研究会報告
ＣＩＡフォーラム研究会報告

システム子会社の業務に対する内部監査のあり方に関する調査結果
研究会No.ｇ４（システム子会社の業務に対する内部監査のあり方に関する研究会）

ＣＩＡフォーラムは、ＣＩＡ資格保持者の研鑽及び相互交流を目的に活動する、一般社団法人日本内部監査協会（ＩＩＡ－ＪＡＰＡＮ）の特別研究会である。各研究会は、担当の座長が責任をもって自主的に運営し、研究期間、目標成果を設定し、研究成果を発信している。
当研究報告書は、ＣＩＡフォーラム研究会No.ｇ４が、その活動成果としてとりまとめたものである。報告書に記載された意見やコメントは、研究会の「見解」であり協会の見解を代表するものではなく、協会がこれを保証・賛成・推奨等するものでもない。

目次
Ⅰ．はじめに45Ⅱ．アンケート調査結果の概要



46



⑴

監査実施内容⑵

監査実施上の課題



51

３．親会社／システム子会社監査に期待するもの１．システム子会社の業務に対する
監査について連携（協業）・棲み分け


51

46

Ⅲ．インタビュー結果の概要

46

Ⅳ．調査結果についての考察及び提言

50

Ⅴ．おわりに





53
 57
59

２．親会社・システム子会社間の

Ⅰ．はじめにはなくＩＴに関する専門性を求められること

１．調査・研究の目的

社自体には内部監査部門が存在しないか、存が少なくない。しかしながら、システム子会

現在、事業会社の経営戦略上、情報システ

在する場合でも概して小規模であり、また、

ムは極めて重要な役割を果たしており、その親会社の内部監査部門もシステム子会社の監担い手としてシステム子会社が存在している査を実施する態勢が必ずしも十分ではない。

ケースが少なくない。したがって、システム

そこで当研究会では、親会社、システム子会

子会社の業務に対する内部監査は不可欠とな社双方の視点からシステム子会社の業務に対っている。システム子会社の業務に対する内する内部監査のあり方について研究を行うこ部監査では、一般的な内部監査の知識だけでととした。

月刊監査研究2022. 4（No.581）

45

研究会報告当研究会では、親会社、システム子会社そ⑵

インタビュー

れぞれの内部監査部門自身の問題及び親会社

アンケート調査結果に基づきインタビューとシステム子会社の内部監査部門の連携（協先を選定し、内部監査の実態・課題を深掘り

業）
・棲み分けの問題にスポットを当て、アするとともに、優れた実践事例を収集するこンケート及びインタビューによる調査を通じとに努めた。

て、取り組むべき課題を明らかにし、対処方インタビューでは、システム子会社の業務法を提示することにより、システム子会社のに対する監査について、①拡充・レベルアッ

業務に対する内部監査実務の向上に貢献する

プしたい項目、②拡充・レベルアップの阻害ことを目的とした。

要因、③監査実施上の課題の具体的内容、④
親会社・システム子会社間の連携（協業）・

２．調査の方法⑴

棲み分け、⑤内部監査部門の要員体制についアンケート調査て意見を伺った。

親会社及びシステム子会社の内部監査部門

インタビューは、アンケート回答会社のうに対してアンケート調査を実施し、親会社がち、親会社６社、システム子会社９社に応じシステム子会社の業務に対して実施する内部てもらった（図Ⅰ－２）。

監査（注１）及び子会社自身が実施する内部＜図Ⅰ－２＞インタビュー実施

監査の実態を把握することに努めた。
アンケート調査では、親会社及びシステム
子会社の双方に対し、システム子会社の業務親会社６社に対する、①監査実施内容、②監査実施上のシステム子会社
９社

課題、③親会社／システム子会社監査に期待するもの、④親会社・システム子会社間の連携（協業）・棲み分け について質問を行った。
アンケート調査対象先については研究会メ

