シ ス テ ム 監 査

16Mar.2013＜研究論文＞

情報セキュリティ内部監査の品質向上に向けた提言
The Proposals for the Corporate Internal-Audit Quality of Information Security

黒

川

信

弘

Nobuhiro Kurokawa

情報セキュリティ専門監査人
概要
最初に多くの企業において実施されている情報セキュリティの内部監査に関しての実態と内在する諸問題を示す。次に内部監査の目的と効果を再確認し、それを実現する内部監査の品質とは何か、その実体を具体的に示し、品質評価のため５段階の指標を提言する。
また内部監査の品質を確保する施策として、品質管理的な手法、および監査人の教育訓練プロ
セスも含めた内部監査プロセスに対する品質マネジメント的な手法を論じる。最後に内部監査本
来の目的を達成するために、兼任内部監査人を想定した内部監査手法と専門監査部門の強化による高位品質レベルを目標とした内部監査プロセスとしての次のステップへの移行を提言する。なお、本稿では事前に有識者に対して行ったアンケートの回答を随所に参考として挙げる。
キーワード：情報セキュリティ、内部監査、品質、監査人、内部監査プロセス

はじめにだけのために形式的に内部監査を実施してい企業における情報セキュリティの取組みのるとか、毎年同じメンバーが訪れては同じ質

大きな柱として、内部監査がある。ISMS1 適

問をして帰っていく、隣の職場の従業員が即合性評価制度（以降、「ISMS」と言う。）やプ

席栽培の内部監査人となり、形だけの確認をライバシーマーク制度（以降、「P マーク」として監査を実施したという実績つくりをして言う。）の認証取得企業が増えるに従い、マいる。そんな話を聞くと、最近の内部監査はネジメントシステムにおける内部監査というマンネリ化し、形骸化し、儀式化してきていものが多くの企業で実施されるようになっるのではないかと危惧する。

た。企業内における情報セキュリティに関すそもそも企業が内部監査に求めるものとはる取組みを自己評価するプロセスである。

何であろうか。内部監査の目的は、内部監査

ところが企業が多くの資源を費やし内部監の効果は、何であろうか。それらを達成する査を実施している割には、最近、この内部監ための内部監査の品質をどう確保しているの査の品質に関して問題があるという声を多くであろうか。内部監査の品質に関してもう少聞くようになった。ISMS やＰマークの審査し深堀する必要があると考えた。内部監査に

2012/5/21 受付、2013/1/11 受理

Vol.26 No.2

情報セキュリティ内部監査の品質向上に向けた提言

17

はどのような品質を求めたらよいのだろう

が個人情報保護監査責任者を指名し、PMS5か。求められるレベルはどの程度のものであが JIS Q15001 の要求事項と合致しているころうか。また現実に内部監査を実施した結果、とと PMS の運用状況の二つを定期的に監査

情報セキュリティ事故は減っているのであろさせること” を要求している。併せて監査のうか。内部監査の効果を企業はどう評価して計画、実施、報告のプロセスの手順に関しているのであろうか。

も若干の要求がある。

そのような疑問を持って早速内部監査の品ISO270016[4] の内部監査への要求事項は、質とは何かを調べてみた。しかし内部監査の「6. ISMS 内部監査」の項目で” ISMS の管理

品質そのものを言い表した文献や文書という目的、管理策、プロセス、手順について定期

ものはあまり存在しない。内部監査の品質を的に監査すること “となっている。監査にて確保するための施策を記述した文書は確認すべきこととして、” 規格の要求事項に適に見られるが、肝心の監合していること、関連法例・規制に適合して査の品質とは何であるかについては明確ではいること、明確にされた情報セキュリティのない。

要求事項（自社の規格）に適合していること、ISO19011

2[3]等[1][2]

