36

シ ス テ ム 監 査[ 学会賞受賞論文 ]地方自治体におけるICT 監査の更なる普及にむけてICT Audit as an Indispensable Function in the Local Government

片岡学

Manabu Kataoka
大阪市役所
Osaka City Hall

概要地方自治体においては、財務や事業についての監査の制度として、監査委員による監査がある。監査委員監査には行政監査、住民の直接請求による監査などの監査の取組みがあるが、地方自治体の行政サー
ビスや行政運営における重要な基盤（インフラ）である ICT 領域については十分な監査が実施できているとはいえない現状にある。
ICT が高度化・多様化する今日、ICT を適正に利用し、住民への行政サービスを向上させ、行政コス
トや業務の効率化に資すること、また一方で、住民情報の漏えいなど情報セキュリティを確保することは、
地方自治体に課せられた命題であり、それらを監査委員の立場から検証する、ICT 監査の役割は非常に大きいものがある。
本稿では、大阪市における ICT 監査の取組事例などに基づき、地方自治体における ICT 監査の更なる取組みに向けて、各地方自治体が考慮すべき点などについて提言する。
なお、本提言は、大阪市監査委員及び監査委員事務局としての公式見解ではなく、あくまでも筆者自身の実務経験と研究に基づく個人的見解である。
キーワード：監査委員監査、IT ガバナンス、ICT 監査、ICT の適正利用、ICT 監査専門委員

1．はじめに会社法が適用される民間企業においては、一般
的に三様監査といわれる、内部監査、監査役（又は監査委員会）監査、及び外部監査（公認会計士
監査）の制度がある。
一方、地方自治体の監査制度は、その制度の趣旨や目的等は民間企業の三様監査とは異なるものの、地方自治法によって監査委員注 1) が設けられ、財務や事業について監査を行う「監査委員制度」、
及びその監査委員制度を補完するために平成 10年から導入されている「外部監査制度」から構成
されている。
監査委員制度は、昭和 22 年の地方自治法制定時から設けられ、実質的には民間企業における内
投稿受理日
再投稿受理日
査読完了日

2017 年 3 月 27 日
2017 年 4 月 18 日
2017 年 5 月 2 日

部監査及び監査役監査の機能を包含したものと解することができ、地方自治体は、監査委員を補助するために、一定数の職員を配置した監査委員事
務局を設置している注 2)。

この監査委員制度の中で、地方自治体における行財政運営の適切性や効率性等が監査されることになるが、行財政運営における重要な基盤（インフラ）となっている情報通信技術（Information
and Communication Technology、以下「ICT」と い い、 本 稿 で は 一 般 的 に 呼 ば れ て い る「IT」（Information Technology）と同義とする。）分
野に係る監査を実施している地方自治体は多くはない。
近年、民間企業はもとより、公的機関においても、ICT の重要性が高まる中で、行政活動の多く

地方自治体における ICT 監査の更なる普及にむけてを ICT に依存し、そこに多額の税金が投入されているとともに、住民情報等のセキュリティ確保が求められている時代にもかかわらず、地方自治体
において、監査を実施する監査委員や監査委員事
務局の ICT 分野に係る監査への関心と危機感は極めて低いのが現状である。
一方、民間企業では特に上場企業において、内部統制報告制度の一環として、限られた業務が対象ではあるものの ICT の内部統制に係る監査（以下「IT 統制監査」という。）が義務付けられた。
また政府機関においても、「世界最先端 IT 国家創造宣言」（平成 25 年 6 月閣議決定）に基づいて策定された「政府情報システムの整備及び管理に関する標準ガイドライン」（平成 26 年 12 月 各府
省情報化統括責任者連絡会議決定）において、IT
ガバナンス注 3） の構築に向けたシステム監査の実施の必要性が示されている。
本稿では、上記の現状や大阪市の監査委員監査における ICT 分野に係る監査の取組経験を踏まえ、地方自治体の監査委員制度における ICT 監査の更なる普及・充実に向けた方向性について言及する。
なお、ICT 分野の監査については、一般的に企業内においてはシステム監査などと呼ばれ企業体
トップの指揮命令のもとに実施される内部監査として実施されることが多いが、地方自治体おける
監査委員監査は、自治体の長からの指揮監督を受けない独立した地位からの監査であることから、
本稿では、地方自治体における ICT 分野の監査を、
システム監査とは区別して「ICT 監査」と呼ぶこととする。
2．地方自治体における ICT と ICT 監査の重要性
ICT 分野の監査については、企業において内部監査の一環として内部監査部門等によって実施されるシステム監査、会計監査の一環として監査法
人によって実施される IT 統制監査、金融機関等に対して金融検査の一環として金融庁によって実施されるシステムリスク管理態勢の検査、国の会
計検査の一環として会計検査院によって実施される ICT 分野の会計検査などがある。これらは、そ
れぞれに ICT が果たすべき役割の実現を阻害する
リスクに対するコントロールが有効に機能しているかについて、独立性及び専門性を有するシステム監査人によって監査され、経営者等に報告される役割を担っている。