親会社６社のうち、金融関係は４社、非金ンバーが選定し、親会社16社、システム子会

融は２社、システム子会社９社のうち、金融社17社から回答を得た（図Ⅰ－１）。

関係は８社、非金融は１社であった。

＜図Ⅰ－１＞アンケート調査

親会社
16社

Ⅱ．アンケート調査結果の概要

システム子会社
17社

１． システム子会社の業務に対す
る監査について⑴

監査実施内容①

監査種類■ 親会社、システム子会社ともに、７割以上

親会社16社のうち、金融関係は11社、非金の会社が「システム監査」「業務監査」を

融は５社、システム子会社17社のうち、金融実施

関係は12社、非金融は５社であった。

親会社では、「システム監査」「業務監査」（注１）システム子会社の業務に対する内部監査を調査対象としており、親会社が自社に対して実施する内部監査は対象外。

46

月刊監査研究2022. 4（No.581）

研究会報告ともに３／４の会社でシステム子会社に対し一方、業務監査については、親会社・シス

実施しているが、子会社の「ＩＳＯ監査」（注

テム子会社の双方とも実施している場合が半２）を実施している会社は調査対象において数以上を占めたが、システム子会社のみで実はなかった（図Ⅱ－１）。

施し親会社は実施しないケースもかなり見受＜図Ⅱ－１＞監査種類けられた（図Ⅱ－３）。
＜図Ⅱ－２＞システム監査

システム監査
業務監査
Ｉ
ＳＯ監査
その他
（自由回答）
監査は実施していない
0%

親会社

20%

40%

60%

80% 100%

子会社（母数：親会社16社、子会社17社）

金融／非金融別に見てみると、金融では
「システム監査」の実施割合が高く、非金融
では「業務監査」の実施割合が高かった。

（母数：金融10親子会社、非金融４親子会社）

システム子会社では、「業務監査」を９割弱の会社で、「システム監査」を約７割の会社で＜図Ⅱ－３＞業務監査

実施しているが、「ＩＳＯ監査」を挙げた回答は少なかった。
金融／非金融別に見てみると、金融では「業務監査」は全社、「システム監査」は９割超の会社で実施しているが、非金融では「システム監査」「業務監査」ともに５割前後にとどまった。
親会社・システム子会社を比較すると、金融では「システム監査」「業務監査」ともにシステム子会社の方が実施割合が高く、逆に非金融では「システム監査」「業務監査」と（母数：金融10親子会社、非金融４親子会社）

もに親会社の方が実施割合が高かった。
■ システム監査は親会社・システム子会社と②

システム監査ａ．監査対象項目もに実施している割合が高い
親会社、システム子会社ともにアンケート

システム監査を実施している会社に、どの回答のあった14の親子会社について監査実施

ような項目を監査対象としているか質問し、状況を分析してみると、システム監査は約２回答を得た（図Ⅱ－４）。

／３の親子会社で実施していた（図Ⅱ－２）。

■ システム子会社は「情報セキュリティ」「シ（注２）内部監査部門が実施している「ＩＳＯ監査」を調査対象としており、内部監査部門以外が実施しているケースは含まない。

月刊監査研究2022. 4（No.581）

47

研究会報告＜図Ⅱ－４＞システム監査・監査対象項目を挙げる回答が多く、次いで「ＩＴガバナンス」「システム運用」が多かった。

Ｉ
Ｔガバナンス

金融／非金融別に見てみると、金融では「情情報システムの計画と管理
情報システムリスクの管理

報セキュリティ」は全社、「システム開発」「外部委託」は約９割、「コンティンジェンシープ

情報セキュリティ

ラン」は８割弱の会社で挙げていた。非金融システム開発では「情報セキュリティ」「コンティンジェ
ンシープラン」を全社が挙げていた。

システム運用

親会社・システム子会社を比較すると、親システム利用会社・システム子会社ともに「情報セキュリ

入出力等の処理ティ」「システム開発」を挙げる回答が８割

ネットワーク以上と多く、次いで「外部委託」を挙げる回システム資産・資源管理

答が親会社で８割以上、システム子会社で６

外部委託

割以上と多かった。一方、「コンティンジェン

コンティンジェンシープラン

シープラン」は親会社では８割以上だったが、システム子会社では５割弱にとどまり、またドキュメンテーション「ＩＴガバナンス」「システム運用」は親会社

その他（自由回答）
0%

親会社

20%

40%

60%

80% 100%

子会社（母数：親会社12社、子会社13社）

では３／４と高いが、システム子会社ではそれぞれ１割弱、３割と低く、顕著な差が認められた。
ｂ．監査対象のシステム開発業務
監査対象項目として「システム開発」を挙

ステム開発」「外部委託」が中心
システム子会社では、システム監査の監査

げた会社を対象に、どのようなシステム開発

対象項目として、「情報セキュリティ」「シス業務を監査対象としているか質問し、回答をテム開発」を挙げる回答が多く、次いで「外得た（図Ⅱ－５）。

部委託」が多かった。一方、「システム運用」＜図Ⅱ－5＞システム監査・監査対象業務「ＩＴガバナンス」は少なかった。
金融／非金融別に見てみると、金融では「シ親会社システムの開発業務（受託業務）

ステム開発」を約８割、「情報セキュリティ」

子会社システムの開発業務「外部委託」を約７割の会社で挙げていた。
非金融では「情報セキュリティ」は全社で挙外販システムの開発業務0%げていたが、「システム開発」は半数にとどま

親会社

った。

20%

40%

60%

80% 100%

子会社（母数：親会社10社、子会社10社）■ 親 会社は「ＩＴガバナンス」「情報セキュ

リティ」「システム開発」「システム運用」■ 親会社、システム子会社ともに、「親会社シ「外部委託」「コンティンジェンシープラン」

ステムの開発業務」がメインの監査対象と範囲が広い親会社では、システム開発の監査対象業務

親会社では、システム監査の監査対象項目

として、「親会社システムの開発業務」を全社として、「情報セキュリティ」「システム開発」

が挙げているが、「子会社システムの開発業「外部委託」「コンティンジェンシープラン」

務」はわずかであり、「（子会社の）外販シス48

月刊監査研究2022. 4（No.581）

研究会報告テム開発業務」を挙げた会社はなかった。

一方、上流工程の「構想立案工程」「要件システム子会社では、「親会社システムの開定義工程（業務要件）」も６割～７割と、下発業務」を９割の会社で挙げており、また子流工程に比べると低いが、比較的多くの会社