本稿は、それら疑問の解明のため、内部監有効性の評価／計画したように実施されてい査の品質に焦点を当て、内部監査の品質とはること “と規定している。またＰマーク同様

何か、品質確保のためにどのような対策をすに計画、実施、報告のプロセスに対する若干べきか、ということを中心に論じる。尚、本の要求事項が存在する。

稿の論述の中心は定常の内部監査部門を保有

しかし、いずれの規定にも、誰が内部監査する中規模以上の企業組織を対象としているを実施するのか、および内部監査の品質につが、内部監査部門を定常化できない小規模組

いての直接的な明示はない。

織においても十分に参考となるものである。

一方、企業の中では実際に内部監査はどの

また本稿は事前にそれらの疑問に対して、ように実施されているのであろうか。筆者は、有識者へのアンケート 3 を試みた。そのアン

システム監査学会・情報セキュリティ研究プケート結果も参考にしながら論述を進める。

ロジェクト（情報セキュリティ専門監査人部会含む）、及び情報システムコントロール協

1. 企業内内部監査の実態

1.1 企業における内部監査の実態

会・東京支部調査研究委員会内システム監査・保証研究会に協力を得て、2010 年 12 月 17

ISMS 認証取得組織 4,172、P マーク付与事

日から 2011 年 1 月 31 日にかけて “内部監業者 12,799 社（いずれも 2012.11.29 時点）

査の品質に関してのアンケート” を実施した。

をはじめ、情報セキュリティに関する他の認

本稿ではこのアンケートの結果も参考にしな証を取得した事業者も含め、かなりの事業者

がら本テーマを論じて行く。

が情報セキュリティ対策活動を進めている。

まず、企業内の内部監査を実施する実体にこういった企業の中では情報セキュリティ事

関して、アンケートでは以下のような設問が故の抑止、および組織内の情報セキュリティあり、その結果を考察する。

レベルの向上を狙って、内部監査を実施して[ 設問 1]
その企業内で内部監査を実施しているのいる。
P マークの内部監査への要求事項では、JIS
Q15001

4[5]の「3.7 点検」の項目で、“代表者は、どのような組織及び形態ですか？
①定常的な内部監査部門が実施（専任・専シ ス テ ム 監 査

18

Mar.2013

門の内部監査人）②定常的な内部監査部門主導で他部門要員を活用して実施（兼任・素人の内部監査人）③定常的な情報セキュリティ推進事務局が実施（推進役と内部監査人を兼任）④定常的な推進事務局主導で他部門要員を活用して実施（兼任・素人の内部監査人）⑤その他（具体的に書いてください）[ 考察 2]① 83% の高い割合で内部監査のレベルに課題があるという実態が現れた。
②具体的には、“規程類に書かれている内容
通りに運用できているかの監査であり改善のための内部監査ではない”、“監査報告書の内容が指摘事項の単なる羅列だけで経営者へのレポートとしてはきわめて[ 考察 1]① “専門の監査部門が実施（上記設問①＋③）”（54％）、“他部署の従業員を活用して実施（上記設問②＋④＋⑤）”（46％）で、専任監査人 7 と兼任監査人 8 が半々の結果となった。監査部門及び監査人の属性・定義は、監査に求められるレベル・内容、組織の規模、業態、対象業務の内容などにより異なると思えるが、兼任監査人の割合が大きいことは確認できた。また専門監査部
門が 54％ということは、本アンケートの回答者は比較的中規模以上の企業組織を想定していることがわかる。
[ 設問 2]
その企業内の「内部監査のレベル」に問題があると思ったことはありますか？
①ある（それは、どのような問題ですか？）②ない貧弱” など監査の深堀が足りないという意見、“適合／不適合の判断基準があいま
いなまま実施しているため監査人により判断のばらつきがある”、“評価結果が属人的になっている” など監査が形骸化／
ばらつきがあるという意見、“内部監査人
が情報システム及びセキュリティの知識に乏しい” という力量不足の意見などがあった。
以上のように企業内で実施されている内部監査については、専任監査人、兼任監査人が半々の割合であること、実施された内部監査の品質は企業の経営に貢献する内部監査のレベルには未だ達していないと認識されている。
1-2 内部監査に内在する課題
以上の設問 2 のアンケート記述回答の内容を整理すると、企業で行われている内部監査の品質に関する課題は以下のようにまとめられる。
①内部要員の活用による限界の存在Vol.26 No.2

情報セキュリティ内部監査の品質向上に向けた提言

19

毎年、毎年、同じ人が決まった時期に訪れている。内部監査を実施したという形式的実ては、前回と同じことを聞いて帰っていく。

績が必要と言う中での内部監査である。いつ監査人と被監査部門とは顔なじみであり、日の間にか監査をやること自体が目的化し、形常的に仕事のやり取りをしている人である。

式化し、指摘内容も深堀の足りない表面的なチェックすることも確認することも毎回同じものになっていく。重箱の隅をつつくようなではマンネリ、馴れ合いといわれてもしかた

指摘ばかりに終始してしまい、被監査部門のない。監査というものは客観的、公平、公正業務改善に結びつく指摘や真に経営に役立つに行われなければならないが、内部監査は、所見も少ない。

大きく見れば同じ組織の内部の人間が行うものである。そこには客観性、公平性、公正性、信頼性と言う面では自ずと限界が存在する。
②兼任監査人の限界の存在

2. 企業内内部監査の目的と効果
2.1 内部監査の目的と効果「調査報告書 ISO9001・ISO14001 に対す企業の資源の制約から内部監査は兼任監査

る適合組織の取組み状況」9 によると組織が人によって行われる場合がある。本来は別の内部監査を行う目的は、「マネジメントシス

本業を持っている従業員を監査期間だけ監査

テムのレベルアップを図るため 70.9%」、「規人として出稼ぎをしてもらう形態である。監格に要求されているため（第三者審査の準備

査の素人である同僚を臨時の内部監査人に即のため）58.3%」の好対照な二つの目的が上席に仕立て上げ、相互監査をするというスタ位を占めた。認証の取組みの枠を外して考えイルでは、その内部監査人に監査人としてのると、内部監査の本質的な目的は、情報セキュ

