システム監査の勧め■診断作業概要のご紹介
短期システム診断の勧め
短期診断の考え方の例
短期診断の進め方
短期システム診断報告書例■システム診断担当
特定非営利活動法人 東京ＩＴコーディネータ

1ⓒNPO東京ITC2013

システム監査の必要性
情報システム技術の発展と共に、企業における情報システムの高度利活用は必要不可欠となり、 情報システムの有効性とそのリスクに対する適切な管理策の整備・運用は強化が求められ、システム監査の必要性が増している。
システム監査はなぜ必要なのか?
社会の要請
・透明性、説明責任
・情報公開と情報保護・高度なセキュリティ、継続性・システム障害多発・情報化の有効活用

経営上の課題・経営と情報システムの適合難・情報システムへの依存度増大
・情報化投資増大・投資対効果が不透明
・情報システムの最適化提案選択

・インフラ基盤技術の急速な伸長
・インターネットの普及
・クラウドコンピューティング
・利用サービス技術の拡大
・アウトソーシング、・パッケージソフト適用推進

セキュリティ/リスクの課題
・コンピュータ犯罪増加
ウイルス被害、不正アクセス使用
・システム障害対策強化
・個人情報保護・内部統制対応
・事業継続ニーズ

有効性を阻害するリスクの可能性の飛躍的な増大
情報システムの多様化/複雑化

情報システムの信頼性、安全性、効率性・有効性の確保と高度化ⓒNPO東京ITC2013

システム監査の必要性が益々増大

2システム監査の位置づけ(1) 法的義務のない監査(任意監査)
業務監査と同様に、システム監査は、法的に義務付けされたものではなく、経営者がその必要性を認識して行うことを決める任意の監査。「システム監査」は通常は任意監査である。
(2) 内部監査と外部監査
内部監査 : 監査室や内部監査部等など社内の独立組織が行う。
外部監査 : 外部の監査人が実施する。会計監査は、 社外の公認会計士や監査法人が行う。
「システム監査」は、 内部監査と外部監査の両方のケースがある。
・外部監査例; 金融庁が、金融検査マニュアルで、定期的に外部システムを受けるようにという指示を出している。
(3)会計監査、業務監査、監査役監査との比較
法的義務 内部外部
法定 任意 内部 外部

監査の種類

監査概要

監査役監査

会社の取締役の業務執行について監査する。法令や定款等を遵守しているかについて、株主に代わって監視。

○

○

会計監査

会社の会計処理の方法、 仕組みおよびその結果として作成された財務諸表の適正性(信頼性・正確性)について監査する。

○

○

業務監査

会社における業務活動が、組織体の方針・計画・規定手続に準拠しているか、効率的に行われているかについて監査する。

システム監査会社の情報システムの安全性、信頼性、 有効性、戦略性、準拠性についてリスク視点で監査する。

ⓒNPO東京ITC2013

△○

○

○

○

○
3

テーマ別システム監査
共通目標
信頼性確保
システム品質向上
障害発生未然防止
障害影響極小化障害迅速回復安全性確保
自然災害保護不法行為システム保護

効率性確保
目的適合性向上
リソース最大限活用
投資対効果向上

テーマ別 システム監査例
情報セキュリティ監査
システムリスク管理態勢監査
リスク管理社内態勢
リスク識別・監視
リスク評価
リスク低減策コントロールの有効性
ITガバナンス監査
インフラ整備状況
IT部門管理態勢
IT経営成熟度
利用者リテラシーレベル
投資対効果

IT利活用態勢監査
企画プロセス
開発プロセス
運用プロセスプロジェクト管理
委託先管理態勢監査
各種アウトソーシング
86号監査
SLA管理状況ⓒNPO東京ITC2013

IT内部統制評価
IT全社的な統制ITガバナンス
ITインフラIT全般統制ITの開発・保守
システムの運用・管理
アクセス管理等の安全管理
外部委託契約管理
IT業務処理統制
入力情報の安全性・正確性
・正当性
エラーデータの修正・再処理
マスターデータの正確性
アプリ認証等のアクセス管理
EUC統制