会社独自の業務である「子会社システムの開が監査対象としていた。

発業務」「外販システムの開発業務」を挙げ

金融、非金融ともにほぼ同様の傾向であっる回答も半数以上と比較的多かった。

た。

ｃ．親会社システムの開発業務・監査対象工■ システム子会社の監査対象は下流工程

程システム子会社では、回答のあった９社中

監査対象工程として「親会社システムの開８社は金融であった。

発業務」を選択された会社を対象に、どのよ

下流工程である「要件定義工程（システム

うなシステム開発工程を監査対象としている要件）」～「本番移行工程」を監査対象とし、か質問し、回答を得た（図Ⅱ－６）。

上流工程である「構想立案工程」「要件定義＜図Ⅱ－６＞システム監査・監査対象工程

工程（業務要件）」は監査対象には含めない
といった傾向が見受けられた。

構想立案工程③

要件定義工程（業務要件）

業務監査

ａ．監査対象項目
業務監査を実施している会社に、どのよう要件定義工程（システム要件）な項目を監査対象としているか質問し、回答

設計工程を得た（図Ⅱ－７）。

開発工程＜図Ⅱ－７＞業務監査・監査対象業務

テスト工程

経営管理体制

本番移行工程コンプライアンス体制
0%

20%

親会社

40%

60%

80% 100%

子会社（母数：親会社10社、子会社９社）■ 親会社の監査対象は、システム開発の上流

工程、下流工程の全工程であるが、下流工

リスク管理体制
人事労務管理体制
事業継続計画その他（自由回答）
0%程に比し上流工程の実施割合はやや低い

親会社※上流工程---構想立案・業務要件定義（主としてして子会社領域）40%

60%

80% 100%

子会社（母数：親会社12社、子会社13社）

親会社領域）
下流工程---システム要件定義～本番移行（主と20%■ システム子会社の主な監査対象は「人事労務管理体制」「コンプライアンス体制」「リ

親会社では、「要件定義工程（システム要スク管理体制」

件）」「設計工程」「開発工程」といったシス

システム子会社では、業務監査の監査対象

テム設計・開発工程は９割の会社、「テスト工

項目として、９割前後の会社が「人事労務管程」「本番移行」は全社が挙げており、シス

理体制」「コンプライアンス体制」「リスク管テム子会社に開発を委託している領域（下流

理体制」を挙げていた。

工程）を主たる監査対象としている傾向が見一方、「経営管理体制」「事業継続計画」を挙げている会社は半数ほどであった。

られた。

月刊監査研究2022. 4（No.581）

49

研究会報告不足」「深度ある監査が実施できていない」

金融、非金融ともにほぼ同様の傾向であった。

を課題と認識している■ 親会社の主な監査対象は子会社の「経営管システム子会社では、監査実施上の課題と理体制」「人事労務管理体制」「コンプライ

しては、「監査要員が不足している」「深度あアンス体制」「リスク管理体制」

る監査が実施できていない」を挙げる会社が親会社では、業務監査の監査対象項目とし過半数であり、その他に「システム監査の知て、約９割の会社が「人事労務管理体制」「コ

識・ノウハウが不足している」「プロジェク

ンプライアンス体制」、８割前後の会社が「経ト監査の知識・ノウハウが不足している」「共営管理体制」「リスク管理体制」を挙げてい同監査（注３）の経験・ノウハウが不足してた。

いる」を挙げる声が３割強あった。

一方、「事業継続計画」は６割弱と相対的に自由回答では「監査対象項目に精通したシ

低く、システム監査の「コンティンジェンシ

ステム監査人が在籍していない場合、当該項ープラン」の８割強と比べても低かった。

目について深度ある監査は難しい」との声もあった。

金融／非金融別に見てみると、金融では「人事労務管理体制」とする回答が最も多く、次知識・経験・ノウハウの不足が「深度あるいで「経営管理体制」「コンプライアンス体

監査が実施できていない」ことにつながって制」であり、非金融では「コンプライアンス

いることが考えられる。

体制」が最も多く、次いで「経営管理体制」

金融／非金融別に見てみると、金融では「監「リスク管理体制」「人事労務管理体制」であ

査要員が不足している」を挙げる回答が多く、った。

非金融では「深度ある監査が実施できていな⑵い」を挙げる回答が多かった。

監査実施上の課題

システム子会社の業務に対する自社の監査■ 親会社の約３割が「システム監査の知識・においてどのような課題を認識しているか、

ノウハウの不足」「監査要員の不足」を課

親会社、システム子会社にそれぞれ質問し、題と認識している

回答を得た（図Ⅱ－８）。

親会社では、監査実施上の課題として、「シ■ システム子会社の半数以上が「監査要員のステム監査の知識・ノウハウが不足してい＜図Ⅱ－８＞監査実施上の課題
リスクベースの監査が実施できていない
深度ある監査が実施できていない
システム監査の知識・ノウハウが不足している
プロジェクト監査の知識・ノウハウが不足している
監査要員が不足している

親会社

共同監査の経験・ノウハウが不足している

子会社

アウトソース、コソースの経験・ノウハウが不足している
監査のカバー範囲が不十分である
その他（自由回答）
0%

10%

20%

30%

40%

50%

60%

（母数：親会社16社、子会社17社）（注３）親会社との共同監査、以下同じ。

50

月刊監査研究2022. 4（No.581）

研究会報告る」「監査要員が不足している」を挙げる回的多かったが、「協業的監査を実施」「共同監答が約３割あり、その他の課題を挙げる回答

査を実施」を挙げる回答はかなり少なかった。

も２割前後あった。

システム子会社では「独自に監査を実施」を挙げる回答も１／３ほどあった。

金融／非金融別に見てみると、金融では「監査要員が不足している」「プロジェクト監査

自由回答では、親会社からは「テーマ性をの知識・ノウハウが不足している」「アウト持った監査を子会社と連携して実施していく

ソース、コソース（注４）の経験・ノウハウ

ことが課題」、システム子会社からは「親会が不足している」を挙げる回答が多く、非金社主催の勉強会が開催される」「監査手法、

融では「システム監査の知識・ノウハウが不監査手続などに関して、親会社から情報連携、足している」「リスクベースの監査が実施でツール支援がある」とする回答があった。

きていない」「深度ある監査が実施できてい「監査（モニタリング）結果の共有」「重複ない」を挙げる回答が多かった。

監査回避の調整」は一定程度行われており、親会社からの情報連携・支援も行われている２． 親会社・システム子会社間の連携（協業）・棲み分けが、「共同監査・協業的監査」はあまり行われていない実態が確認できた。

