CSA と ISO の世界に挑戦︕
⽇本システム監査⼈協会 理事
IT アセスメント研究会 主査 松尾正⾏
１．はじめに60歳定年という会社⼈⽣から⾒ると、私がシステム監査⼈の世界に⼊ったのは会社卒業後ということになる。
本稿では現役時代の経験を IT ガバナンスの視点で振り返るとともに、ISO での活動を紹介して CSA や CSAを⽬指す⽅々のお役に⽴てればと考え筆をとる次第である。
私は⼤⼿海運会社（以下当社）に⼊社し、20 歳代からコンピュータ部⾨（当時は事務管理室）勤務となり、IBM S/360 をはじめメインフレームのプログラマーがキャリアのスタートであった。その後、システム設計やシステム企画部⾨を経験して、国際オンラインシステムの開発・運営に携わり、IT 部⾨の責任者に⾄った。会社⽣活で半分の期間は海外とのシステム開発や運⽤に関わり、うち 11 年間は⽶国に駐在してインド、⾹港などの拠点と協業する形でシステム開発と運⽤の責任者を勤めた。本社からの出向者数名をのぞき、300 名近い技術者はすべて外国⼈で出⾝国籍は 30 か国を超えていた。
IT 部⾨がコストセンターとみなされる傾向は当社でも同様だが、国際オンラインシステムはコンテナ輸送業務の中核であり、ユーザは世界中におり、費⽤も巨額に上るため、ビジネス部⾨や経営の要求は極めて厳しいものであった。社内でも突出して IT ニーズが⾼く、本社⽤とは別の IT 部⾨を組織していた。経営のリーダシップによる組織の⼤改⾰と IT ガバナンスの改⾰も経験した。
61 歳で⽶国勤務から帰国し（2006 年）、いよいよ引退と考えていたのだが、内部監査部⾨（現経営監査部）からオファーを受けた。2008 年度から始まる内部統制制度（J-SOX）の IT 関連の整備を頼みたいとの要請であった。結局その後 13 年間にわたって J-SOX とシステム監査を担当することとなった。
２．現役時代の業務（背景）
2.1 海運はネットワークビジネス
国際海上輸送は古くは外国航路（略して外航）と⾔われ、横浜や神⼾の港からロサンゼルスやサザンプトンといった外国の港へ貨物を運ぶビジネスである。世界中のあらゆる国・港に代理店を置き、貨物の集荷営業、積み込みと引き渡し、運賃の回収、費⽤の⽀払いから船の⼊出港⼿続きに⾄る現場業務を⾏っていた。世界中に張った営業ネットワーク資産があってのビジネスである。
コンテナの海上輸送は 1956 年⽶国の国内輸送から始まり、私の⽶国勤務の最終年となった 2006 年は海上コンテナ輸送開始の 50 周年といわれる。⽶国から帰任する際に友⼈が餞別にくれた書籍（＊1）に輸送モードの変⾰過程が詳しく書かれており、単なる輸送技術の変⾰ではなく、既存の輸送インフラ（道路、鉄道、船舶）、商慣習と権益、法制などを巻き込んだ輸送ビジネスの⾰命だと述べられている。
＊１ The Box That Changed The World, Containerization and Intermodal Institute12.2 ビジネス変⾰の波2.2.1 輸送⽅式の変化（モーダルシフト）
⽶国におけるモーダルシフトが 10 年以上遅れて⽇本やアジア諸国に押し寄せてきた。⽇本のコンテナ専⽤船が太平洋航路に初就航したのは 1968 年であった。
⻑年「港から港まで」という海上部分のみの輸送ビジネスが、コンテナ輸送では「Door to Door」というコンセプトでビジネスの範囲が広がり、かつ輸送の⼿段もコンテナを単位として陸上輸送までカバーし、いわゆる複合⼀貫輸送（マルチモーダル）に拡⼤した。船は輸送の⼀セグメントに過ぎなくなり、膨⼤な情報を扱うため IT の⽀援がないとビジネスが成り⽴たない劇的な変化が発⽣した。
2.2.2 組織の変化（代理店網から現法化へ）
ビジネスの変⾰は組織の変化も求める。伝統的な代理店ネットワークでコンテナ輸送ビジネスを⾏うことは不可能となり、当社も各国、地域に現地法⼈を設⽴して⾃営形態へと変わらざるを得なくなった。
業務体制も代理店任せから、⾃前の体制へと変化を余儀なくされた。業務プロセスの標準化と IT の⽀援が不可⽋になったことは⾔うまでもない。しかし、100 か国を超える国、地域の業務プロセスを⼀気に標準化することはそれまでの海運業界では⾄難の業だし、要員も⼗分ではなかった。
2.2.3 IT ニーズの顕在化
前述のとおり現場の業務はすべて代理店依存というのが伝統的なビジネス形態である。本社の社員は現場の業務については詳しくはない。現場では本社の意向がどうであれ、現場の都合を優先することになる。典型的な部分最適の構造であった。
コンテナ輸送ビジネスでは、旧来の代理店依存の仕組みから脱却し、全体最適かつグローバルな⾃前の仕組みが必要とされた。特に IT を活⽤したビジネスプロセスの標準化、最適化、スピード化の重要性が認識された所以でもあり、経営レベルでの IT ガバナンスの重要性が顕在化したといえる。IT を業務プロセス⾰新のツールとして位置付けることも認識された。
３．IT 化競争と IT リテラシー（⽶国での IT 利⽤）
3.1 IT 化の歩み
コンテナ輸送は北⽶航路を⽪切りに、豪州航路、欧州航路・・・と順を追って拡⼤していった。IT 化といってもいきなりオンラインシステムができるわけではなく、まずは必要な情報のデータ化と輸出側と輸⼊側でのデータ交換システムの構築や双⽅でのシステム化が必要になった。
⼤まかに変遷を記すと次のようになる。
1968 年〜

