDの発展と位置づけられます。

IT監査・システム監査・内部統制の仕事を志向する人向けの科目です。

Q2. ISCの出題範囲と配点は?

3つのAreaに分かれます。

Area I
情報システムとデータ管理(35〜45%)はITガバナンス・ERP・SDLC・ITGC・データ管理、Area
II
セキュリティ・機密性・プライバシー(35〜45%)はサイバー脅威と対策・インシデント対応、Area
III SOC業務(15〜25%)はSOC1・SOC2報告とTrust Services Criteriaです。

MC82問とTBS6問で、配点はMC60%・TBS40%と他科目より
MCの比重が高くなっています。

配点は2026年版ブループリントに基づくため、受験前に最新版を確認してください。

Q3. ISCの合格率と難易度は?

2026年上半期の合格率は60%台後半で、選択科目3つの中では2番目に高く、FAR・AUDより20ポイント以上高い水準です。

計算がほぼなく暗記と理解が中心ですが、IT用語の量、SOC報告の監査の枠組み、「知っている」と「4択で切れる」の差で落ちる人がいます。

「暗記科目だから短期間で」と考えると用語量に押されて正答率が上がりません。

用語集を先に作り、MCで誤りの理由まで言える状態を作れば安定して得点できます。

Q4.
IT未経験でもISCに合格できますか?

できます。

筆者の同僚は文系出身でIT知識がほぼない状態から、最初の2週間で約300語の用語集を作り、約190時間・14週間で合格しました。

Area IのITGCやArea
IIIのSOCはAUDの内部統制・保証業務の延長で理解でき、IT固有の知識はArea
IIのセキュリティ分野が中心です。

用語の対応語を先に固めることが、IT未経験者の最大のポイントです。

Q5.
エンジニア出身ならISCは楽ですか?

Area I・IIは速く進みますが、Area
IIIと4択の切り方でつまずくことがあります。

SOC報告はシステムの話ではなく「監査人が何を証明するか」という保証業務の枠組みで、AUDの理解がないと混乱します。

また技術的に正しい選択肢が会計士の視点では不正解になる問題もあります。

筆者の同期はISCを先に始めて詰まり、AUDを先に受けてからISCに戻って合格しました。

Q6.
ISCの勉強時間はどれくらいですか?

IT未経験者で180〜200時間、IT実務経験者で120〜150時間が目安で、6科目の中で最も少なくなります。

Area I・IIに約70%、Area
IIIに約20%、TBS演習と模試に約10%の配分です。

AUD合格から3ヵ月以内に受けると、内部統制と保証業務の復習が30時間ほど減ります。

MCが82問あるため、1問1.5分の時間配分を模試で固定しておいてください。

Q7.
ISCはどんな人に向いていますか?

計算が苦手な人、IT知識がある人、IT監査・システム監査・内部統制の仕事を志向する人です。

MCの配点が60%と高く、暗記と理解で得点できるため、FARやREGの計算に苦労した人には最も取り組みやすい選択科目です。

BIG4のIT監査部門やシステムリスク部門、事業会社のIT内部統制の仕事に内容が直結します。

選択科目はどれを選んでも取得できる資格は同じUSCPAで、業務範囲の制限はありません。

まとめ:ISCは「用語集」と「AUDの理解」で得点が決まる

この記事の要点を再掲します。

• ISCとは、AUDの発展としてIT環境の監査・保証に必要な知識を問う選択科目。旧BECのITと旧AUDのIT統制が統合された内容
• 出題範囲はArea I 情報システムとデータ管理35〜45%・Area II
  セキュリティ35〜45%・Area III
  SOC業務15〜25%。MC82問・TBS6問、配点はMC60%・TBS40%
• 合格率は2026年上半期で60%台後半。落ちる理由はIT用語の量・SOCの監査の枠組み・4択を切れない、の3つ
• 勉強時間はIT未経験で180〜200時間、IT経験者で120〜150時間。用語集を4列で作り、MCは誤りの理由まで、AUDの直後に受ける
• 同僚UさんはIT未経験から用語集300語を先に作り約190時間で合格。エンジニア出身の同期はSOCと4択の切り方で詰まり、AUDを先に受けてから合格
• 向いているのは計算が苦手な人・IT知識がある人・IT監査や内部統制を志向する人

ISCは合格率の高さで選ばれがちですが、用語の量と監査の視点を軽く見ると落ちる科目です。

まずAUDの内部統制の理解を確かめて、教材に出るIT用語を4列の用語集にまとめるところから始めてみてください。