多大な研鑽を求めることも憚られる。

リティ・マネジメントシステムのレベルアッ

その結果、内部監査人は全般的に教育・訓プのため、すなわち経営面からの情報セキュ

練不足となり、専門スキルに欠ける部分があリティの有効性を判断すること、被監査部門

り正しく妥当な指摘がしにくい。あるいは内の情報セキュリティ上の重要課題を改善する

部監査人の発言内容・指摘内容が恣意的であこと、さらには、従業員に対して情報セキュ

り、全体に一貫していない点が見受けられる。

リティ事故が発生しないような抑止効果を持また内部監査人の均質性がなく、人による監

たせ意識づけをすること、のためであろう。

査品質のバラツキが大きい。監査結果はいわ一方、実際の内部監査の効果として特筆す

ゆる属人的であり、人によって監査対象事項

べきことの一つは、内部監査を担当した内部や指摘内容やアドバイスが大きく異なる。

監査人自身の啓発である。実際に監査を実施

また、あまり監査経験もないし、情報セキュ

するといろいろなところに気づきがある。人リティの専門知識もない同僚、仲間である内の振り見て我が振り直せともいうが、監査の部監査人の言うことが本当に信頼できるのか

実務を担当した内部監査人自身が最も触発意と言う不信感が被監査部門にある。内部監査

識づけされているのではなかろうか。その理人の指摘に対して素直に受け入れられないと屈を押し通すと、できるだけ多くの従業員がころが出てくる。

内部監査人の役割を担って内部監査を実施す③内部監査品質に対する認識不足

ることが求められる。

組織自体が内部監査にどこまでの品質を求

二つ目は、被監査部門の責任者の動機づけ

めるのかが明確でない。ISMS や P マークでである。実際に監査を受けるということは少内部監査の実施を求められているから実施ししばかりでも準備をし、それなりの意識と配シ ス テ ム 監 査

20慮をする。それが組織全体の意識づけにつながっていく。

Mar.2013

ださい。
[ 考察 14]

三つ目は、内部監査を主導する側（監査責①内部監査のレベルアップについて回答の任者や事務局などの監査実施主体者）の自主

代表的なものをあげると次のようなもの

性の高揚である。内部監査を主導する側も、であった。“トップの意識次第”、“監査のそれなりの準備をし、情報セキュリティ管理

実施経験から得られる”、“内部監査人のの一端を担っている自負と責任を持たせるこ

力量に負わない手法を構築すべき”、“外とで、情報セキュリティの大きな推進力を得部の力を借りること”。

ることになる。

② “内部監査人の力量に負わない手法を構

2.2 アンケート結果

築すべき” については、兼任監査人によ[ 設問 11]

る内部監査はルール通りにやっているか

企業の内部監査に求めるレベルについて、を見るレベルで十分、逆にいえば兼任監

あなた自身のお考えはどれですか？

査人でもできる内部監査プロセスにしな①組織的活動として内部監査が実施 (PDCA)

ければならないということだと受け止めできていれば、それでいいのではないかられる。多くの組織では人もお金も十二②内部監査プロセスについての課題を改善分に割くわけに行かない状況で、内部監し続ける何らかの取組みが欲しい③「内部監査のレベル維持・向上」につい

査の実効性を上げないといけない。したがって内部監査人を育成することも重要ての明確な仕組み・施策が必要ではあるが、兼任監査人でもできる内容④その他（具体的に書いてください）にして、あとは監査部門や事務局で内部監査の精度と品質をあげることである。
3. 内部監査に求められる品質とは何か
内部監査の品質そのものを規定している文
書はほとんど見当たらない。ISO900110 によれば、“品質とは要求されたことを達成した程度” とあるので、内部監査の品質も同様に考え、本稿では内部監査の品質を、“経営者の要求に応えた程度” と定義する。何故なら、内部監査は経営者から要求・指示されるもので[ 考察 11]あるからである。

内部監査のレベル維持・向上のために何ら経営者が内部監査に求めているものは、本かの施策が必要（上記設問②＋③）（67％）

質的には現状の情報セキュリティ推進の有効という結果であり、内部監査、及び監査人

性と適切性の評価であろう。例えて言えば、にかなり高いレベルを要求しているように

ISMS を導入している組織であれば、ISMS そ見え、さらなる対策が必要と感じている。

のものの有効性とその運用の適切性の確証を[ 設問 14]内部監査に求めている。内部監査の品質とは「内部監査のレベル維持・向上」について、

次のように言い表せられる。

その他のご意見があれば何なりとご記入くア）経営への貢献度合い

Vol.26 No.2

情報セキュリティ内部監査の品質向上に向けた提言

経営者に対して情報セキュリティ推進の有効性と適切性を的確に報告・提言すること。
イ）情報セキュリティ管理の有効性の判断

21

推進の有効性と適切性を的確に報告できる
上位レベルはそれぞれ下位レベルの内容を包含し、レベル 5 が最上位である。
①レベル 1

度合い（情報セキュリティ・ルールの職場運用の不企業内で運用されている情報セキュリ

備を正しく指摘できる）

ティ管理の有効性を正しく評価すること。

内部監査（内部監査人）に求められる最低ウ）助言・指導内容の適切性、妥当性と信限の要求事項は、職場における情報セキュリ

頼性

ティ運用状況の評価ということであろう。企

内部監査で指摘・助言した内容が適切で業内の運用ルールに対して、その通りに運用妥当であり信頼の置ける内容であること。

されているかどうかを判定する。その際に内エ）内部監査プロセスの効率性と効果性

部監査人には三つのことが求められる。一つすべての内部監査プロセスが効率的、効は自社内の情報セキュリティ運用ルールを果的に運用実施されていること。

知っていること、二つ目は情報セキュリティ

以上のような観点で内部監査の品質を評価の内部監査人としての基本スキルを持っていすることが求められる。本来であれば、上記

ること、三つ目は職場の業務概要を知っていの項目ごとに品質レベルを定義すべきである

ることである。

が、本稿では簡便のために上記アからエまで

ここで、情報セキュリティの内部監査人とをまとめた総括的な品質レベルとして次のよ

しての基本スキルとは、“情報セキュリティ”