輸出側、輸⼊側のドキュメンテーション業務の機械化（分散型システムの導⼊）
⽇本国内オンラインシステムの導⼊1973 年〜

GE 社のタイムシェアリングシステムを使った電⼦データ交換網（EDI）の稼働

1980 年頃

第⼀次北⽶オンラインシステムの稼働（東京のメインフレームと⽶国の分散機）

2

3.2 北⽶システムの開発と失敗
第⼀次北⽶システムは⼤掛かりなプロジェクトで開発されたが、⽶国、カナダ、メキシコの現場の不満は解消せず、評価は芳しくなかった。当時の⽇本⼈のシステム感とは⼤きく異なり、北⽶のシステム依存度が数段⾼かったためである。
抜本的な解決策として、本社のシステム部⾨に全⾯的に頼るのではなく、北⽶にシステム専⾨会社を設⽴してシステムの開発運⽤も⾃主的に⾏うことを決定した。
1988 年頃、⽶国（ニュージャージ州）にシステム専⾨の現地法⼈が設⽴され、システム開発が始まったが、ビジネス⽤には普及していなかった UNIX 系のサーバー、ワークステーションで GUI を使ったシステム開発を提案してきた⽶国の業者に発注してしまった（Windows 95 発売の 8 年前のこと）。
私は⾃⼰都合で⽶国赴任できず直接かかわってはいないが、プロジェクトの進捗に不安を持った事業部⾨から、プロジェクトの具体的進捗、技術などに関する診断を頼まれ、1990 年に約半年間ニューヨーク事務所に常駐した。いわゆるプロジェクト監査で、⽶国とオランダの開発拠点を調査して、報告書を本社に提出した。
報告書は、プロジェクト管理、外注管理、技術の適合性などに各種の問題を抱えているという内容で、関係者を驚かせた。その正しさは稼働初⽇にシステムを停⽌せざるを得なくなったことが証明している。2 年の時間と百億円を超える予算の浪費であった。(*2)＊２ 「私の履歴書 ⽣⽥正治」 ⽇本経済新聞 2011 年 1 ⽉
3.3 ⽶国赴任で再挑戦
本社は現地法⼈の改組、システム開発体制の刷新、技術の⾒直しなどの⽅針を決め、プロジェクトの責任者に私が指名され、副社⻑として 1991 年 8 ⽉赴任した。組織、要員、技術、業務プロセスなどすべてを短期間でやり直すことが⾄上命題であった。数か⽉後、プロジェクト計画と予算書を携えて、私は本社の予算委員会で承認を求めたのだが、経営層、他部⾨から猛烈な批判に晒されたことは⽣涯忘れられないだろう。
それでも何とか 2 年で新システムの基本部分を稼働させ、その後も順調に機能拡張を続けることができた。
施策の内容を書く余裕はないが、次のようなポイントであった。
１， 組織の改組とプロジェクト体制の明確化
２， 現地採⽤の技術者、ビジネスプロセスの専⾨家などの⼊れ替え
３， 業務部⾨のビジネス要件整理体制の再編成
４， 開発⼿順の明確化とプロトタイピング体制の設定
５， サーバー、OS、ミドルウェア、データベース管理システムの選定のやり直し
実態はこのような整然としたものではなかった。現地要員の採⽤だけでも 100 名近い⾯接を⾏った。メーカ各社の提案審査にも苦労したし、圧⼒も受けた。最も⼤変だったのはユーザ対応であった。⽶国でもユーザが主体でシステム部⾨は下請け的な発想があり、⽶⼈の上層部までそのような考えだったのでその対応にも神経を使わざるを得なかった。本社の⽴場から現法へと⽴場が変わるとかくも⼤変かと⾝に染みた次第である。
新システムの稼働によりようやく希望通りの機能を⼿にしたユーザ部⾨の不満は激減し、批判⼀本やりであった本社側に北⽶システムの認識変化が出てきたのは収穫であった。