監査計画策定、監査実施に当たって、親会

親会社・システム子会社間の棲み分けにつ社・システム子会社間ではどのように連携

いては、自由回答で「親会社の内部監査部は（協業）
・棲み分けを実施しているか質問し、親会社のＩＴ全般に係わる監査を、子会社の回答を得た（図Ⅱ－９）。

内部監査部は子会社の組織運営等を中心に監■ 親会社・システム子会社間では、「重複監査査している」「親会社の内部監査部は、子会回避の調整」「監査（モニタリング）結果

社内部監査部の監査品質を評価の上、問題がの共有」は行っているが、「共同監査・協業なければ依拠している」とする回答があった。

的監査」はあまり行われていないとしては、親会社・システム子会社ともに「監３． 親会社／システム子会社監査に期待するもの査（モニタリング）結果の共有」「重複監査

親会社監査部門にはシステム子会社監査に回避の調整」を挙げる回答が５割前後と比較期待するもの、システム子会社監査部門には親会社・システム子会社間の連携（協業）＜図Ⅱ－９＞親会社・子会社間の連携（協業）・棲み分け
監査計画の策定に当たり、親会社・子会社間で協議を行い、同様の監査を重複して実施することがないよう調整している
お互いに監査結果、モニタリング結果を共有し、自社の監査に活かしている
一連のテーマ監査において、役割分担するなど協業的監査を実施している

親会社

共同監査を実施している

子会社

連携（協業）・棲み分けは行わず、それぞれ独自に監査を実施している
その他（自由回答）
0%

10%

20%

30%

40%

50%

60%

（母数：親会社16社、子会社17社）（注４）監査法人等の外部機関への／とのアウトソース、コソース。

月刊監査研究2022. 4（No.581）

51

研究会報告親会社監査に期待するものについて質問し、の育成を求める声があった

回答を得た。

主な回答内容は以下の通り。

⑴ 親会社監査部門がシステム子会社
監査に期待するもの

・監査知識の外部からの積極的な吸収

親会社監査部門がシステム子会社監査（部門）に期待するものは、主に以下の３項目に分類される。
（ｱ）リスクベース監査等、システム子会社の監査の高度化・ＣＩＡ（公認内部監査人）資格保持者の増加
・プロパー要員の内部監査人の育成
監査知識・スキルの習得が期待されており、その一環として資格取得の活用も有効で（ｲ）システム子会社の要員・スキル（ｳ）協業・役割分担ある。
プロパー要員の育成は、子会社監査部門の（ｱ）リスクベース監査等、システム子会社の監査の高度化について

安定的な業務遂行に資するものであり重要な課題である。

■ システム子会社に「リスクベースの監査計画」「リスクベースのテーマ監査」など、（ｳ）協業・役割分担について■ システム子会社との情報連携を求める声がリスクベース監査を求める声が多かった

多かった

主な回答内容は以下の通り。

主な回答内容は以下の通り。

・定期的なリスクアセスメントとその結果・監査対象を相互補完し（重複はなくし）、に基づく監査計画の策定・実施

適時適切に情報連携を行うこと・システムの開発・管理過程におけるリス・親会社の陪席が困難な会議体や入手困難

ク事象を把握し、経営目線でのテーマ性な資料等について、オフサイトモニタリを持った監査を実施していくことングを行い、認識したリスクや課題を連・親会社監査部とリスク認識を合わせたう
えでリスクベース監査を実施すること
・根本原因分析の深化

携すること
・役割分担をしながら協業すること役割分担し、重複をなくしながら協業する・オンオフ一体の態勢整備
・実務に詳しい長所を生かした監査・システム開発や運用の自律的な品質確保
・受発注における金銭不正の防止
・リスクマネジメント体制（事業継続計画の取組状況）

ことが期待されている。
オフサイトモニタリングの結果として認識したリスクや課題を情報連携することは、親会社の監査に役立つものであり、企業グループとして監査の実効性向上につながるため有益である。

声が多い。一方、システム子会社ではリスク⑵ システム子会社監査部門が親会社監査に期待するもの

ベース監査を課題として挙げている会社は少システム子会社監査部門が親会社監査（部なく、深度ある監査を課題として挙げている門）に期待するものは、主に以下の３項目に会社が多い。親会社・システム子会社間では分類される。