うな指標を提言する。

に関するスキルと “監査” に関するスキル 11

アンケート結果にある内部監査に関する課である。内部監査人は、これらのスキルに基

題（1-2. 内部監査に内在する課題）の解決にづいて職場の運用状況を確認し、ルール通り

対して要求される監査人のスキルレベルの難に実施していない場面・事実を発見し、正し度を大きく、管理策運用面、職場課題面、経く指摘する。これが内部監査に求められる基営課題面という切り口から設定する。それら

本レベルである。

を運用における基準への適合性評価、運用面②レベル 2への助言提示、職場重要課題への助言提示、（職場運用の不備に対して最良の対策を助言

基準自体の適切性の評価、経営課題としてのできる）

評価という以下の 5 段階の序列に整理した。

内部監査（内部監査人）に求められるのは、

レベル 1：情報セキュリティ・ルールの職

運用の状況の不備を発見することだけではな

場運用の不備を正しく指摘できるい。企業内の内部監査人が行う監査であるか

レベル 2：職場運用の不備に対して最良のら、運用の不備の状況に対して的確な対策案

対策を助言できるなどの助言・アドバイスが欲しい。本来の内レベル 3：職場の情報セキュリティに関す

部監査の目的はそこにある。不備を指摘する

る重要課題を指摘し、的確に指導、助言でだけではなく、その不備を改善するためにはきる

どうすればいいかを助言することが重要な役

レベル 4：情報セキュリティ・ルールの適割であろう。そのためには内部監査人にはレ

切性を的確に評価できる

ベル 1 で記載したスキル以上の部分が必要に

レベル 5：経営者に対して情報セキュリティなる。それは、自らの情報セキュリティ管理

シ ス テ ム 監 査

22Mar.2013の実体験であり、監査人としての多様な監査いても評価する必要がある。ISO27001 にも経験である。そういった多様な実体験がある

管理策の有効性測定という要求事項が存在すからこそ、監査対象組織に対して的確で説得る通り、時間と経験の経過の中で情報セキュ

力ある対策アドバイスができる。

リティ・ルールを適宜見直すことは重要であ③レベル 3

るし、内部監査はその任の一端を担う。

（職場の情報セキュリティに関する重要課題⑤レベル 5を指摘し、的確に指導、助言できる）（経営者に対して情報セキュリティ推進の有

情報セキュリティ管理策の一つ一つの不備

効性と適切性を的確に報告できる）の発見をするだけにとどまらず、監査対象職

レベル 5 の内容は、内部監査の依頼者であ場の本質的な課題を指摘することが求められる経営者が最も必要としていることである。

る。管理策一つ一つに対する運用状況の不備

本質的にはレベル 5 が内部監査への究極的なを発見・指摘しても、それでその職場の本質

要求事項というべきものであり、このアウト的な改善に結び付くかどうかわからない。もプットこそが内部監査の品質というべきもの

ぐら叩きに終始しても仕方がない。いろいろであろう。

な不備が発見された結果、その職場にはどう

個々の職場の中の情報セキュリティ運用状

いった本質的な課題があるのかを見出すこと

況を評価し、情報セキュリティ・ルールを評が重要である。いわゆるマネジメントシステ

価し、その結果、企業内の情報セキュリティ

ムとしてのプロセスの課題と対策を指摘する

管理についての課題と対策を経営者に報告・ことが求められている。

提言することが求められる。その際、個々の④レベル 4

情報セキュリティ管理策の実装状況はさてお（情報セキュリティ・ルールの適切性を的確

き、企業内の情報セキュリティ管理の有効性に評価できる）について的確な評価をすることが肝要であレベル 3 までは社内ルールありきであったる。情報セキュリティに関する経営者の方針

が、レベル 4 になるとその社内ルール自体のや目的への適合度合、管理策の運用状況、事適切性を評価することが求められる。企業内故の発生状況、顧客・取引先などのステークで策定され、運用されている情報セキュリ

ホルダーからの要求や提案などを総合勘案しティ・ルールそのものが本当に適切なのか、て、現在の情報セキュリティ管理が自社に

CIA の実現に効果があるのか、現場業務のとって有用なのか、事業や環境の実態と合っ

実態に合っているのか、などを評価することているのか、問題があるとすればどういう手である。よく情報セキュリティとは利便性とを打てばいいのか、そういった内容を経営者

トレードオフの関係にあると言われる。全てに的確に報告・提言することこそ、内部監査がそうではないが、ある面、そのような相反に要求されていることであり、これこそが内性を有することもあり、あるいは、もっと行