4

システム監査の進め方
システム監査の実施手順

計画

実
施

1.事前準備

経営者および経営の方針、情報化課題の把握、システム監査の目的、文書の整備状況、対象・重点テーマの明確化

2.基本計画策定経営基本計画や情報システムの全体最適化計画に対応し、中長期計画を踏まえたシステム監査の年次方針や年間計画を明確にする。

3.個別計画策定

監査対象の監査目的、監査項目、監査目標および監査手続を明確にし、個々のシステム監査におけるシステム監査人の活動予定を明確にする。

4.予備調査システム監査上、調査の効率性および有効性を高めるために、 予備調査では、管理者へのヒヤリングおよび資料の確認により、監査対象の概略を調査。

5.本調査

監査対象の実態を、監査実施計画および監査基準に準拠した監査項目、監査手続きに従い、 ヒヤリング、現場調査、資料確認、質問表を通じて調査。
重要点は、監査証拠の確保。

6.評価・結論報
告予備調査および本調査で収集した監査証拠を確認・分析・評価して、監査対象に存在するコントロールが目的に照らして妥当であるかどうかを評価し、システム監査の結論(総合評価、指摘事項、改善勧告)を出す。

7.監査報告書作成と提出

システム監査の各個別計画毎に個別監査報告書を作成する。
監査調書をまとめ、監査責任者のレビューを受け、草案を作成して、 被監査部門と意見交換を行い、個別監査報告書の作成と承認を得る。

8.被監査部門への改善指導

システム監査人として、監査報告の改善状況をモニタリングするとともに、改善の具現化を支援する。
■監査報告書原案に基づき、 被監査部門の代表者などと意見交換を行い、監査内容に事実誤認がないかどうかを確認することが重要。