認識にずれがある可能性がある。

（ｱ）親会社領域等の監査（ｲ）システム子会社の要員・スキルについて（ｲ）子会社に対する支援

親会社からはリスクベース監査を期待する■ 知識習得、資格取得のほか、プロパー人材52

月刊監査研究（ｳ）協業・役割分担

2022. 4（No.581）

研究会報告（ｱ）親会社領域等の監査について■ 親会社領域の監査（システム開発の上流工

程、ＩＴガバナンス等）を求める声が多かった

施、品質評価のフィードバック）
・監査全般に関する知識、経験、事例、ス
キル、ノウハウの共有・教授・コンピュータ支援監査技法（CAATs）

主な回答内容は以下の通り。

に関する情報共有、指導・ユーザ部門に対する超上流工程（計画や・アジャイルシステム開発の監査スキーム
に関する情報共有、指導

要件定義）のシステム監査の実施
・構想立案、業務要件定義工程の監査（子会社の監査権が及ばないため）・システムに関する親会社の委託元部署（ＩＴ部門）に対する監査・子会社との協業的監査の実施（親会社領域の監査の実施）
・ＩＴガバナンスの監査（ＩＴ戦略の立案、システム投資の費用対効果把握）
・ＩＴガバナンスに関する監査（親会社の経営戦略、ＩＴ戦略、子会社の経営方針の整合性等）
・専門性の高い領域に関して、アウトソー
スやコソースを活用した監査の実施
システム開発の上流工程（構想立案、業務
要件定義等の親会社領域）の監査を親会社に監査に関する知識、経験、事例、スキル、ノウハウの共有を期待する声が多く挙げられている。
システム子会社の監査部門は概して小規模であり、知識、経験、ノウハウ等が必ずしも十分ではないため、親会社の支援が必要である。
（ｳ）協業・役割分担について■ 親会社領域の監査は親会社の役割と期待されている
主な回答内容は以下の通り。
・子会社との協業的監査の実施（親会社領域の監査の実施）（再掲）
・構想立案、業務要件定義工程の監査（子会社の監査権が及ばないため）（再掲）期待する声が大きい。
上流工程の出来映えは下流工程（システム

親会社、システム子会社でそれぞれリスク

要件定義以降のシステム子会社領域）に影響

アセスメントに基づきリスクベース監査を独するため、上流工程の監査は極めて重要であ

立して実施しているケースが大半である。

るが、子会社の監査権が及ばないため、親会社監査でカバーすることが必要である。
また、ＩＴガバナンスの監査を期待する声が多く挙げられている。

しかしながら、システム開発など上流工程
から下流工程まで監査を実施する場合は、上流工程は親会社、下流工程はシステム子会社
で監査を行うなど、協業的監査を模索するこ

ＩＴガバナンスの主体は親会社と考えられとが重要である。

るため、ＩＴガバナンスの監査は親会社監査Ⅲ．インタビュー結果の概要

部門の重要な役割と考えられる。
（ｲ）子会社に対する支援について■ スキル・ノウハウの共有を求める声が多か

１．監査実施内容⑴

った
主な回答内容は以下の通り。

システム監査システム監査に関して、親会社・システム・人材育成の支援（情報共有、研修会の実

月刊監査研究子会社の双方に、以下の項目についてインタ
ビューで確認した。

2022. 4（No.581）

53

研究会報告（ｱ）拡充・レベルアップしたい領域（項目）

ステム子会社の監査に依拠しているた（ｲ）拡充・レベルアップの阻害要因

め、親会社は子会社の監査を原則実施し（ｳ）親子間の役割分担①

ない

親会社インタビュー・システム監査は、システム子会社の第２（ｱ）拡充・レベルアップしたい項目

線が充実しているため、そちらに依拠し■ 監査領域の拡充・レベルアップというよりているも、むしろ自部門（親会社監査部門）の監
査実施能力の向上を挙げる声が多かった②

主な回答内容は以下の通り。

（ｱ）拡充・レベルアップしたい領域（項目）・ＩＴに関する技術動向やデジタル化の進展を踏まえた、監査の視点・監査手法の高度化、監査スキルの向上
・コソースによる外部の知見の導入■ ＩＴ化の進展、開発手法の進歩を踏まえた、

監査手法、監査スキルの向上を挙げる声が多かった
主な回答内容は以下の通り。
・ＩＴに関する技術動向やデジタル化の進（ｲ）拡充・レベルアップの阻害要因■ システム監査スキルを持った監査人がいないという、人的要因を挙げる声が多かった
主な回答内容は以下の通り。

展を踏まえた、監査の視点・監査手法の高度化、監査スキルの向上
・クラウドのセキュリティ管理・クラウドを利用した開発の品質確保・標・専門知識を持つシステム経験者が少ない

準化
・リモート開発環境のモニタリング態勢の・システムの専門家がいない・システム監査スキルがない。監査人が高齢で新しいことに取り組むのは困難

適切性・アジャイルシステム開発の監査スキームの確立（ｳ）親子間の役割分担■ システム開発の上流工程は親会社、下流工

程はシステム子会社といった声が多かった
主な回答内容は以下の通り。

・コソースによる外部の知見の導入
・サイバーセキュリティ
・ＤＸ（デジタルトランスフォーメーション）

・ユーザ部門は親会社、開発等技術職の強いところはシステム子会社とするのが理想・親会社システムの開発業務については、
要件定義までは親会社、設計工程以降はシステム子会社（ｲ）拡充・レベルアップの阻害要因■ 拡 充・レベルアップしたいとする一方で、日々進化する技術・手法にキャッチアップ
していくことの困難さを挙げる声が多かった
主な回答内容は以下の通り。

一方で、一部の親会社からは以下のように、必ずしも親会社がシステム子会社のシステム
監査を実施する必要はないといった見解が示された。

・監査人にクラウド利用の経験がない・ＡＷＳ（Amazon Web Services）、Azureの仕組みに関する知識不足
・アジャイル開発の監査事例が入手できな・監査の品質管理を継続的に行いつつ、シ54