3

3.4 アジアへの展開
1997 年春に帰国して情報システム室の専任部⻑となったが、アジア地域本社(⾹港)から、北⽶システムをアジア（⽇本を含む 15 か国）向けに展開したいという提案が出てきた。開発部隊を⾹港とインドに置いてプロジェクト化したいという。アジア地域を統⼀システムでカバーするという構想は⼤きな効果が期待できること、北⽶システムのノウハウ活⽤と⽶⼈技術者にも挑戦の機会ができること等、メリットも⼤きいので本社は推進を決め、私は本社側で⽀援することとなった。2000 年にはアジア全域をカバーすることができた。
当時、欧州地区では別のシステムを利⽤していたが、アジアと北⽶が同じシステムを使うことで、コンテナ輸送の⼤動脈をカバーでき、本社には安⼼感が漂ったと思う。しかし、この考えは⽢かった。
４． 世界統⼀システムへ
4.1 トップの交代とガバナンスの違い
1999 年 6 ⽉、当時世界最強のコンテナ船会社であった⽶国の A 社の会⻑であった GH ⽒が当社の副社⻑に迎えられ、コンテナ輸送部⾨のトップになった。(*2) まもなく私は彼に当社の IT 状況を詳しく聞かれた。本社の経営者で IT に関⼼を寄せた数少ない⼈物である。
GH ⽒は当社の組織とシステムが航路・地域・国ごとのサイロ状態であることに驚き、これでは競争⼒の維持は難しいと直感したようである。北⽶、アジア、欧州それぞれでシステムは円滑に動いていたので、経営陣は、なぜシステムを統⼀しないのかという GH ⽒の指摘を受けて驚いたと思う。このころ海外の競合⼤⼿は盛んに⾃社の IT のすばらしさを喧伝していたし、E-コマースのスタートアップが続々とこの分野へ進出してきた時期でもあった。
＊２ 「私の履歴書 ⽣⽥正治」 ⽇本経済新聞 2011 年 1 ⽉
4.2 組織の⼤改⾰と再渡⽶
2000 年 3 ⽉、私は役職定年で退職となったが、コンテナ事業部⾨がシステム担当専任部⻑のポストを⽤意して迎えてくれた。
GH ⽒を中⼼に、コンテナ輸送ビジネスの⼤改⾰が始まった。
組織⾯では仮想の社内分社「仮想コンテナ会社」を実施し、GH ⽒がリーダシップをとって本社、各地域のトップに経営、投資、業務戦略を説き、それを⽀える IT 機能では、各地に分散しているシステムを統⼀して、単⼀のシステムで世界をカバーすることを決めた。明確なガバナンス⽬標である。
私は IT 責任者としてエグゼクティブ会議のメンバーとなった。ガバナンスやリーダシップの最前線に出たわけである。2001 年 8 ⽉、GH ⽒により私は古巣の⽶国現法社⻑に任命され再渡⽶した。今度の役割は、地域システムからの脱却と世界統⼀システムの整備であり、組織的には⽶国、⾹港、インドおよび欧州（オランダ）の IT 現法の社⻑兼務であった。要するに世界中のビジネスプロセスを標準化しそのツールとしての IT ネットワークを整備せよということであった。
GH ⽒はただ指⽰を出すだけではなく、各地の⼈事管理や問題対応でも親⾝に⽀えていただいた。毎年の予算説明でも開発計画や懸案事項などを詳しく聞き、問題解決のポイントも⼗分掌握して各部⾨へ指⽰を出してくれた。⽇本の会社ではあるが、彼のガバナンス⾏動は⽬的指向かつフラットで階層や障壁を感じさせず、スピ4

ード感があった。
世界統⼀システムプロジェクトは IT 技術者たちを⼤いに⿎舞し、開発は順調に進み 2004 年にはほぼ世界中を単⼀のビジネスプロセスと標準システムでカバーする体制が整った。私は南⽶、アフリカを含め各国を回って現地トップの⽀援を求めた。東京本社で開かれるエグゼクティブ会議の折には、必ず⾹港とインドの開発拠点にも出向き多くの技術者と話し合う機会を設けた。内部ステークホルダーエンゲージメントの⼀環といえる。