37

すなわち、これらは、それぞれ監査の目的や手法は異なるものの、「システム管理基準」（平成16 年 10 月改定 経済産業省）が示しているとおり、組織体の情報システムにまつわるリスクに対するコントロールが適切に整備・運用されているかを監査し、そのことによって組織体の IT ガバ
ナンスの実現や利害関係者に対する説明責任に資することが、ICT 分野の監査の役割ということができる。
ICT 分野の監査は、それぞれの組織体の ICT が果たすべき役割の実現を阻害するリスクに対するコントロールが有効に機能しているかを点検・評価する役割を担っていると定義できることから、
地方自治体の ICT 監査について、まず、その ICTが果たすべき役割に基づき、その重要性について言及する。
2.1 地方自治体における ICT の重要性
今やどの経営組織体も ICT を抜きにしては業務が成り立たなくなってきており、地方自治体もその例外ではない。
総務省が平成 26 年３月に発表した「電子自治体の取組みを加速するための 10 の指針」
（以下「総務省の 10 の指針」という。）においては、「電子自治体を取り巻く環境」として、「地方公共団体
における多様な住民ニーズへの対応においては、
ICT の活用も通じた様々な取組みが期待されるところとなっている。一方で、地方公共団体の財政状況は依然として厳しく、人材も限られる中、一層効率的な行政運営が必要とされている。電子自治体の取組みは、行政の効率化や経費の削減が期
待され、行政改革の中でも重要な位置を占めると考えられる」とされており、ICT は、その活用によって、住民への更なる行政サービスの活用と行政の効率化や経費の削減を図ることにつながると期待されている。すなわち、地方自治体におけるICT の役割は、「国民利用者の視点に立った電子
行政サービスの実現と行政改革への貢献」（「世界最先端 IT 国家創造宣言」（平成 25 年 6 月 14 日
閣議決定）による。）ということになる。
以上のことから、地方自治体においては、ICTが果たすべき役割を下記のとおり整理することができる。
（1）行政サービスの電子化、ワンストップサービ
スの導入、行政情報の提供などによる ICT を利用した住民利便性の向上

38

シ ス テ ム 監 査（2）ICT の利活用による行政コストの削減や業務の効率化（3）住民情報の漏えいなど、情報セキュリティの確保に係るリスク管理
すなわち、地方自治体においては、ICT の活用
による行政サービスの提供と情報提供、ICT を活用した行政内部プロセスの改革及び災害や事故等に強い ICT 基盤の構築等による ICT の適正利用の推進が求められている。
2.2 地方自治体における ICT 監査の重要性と政令指定都市等における取組状況
ICT は、行政サービス及び地方公団体の行政運
営における重要な基盤（インフラ）であり、地方
自治体における ICT の適正利用は、全庁的な視点
で IT ガ バ ナ ン ス を 構 築 し、 効 果 的・ 効 率 的 な
ICT を構築・運用することによって実現される。
そして、ICT 監査は、ICT の適正利用の有効性、効率性、経済性を阻害するリスクに対するコント
ロールが適切に整備・運用されているかを、シス
テム監査人が独立かつ専門的な立場から検証及び評価し、利害関係者に助言・勧告することによって、地方自治体における IT ガバナンスの実現に貢献することにある。
ICT の適正利用を阻害するリスクは、ICT 化の進展や ICT に係る業務のアウトソーシング等に伴い、多様化・高度化している。地方自治体の ICTにおいては、プロジェクトリスクやシステム保守・運用・利用段階におけるリスク、外部委託に係るリスク、更には大規模災害発生やサイバーテロに係るリスク、そして ICT の調達に係るリスクなどがあり、各地方自治体においては、それらのリス
クに対するコントロールを適切に整備・運用していくことが求められる。
しかし、地方自治体における ICT 監査は、過去
において民間企業ほど広く実施されておらず、長らく、ICT 部門やシステム開発や保守・運用業務など ICT に係る業務の実施状況については、ICTに係るリスクやコントロールの有効性の観点からは評価されてこなかった。
そのことは、組織の規模や監査委員事務局の体制面からも鑑みて、ICT 監査への積極的な取組みが期待される、20 の政令指定都市における ICT
監査の取組状況からみても明らかである。
すなわち、平成 25 年度から平成 27 年度における政令指定都市の ICT 監査の実施状況を、公表されている監査委員監査の報告書注 4) 等に基づき調査したところ、図表１にみられるとおり、幾つかの政令指定都市において単発的な実施例は認められるものの、大阪市を除いては本格的・定期的に ICT 監査を実施している政令指定都市は皆無であった。
また、地方自治体においては、住民情報等の情報漏えいリスクへの対応については特にその対策の整備が求められる状況にあり、監査委員監査のみならず、内部監査等においても、情報セキュリ
ティに係る監査の実施が求められる状況にある。
しかし、電子自治体の推進状況をまとめた総務
省の「地方自治情報管理概要」（平成 27 年 4 月 1日現在）によれば、図表２にみられるとおり、情報セキュリティポリシーを策定している 1752 団
体のうち、情報セキュリティに係る内部監査を実施している団体は 637 団体と全体の 36.3% に過ぎず、情報セキュリティ監査の取組みにおいても、
地方自治体全体として、十分とはいえない実態にある。
上記のことから、地方自治体においては、情報
セキュリティ監査のみならず、ICT 監査が必ずしも十分に普及しているとはいえない状況にある。
地方自治体における ICT に係る業務は、特に、ICT 担当者の短期の人事異動などもあり必ずしも
ICT に係る知見を十分に有した職員によって実施されているとはいえない状況にある。しかし、地方 自 治 体 の ICT や ICT 部 門 は、 長 き に 亘 っ て
ICT 監査の目に晒されてこなかったこともあり、
地方自治体においては、外部ベンダーまかせのシステム化計画やシステム障害管理が行われたり、
外部ベンダーによる調達コスト見積もりの精査ができなかったりするなど、システムの品質やコストの管理において、外部ベンダーへの過度な依存体質にあることについて、可視化され問題視される状況にはなかった。
そのような外部ベンダー依存の体質から脱却
し、ICT の適正利用を実現するためには、地方自治体においても IT ガバナンスの構築が必要であり、その検証のための重要なツールとしての ICT監査の実施が不可欠である。

39

地方自治体における ICT 監査の更なる普及にむけて
図表 1
政令指定
都市

20 の政令指定都市における ICT 監査の実施状況

監査委員監査平成 25 年度

（参考）包括外部監査注 5)