部監査の本来の品質である。

12

き過ぎると組織にとって “百害あって一利なし” と言われかねないルールも無きにしもあらずである。そこまで行かなくとも組織にとって役に立たないルールを運用することほ

4. 内部監査品質確保のための施策
4.1 アンケート結果

本章では内部監査の品質を確保するためのど無駄なことはない。内部監査では、こういっ施策について論じる。まずは、アンケート結た情報セキュリティ管理策自体の有効性につ果から示す。

Vol.26 No.2

情報セキュリティ内部監査の品質向上に向けた提言[ 設問 3]「内部監査のレベル維持・向上」のために23

ろう。
[ 設問 4]

その企業ではどのような活動をしています” 内部監査の実施状況の確認” ではどのよか？（上記設問 2．で「①ある」と答えた

うなことを実施していますか？

方のみ答えてください）（上記設問 3．で「①〜③」を選択された方①内部監査主導組織内で定期的に” 内部監査の実施状況を確認” している
②内部監査主導組織とは別の部門が定期的が答えてください）①監査基準通りに内部監査プロセスが実施されていることを確認に” 内部監査の実施状況を確認” している

②内部監査プロセスからアウトプットされ③その企業から別の企業に定期的に” 内部た証跡（計画書、報告書など）の内容を監査の実施状況の確認” を依頼している④その他（具体的に書いてください）⑤特に何もしていない

評価③既に実施された内部監査と同じ監査対象を別途に監査して、監査結果を照合する④その他（具体的に書いてください）[ 考察 3]①回答はばらついた。内部監査のレベル問[ 考察 4]

題に対して、その対応は様々に考えられ①上記設問①の回答が少なく、上記設問②

るということであろうか（特に何もしてが 64％でかなり多いのは意外である。通いないというケースもかなりある）。

常の確認手順としては、内部監査プロセ②監査品質を確保するために内部自己評価

スが適切に実施されていること、その次や外部評価という手法をとっているとこに内部監査プロセスからのアウトプット

ろもあるが、時間とお金がかかることでの評価であろう。

もあり、その必要性は認識されているも②内部監査の実施状況の確認をすることでのの、まだ一般的に実施されていないと内部監査のレベルを維持するケースで見るべきであろう。監査品質を確保するは、内部監査プロセスからアウトプット

ためには、監査人の教育という手法が必された証跡を確認する手法が最もポピュ要という回答が既に本設問にて出てきてラーである。監査計画書や監査報告書のいるのは、監査品質の確保のためには監内容を精査すれば、自ずとその内部監査

査人の質の確保が大きなウェイトを占めのレベルが見えてくる。但し、内部監査ると考える有識者が多いということであのレベルを把握することはできても、そシ ス テ ム 監 査

24れに対しての対策をどうすればいいかは別の問題である。

Mar.2013

内部監査の品質確保についても同様に二面的な考え方を導入したい。一つは、品質管理[ 設問 5]の考え方である。内部監査品質の不具合の発「内部監査のレベル維持・向上」のために、生を予防し、品質検査を実施し、品質不良に上記設問 3．で記載してある活動以外に考対する適切な処置および再発防止をする一連

えられる対策を記入してください。（他での活動を行う必要がある。

見聞きした、或いはご自分の考えとして）その一方、内部監査プロセスの品質を確保[ 考察 5]するという面で、計画、実行、報告の各プロ①アンケートの記述回答を整理すると「内セスに対する品質確保の取り組みを行う必要

部監査のレベル維持・向上」の施策としがある。

て、“組織体のポリシーの徹底”、“監査人

4.3 内部監査品質管理の取り組みの教育実施”、“外部からの支援”、“内部監

内部監査の品質を保つためには、個々の内査プロセス自体の工夫” という四つに分部監査ごとの測定・評価・是正が欠かせない。

類できた。

そういう面ではアンケート結果にもあった②内部監査のレベルの向上のためにはお金が、外部監査人や熟達した内部監査人を常にも人も時間もかなりの資源が必要とな同席させて一緒に監査させるということも手る。組織が本当に内部監査を必要としてである。あるいは、内部監査の推進事務局がいるのかどうかというところに本質があ

常に同席して実施状況を確認し、監査終了後り、その必要性に見合った対策が採用さは関係者を集めて内部監査での反省点や工夫れるのであろう。結局、経営者が内部監点などを議論し情報共有する取り組みなども査に何を求めているかによるところが大品 質 確 保 に つ な が る。 監 査 報 告 書 を 確 認

きい。

チェックする手法も同様である（考察 44.2 品質管理と品質マネジメント②

内部監査プロセスからアウトプットされた証

品質を管理するには、品質管理 (Quality

跡（計画書、報告書など）の内容を評価）。

Control) と 品 質 マ ネ ジ メ ン ト (Quality

この取り組みの課題は、測定・評価・是正のManagement) という考え方がある。品質管ための指導ができる専門家が少ないこと、あ理とは製品・サービスの不具合の発生の予防、