【コラム】
2001 年の渡⽶直後、9 ⽉ 11 ⽇ 8:45 世界貿易センター（WTC）の同時多発テロ事件が起こった。私はちょうど通勤中で⾼速道路を南下しており WTC は視野から離れていた。事務所について社員が騒いでいて初めてテロに気づいた。当時息⼦が⽇本から夏休み休暇に来ており外出する直前であった。急いで電話して外出はやめさせたのだが、⾃宅からは現場の⿊煙が⾒えているとのことであった。社員の家族で⼀⼈犠牲者がでたのだが、⾼速道路をはじめ主要道路はほぼ閉鎖され、⽶⼈スタッフが懸命に社員の帰宅、帰宅困難者の宿泊など⼿配してくれた。
⾃分は⼤きく迂回ルートを使って検問渋滞の中、帰宅できたのは夜中であった。
実は当社の事務所は WTC1 にあり慣れ親しんでいたのだが 1990 年に対岸のニュージャージ州側に移転しており 1993 年の地下爆破事件からも免れた。在⽶中に 2回の WTC テロがあったことになる。
9/11・⽶国⾚⼗字社への寄付贈呈式

4.3 ガバナンスの成果
世界統⼀システムの完成は、輸送の可視化、業務の効率化は⾔うまでもなく、組織にも⼤きな変化をもたらした。成果の⼀例として、各国で⾏っていた船積み書類の作成業務がインドと中国のドキュメンテーションセンターで集中処理可能となり、24 時間体制で世界中をカバーできるようになった。今では多くのバックオフィス業務を受託するまで発展して実質社内の BPO センターとなっている。実はこの構想は 1995 年⽶国 A 社のコロラド州デンバーおよびフィリピン（マニラ）のドキュメンテーションセンターを⾒学させてもらって以来のアイデアであった。A 社は統⼀の IT ネットワークを活⽤して世界中のドキュメンテーション業務を、遠く離れたコロラド州とマニラで処理していたのである。2017 年、私はシステム監査でムンバイを訪れたことがあった。
その機会に同地のドキュメンテーションセンターを訪れたが、500 ⼈を超える社員が北⽶、欧州、アジアなど各地の時間帯に合わせて整然と業務をこなし、休憩時間には若者が交流する姿は感慨深いものであった。
ドキュメンテーションセンターの開設準備（2005 年ムンバイ）
5⻑々と書いたが、IT は組織において多層のステークホルダー（経営陣、管理者、技術者、ユーザ、サプライヤーなど）の期待と尽⼒によって成り⽴っている。コンテナ輸送ビジネスにおける DX ともいうべき組織や ITの進化は持続しており、後年 IT ガバナンスに関わって、体系的な理論を学び、過去の経験を当てはめてみると驚くほど合致していることがわかった。
５．システム監査の世界へ
5.1 内部監査部⾨
61 歳で⽶国勤務から帰国した（2006 年 9 ⽉）
。 帰国の挨拶に⾏くと、担当専務が、「⼤変ご苦労様でした。
これからもできるだけ⻑く会社にいて後進達を指導してください」と変なことをいう。
システムアドバイザという名⽬で⼀年ほどリハビリしていた 2007 年夏、内部監査室（現経営監査部）からオファーを受けた。専務の意図は、内部監査室のポストを⽤意してあるということであった。その後 13 年間にわたってシステム監査制度の導⼊と運⽤を担当することとなった。まずはシステム監査の知識が必要と考え、ISACA で CISA 資格を取得した（2008 年）。
本社のシステム部⾨は常々管理系システムの開発や運⽤に追われている。⼀⽅で、多くのグループ会社は IT化のニーズは増えるものの本社の⽀援が受けられず不満を持っている。内部統制や内部監査を担当してグループが抱える IT リスクが良く分かった。内部監査部⾨はグループ全体を客観的に俯瞰できる⽴場であり、IT の問題にも切り込めるのではないかと考えた。そのためにはシステム監査の理論や実践を学ぶ必要があり、CSA資格の認定に挑戦した（2010 年）。
本社および国内、海外の多数の関係会社はそれぞれ個別に IT を導⼊しており、安定運⽤やセキュリティ状況を把握し改善することは本社 CIO の責任であることが認識され、J-SOX に加えてシステム監査制度を導⼊する提案が承認された。
（2009 年）
システム監査制度の導⼊にあたり、システム監査規程、システム監査⼿順、全般統制を基にしたチェックシー
ト(COBIT ベース)、サイバーセキュリティ/標的型攻撃対策のチェックシート(経済産業省、NIST ベース)、船上サイバーセキュリティガイドライン（BIMCO 他）なども整備し、監査体制、監査内容の標準化を図った。