システム子会社インタビュー

月刊監査研究い2022. 4（No.581）

研究会報告・サイバーセキュリティなど最新の知識を習得し、追い付いていくことができない■ 親会社と同様、親会社システムの開発業務について、上流工程は親会社、下流工程はシステム子会社との声が挙げられた（前述の「３．親会社／システム子会社監査に期待するもの」と同様の内容）

・業務改善の活動状況
・社内のシステム化の遅れ
・親会社と関係が深い分野の協業的監査（ｲ）拡充・レベルアップの阻害要因■ 拡充・レベルアップしたいとする領域（項業務監査目）が多岐にわたる一方で、要員の知識・業務監査に関しても、システム監査と同様、親会社・システム子会社の双方に、以下の項目についてインタビューで確認した。
（ｱ）拡充・レベルアップしたい領域（項目）（ｲ）拡充・レベルアップの阻害要因（ｳ）親子間の役割分担①

・情報セキュリティ・個人情報保護・不適切事象発生の防止（ｳ）親子間の役割分担⑵

・コンプライアンス態勢

スキル不足を挙げる声が多かった
主な回答内容は以下の通り。
・監査プログラムの作成スキルが不足
・業務内容・法令等の知識不足
・スキルを持つ要員の不足
・課題認識の低さ

親会社インタビュー

業務監査については、システム監査に比し親会社からの声は少なかった。

（ｳ）親子間の役割分担
親会社と同様に、以下のような回答が多か（ｱ）拡充・レベルアップしたい領域（項目）親会社からは以下の声が挙げられた。
・コソースによる新たな視点の導入った。
・親子間で監査が重複しないように調整

２．監査実施上の課題（ｳ）親子間の役割分担
親会社からは以下の声が挙げられた。

親会社・システム子会社の双方に、システ・親子間で監査が重複しないように調整

ム監査、業務監査、監査態勢全般に渡る監査

一方、実施上の課題についてインタビューで確認し・システム子会社に対する業務監査は実施し

た。

①

ていない
とする会社もあった。

親会社インタビュー■ 監査実施上の課題として、未経験の領域の（ｲ）拡充・レベルアップの阻害要因につい知識・ノウハウの不足、専門人材の継続的ては、特に挙げられなかった。

確保が困難などの声が挙げられた②

インタビューで取り上げられた主な課題は

システム子会社インタビュー（ｱ）拡充・レベルアップしたい領域（項目）■ 人材育成、コンプライアンス、情報セキュ

リティ等、多岐にわたる領域（項目）が挙げられた

以下の通り。
（ｱ）知識・ノウハウの不足
・システム監査の知識・ノウハウ不足（メンバーが経験していないシステム領域が主な回答内容は以下の通り。

多い等）

・人材育成策、女性活躍推進／高齢者活用

・プロジェクト監査の知識・ノウハウ不足（大規模プロジェクト開発の経験メンバ策

月刊監査研究2022. 4（No.581）

55

研究会報告ーが少ない等）

いけない・共同監査のノウハウ不足（共同監査の経験がない等）

・現状、スキルを持つ個人に依存している・監査要員が量的・質的に不足（ｲ）監査要員体制（ｳ）その他

・監査部門にはシステム経験者が少なく、・深度ある監査ができていない

将来に向けた持続性（専門人材の確保）

・被監査組織の業務に精通した要員が少なが課題

いまた、インタビューの中ではこうした課題に対して、以下のような対応を採っているとする会社があった。
・コソースによる外部の知見の導入
・共同監査自体ではないが親子同時監査（情報共有監査）の実施②

・真因分析ができていない
・根本原因分析が不足

３． 親会社・システム子会社間の連携（協業）・棲み分け
親会社・システム子会社の双方に、親会社・システム子会社間の連携（協業）・棲みシステム子会社インタビュー

分けについてインタビューで確認した。

■ 監査実施上の課題として、未経験領域の知①

親会社インタビュー

識・ノウハウの不足、ガイドライン等の基親会社からは、親会社・システム子会社間準の実務への落とし込み、監査要員体制での連携（協業）の話は少なく、棲み分けとしはスキル要員の不足、特定のスキル要員へて親子それぞれで強化すべき事項や役割分担の依存、その他では真因分析の不足などのの話が主であった。

声が挙げられたインタビューで取り上げられた主な内容はインタビューで取り上げられた主な課題は以下の通り。

以下の通り。
・子会社監査部門の強化（監査領域・監査（ｱ）知識・ノウハウの不足

範囲の拡大、監査内容の高度化）・システム監査の知識、ノウハウ不足（教科書の基準を実務に落とし込めない、リ・親会社によるシステム監査の深掘り・システム監査は子会社に任せ、親会社はスク仮説・着眼点の設定が満足に行えない）

業務監査
・レピュテーションなど親子共通課題への・プロジェクト監査の知識・ノウハウ不足（プロジェクト監査未経験）・共同監査の経験・ノウハウ不足（共同監
査未経験）・アウトソース・コソースの経験・ノウハ
ウ不足（アウトソース・コソース未経
験、予算なし）②

システム子会社インタビュー

システム子会社からは、親会社・システム
子会社間の連携（協業）として協業的監査の話、棲み分けとして子会社で強化すべき事項の話があった。
インタビューで取り上げられた主な内容は（ｲ）監査要員体制