るいは、そのためのコストが高くつくという品質検査の実施、品質不良に対する適切な処ことである。

置および再発防止など一連の活動であり目標

4.4 内部監査プロセスの品質マネジメントのとして設定された品質を達成するための実施技法をいう。

取り組み「内部監査品質評価ガイド」[1] によると監

一方、品質マネジメントとは、製品・サー

査品質確保のために 3 段階の内部監査プロセ

ビスに関連するプロセスの品質を確保するこスの監視を行うことを提起している（「図１．

とで要求された品質を達成しようとする総合

内部監査プロセスの品質評価の枠組み」参的・組織的な品質管理のマネジメント手法の照）。一つは、内部監査部門の業務管理の内ことである。ISO9001 やプロジェクトマネジ

部評価として継続的に品質評価のモニタリン

メントの世界では、製品・サービスの品質をグを実施し、改善を行うことである。組織の確保するためにこのようなプロセス品質を確

監査業務の内部監査基準への適合度を評価す

保するという考え方を導入している。

る。図 1 の「①内部評価、継続的モニタリン

Vol.26 No.225

情報セキュリティ内部監査の品質向上に向けた提言

グ」に該当する。定常的に存在する内部監査

場合と、他部門から選定する場合を挙げてい実体があればこの品質マネジメント手法も考るが評価者適格性の要件が重要な意味を持つ

えられるが、定常的監査組織を持たず、兼任

ことに変わりない。

監査人のみで内部監査を実施するケースが多三つ目は、組織から独立した外部の評価者

い場合は、結局、前記の品質管理と同様の取により最低でも 5 年ごとに評価を実施するこり組みと同じになる。

とを挙げている。その中でも外部者が内部監

二つ目は、定期的に内部監査部門の内部監

査の内容をフルに評価する直接評価の場合と、査基準への適合度を判定評価するというもの

企業内部で自己評価した証跡を外部の評価者である。内部監査の計画、実施、報告プロセが検証する間接評価の方法がある。図 1 の「③スが監査基準通りに適切に実施されているこ外部評価のフル外部評価と自己評価と独立しとを定期的に評価するということである。図

た検証」に該当する。いずれの手法も評価者

1 の「②内部評価、定期的レビュー」に該当

適格性の要件がポイントとなることに変わりする。ISO27001 の内部監査に対する要求事はない。なお、フル外部評価とは内部監査の項もそのような内容を含んでいると思われ

定義、基準、倫理要綱への適合性評価、有効る。ただし、この手法での課題は、評価者は性と効率性の評価、ベストプラクティスの適誰かということである。「内部監査品質評価

用を含む改善の機会を明らかにすることからガイド」では内部監査の自部門内で選定する構成されるフルメニューの品質評価を言う。

日本内部監査協会（IIAJ）「内部監査品質評価ガイド」［2] を参考にして作成

内部監査の品質評価を推進する制度（品質のアシュアランスと改善のプログラム）

内部監査基準への適合性の評価①内部評価、
継続的モニタリング

内部監査部門への効率性と有効性の評価

品質評価の基準①品質のアシュアランスと改善のプログラム②評価の実施要件
③内部評価
④外部評価
⑤報告
⑥基準への適合の表現の使用⑦不適合の開示

③外部評価

性
適格

者
評価
件
の要

ル

ベ

レ
性
合
適 判定
の

評価者が品質評価マニュアルに従って内部監査部門の基準等への適合状
況を定期的に判定すること②内部評価、定期的レビュー

性

是正改善
計画

内部監査基準改善の機会を明らかにする

格
者適
評価
件
の要

内部監査部門の管理業務にモニタリング機能を体系的に組み込み、継続的に品質評価を行い改善活動を行うこと

内部監査部門内で評価者を設定品質評価に関するガイダンス

組織体の他部門で評価者を設定品質評価の手続き

品質評価
マニュアル

最高
経営者

ガバナンス
機能

内部監査
品質評価ガイド

組織の外部の独立した評価者により最低でも 5 年ごとに実施される評価
フル外部評価組織体による外部評価者の選任後、外部者が評価を実施

自己評価と独立した検証「内部評価、定期的レビュー」での証跡を外部評価者が検証する

図1

内部監査プロセスの品質評価の枠組み

ル

ベ

レ
性
合
適 判定
の

26

シ ス テ ム 監 査

ここで挙げた手法は、いずれも一つのプロ
セスの実施状況とアウトプットの適切性を別のプロセスで評価するというものであり、評価した側のプロセスの適切性をどう評価するかという永遠の課題があるとともに、現実にMar.2013③内部監査人のランク付け④内部監査人の社内人事制度とのリンク付
け（昇格、給与）⑤内部監査人の社外資格取得の奨励（具体的にどういった資格ですか）は、時間、コスト、評価者の問題が大きく存⑥内部監査人として専門家の新規採用在する。

⑦その他（具体的に書いてください）

4.5 内部監査人の教育訓練に対する取り組み[ 考察 6]

内部監査品質の確保のための施策として内①教育・訓練の実施が 52％

部監査人のスキル保証の取り組みがある。品

②内部監査人の質の維持・向上のためには、質管理という面からは、内部監査人のスキル教育・訓練という項目が第一に挙がる。

を確認することが考えられる。たとえば、ス

それももちろん重要であり、直感的にわ

キル面について実際に試験をするとか、保有

かりやすい。それとともに、組織の経営する専門資格で監査人に認定するなどであ

方針・ポリシー、或いは風土・カルチャーる。

の中にある内部監査を必要としている度

品質マネジメントの観点からは、内部監査
人を教育訓練するプロセスの品質を確保するという手法が一般的に考えられる。一連の内合いというものが重要であるという意見も説得力がある。
[ 設問 7]