2018 年 3 ⽉で退職するまでに本社 IT 部⾨を含め年間３~４社のシステム監査を実施した。⽇本、英国、⾹港、シンガポール、タイ、インド、フィリピンと範囲が広がり、様々な業種で構成するグループの IT 事情に関する視認性が⼤きく向上し、システム監査制度は定着した。グループの情報セキュリティ向上にも寄与したと考えている。さらに初めてグループの IT 資産、要員、費⽤やセキュリティ対策などの全貌が把握できた。CIOや経営陣の視点に⽴てば⼤きな収穫であったと思う。課題はこれだけの制度の運⽤を継承できる⼈材がどこまで続くかということである。
退職後も、会社の要請でグループの会社でコンサルタントを続けている。いずれも⼤⼿企業だがプロジェク
ト管理や品質評価の⼈材は⼿薄である。
5.2 システム監査基準研究会（現 IT アセスメント研究会）と ISO プロジェクト
2010 年、⽇本システム監査⼈協会へ⼊会し、鈴⽊会⻑（当時）にシステム監査基準研究会への参加を勧められるままに、同研究会(松枝主査)の⾨をたたいた。社内のシステム監査制度や内部統制制度の整備で監査・管6理基準や COBIT は利⽤していたし、現場でのシステム開発、運⽤にも詳しいのだが、システム監査の専⾨家の視点や実践事例を学びたい期待は前述の通りである。
監査基準研究会では、当初 ISO プロジェクトの話はなかったが、2012 年 10 ⽉、ISO の国内⼩委員会メンバーであった⼒副会⻑の代理でダブリンでの SC7（当時︓SC40 の前⾝）中間会議に出てはどうかという話が持ち上がった。ISO の会議には⾃国の標準機関（National Board︓NB）での「Expert」登録者が参加でき、私はもちろん資格はないが、⼒副会⻑の代理で参加せよという。別の懸念は勤務先が会社業務以外での出張を認めるかという点であった。幸い会社の⼈事部は特別休暇でどうかと助け船を出して承認してくれた。当協会の予算⽀援を受け、私は年⼆回の会議にほぼ継続して参加することとなった。正式に「Expert」になったのは 2017
年に情報セキュリティ⼤学院⼤学の客員研究員として、⽇本規格協会の「エキスパート」となってからである。
5.3 ISO SC40 の活動
IT ガバナンス標準は豪州規格 AS8015:2005 を基に ISO/IEC 38500:2008（2015 年に改定）を中⼼とした標準シリーズで構成されるが、その開発や改定は ISO/IEC JTC1 SC40（IT サービスマネジメントと IT ガバナンス）で⾏われる。SC40 は JTC 1/WG 8, SC 7/WG 25, SC7/WG 27 を⺟体として 2013 年 JTC 1 総会（第⼀合同技術委員会）で設⽴された。その⽬的は「IT ガバナンス及び IT サービスマネジメントに関する標準，ツール，枠組み，ベストプラクティス及び関連する⽂書の作成を⾏うこと．その IT 活動領域には，監査，デジタルフォレンジック，ガバナンス，リスクマネジメント，アウトソーシング，サービス運⽤及びサービス維持が含まれる」となっている。
現在は WG1（IT ガバナンス）,WG2（IT サービスマネジメント、同インフラストラクチャー(旧 WG4)）,WG3（IT を使った BPO）という 3 つの作業グループで構成されている。
会議の構成は議⻑（Chair）と事務局(Manager)が総括して、作業グループ(WGʼs)にはそれぞれコンビナー・招集者（Convener）が任命されている。現在、議⻑は Ms.ジャン ベッグ（豪）、事務局は Ms.スバ アナンス
（豪）
、コンビナーは Mr.レイ ウオルシー（WG1、アイルランド、2022 年 1 ⽉から）、Dr.スーザン D. バン
ホーブ（WG2、⽶）、榎本⽒-⽇本 IBM（WG3）である。
標準規格の開発は各 WG 内のプロジェクトで⾏われるが、それぞれのリーダーとして編集⻑（Editor）が当たり、各国の Expert が参加する。WG1 が扱う
ISO/IEC 38503 の開発の場合、Editor は⽇本の原⽥教授、Co-Editor に南アフリカ、インド、ポルトガル、スペインの代表が当たり、他はエキスパートとなる。
私は Editor の要請によりすべての編集会議に参加した。
リスボン会議の開会式(2018 年)