ⓒNPO東京ITC2013

5

システム監査の期待効果
会社全体

経営者

企業活動と情報システムの活用が一体化され、企業の成長に繋がる情報化投資の妥当性が検証でき、的確な意思決定に役立つシステム監査の効果

情報システム部門
情報システムの企画、開発、運用が客観的に評価されることで、改善および貢献度が見えてくる

業務部門
システムの有効性が確認でき、業務の効率化や付加価値向上が図れる

形式的な監査ではなく、「実効の上がる監査」を目指す必要がある。
6ⓒNPO東京ITC2013

システム監査報告書例
別紙1-1

リスク管理体制の整備について

経営方針
リスク管理方針
通常改善助言責任者会議
済

済

済：機能しているもの

外部環境変化
法制度改正

リスク管理方式の再確立とグループ内への普及

1 Ⅲ システム管理基準ベースチェックリストによる検出事項（要約）

‥

助言1-2
リスク管理のため
注 各責任者=企画・開発・運用・保守の該当する責任者
検出事項
課題の原因
通常改善助言の枠組みの文書化
リスク管理計画●システムリスク管理手順の前回（平成25年3月）の検出事
項と改善助言今回の検出事項と改善の方向性
システム管理基準（２８７項目）
助言1-1
リスク管理年度計画
文書化等【第1段階】、
検出事項
改善の方向性1.貴社においてリスク管理体制
検出事項
現在は内部統制やリスク対応の仕組みが、組織的な仕組みとして企業
貴社グループでは、グループ各社の事業再を確立するためには、リスク管理ポリシーを改善の方向性
リスク全体管理（会議）
リスク規程整備▲対応済も強化要、△継▲対応済も強化要、
内にしっかりと根付いているとは未だ言えない構築や赤字体質からの脱却がここ数年の喫緊明確にし、これをベースにリスク管理運営体制を明文化し、手順書として整●リスク管理手順運用と改善
管理組織責任態勢
経営の役割●リスク管理方針・続検討 備することが望まれる。これに△継続検討の課題であった。
より現場の適切な判断が可能になる。の記録化【第2段階】
継続的リスク棚卸制度
各部の役割
計画・指示・報告のグループの将来展開
内部統制やリスク対応の仕組みを、管Ⅰ．情リスク管理サイクル
報戦略に備えて、(４７)教育と見直し仕組みの確立（文書理者個人の力量に依企業内にこのため、経営としてのリスクへの取組み
また、それらの運用を確実にするために、実施記録や承認エビテンスを体
１．全体最存するので適化（18） はなく、組織的な仕組みとして・「全体最適化の観点」として、グループ全体に対し過不▲全体最適化の視点からの・中長期的には次期FXシステムの検討があるが、金融統合システムとして証△インフラ関連をテー化）しっかりと根付かせる段階に来ている。
は、組織的というよりも管理者層の個人的な系的に残す体制にする必要がある。 ⇒別紙1-1
足無い機能を迅速に提供できる技術力と考え、IAS 社 組織体制、並びに中期開発
券業務も含めた金融ビジネスのワンパック化について、5年位の時間で可能 マとした「グループシス
1.1 全体最適化の方針・目標（６）
リスク棚卸・評価
全社的システム
Ⅱ システム監査結果
要約●毎年の継続的実ビ強社
としては「どんな要望にも応えられる組織」を目指し、計画について、システムリか検討することになり勉会をしている。その中のメニューの一つとして新 テム担当者会議」でシス力量に依存した期間が続いてきた。
1.2 全体最適化計画の承認（３）
実施の記録化
済 各業
各種台帳
リスク態勢整備
ル内2.必要なことは、務に内在するリスクの強度（影響度と発生頻度）を責施と改善予め知識や技術を準備する体制をとっている。
スクの視点、即ち安全性・信FXシステムも検討する。
テムリスク管理者も集貴社における現在のリスク管理の方法は、各管理者の経験をベースに1.3 全体最適化計画の策定（７）環情報資産台帳シ止のための対策を策定して運用管理するためPLAN
１．緊急改善助言
今回の監査では、緊急に改善すべき事項は:検出されなかった。
I・IAS情報資産特定社の 3 年間の中めシステムリスクにつ任者間で共有し、リスク発生防重要資産定義した業務品質チェッ
クがベースとなっている。
このため、具体的にどの 期計画について、昨年度に計画し 頼性・効率性からの位置付
1.4 全体最適化計画の運用（２）境スていた次期FXシステムは、緊急性は高くなく開発コスけを確認しておくことが望
まいての説明をすること
リスク一覧の一連の手順の文書化、記録化