26 年度

27 年度

平成 25 年度

26 年度

27 年度

Ａ市

なし

なし

①情報セキュリティ
①契約事務の改善
特記事項の遵守違反①情報管理について（駐車場案内システ（ 介 護 保 険 事 業 － 地 なし
（子育て支援事業）ム）
域 包 括 支 援 セ ン
ター）

Ｂ市

なし

なし

なし

なし

なし

なし

Ｃ市

なし

なし

なし

なし

なし

なし

Ｄ市

なし

①ＩＴ内部統制の実 ①情報セキュリティ
なし
施状況
について

なし

なし

Ｅ市

なし

なし

なし

なし

なし

① 帳 簿、 日 報 等 のバックアップについて（動物公園）

Ｆ市

なし

なし

なし

①高齢者福祉に関する財務事務の執行になし
ついて（介護保険シ
ステム）

なし

Ｇ市

①消防局の情報シス
なし
テムの運用

なし

なし

なし

なし

① 情報セキュリティの統制システムについて（行政組織の統なし
制システムの整備運用状況について の監査の一環として）

なし

Ｈ市

なし

なし

なし

Ｉ市

なし

なし

①個人情報の取扱に
なし
ついて

なし

なし

Ｊ市

なし

なし

①情報システムの導入（調達）に係る課 なし
題

なし

なし

Ｋ市

①役務契約に関する事務を適正に行うべきもの（業務委託における積算単価～教 なし
育センター研修用コンピュータシステム保守業務 他）①個人情報の取扱に関する事務を適正に行うべきもの（児童 なし
福祉支援システム保守業務）①情報セキュリティ ①市税の管理システについて（市立大学） ムの構築について

Ｌ市

なし①個人情報及び情報 ①個人情報及び情報
資産の適正管理につ 資産の適正管理につ なし
いて
いて

なし

なし

Ｍ市

なし

なし

なし

なし

なし

①電子カルテシステ
ム等ベンダーとのSLA 締 結 に つ い て（病院事業）

Ｎ市

なし

なし

なし

なし

なし

なし

Ｏ市

なし

なし

なし

なし

なし

①情報セキュリティ
管理体制（公益財団法人）

Ｐ市①上下水道局 水道部 なし（新料金システムの開発について）

なし

なし

なし

なし

Ｑ市

なし

なし

①情報システムに係 なし
る事務

なし

なし

Ｒ市

なし

なし

なし

なし

なし

なし

Ｓ市

なし

なし

なし

なし

なし

なし

大阪市

① IT 適正利用推進計 ① ICT 調達に係る事 ①住民基本台帳等事 ①介護保険システム
画に係る事務につい 務について
務システム及び戸籍 について（高齢者施て②財務会計システム 情 報 シ ス テ ム の 開 策に関する事務の執の 開 発、 変 更 管 理、 発、変更管理、 運用 行及び事業の管理の運用管理等に係る事 管理等に係る事務に 監査の一環）
務について
ついて
②税務事務システムの 開 発、 変 更 管 理、
運用管理等に係る事
務について③統合基盤システムの 開 発、 変 更 管 理、
運用管理等に関する事務について①税務事務システム なし
について（市税の事
務の執行についての監査の一環）（各政令指定都市のホームページによる公表資料から編集）

40

シ ス テ ム 監 査
図表 2

地方自治体における情報セキュリティ監査の実施状況
（

団体数

市
区
町
村

情報セキュリティ
ポリシー策定団体）内数字は％

評価・見直し情報セキュリティに 情報セキュリティに 情報セキュリティについて内部監査のみ ついて外部監査のみ ついて内部監査及びを実施
を実施
外部監査共に実施

都道府県

47

47(100.0)23(48.9)

0 (0.0)15(31.9)

特別区

23

23(100.0)3(13.0)6(26.1)10(43.5)

指定都市

20

20(100.0)5(25.0)3(15.0)11(55.0)

市

770763 (99.1)

212(27.8)

44 (5.8)

91(11.9)

町

村

928

899 (96.9)

219(24.3)

24 (2.7)

48 (5.3)

小

計

1、741

1、705 (97.9)439(25.7)

77 (4.5)160 (9.4)

1、788

1、752 (98.0)462(26.4)

77 (4.4)

175 (10.0)

合計（※）情報セキュリティポリシー策定団体数を母数として％を算出（平成 27 年度「地方自治情報管理概要」（平成 28 年 3 月 総務省）の資料編（総括）から編集）

3．地方自治体における ICT 監査の視点、実施上の留意点及び取組事例
3.1 地方自治体における ICT 監査の視点
地方自治体における ICT 監査については、今や組織の業務の適正を確保するための体制を構築していくシステムとして広く知られている内部統制のフレームワークである COSO 注 6）で示された内部統制目的から、その ICT 監査の視点を次のように考えることができる。
① ICT は、地方自治体の経営方針および戦略目
標の実現に寄与しているか② ICT は、地方自治体の目的を実現するように、安全、有効かつ効率的に機能しているか③ ICT は、内部または外部に報告する情報の信頼性を保つように機能しているか④ ICT は、関係法令、契約または内部規程等に準拠しているか
また、同時に、地方自治体における ICT 監査は、
有効な情報化推進に向けた助言活動や住民等への説明責任を果たす役割も担っていると考えることもできる。
すなわち、地方自治体における ICT 監査の役割
としては、前記の視点に基づき、それらを阻害するリスクが適切にコントロールされているかを、
第三者の立場から点検・評価し、住民をはじめとした関係者に報告することが求められているということができる。
また、同時に ICT は、大量の個人データを扱い、保有しているという特殊性を有している。そのために、地方自治体の ICT については、情報漏えい等の観点からも、一層のリスク管理が求められる。