7WG1 が扱う IT ガバナンス標準は多数あるので ISO/IEC38500 シリーズとして下図（点線内）を参照いただ
きたい。
WG2 は ISO/IEC 20000 - Service management 、WG3 は ISO/IEC 30105 IT Enabled ServicesBusiness Process Outsourcing (ITES-BPO) lifecycle processes などを扱っている。
テーマによっては SC40 のみでは扱えない案件があり、他の委員会と共同で開発にあたる。
SC27: IT セキュリティ技術
SC42: ⼈⼯知能（AI）
TC307: ブロックチェーンと分散台帳技術
TC309: 組織のガバナンスなどで、SC40 はこれらの委員会とは相互に連絡役(Liaison)を任命して情報交換をしている。
⽇本の窓⼝（National Body︓NB）としては SC40 委員会があり、WG1 レベルでは SC40 WG1 ⼩委員会がある。国際標準の投票には NB が当たるため、その審議やコメントの作成は⼩委員会、委員会で⾏われる。
SC40 が扱う ISO 標準の概観は下図の通りである。
（緑破線内）The OECD Principlesof Corporate
Governance他

ISO/IEC 38500グループ規格

組織のガバナンス

ISO/IEC 37000

ファミリー標準
標準モデル

データガバナンス

ISO/IEC 38505 -1

フレームワークとモデル

ISO/IEC TR 38502
原則基準のITガバナ
ンス標準

その他のガバナンス規格
類

38505-1のデータ管理への影響

組織のためのITガバナンス

ISO/IEC 38505 -2

ISO/IEC 38500 -2015

データガバナンス：デー
タ分類ガイドISO/IEC TR 38504

ISO/IEC TS 38505-3
IT化投資のガバナンス

ITガバナンス導⼊ガイド

ITガバナンスのアセ
スメントガイド

ISO/IEC TS 38501

ISO/IEC 38503:2022

ISO/IEC 38506

AI利⽤のITガバナンスへの影響

ISO/IEC 38507

コア標準

プラットフォーム基準のデジタルトランスフォー
メーション

開発済み
開発中

ISO/IEC 38508
7

TR: Technical Report(標準報告書)
TS: Technical Specification（標準仕様書）
5.4 ISO/IEC 38503 の開発
5.4.1 沿⾰
「IT ガバナンスのアセスメント」標準（ISO/IEC 38503）は⽇本が提案した標準であるが、⻑期にわたる開発期間を要し、3 度⽬の挑戦でようやく発⾏できた。
主な沿⾰は次の通りである。

82011 年頃 ISO/IEC TR 30120 “IT Audit – Guideline for Governance of IT”
(中略)
2014

ISO/IEC PDTR 38503 “IT Governance – Assessment of Governance of IT”

2017/10SAAJ より SC40WG1 国内委員会に参加

2017/5岡⼭会議

2017/11

レドモンド会議（⽶国ワシントン州︔新規プロジェクト⽅針の決定）

2018/6

リスボン会議で NWIP 承認（3 度⽬）

2018/11

シドニー会議2019/6

パリ会議

2019/10

ソウル会議（以後、新型コロナのため、オンライン会議に変更）

2021/12FDIS（Final Draft IS）承認

2022/1

ISO/IEC38503:2022 発⾏

当初の⽇本提案には「システム監査」というタイトルがついており、⽇本のシステム監査基準、システム管理基準を⺟体とした「IT ガバナンスの監査」提案となっている。諸外国の専⾨家からは IT ガバナンスを監査するというコンセプトの違和感、プロセスアセスメントには ISO/IEC 33000 シリーズがすでにあること、そもそも経営陣を監査する内部組織などあり得ない（韓国）など反対論が根強く、2017 年までに 2 回ほどプロジェクトは期限切れとなった。
「システム監査」を「IT アセスメント」に変更したのは 2014 年だが、⽂書案にはガバナンスとマネジメントが混在しているなどの理由で⼤幅な⾒直しを要請され、「IT ガバナンスのアセスメント」に収斂した。
2018 年 6 ⽉、リスボン会議でようやく 3 度⽬のプロジェクトが承認された。同時に WG1 のコンビナー選挙が⾏われ、韓国の Dr.キムが選出された。この時点から韓国の反対論はなくなった。
5.4.2 編集メンバーと編集⼿順
別の項でも触れたが、38503 の開発に中⼼的に関わったメンバーは次の通りであった。
⽇本︓ 原⽥要之助 (情報セキュリティ⼤学院⼤学客員教授, JISC ,Editor), 松尾 正⾏(JISC)
南アフリカ︓ Mr.マックス ブレチャー（Co-Editor, SABS)
スペイン︓

Dr. カルロス フイス (バレアリス諸島⼤学教授)

ポルトガル︓ Mr.ホセ A. コスタ(Co-Editor, リスボン⼤学)
インド︓

Mr.サンジブ アガルワラ (Co-Editor, BIS)

メンバーは⽂書の各章、付属表を分担して執筆し、全員でレビュー、修正する作業であった。私は “7 章 アセスメント活動”と“付属表; アセスメント フレームワーク”を担当した。実は付属表が最も分量が多く、当初⽇本が提案した部分が中⼼となっていた。とはいえ。⽂書は全員参加で完成したものであった。
編集会議は英語ネイティブのマックス(南アフリカ)が進⾏役を勤めることが多く、会議の効率化に貢献⼤であった。彼は ISO/IEC TS38501 開発のキーマンでコンサル会社の創業者、セミナーでの講演も多い。2012年のダブリン会議以来の“盟友”でもある。 ホセは WG1 のセクレタリーも務め、ブラジルをはじめ出張が多く