リスク特定、 テを行うことである。⇒別紙2-2（1）全体最ように評価
適化計画は、関係者どのような対策に周知徹
底ようなリスクをどのし、を行い、どのような
２．通常改善助言
３．で詳述する通り、今後の事業展開を強力に支援するために、次の３点への強力な取組みをお勧めしたい。
システム構成図 済
業ム
トもかかるのでスローダウンしているが、検討は続 れる。
を推奨する。
（2）全体最てどのよう適化計画は、定期的・経営環境等で見直リングし、し残存リスクを想定しな管理指標をモニタ
その結果
リスク評価
務 管みも、作りっ放しではなく、日常管理の仕組規程整備
リスクマップ
けている。
△IAS社は、各事業会社
3.このようなリスク管理の仕組①
Ⅰ システム監査実施概要
手としてどのようにリスクがコントロールされたのかが、監査上見えにく理▲ISMS活動に代わる新たなへ共通インフラの理解みの中に入れていく工夫か必要になる。すなわち、環境変化へ対応して、管リスク対策
続、い。
情報セキュリティマネジメンを進め、システムリスク理の仕組みを継続的に改善して① ＸＸ業として要請されている定期的なシステム監査の実施個いくことが重要であるが、これは経営者が先、
１．監査目的合理的なシステムに関する教育を行って済すなわち、経験的に行われているリスク管理の有効性が、外部から見リスク回避 トシステムの確立が望まれ人導しないと組織への定着は困難である。
② システムリスク及び個人情報保護リスクの低減対策の有効性評価と改善提案
リスク対策推進ほしい。
抑止・牽制低減・軽減 る。て見えにくく、また、説明責任を果たしにくい状況にある。 リスク対応
等情２．今回のシステム監査
・「責任者会議」連絡事項、システムのメンテナンス事
事 項第三者外部監査による助言型監査方式で実施するや周 知防止徹 ・開発の進捗管理は、従来通り、毎月曜日の責任者会議で確△四半期毎の会議
報 となる仕組みを構築
移転・転嫁 ▲ 決 定①
２．組織体制（９） ＤＯに
また、貴社において早急に模範済し、グループ各社に横②記 録 と 認を行っている。 お 取は、グルー
プ情報項、検討事項の討議・意思決定、進行中の案件管理、
方法 受容・保有 底 事 項 の監査方法は金融庁証券取引等監視委員会「金融商品取引業者等検査マニュアル平成26年6月改訂版」(以下、「金融庁検査マニュアル」)、「システム監査
2.1 情報システム化委員会（５） ３．概 評展開することが望まれる。 扱
検知 ・四半期に１回、グループ各社の責任者が集まり、開発案件のけシステム会議に戦略の開発会議と等について情報共有が図られているが、明確な議事 PDCA 管理とをリンク（1）委員会使命の明確化、適切な権限・責任の付与基準」、等をベースに作成したチェックリストを使用する
修正・回復、リスク対象資産✔社内規程文書、 運用マニュアル、業務フロー
リスク影響
✔有効性
効率性 る
信頼性
安全性 準拠性
コンティンジェンさせる。
確認と優先順位を調整している。
して定例化すること
よる実績報告録は作成されていない。
発生時対応③ 特に、上位（2）委員会は、全体をモニタリングし、是正措置を実施
Ｗ
ヒアリングおよび文書閲覧に基づいて課題を抽出し、システムを安定的に運用するために必要な「リスク管理の仕組みおよびリスク低減のための安全仕
シー・プラン 会議体の記録はコンを推奨する。
済済（3）委員会関連帳票、記録様式
は、技術採用指針を明確化
セキュリティ（ 機密性 組 Ｅ
可用性完全性）対策」の整備状況・運用状況を確認し評価する。
Ｂ
プライアンス、説明責（4）委員会は、活動内容を組織体の長に報告
み④
脆
監査結果に基づいて社内リスク管理態勢の改善点を提案する
主たる規則等✔システム監査／管理基準
対処状況
対処済
改善中・予定の ✔検討中
未処置
リスク監視 任の視点からも必須（5）委員会は、意思決定支援情報を組織体の長に提供
弱システムリスク
平成XX 年X 月X 日
３．主たる監査テーマ である。「システムリスク対応態勢についての監査」
脆システム会議によ済
重要度評価
高効 ・組織・体制✔中低性
状況監視
済 については、前年・今年度より、従来のシステム運営部とシステム開発運営の有内プロジェクト制」からモニタリング
2.2 情報システム部門（２）
日常点検 ▲新体制の組織①
自動監視
弱 、度より実行している「社業務遂行に係るシステムリスク対策状況るリスク検討
CHECK
××株式会社
Ａ