過去には、某地方自治体における住民基本台帳

データ大量漏えい事件や、また近年では、通信教育事業会社や日本年金機構における大規模個人情報流出事件なども発生している。今後、マイナン
バー制度注 7） の本格展開などにより、住民情報等の漏えいリスクが更に高まる恐れもある。そのため、情報漏えいなど、情報セキュリティの確保に係るリスク管理の有効性を点検・評価することも
ICT 監査の重要な役割である。
3.2 地方自治体における ICT 監査実施上の留意点
地方自治体においては、前記のような ICT 監査の役割を、より有効に機能させるためには、次のような観点に注力しつつ、ICT 監査を実施する必要がある。
一つ目は、監査指摘においては、ICT に係る個々の統制活動の不備指摘だけにとどまらず、その不備を惹起させている本質的な原因分析を充実させることにより、行財政運営組織における ICT の統制環境注 8）、すなわち IT ガバナンス上の課題についても十分な検証と問題指摘及び提言を行うべきである。
そして、そのことは、首長からも独立している監査委員監査をさらに有効に機能発揮させることにもつながる重要な観点である。
前述の総務省の 10 の指針においても、「CISO（Chief Information Security Officer：最高情報
セキュリティ責任者） 機能の明確化等、情報セ
キュリティに関する人材・体制の強化」や「チェックリストを活用した強力な PDCA の構築」を基にした電子自治体推進のための体制整備が示され

地方自治体における ICT 監査の更なる普及にむけてるなど、地方自治体においても IT ガバナンスの構築が重要視されている。このことからも明らかなように、ICT 監査としても、有効な IT ガバナンスが構築されているかについての検証は極めて重要な取組事項である。
前述したように、特に地方自治体においては、
ICT や ICT 部門に対する ICT 監査が過去において十分に実施されてこなかったことから、ICT に係る統制活動のインフラとなるべき ICT に係る「地方自治体に属する職員の誠実性・倫理的価値
観・能力」、「行財政運営責任者の哲学・行動様式」、「権限や責任の割り当て」「適切な方針や手続の整備」などについて、十分な取組みができていないことが多い。
また、組織体における ICT の重要性が高まっているにもかかわらず、地方自治体における ICT の取組みについては必ずしも ICT に精通していない
ICT 部門及びその職員によって行なわれており、また短期の人事異動のために ICT に係る知見を修得することができない職員によって ICT の管理運営がなされていることから、外部ベンダーに過度に依存した状況になっている。そして、地方自治体が、これらの状況から脱し ICT の適正利用を更に推進していくためには、経験者採用を含め外部の ICT 専門人材の活用を積極的に検討していく必要があり、今やそれらの人材の活用なしには、地方自治体の ICT 管理は成り立っていかない程、
ICT 環境が高度化・多様化している状況にあるといえる。
しかし、この課題を解決するための ICT に係る人材育成やその確保が組織的・計画的に行われていないことなどは、まさに組織体の IT ガバナン
ス上の重要な弱点ともいうことができる。
そのため、地方自治体における ICT 監査では、ICT に係る統制活動の不備の本質的な原因分析を行うことなどにより、監査委員が経営者の目線でICT の統制環境、すなわち IT ガバナンス上の問
題指摘と提言を行っていくことが必要である。
そして、これらの取組みは、内部監査として実施されるシステム監査において、従来から課題とされてきた、システム監査を企業の経営に役立たせるにはどのような取組みが必要か、もしくは経営（者）に貢献するシステム監査を行うにはどのように実施していくかという命題に対して、地方自治体における監査委員監査の中で応えていくことに他ならないものと考える。

41

二つ目は、ICT の役割発揮を阻害するリスクの顕在化を、未然に防止し再発を防止することに力点を置いた監査を実施することである。
地方自治体における ICT 監査は、地方自治体の行政サービスが中断してしまってから、もしくは住民情報が大量に漏えいしてしまってからでは意
味をなさない。すなわち、ICT 監査は、ICT の役
割発揮が阻害されてからでは手遅れであり、その役割発揮に係るリスクが適切にコントロールされ、未然に防止できるようになっているかに主眼においた取組みが求められる。
そして、最後に、助言型監査として、ICT 監査
をとおして、組織の ICT に係る内部統制の構築やその改善活動に貢献していくことである。
前述の内容からも明らかなように、特に、地方自治体における ICT 部門や ICT に関わる部門に
おいては、必ずしも ICT に係る知見を十分に有している状況となっていない。そのため、ICT の領
域は、地方自治体の管理者や担当者においても、門外漢であるとして、いきおい、外部ベンダーに「丸投げ」になる傾向がある。ICT 監査は、その活動を通じて、それらの関係者に対して、ICT に係るリスクとコントロールについての教育と啓発に貢献していくことも求められる。
3.3 大阪市における ICT 監査の取組状況
大阪市では、平成 26 年度から ICT 監査に係る外部人材を任期付職員として採用し、従来から課題とされてきた、ICT が行政事務の簡素化及び効率化並びに市民の利便性の向上に合致した形で構築・運用されているか、ICT の投資対効果が適切
か、ICT の信頼性・安全性・効率性が確保されているかについて点検・評価するために、本格的にICT 部門等への監査を開始している。
平成 26 年度から実施されている ICT 監査の実
施テーマと不備指摘の概要は、図表３のとおりであるが、その監査結果から、大阪市においては、
大きく次の ICT の統制環境（ガバナンス）上の課
題があると指摘している。

42

シ ス テ ム 監 査
図表 3
年度

大阪市における ICT 監査の実施テーマと不備指摘の概要

テーマ① ICT 調達に係る事務

監査対象部局等

人事室等 12 の部局

平成 26 年度

不備指摘の概要
契約に関する業者見積などについて、「IT 調達ガイドライン」等に準拠した取扱いができていない事態、IT ベンダーに過度に依存し客観的な評価や分析が実施されていない事態などが認められた。

②財務会計システムの開発、変更管理、運用管理等 会計室に係る事務①住民基本台帳等事務シス
テム及び戸籍情報システム
市民局の開発、変更管理、 運用管理等に係る事務平成 27 年度