部監査プロセスの評価と同じ枠組みである。

その企業における内部監査人の教育・訓練

これについてアンケート結果を見てみる。

において、最も重要視しているのはどれで[ 設問 6]

すか？

「内部監査のレベル維持・向上」の施策の①知識（監査の知識、情報セキュリティの一つとして、内部監査人の質の維持・向上

知識、業務の知識など）が考えられます。企業がそのために実施しているものがあれば選択してください。
（複数選択可。内部監査人とは、設問 1 で選択した監査要員を想定してください）②技能（インタビュー技法・コミュニケー
ション技法、証拠の確認と確保の技法、ICT 関連の技能、不正検出や証跡チェッ
クの技法など）①内部監査人の教育・訓練の実施②内部監査人の資格認定制度の導入③監査文書作成スキル（計画書・チェック
リスト・報告書の作成など）

Vol.26 No.2

情報セキュリティ内部監査の品質向上に向けた提言

27④モラル・倫理、態度（倫理観、監査人としての心得）⑤その他（具体的に書いてください）[ 考察 7]①知識 56％②内部監査人の質の維持・向上のための教育・訓練では、知識の教育に重点がある
ことがわかる。逆に言えば、内部監査人の教育・訓練としては知識教育しかできない現状が見えてくる。企業が求める内部監査人のレベルをどこに置くかがポイントであるが、それは企業ごとに異なるものであろう。内部監査人の育成についての課題が見える。
③とかく疎かになりがちである倫理・モラル面の教育、及び経営に対するアンテナ感という回答を合わせると 32％ある（上ついて、あなた自身のお考えはどれですか？（兼任・素人の監査人の場合）①あまり細かな要求は必要ないのではないか②内部監査人としての資格認定くらいは必要③内部監査人の質の維持・向上のための明確な仕組み・施策が必要④その他（具体的に書いてください）

記設問④＋⑤）。
[ 設問 8]
その企業での内部監査人の教育・訓練における現状の課題は何ですか？
[ 考察 8]①教育・訓練における課題は、育成方針・
指導教育体系、指導者、兼任、その他という四つに分類できた。
②内部監査人の育成については専任・兼任を問わず普遍的な方程式が世の中に存在しない。現状では “何をどのように教育・訓練すればよいのか” 一般的で明確な指針が無い。監査関連知識に加えて、何を誰がどのように指導するのか、指導できるのか、など多くの課題が存在する。それを一企業の方針の問題に帰着させることもできないであろう。これらの課題は、兼任というしくみが何時まで持つのか、という将来的な課題まで示しているのではなかろうか。
[ 設問 13]
企業の内部監査人に対して求めるレベルに[ 考察 13]①兼任監査人に対しても明確なレベルアップのための施策が必要という意見が多い（上記設問④）（44％）。質の向上のためにどうしたらいいか、教育・訓練だけでもないし、経営者のポリシーだけでは組織的な取り組みとして弱い。兼任監査人に切磋琢磨を要求するのも辛い。兼任監
査人へのレベルアップ要求度合いが強い
割には、設問 6、設問 7 で明確な解決策が見いだせていない実態が見える。
②兼任監査人の位置づけというものは中途半端であり、そういった兼任監査人に任せる内部監査というものはそれなりのレ
ベルにあればいいというものもあった。
③兼任監査人に任せる内部監査、及びそのマネジメントシステム自体が将来にわたって安定したしくみとしては定着しな
いのではないかとも考えられる。
④ちなみに、設問 12（本稿では割愛）では

シ ス テ ム 監 査

28

Mar.2013

専任監査人のレベルへの同様の質問があレベルを維持向上するためには、理論上はるが、本問と同様にもっとレベルアップ

様々な手法が考えられるが、本稿では内部監が必要という回答が多い。専任監査人だ

査というものを兼任監査人から専任の監査部からと言って高いレベルにあるとは限ら門へ段階的に集約・強化すべきことの二つをず、組織ノウハウの蓄積・継承などの課

提言する。

題も多い。

一つは、内部監査は兼任内部監査人でもでアンケート結果からも伺えるが、現在の内きる内容・レベルにするということである。

部監査人の教育訓練プロセスが十分であるとあらかじめ決まった質問事項を準備し、確認は思えない。“内部監査人に求めるスキルが明証跡を指定し、順番に機械的にチェックでき確でない”、“指導者がいない”、“監査人の力るものとする。チェックしたポイントを積算量を評価できる人がいない” などがアンケー

すれば自動的に評価結果も出てくる。こうす

ト結果にも表れている。また、特に兼任監査

れば人による違いも出にくいし客観的な評価

人に限って言えば、本業がありながら、どこができる。このケースは、内部監査の目的をまでの研鑽を求めるのかという課題もある。

達成するというよりも内部監査の効果（監査ISO19011「7．監査員の力量及び評価」で人自身の啓発）に重点があると考えたい。

は内部監査人のスキル及び評価の枠組みを提したがって内部監査のレベルを維持向上す供している。これは監査品質確保のための取るためには、兼任監査人を前提として、ルー組みの一つであるが、監査人の専任／兼任のル通りに実施していることを確認するレベル