以下の通り。

・人数よりもスキル不足
・監査要員が高齢化→新しい技術について

56

対応

月刊監査研究・親会社と関係が深い分野の協業的監査の2022. 4（No.581）

研究会報告実施（上流・下流工程一体となったシス
テム監査、出向者の労務管理態勢）
・開発・運用業務の監査は子会社の役割（クラウドを利用した開発・運用業務の監査の実施）

Ⅳ．調査結果についての考察及び提言
１．システム監査⑴

システム監査の実施状況

親会社、システム子会社の７割以上の会社

また、既に実施している事例として、以下がシステム監査を実施しており、しかも親会社・システム子会社ともに実施している割合の話があった。
・委託会社と同時監査（情報共有監査）を実施しており、共同監査に準じる監査を実施しているが高い。
システム監査の監査対象項目としては、親会社は「ＩＴガバナンス」「情報セキュリテ
ィ」「システム開発」「システム運用」「外部委託」「コンティンジェンシープラン」と範

４．内部監査部門の要員体制

囲が広いが、システム子会社は「情報セキュ

インタビューでは、親会社６社、システム

リティ」「システム開発」「外部委託」が中心

子会社９社の監査要員体制についても伺った。

であり、システム子会社のメイン業務がシス

親会社、システム子会社の内部監査人、資格取得者の１社あたり平均値は＜表Ⅲ－１＞

テム開発であることを反映している。
そしてシステム開発業務の中でも「親会社システムの開発業務」を監査対象としているの通りである。
親会社は内部監査人数（平均）が44.2人と割合が高く、当該業務は親会社、システム子

かなりおり、資格取得者も一定数存在してい会社ともにメインの監査対象となっているる。

が、監査対象とする工程には違いがある。

これに対し、システム子会社は内部監査人

親会社の監査対象工程は、構想立案・業務数（平均）が5.6人と小規模内部監査部門で要件定義といった親会社領域のみならず、シあり、資格取得者がいない会社もある。

ステム要件定義～本番移行に至る子会社領域

業務経験について見てみると、親会社では半数以上の会社でシステム監査経験、業務監も含めた全工程であるが、子会社領域に比し親会社領域の実施割合はやや低い。

査経験、システム業務経験を有する要員が存

一方、システム子会社の監査対象工程は、在している。システム子会社では全社でシスシステム要件定義～本番移行に至る子会社領テム監査経験、システム業務経験を有する要域に限定されており、これはシステム子会社

員、８割弱の会社で業務監査経験を有する要の監査権限が親会社まで及ばないことを反映

員が存在している。

している。

＜表Ⅲ－１＞監査要員体制（平均値）⑵

システム監査実施上の課題①

スキルあるシステム監査要員の確保

内部監査人数

ＣＩＡ 
取得者数

ＣＩＳＡ＊
取得者数

親会社

44.2人

8.7人

1.7人

システム
子会社

5.6人

0.7人

0.8人

＊ＣＩＳＡ：公認情報システム監査人

親会社、システム子会社ともにシステム監
査の知識・ノウハウの不足、監査要員の不足を課題の上位に挙げている。
従来からシステム監査人の不足は指摘されてきたところであるが、昨今ではＩＴ技術の進歩、デジタル化の進展が著しく、これに対

月刊監査研究2022. 4（No.581）

57

研究会報告応して更なる監査手法の高度化、監査スキル

技術進歩等の環境変化に対応できるスキルの向上が求められている。アジャイルシステ

あるシステム監査要員を継続的に確保するス

ム開発の増加、クラウド化の進展、コロナ禍

キームを構築することが有効である。

に対応したリモート環境の展開等、システム

システム部門でも上位の役職には限りがあを取り巻く環境の変化にも対応していく必要

り、システム部門要員の全員にポストが用意がある。

されている訳ではない。そこでシステム部門

しかしながら、従来からのシステム監査人の不足に加え、昨今の技術進歩に対応できる要員にもセカンドステージを用意する必要が生じる。
内部監査部門、リスク管理部門、品質管理

スキルが不足している。
技術進歩等の環境変化に対応できるスキル

部門等をセカンドステージと位置付けることあるシステム監査要員を確保することが喫緊により、システムのスキル・ノウハウを持っの課題である。

た人材を有効活用できるとともに、継続的に②

内部監査部門等に確保することが可能となる。

協業的監査の実施

システム開発の上流工程の監査（構想立案、
業務要件定義等の親会社領域）を親会社に期

ｂ．中途採用・コソースの活用
スキルあるシステム監査要員を継続的に確保する仕組みとして上述のスキームを提言し待する声が大きかった。
上流工程の出来映えは下流工程（システム

たが、システム経験者をシステム監査人に育要件定義以降のシステム子会社領域）に影響成するためには一定の時間がかかり、タイムするため、上流工程の監査は極めて重要であ

リーに監査業務に対応できるとは限らない。

る。親会社の監査では、子会社領域に比し親また、確保した人材が網羅的に全ての知識を

会社領域の実施割合はやや低いといった傾向有している訳でもない。
このため、必要に応じて中途採用の実施にがみられた。
一つのシステム開発プロジェクトを全工程

より外部人材を登用したり、コソースの活用にわたり監査する場合、親会社が単独で監査などにより外部の知見を導入することも必要するケース、親会社とシステム子会社が協力である。
システム子会社ではコソース予算の確保がして監査するケースが考えられる。
共同監査の場合は、監査主体の取り決め、

困難なことも考えられ、そうした場合には親監査要員の兼務出向、監査結果の報告先等に会社の協力を得て、グループの監査部門としついて親子会社間で合意しておくなど、クリて知識・ノウハウを蓄積していくことも重要