プログラムの変更管理、システム障害の管理、アクセス権限の管理などにおいて、基本的なリスク管理が実施されていない事態が認められた。

②税務事務システムの開発、変更管理、運用管理等 財政局に係る事務③統合基盤システムの開発、変更管理、 運用管理等 総務局に係る事務①交通局及び水道局におけ交通局及び水道局
る ICT の管理に関する事務

ICT 管理に係る体制面、規程・手続面及びその運用状況において、情報化推進計画、情報
セキュリティ管理やシステムの運用管理におけるモニタリング活動等の組織的な管理体制に不備が認められた。

②情報セキュリティの管理
ICT 戦略室他３の局等体制に関する事務

全庁横断的に自己点検などのモニタリングを中心とした情報セキュリティに係る PDCA サ
イクルを確実に実施できる体制が整備できていない事態、局等情報セキュリティ責任者を中心とする所属単位での情報セキュリティ管理体制が十分でない事態が認められた。

平成 28 年度

（http://www.city.osaka.lg.jp/gyouseiiinkai/cmsfiles/contents/0000303/303795/27-21.pdf（2017/01/02 確認）等から編集）

ひとつは、ICT の調達や管理に係る戦略的かつ全市的見地からの体制や仕組が整備されていないことがあげられるとしている。
そして、そのことは、次のような事態によって認められているとしている。
①業者から取得した見積書において、作業工数の根拠を書面で取得していないなど、見積根拠の検証が十分でなかったこと②重大なシステム障害は遅滞なく最高情報セキュ
リティ責任者に報告されることになっているが、その報告がなされていなかったこと③各システムの障害事例やプロジェクト終結後のプロジェクト評価情報などのプロジェクト情報
資産が、所管部局等に留まり、本市全体の資産として活用されていなかったこと④ ICT 調達に関する所管部局等の経験が共有されず、同一の外部ベンダーへの調達にも拘わらず、システム間で外部ベンダーから異なる作業単価が提示されていたこと⑤ ICT の統括部署は、規程や基準・ガイドラインへの準拠に関する指導や実態把握を行う役割を担っておらず、また、ICT 調達実績や障害事例など、本市全体として情報を共有化し活用する仕組を整備していなかったこと
二つ目は、ICT の適正利用の基盤となる ICT 専
門人材の育成と確保が十分でないことがあげられるとしている。
また、そのことは、次のような事態によって認められているとしている。
① ICT 調達においては、契約に関する業者見積などについて、見積根拠の検証を十分に行わず見
積金額のまま契約するなど外部ベンダーに過度に依存している事態や、プロジェクト管理業務や要件分析業務などの業務で多額の経費を支払ってコンサルタント会社の支援を受けている事態が認められたこと② ICT 管理における指摘事項に係る具体的事例の大半は、所管部局等における ICT に係る管理

地方自治体における ICT 監査の更なる普及にむけて者や担当者の知識と経験の不足から、障害記録の管理、システムの品質管理、特権 ID の管理等を専ら外部ベンダーに依存せざるを得ない状
況に起因しており、所管部局等が ICT 管理の実質的オーナーとしての役割を果たしていないこと
そして、これらの背景には、ICT 専門人材育成のキャリア・パスが確立されていないため、所管部局等の管理者や担当者については、一定の ICT研修を受講しているものの、日進月歩で進展する
図表 4

43

最新の ICT 知識に欠けるため、外部ベンダー等と対等に交渉できる力量が不足していたことがあげられるとしている。
各監査テーマの監査報告書においては、個別の統制活動上の不備に加え、上記２つの ICT の統制
環境に係る課題として、改善勧告を行うとともに、大阪市の年度単位の総括報告書 注 9） においてもICT 監査における監査結果として、図表４のとおりの内容で、改善を求めている状況にある。

大阪市監査委員監査の「総括報告書」にみる ICT 監査の指摘概要

年度

指摘の概要

平成 26 年度

本市全体として、IT 調達に係る環境面及び人材面からの課題に取り組むべきである。
環境面からの課題に対しては、IT 調達ガイドライン等を所管する総務局において、関係職員に指導・徹底を図るとともに、それらが理解されやすいものとなっているか、有効に活用されるようになっているかなどに留意してそれらを定期的に見直すこと、また本市全体として、IT 調達実績などの情報を蓄積・共有化し、有効に活用していくための環境整備を行うことが必要である。
人材面からの課題に対しては、本市として、各担当部局等の管理者や担当者の ICT に関する知見の向上に一層努力していくとともに、外部の専門人材を積極的に活用することも検討すべきである。

平成 27 年度

システム所管局における ICT 管理体制面及びそれらを支える本市全体としての環境整備面からの課題に取り組むべきである。
ICT 管理体制面においては、システム所管局は、システムリスク管理の重要性に係る認識を新たにし、その信頼性や安全性を損なうリスクとコントロールに係る知見の獲得に努めるとともに、リスクに対応するコントロールの整備や受託業者を含めたコントロールの運用状況のモニタリングなどの ICT 管理体制を構築することが必要である。 そして、本市の ICT に係る規程やガイドラインを所管する ICT 戦略室においては、これらのシステム所管局の取組に積極的に協力していくべきである。
本市全体としての環境整備面においては、情報セキュリティ対策基準等を所管する ICT 戦略室
において、それらの遵守に向けて具体的な運用方法を示すなどして、システム所管局の管理者、担当者に周知・徹底を図るとともに、重大障害事例情報、システム開発に係るプロジェクト評価情報等を集約し、本市全体でそれらを共有する体系的な情報管理環境の構築を図ることが必要である。