9エネルギッシュで⽇本⼤好き⼈間、カルロスは⾃分の勤める⼤学の IT ガバナンス実践の事例論⽂を提供してくれたので邦訳して IT アセスメント研で共有した。サンジブは博⼠論⽂挑戦中のコンサルタントで、分析⼒、聡明さにはいつも感⼼させられる。
他にも節⽬で助⾔をしてくれた⽅々がいる。ISO に限らず ISACA や他団体でも著名な⼈々である。
オーストラリア︓ Mr.マックス シャナハン、Mr.ジェフ クラーク (SA)デンマーク︓

Ms.カレン L. ロウリツセン（SC40 Secretary）

カナダ︓

Mr.ジョン ソープ、Mr.ジョン ウォン (SCC)

韓国︓

Dr.グエン-ミン キム (梨花⼥⼦⼤学校教授, WG1 Convener): 2021 年 12 ⽉まで。

ISO/IEC 38503 の開発（2018 年以降）にあたって、賛否投票とともに各国から出されたコメント総数は563 件に上り、Editor を中⼼として編集会議で個別に審査して採否をきめ、CRM（コメント処理会議︓各国代表参加）で討議・決定する。担当者は採択されたコメントを反映して⽂書を改訂して次のステップに進み投票にかける。編集会議では最初の WD ⽂書の作成から始まり、各段階でコメントを反映した⽂書を作成するため膨⼤な作業と会議をこなす必要があった。このような⼿順の繰り返しにより当初 3 年間の予定は⼀年延びて 4年間のプロジェクトとなり、サンジブの集計によると編集会議は 111 回に及んだ。会議は主としてオンラインで開催した。時差があるため、深夜、早朝の会議も避けられなかった。年２回ほどあったオンサイト会議は重要な進展の機会であったが、コロナ禍ですべてオンライン会議を余儀なくされたのが残念であった。
ステップ コメント数

時期

⽂書のレベル

WD︓2202018/7

エキスパートレベルの作業⽂書 (Working Draft)CD︓

152

2019/5

委員会レベルの公式⽂書 (Committee Draft)

CD2︓

123

2020/5

同上（第⼆版）

DIS︓

65

2021/5

国際標準のドラフト (Draft International Standard)

FDIS︓
IS︓

3-2021/12
2022/1

国際標準の最終ドラフト (Final DIS)
国際標準完成版発⾏ (International Standard)

WD、CD は SC40 事務局が管理するが、DIS 以降の⽂書・コメントは ISO 中央事務局（Central Secretary︓スイス）の管理となり、中央事務局がコメントを出す場合もある。コメントには 3 種類ある。
GE ⼀般︓ ⽂書全般の内容や構成
ED 編集︓ ⽂法、⽤語など
TE 技術︓ モデル、フレームワーク、記述等技術的コメント
GE と TE は標準規格の本質に関わることが多く、編集会議、各国 NB を交えた CRM などで議論が集中するので、編集チームにはそれをまとめる⾒識と準備作業が必要である。
ISO の活動、委員会の設置、⽂書の構成、⽤語の使⽤法、図式の構成など多岐にわたる⽅針を定めた標準ルールとなる専⾨業務⽤指針（Directives）が準備されている。すべての標準⽂書が整然と作成されるためのルールで、意⾒が分かれた場合などに参照する機会が少なからずあった。
10

SAAJ が 2020 年 6 ⽉発⾏した「情報システム監査実践マニュアル(第 3 版)」第 3 部 “IT ガバナンスにおけるアセスメントのポイント”に IT ガバナンス制度の導⼊サイクル、アセスメントの⼿法、具体的なフレームワーク（別表）などを詳しく記載している。ISO/IEC 38503:2022 は 2022 年 1 ⽉に正式発⾏されたので、そちらと合わせて利⽤いただきい。また、38503 の JIS 化計画も進められている。

【コラム】
写真はマイクロソフト本社(レドモンド)で WD を議論したときのものである。会議室の壁全体が⽩板に囲まれており、ホワイトボードに向かって議論をまとめていくことは、いずこも同じである
⼀週間の会期中、ソーシャルアクティビティと称して⼀度は合同の⼣⾷会、飲み会がある。岡⼭会議では岡⼭市による神楽のパフォーマンス付きの⼣⾷会、レドモンドでは MS キャンパスのキャンティーンでの飲み会、リスボンは⽼舗ホテル最上階から旧市街とテージョ河畔を⾒ながらの⼣⾷会、シドニーでは SA 主催のカクテルパーテ
ィやロック歴史地区での飲み会、パリでは AFNOR 招待で「ワイン博物館」の地下レストランでの⼣⾷会、ソウルでは JS ホテルでの⼣⾷会など多彩である。多くは⾃⼰負担だが、皆で無礼講の話ができる貴重な機会であり、出張中の僅かな楽しみでもある。