アーすべき課題が多い。一方、協業的監査はである。

親会社、システム子会社がそれぞれ現在の立②

協業的監査の実施

ち位置で実施できる方法であり、連携しつつ親会社とシステム子会社が協力することにそれぞれ自社領域を監査し、実効性を上げる

より、システム監査の実効性を上げることがことのできる方法である。

可能となる。

協業的監査はプロジェクト監査の実効性を挙げるために検討すべき課題である。

⑶

提言

①

スキルあるシステム監査要員の確保

ａ．システム部門要員のセカンドステージ（システム部門から内部監査部門へ）

58

月刊監査研究ここでは、プロジェクト監査で協業的監査を行っている事例を紹介する。
親会社、システム子会社それぞれが同時に自社の対応領域を監査するものであり、情報共有しながら監査を実施している。

2022. 4（No.581）

研究会報告この方式では、例えばシステム子会社で発生している問題（システム設計での手戻りの多発やシステムテストで発生した想定外の障害等）が親会社の業務要件定義に起因している場合など、システム子会社から親会社に情報連携することにより、親会社
領域で深度ある監査が可能となる。
情報連携することにより、会社を跨いで監査することなく、両社で深度ある監査が可能となり、監査の実効性を上げることができている。

である。

⑶

提言

①

業務監査要員の確保

システム監査では、経済産業省や金融情報システムセンター（ＦＩＳＣ）のシステム監
査基準等を参考にして監査プログラムを作成することができるが、業務監査では自らが独自に監査プログラムを作成する必要がある。
このため、業務監査経験を有する監査人の確保が必要であり、中途採用、親会社からの出向者の受け入れなどが考えられる。

②

親会社からの支援

親会社とシステム子会社が協働して監査を一般的には親会社の方がシステム子会社よ行う方式としては共同監査が考えられるが、りも監査体制は充実していることから、業務共同監査という形態を取ることが困難な場合

監査のノウハウ・ポイント等について親会社には上例のような協業的監査は検討に値するから支援を受けることも有効である。

方式と考えられる。

具体的には以下のような事項を検討すると良いと思われる。

２．業務監査⑴

・親会社の監査報告書等、監査結果を共有

業務監査の実施状況

して、事例検討

親会社では７割以上、システム子会社では・親会社内部監査人による調書レビュー

９割弱の会社が業務監査を実施しており、業・親会社内部監査人による子会社監査の個

務監査については親会社・システム子会社と別監査計画のレビュー、ウォークスルー

もに実施している割合が高い。

及びフィードバック

業務監査の監査対象項目としては、親会社、システム子会社ともに「人事労務管理体制」

・親 会社内部監査部の開催する研修会への、子会社内部監査部の参加「コンプライアンス体制」「リスク管理体制」
が中心であり、親会社ではこれに加えて「経営管理体制」を挙げている。

⑵

業務監査実施上の課題

Ⅴ．おわりにシステム子会社の業務に対する内部監査のシステム子会社では、業務監査の拡充・レ

実状、課題について、アンケート調査及びイ

ベルアップを図りたいという意欲は強いもの

ンタビューを通じて把握するとともに、内部の、要員の知識・スキル不足が阻害要因とな監査のあり方について考察してきた。
システム子会社は従来から企業のＩＴ戦略っている傾向が見て取れる。
システム子会社は、システム部門を有するの担い手として重要な役割を果たしてきただけでなく、経営企画部門、人事・労務部門、が、今後はＤＸ（デジタルトランスフォーメ

経理部門、コンプライアンス部門、リスク管ーション）の進展、クラウド化の進展、サイ理部門等、様々な機能を有する会社組織であバーセキュリティの進化、ＡＩ（人工知能）る。このため、システム監査のみならず、様々の進歩などＩＴを取り巻く環境は大きく変化な部門を監査する能力を確保することが課題

し、システム子会社の役割はますます重要性

月刊監査研究2022. 4（No.581）

59

研究会報告また、企業のＩＴ戦略を実現していくためを増すとともに、その業務は高度化が進んでには、親会社とシステム子会社の連携がます

いくものと考えられる。
システム子会社の業務に対する内部監査もます重要となり、それに対応して内部監査部

それに伴って拡充・レベルアップしていく必門も親会社とシステム子会社の連携・協業が要がある。

重要となってくるものと考えられる。

従来からスキル（特にシステム監査スキル）

システム子会社の業務に対する内部監査実ある監査人の不足が指摘されてきたところで務の向上、ひいては企業グループの内部監査あるが、今後はＩＴ環境の変化に対応できる

実務の向上のために、今回の研究内容が少しスキルを持った監査要員を継続的に確保してでもお役に立てれば幸いである。

いくことが従来にも増して必要となってくる。

＜ＣＩＡフォーラム研究会No.ｇ４（システム子会社の業務に対する内部監（順不同・敬称略）
査のあり方に関する研究会）メンバー＞
氏

名

所

先

山東

直大（座長）

かんぽシステムソリューションズ株式会社

島田

裕次

東洋大学

西田

宏一

真野

雄一

エム・ユー・エス情報システム株式会社

塚原康志

明治安田生命保険相互会社

山田

哲

中込

秀敏

日本マスタートラスト信託銀行株式会社

有泉勝也

株式会社小田急ビルサービス

田中浩之

東京ガス株式会社
60

属（メンバーの氏名・所属先は、2021年12月末現在）

月刊監査研究2022. 4（No.581）