（大阪市監査委員監査の監査報告書の「27 の第 39 号
監査委員監査総括報告書」から編集）

平成 26 年度監査委員監査総括報告書」及び「28 の第 28 号

また、平成 28 年度実施の交通局・水道局における ICT 管理体制の監査では、図表３のとおり、個々の統制活動の不備は、まさに IT ガバナンスが 欠 如 し て い る と し て、 両 局 の CIO（Chief
Information Officer: 最高情報責任者）に対して、
ICT の管理体制の見直しと整備に向けた改善勧告を行っている状況にある。
上記のように、大阪市における ICT 監査は、監査委員監査の立場から、ICT に係る個々の統制活動の不備指摘のみならず、それらの本質的な原因分析を踏まえ、IT のガバナンス上の課題指摘に注力した取組みを行っているということができる。
3.4 大阪市における ICT 監査取組上の課題
大阪市においては、ICT 監査に係る任期付職員を活用して、前述のような取組みを行ってきては

平成 27 年度

いるが、未だ幾つかの課題も残されている。
そのうちのひとつは、監査対象領域に係る課題である。この２～３年間において、ICT 監査に取り組んだ個別の情報システムは、約 150 近くある
個別の情報システムのうち、その業務特性から比較的リスクが高い住民情報系の基幹システムが中心であった。そのため、住民情報系の基幹システ
ム以外の情報システムについての監査はまだこれからの状況にあり、これらについて計画的にフォローしていく仕組みを検討していく必要がある。
同時に個別の業務システムを監査対象とする場
合、今後は、それぞれ個別の業務システムは行政事務をサポートするために有効に機能しているのかなど、ICT を活用した業務プロセスの有効性の観点からも検証していく必要がある。
そして、更に大きな課題のひとつは、ICT 監査

44

シ ス テ ム 監 査体制の継続的確保である。現在は任期付職員主導のもとで、他の監査分野を担当する職員２名とチームを編成し ICT 監査を実施しているが、他の監査分野の業務事情等によって、必ずしもメンバーを固定するまでには至っていない。また ICT監査に参画する職員についても、適宜、任期付職員による OJT や研修会・勉強会の実施等によってスキル修得の機会を持つなどして、スキルアッ
プに取り組んではいるものの、まだまだ ICT 監査に関する十分な知見を有するまでには至っておらず、プロパー職員のみで ICT 監査が実施できる体制となっているとはいいがたい状況にある。
今後、大阪市において、現担当者である任期付
職員の任期満了以降においても、ICT 監査に係る取組みを継続しさらに充実させていくために、監査委員や監査委員事務局は、プロパー職員による
ICT 監査専門スタッフの必要性を十分に認識するとともに、その育成・確保に向けた取組みを行っていくことが求められる。
すなわち、今後継続的に ICT 監査を実施し充実させていくためには、大阪市プロパー職員の育成と専任のチーム編成を実現することなどの体制の整備が不可欠である。
4．地方自治体における ICT 監査の取組みに向けた今後の課題4.1 ICT 監査の普及を阻む要因
前述したように、地方自治体の監査委員監査において、ICT 監査の取組事例は必ずしも多くない。
その原因については、大きくは下記の三つの事項が考えられる。
ひとつは、監査委員において、ICT 監査の重要性や必要性への認識が十分でないことである。
前記総務省による 10 の指針などが示されていることもあり、地方自治体の首長や幹部、そして監査委員においては、ICT そのものの重要性については十分に認識されているものと理解される。
そして、そのことは各地方自治体において、ICTの戦略的取組計画注 10）などが示されていることか

らも明らかである。しかし、地方自治体の監査を担う監査委員においては、ICT に係る自らの知見不足もあり、ICT 監査の重要性や必要性に関する認識が十分でないことから、監査委員監査として積極的に ICT 監査への取組みが行われてこなかった。
二つ目は、監査委員監査をサポートする監査委