5.5 IT ガバナンスをめぐる新しい取り組み
ISO/IEC 38500:2015 シリーズの在り⽅を検討するため、SC40 はアドホック会議を編成し⼀年かけて現状分析、今後の⽅向性の調査検討を⾏い、報告書を提出した。2020 年 5 ⽉に出された最終報告によると ISO にはガバナンスを扱う委員会が 10，ガバナンスをテーマにするプロジェクトが 15 あることが判明した。これらは相互に整合がとられているものと、いないものが混在している。
38500 改定プロジェクトは 2020 年に SC40 内に編成され、3 年かけて新標準 ISO/IEC 38500:202x を発⾏すべく活動している。⽇本も SC40WG1 ⼩委員会を中⼼として参加しており、私も継続して会議に参加している。
5.5.1 プロジェクトの⽅針
SC 40/WG 1 が活動の中⼼(The centre of excellence)となり、IT、データ、デジタル能⼒の責任ある戦略的利⽤のためのガバナンスの決定的な知識源となる。

11

1. インプット• 「デジタルトランスフォーメーションと新しいデジタルリアリティに関するJTC 1/SC 40 WG 1 AHGの報告書」改善の機会• JETI（JTC 1 Emerging Technology and Innovation advisory group）の 2019 年報告書で概説された技術から表⾯化する可能性のあるガバナンスの意味合い• 他の新興技術諮問グループ及びリエゾンからの報告書• ガバナンスの側⾯を扱う ISO/TC 309 などの他の ISO 技術委員会
2. プロジェクト⽇程（現状）- 2020 年 11 ⽉︓第 1 回 WG 会合︓以後⼀年間毎⽉⼀回(2 時間程度)の Zoom 会議- 2021 年 3 ⽉︓最初の WD 発⾏- 2022 年２⽉︓CD 投票で可決- 2023 年 3 ⽉︓DIS 提出発⾏ 予定
2022 年 3 ⽉現在では、CD 投票で提起された 379 件のコメント・意⾒に対する各国の⾒解を整理中で、CRMを通じて、CD ⽂書の改訂が⾏われる⾒込みである。
5.5.2 改定のポイント
SC40/WG1 は前項のインプットに掲げた報告書および各国エキスパートの意⾒を集約して、改定の⽅向性を取りまとめた。主なポイントは次の通りである。
1.

デジタル⾰命・ サプライチェーンとのシームレスな統合や顧客との関わり。クラウドなど IT サービスベースの仕組みの変化。
・ 顧客とテクノロジーを通じた円滑なインターフェース、エコシステム。
2.

データ

・ データはすべてのレベルで意思決定のために組織内で使⽤される。
・ 組織が収集、⽣成、取得したデータは、その製品やサービスだけでなく、サプライヤー、顧客、規制当局など、組織の外でも利⽤される。
3.

新常態

・ ビッグデータ・アナリティクス、ブロックチェーン、⼈⼯知能などの新しいテクノロジー
・ テクノロジーのビジネスへの応⽤が常態化する
4.

新しいガバナンスモデル

・ 単⼀組織のガバナンス ->ネットワークガバナンスモデル、意思決定⾃動化のガバナンス
・ プライバシー、セキュリティ、データと技術の責任ある使⽤に関する説明責任
5.

組織の変⾰

・ ガバナンス、リーダシップ、マネジメントのための役割、システム、プロセスの⾒直し・ ステークホルダーの期待の変化とエコシステム
・ ISO-37000（組織のガバナンス）との整合

12

6.

原則（プリンシプル）セットの⾒直し・ デジタル⾰命、データガバナンスを包含し、組織のガバナンスとの調和した原則セット
5.5.3 他の標準への影響「ISO/IEC 38500 グループ規格」図に⽰した通り、38500 ファミリーには多くの標準が関連している。
38500 の改定はそれらにも影響する。標準モデル（TR38502、TR38504）、コア標準（TS38501、38503）
は直接影響を受けることとなり、38500:202x 発⾏後に順次改定する⾒込みである。その他ファミリー標準（38505、38506、38507、38508）は⽐較的新しいものであるが、影響の度合いによっては改定が必要となる。
6. おわりに⼤変冗⻑な話にお付き合いいただきありがとうございました。海運会社のシステム開発の現場から CSA やISO の世界に⼊った私の経験や取り組みを紹介しましたが、業種の違いはあれ類似の経験をしてきた⽅は多いと思う。システム監査の⽅向性も、従来型のシステム監査から IT ガバナンスの世界へと広がり、さらにその実践へと向かっている。ISO など世界のエキスパートと交流の機会もぐっと近づいてきた。本稿が少しでも CSAや CSA を⽬指す⽅々の参考になれば幸甚だし、IT アセスメント研究会の活動に参加いただき共同研究ができれば更なる喜びである。
完

13