切り口があるわけではない。現実はその点が（監査品質レベル 1）の内部監査と、それを大きな分水嶺であるので、内部監査の品質をサイドから確認評価し監査品質を確保する監

確保するための兼任内部監査人のスキルをど査部門（事務局）によるプロセス・マネジメ

う定義するのか、教育訓練カリキュラム・教

ントが重要になってくる。

育内容及びスキル評価の枠組みをどうするのこのことは［考察２］で挙げられた問題点

か、という課題は残る。

および「1.2 内部監査に内在する課題」に対

4.6 専任監査部門への集約・強化の提言

して、それらの現状の問題点を受け止めたう

現状の多くの企業内内部監査について、その品質には様々な問題があることがわかっえで、その限界内での解決策として示すものである。

た。その対策として、品質管理的な取り組み、二つ目には、専任の監査部門の強化である。

品質マネジメント的な取り組みを挙げてき

本来の内部監査に求められている部分についた。それ以外にアンケート回答にあったものては、専門の監査部門による内部監査の深堀は次のようなものである。

をする。兼任監査人の中にも力量・スキル面

・経営者が内部監査を重要視する姿勢・方針

で有用な人材がいる場合は、専門部署への補が大切である強を考えるべきである。専門の監査部門を仕・相互監査をすることで知見が得られる組みや人材面からより強化し、監査品質の向・監査役との連携による情報交換、意識高揚、

上と専門人材の育成を徹底すべきである。企

知見の取得

業の規模にもよるが少数精鋭の監査人で監査

いずれも示唆に富む内容であり、もっと掘品質レベル 5 を達成できる内部監査を目指

り下げれば今後の内部監査活動においては参す。必要により適宜外部の専門家による外部

考すべきことが多い。このように内部監査の監査なり認証審査で監査品質を補完するといVol.26 No.2

情報セキュリティ内部監査の品質向上に向けた提言

うプロセス・マネジメントが重要である。

29[3] 財団法人日本規格協会「ISO 19011:2011

このことは［考察２］で挙げられた問題点-Guidelines for auditing management

および「1.2 内部監査に内在する課題」に対

systems-」（マネジメントシステム監査のして、それらの現状の問題点を解消するためための指針）2011.11.11の解決策として示すものである。

[4] 財 団 法 人 日 本 規 格 協 会「ISO/IEC27001

このように従業員への啓発を狙った兼任監

Information technology-Security techniques-

査人による内部監査、及び専門的に徹底したInformation security management systems-

深堀をする専任監査人による内部監査の縦横

Requirements」2005.11の網の目の二重三重の重層的プロセスのシナ
ジー効果により企業の情報セキュリティは有効に保たれる。中長期的には、専門家の精鋭を揃えた専任監査部隊による内部監査に収斂
していくことが必要である。

[5] 財団法人日本規格協会「JIS Q15001:2006
個人情報保護マネジメントシステム要求事項」2006.5.20＜注＞
1 Information Security Management System
2 マネジメントシステムにおける監査のガイ

おわりに

ドライン

企業における内部監査の経営への貢献度合

3 アンケート依頼数 51 人、有効回答者 22 人、いを定量的に示すことは難しい。情報セキュ

設問は全 14 問、本稿ではその一部を紹介

リティ事故の件数が減らないからと言って内している

部監査一人の責に帰すこともできない。内部監査の本質は、指摘件数の問題ではなく、指摘内容の問題であり、所謂、量よりも質の問題だからである。

4 個人情報保護マネジメントシステム - 要求事項
5 Personal information protection
Management Systems：個人情報保護マネ

情報セキュリティが社会的に注目を浴び、ジメントシステム

企業への浸透を始めてから 10 年を経過した。

6 ISMS 適合性評価制度の要求事項

内部監査は企業の情報セキュリティ推進に

7 内部監査を本来の業務ミッションとしていとって、無くてはならないプロセスであり、重要かつ企業統治の根幹をなす仕組みだからである。情報セキュリティを下支えするといる従業員
8 内部監査以外の本来の業務ミッションを他に持つ従業員う大きな役割を持つがゆえに、企業内内部監

9 財団法人査のあり方はそろそろ次のステップに進む段

年2月

日本適合性認定協会 (JAB)2010

階にきたのではなかろうか。

10 品 質 マ ネ ジ メ ン ト シ ス テ ム（Quality＜参考資料＞

11「情報セキュリティに関わる人材の体系化

Management System）要求事項[1] 日本内部監査協会「内部監査品質評価ガ
イド」2010.3.31とキャリアパスの提言」情報セキュリティ
専門監査人部会ＷＧ（システム監査 第 21

[2] 日本内部監査協会（訳）「内部監査の品質

巻第 2 号 2008.3）に詳細な内容を発表

評価マニュアル」−有効性と価値の向上の12 C : Confidentiality（機密性） I : Integrity

ために−（完全性） A : Availability（可用性）出版

平成 15 年 4 月 15 日

同文館