員事務局の ICT に係る知見の不足がある。監査委
員事務局のスタッフについては、どの地方自治体
においても量的に必ずしも十分に確保できているとはいいがたいものとなっていることがあり、またその中でも ICT の知見を有したスタッフはほとんどいないことから、現実に ICT 監査を実施して監査委員を支援できる環境にあるとはいえない状
況にある。
そして、最後に、ICT 監査の指摘が、個別の統制活動上の不備指摘に留まっており、地方自治体
における ICT の統制環境、すなわち IT ガバナン
ス上の課題についての検証や問題指摘及び提言が不足していることがある。そのため、監査委員監
査における ICT 監査の必要性が、必ずしも関係者に十分に理解されているとはいえない状況にある。
4.2 ICT 監査の実施にむけて取り組むべき方向性
上記の課題解決に向けて、地方自治体における監査委員監査として、次の３点から取組みを行っていくべきである。
ひとつは、監査委員の専門性を高めるために、監査委員自らが、ICT 監査に係る知見を獲得し、その重要性と必要性を認識することがあげられる。しかし、現実問題として、識見監査委員 注 11）の多くは、自治体ＯＢ職員、弁護士、公認会計士などによって構成されていることから、ICT やICT 監査に係る知見の獲得にも限界がある。
そのことを解決するための方法として、たとえば、ICT 監査に係る高い専門性を有する有識者を非常勤委員として監査委員に任命すること（以下、「ICT 監 査 専 門 委 員 」 と い う。） が 考 え ら れ る。
ICT 監査専門委員については、平成 29 年 1 月に読売新聞が、総務省による地方自治法改正の動きを報じた「自治体の監査制度 強化へ」という見出しの記事注 12）によって、有識者の「監査専門委員」の任命制度としても紹介されている。
この法改正の動向にもよるが、ICT 監査専門委員の設置の如何にかかわらず、今一度、監査委員としても、ICT 監査を実施することなくして、今後の監査委員監査の実効性は十分に確保されないことを再認識するなどして、ICT 監査に取り組んでいく必要がある。
二つ目は、監査委員事務局スタッフが、ICT に係るリスクやコントロールについての基礎的な知地方自治体における ICT 監査の更なる普及にむけて識やスキルを修得することなどによって、ICT 監
査の実施環境を整備することがあげられる。
すなわち、監査委員事務局スタッフは、ICT に係る下記の重要性を再認識し、ICT や ICT 監査に係る知見の向上に努め、監査委員監査におけるICT 監査の実質的な実行部隊としての役割発揮を十分に果たすべきである。
① ICT がダウンすれば、行政機能が麻痺することになること② ICT で保有する住民情報データベースからの情報漏えいが発生すれば、大変な社会問題になること③情報セキュリティ対策は、今や組織の社会的責任であること④ ICT に余分な経費がかかっていること、また
ICT が有効に機能していないことがあることその場合の監査委員事務局スタッフの確保・育成については、庁内の ICT 部門経験者を積極的に登用したり、場合によっては ICT 監査専門家などの外部人材の活用などの方法も、監査委員や監査委員事務局として考慮していくことが必要である。
そして、最後に、監査委員監査の実行部隊である監査委員事務局スタッフが、ICT に係る個別の統制活動上の不備を引き起こしている本質的な原因について、たとえば、次の観点から分析することなどにより、経営的視点からの指摘や改善勧告につなげていくことがあげられる。
①経営層の ICT に対する関心や考え方② ICT に関する戦略、計画、予算等の策定③ ICT に関する体制の整備（組織構造や権限・責任、規程など）④組織の構成員の ICT に関する基本的な知識や活用する能力⑤ ICT に係る教育・研修に関する方針⑥ ICT に関する組織内のコミュニケーション（情報と伝達）⑦ ICT に係るモニタリング
また、ICT の統制環境そのものを、ICT 監査の対象として取り上げ、「システム管理基準 追補版注 16)」（平成 19 年 3 月 経済産業省）における「IT 全社的統制」の評価項目を参考にするなどして、監査の着眼点を整理するとともに、その観点から監査手続を整備し ICT 監査を行うことも有効な手法である。
上記のような取組みに基づいた課題指摘や改善45勧告を行うことにより、ICT 監査が、監査委員監
査としてより価値あるものと評価され、地方自治体において更に普及することになると思料される。
5．おわりに平成 29 年 1 月 4 日付の日本経済新聞は、総務
省が、地方自治体の職員による不正会計や情報漏
えいなどを防ぐ体制づくりを地方自治体の首長に義務付け、上場企業が導入している「内部統制」
によるリスク管理を参考に基本方針や実施計画などを策定するよう、地方自治法を改正し、平成 31
年度以降の施行を目指していると報じている注 13)。

その中では、1 年に 1 回、内部統制状況評価報告書を作成し、監査委員の監査を受けることなどが示され、地方自治体においても、上場企業が実施している内部統制の評価報告制度が導入されようとしている。前述したように、内部統制の評価報告制度では、IT への対応が求められ、「IT 統制」
及び「IT 統制監査」の実施が必須となっていることから、今後、地方自治体においても、ICT 監査の実施は不可欠である。
さらに、マイナンバー制度の本格展開も確実視される中で、地方自治体において、特定個人情報保護の観点からより一層のセキュリティ確保が要請されることから、特定個人情報保護評価書 注 14)に記載されているリスク対策の有効性や信頼性を継続的にモニタリングしていく監査としての ICT
監査の役割も、今後ますます重要になってくるものと考えられる。
マイナンバー制度に関しては、平成 27 年 10月に制度施行されてから、幾つかの地方自治体や地方公共団体情報システム機構においてシステムトラブルが続出し、住民に対して多大な影響を与えた注 15）ことからも、今後もシステムの信頼性やセキュリティ確保に向けた十全な対応が望まれるとともに、ICT 監査としてもその役割発揮が求められる状況にある。
本稿では、監査委員事務局スタッフとして、わずかではあるが、地方自治体における ICT 監査の実務経験を踏まえ、地方自治体の ICT 監査の更なる普及に向け、その重要性と必要性について言及した。
前記の地方自治法改正の動きの中で、監査委員
監査における ICT 監査への取組みはさらに検討が加えられることになるかも知れないが、今まさに

46

シ ス テ ム 監 査

地方自治体における ICT 監査の実務を担っている一人として、それらの状況を注視していくとともに、その更なる普及と発展に向けて引き続き研究と発信を行っていくことの必要性を痛感しており、その役割発揮に向け更なる研鑽に努めていきたい。
【注】
注 1）地方自治法第 195 条第 1 項。
注 2）地方自治法第 200 条。
注 3）IT ガバナンス（IT governance）とは、「企業が競争優位性構築を目的に、IT（情報技術）戦略の策定・実行を あるべき方向へ導く組織能力」（「システム監査用語の定義と解説」平成
17 年 6 月、システム監査学会）等をいい、政府情報システムにおける IT ガバナンスとは、
政府情報システムの整備又は管理のための全ての活動、成果及び関係者を適正に管理し、電子政府の構築、世界最先端 IT 国家の実現へと導く仕組みを組織に組み込むことをいう。
注 4） 札 幌 市 の 監 査 報 告 書（http://www.city.
s a p p o r o . j p / k a n s a / f02k e k a / i n d e x . h t m l(2016/11/06 確認 )）などによる。
注 5）包括外部監査とは、都道府県、政令指定都市、中核市に対して、監査委員が行う行政内部の監査とは別に、弁護士や公認会計士など外部の監査人と契約を結んで、最少の経費で最大の効果をあげているかなどの観点から監査を受けることを義務づけられている、地方自治体における外部監査制度のひとつである。
注 6）COSO とは、トレッドウェイ委員会支援組
織委員会（The Committee of Sponsoring
Organizations of the Treadway
Commission） の略称で、1992 年に内部統制のフレームワークを公表した。これは、今日、内部統制の事実上の世界標準として知られている。
注 7）マイナンバーは、住民票を有する全ての方に１人１つの番号を付して、社会保障、税、災害対策の分野で効率的に情報を管理し、複数の機関に存在する個人の情報が同一人の情報であることを確認するために活用されるものであり、行政を効率化し、国民の利便性を高め、公平かつ公正な社会を実現する社会基盤となるもの。平成 28 年１月から利用開始された。
注 8）COSO のフレームワークにおいて、内部統制の構成要素を、「統制環境」「リスクの評価」「統制活動」「情報と伝達」「監視活動」とされており、日本の上場企業に義務付けられている内部統制報告制度においては、IT への対応としての IT 統制として、大きく「全社レベルの統制」（IT 全社的統制）、「全般統制」（IT 全般統制）、「ア
プリケーション統制」（IT 業務処理統制」）に分けて示している。
IT 全社的統制は、IT 全般統制と IT 業務処理統制を支える統制環境であり、その有効性は、他の全ての統制の有効性に影響を与えるものとなり、いわば IT ガバナンスともいうべきものである。
注 9）大阪市の年度単位の総括報告書とは、大阪市の監査委員監査の各年度に実施した各種監査において特に共通して確認された課題とその原因、また改善策につき、総括報告書としてまとめたもの。
注 10）大阪市においても、最先端 ICT 都市の実現に向け、「ICT の徹底活用」とそれを支える
土台として「ICT の適正利用」を柱とした ICT戦略を策定し、平成 28 年４月に公表している。
注 11）監査委員は、「識見委員」と議員の中から選任された「議選委員」で構成される。
注 12）読売新聞 平成 29 年１月 19 日付 朝刊。
注 13）日本経済新聞 平成 29 年 1 月 4 日付 朝刊。
注 14）特定個人情報ファイルを所有しようとする又は保有する国の行政機関や地方公共団体等
が、個人のプライバシー等の権利利益に与える影響を予測した上で特定個人情報の漏洩その他の事態を発生させるリスクを分析し、そのようなリスクを軽減するための適切な措置を講ずることを宣言するもの。
注 15）日経 BP 社；「動かないコンピュータ」、日経コンピュータ、2015.11.12、pp.62-64
日経 BP 社；
「マイナンバー、トラブル続出の深層」、日経コンピュータ、2016.8.4、pp.36-49。
注 16）経済産業省が情報システムの適正な管理等を目的として策定している「システム管理基準」等と、財務報告に係る内部統制で求められている「IT への対応」との間の具体的な対応
関係を整理したガイダンス。

47

地方自治体における ICT 監査の更なる普及にむけて【参考文献】
1）小川英明；「地方自治体における監査機能の強化に向けて～実務的視点から～」、日本内部監
査協会、月刊監査研究（2015.8）、pp.7-26
2）松田貴典；「マイナンバー制度でのリスク対策と監査－自治体等における特定個人情報保護評
価をモデルにして－」、日本内部監査協会、月刊監査研究 (2015.10）、pp.7-21
3）NPO 日本システム監査人協会；情報システム
監査実践マニュアル第２版、森北出版、2011.1
4）NPO 日本システム監査人協会；IT 統制監査
実践マニュアル、森北出版、2011.1
5）茶谷達雄・島田達巳・井堀幹夫編著；電子自治体実践ガイドブック、日本加除出版株式会社、
2014.76）上村進・高橋邦明・土肥亮一：ｅ－ガバメン
ト論、三恵社、2012.2
7）八田進二・箱田順哉監訳；内部統制の総合的フレームワーク フレームワーク篇、日本公認会計士協会出版局、2014.2【参考 Web リスト】
図表１の原資料（2017/01/08 確認）
1）札幌市
http://www.city.sapporo.jp/kansa/f02keka/
index.html
2）仙台市
http://www.city.sendai.jp/shise/reki/kansa/
index.html
3）さいたま市
http://www.city.saitama.jp/006/007/010/001/002/index.html
4）千葉市
http://www.city.chiba.jp/kansa/index.html
5）横浜市
http://www.city.yokohama.lg.jp/kansa/
kekka/6）川崎市
h t t p : / / w w w. c i t y. k a w a s a k i . j p / s h i s e i /category/51-3-2-0-0-0-0-0-0-0.html
7）相模原市http://www.city.sagamihara.kanagawa.jp/
kansa/jimukyoku/index.html
8）新潟市
http://www.city.niigata.lg.jp/shisei/kansa/

index.html
9）静岡市
http://www.city.shizuoka.jp/000_000334.
html
10）浜松市http://www.city.hamamatsu.shizuoka.jp/
kansa/kansa/kansa.html
11）名古屋市
h t t p : / / w w w. c i t y. n a g o y a . j p / s h i s e i /category/56-2-0-0-0-0-0-0-0-0.html
12）京都市h t t p : / / w w w. c i t y. k y o t o . l g . j p / m e n u5/
category/77-3-0-0-0-0-0-0-0-0.html
13）大阪市http://www.city.osaka.lg.jp/gyouseiiinkai/index.html
14）堺市
http://www.city.sakai.lg.jp/shisei/sonota/
kansa/kansakajokyo/index.html
15）神戸市http://www.city.kobe.lg.jp/information/
inspection/office/kekka/index.html
16）岡山市http://www.city.okayama.jp/kansa/index.
html17）広島市http://www.city.hiroshima.lg.jp/www/genre/1001000001937/index.html
18）北九州市
http://www.city.kitakyushu.lg.jp/shisei/
menu05_0301.html
19）福岡市http://www.city.fukuoka.lg.jp/kansajimu/
kansa1/shisei/kansa/index.html
20）熊本市http://www.city.kumamoto.jp/hpkiji/pub/
List.aspx?c_id=5&class_set_id=2&class_
id=1938片岡学

大阪市行政委員会事務局

監査部