部の技術者が一体となった「プロジェクト体制」に移行 性・効率性を確保するため
IAS 社社内規程
システム管理基準追補版
監査責任者
岡
現きな変
障害予兆発見ログ 大② ＡＳＰ利用に係るシステムリスク対策状況および業務委託リスク管理状況
済更は無い。 性監査
済発部 業務マニュアル」の全 にも「業務マニュアル」の早へＳしたので、これまでの「開③ 個人情報保護・情報セキュリティ対策等の日常管理状況のＰ
情報セキュリティ監査／管理基準 面
個人情報保護法指摘監査人
作成 岡 現作成日
平成26 年4 月1 日
的な改訂（統合化）を考えている。
期整備が望まれる。
代表取締役社長××××殿
対業対策改善①
外国為替証拠金取引システム等の運用および委託業務管理状況（金融事業本部業務部、カスタマーサポート部、システム部）・人的資源の管理について、技術者としての育成につ ▲技術者のスキルマップ、注の活用を本格
その他（関連法制度） ４．監査対象業務と2.3 人的資源管理の方針（２）
改定 ・常にバックログを抱えている状況
作成日
平成 後は外年 月日 的に考応 務 であり、今システムリスク管理
受② その他の社内業務システムの運用および管理状況（総務経理部、コンプライアンス部）
いては開発部部長、運営部マネージャが担当していえていく必要がある。
（1）情報技術の人的資源の現状・必要材の明確化
対象システム 育成計画を作成し、キャリ緊急是正
備考
別紙1-1「リスク管理態勢の整備」について、 別紙1-2 「 リスクの特定・評価の手順について」
是正・予防 ア開発計画((CDP)及び中期体制の見直し改善委
特定非営利活動法人東京ＩＴコーディネータ
る。 改善運用・技術者の育成について、1～2年目は会社から外部の研修コースに参加さ③ 個人情報保護およびその他の共通的オフィスシステムの運用および管理状況（2）人的資源の調達・育成方針の明確化
通常改善
託ACT
済
・育成方針として、新入社員については 1対策投資年目に中核 開発計画に紐づけすること せているが、その後は社内のOJTが主体である。
監査責任者 ×× ××、技術を一通り分かるようにし、それ以降は中核技術を が望まれる。
・中日
心となる言語等についての育成計画やキャリアパスは明確に定めてい５．監査日程平成26 年8 月20１．監査計画確認と予備調査（代表者ヒアリング、事業概況および情報システムに係る事案）全て使えるようになるとともに得意分野を一つは持つない。
8 月27日２．本調査（検査マニュアルに基づくヒアリング、システム部門のリスク管理状況に関するヒアリング）ことを目指している。
・将来の大型開発が始まる前に、一部人的リソースを融通して「システム管理貴社における「システムリスク対応態勢についての監査」を実施いたしましたので、以下のとおりご報告いたします。
9 月3日
３．本調査（利用部門のシステムリスク管理状況、個人情報管理に関するヒアリング）
・技術マップや技術者育成計画のイメージはあるが、部 (仮称)」を新設し、組織的な強化を図りたいと考えている。人的リスクへの9 月10 日４．本調査（規程整備検討、情報セキュリティリスク管理状況に関するヒアリング）
まだ明文化されたものは無い。
対応も含めて、グループとしてのシステムリスクを検討していきたいと考え
9 月24
日
５．監査結果の確認と追加調査ている。
目 次
６．監査対象部署と７．監査 ＮＰＯ法人東京ＩＴコーディネータ
・教育・訓練について、技術知識・スキル面は問題ないが、業務知識の面で
XX 株式会社
Ⅰ システム監査実施概要（経済産業省｢システム監査企業台帳｣ 登録事業者、説明者担当
神馬 宗久 代表取締役社長
４．外部監査等への対応 前回のシステム監査以降、外部監査および内部監査におけるシステムリスク関連の指摘事項についての報告は無かった。
「情報セキュリティ監査企業台帳」 登録事業者）
金融事業本部
長友 伸一 取締役 金融事業本部 本部長 Ⅱ システム監査結果 要約

システム監査報告書

総務経理部

小野塚 雄一 担当
水野 宏樹 担当

コンプライアンス部

猪俣 健 コンプライアンス部 部長

業務部

入江 晴美業務部 部長

カスタマーサポート部

武田 和雄 担当

Ⅲ システム監査基準による検出事項（要約）
岡 現（システム監査技術者、ISO27001（ISMS）審査員補）
勝部武樹 (公認システム監査人、ITC)
付1 システムリスク管理態勢についての成熟度診断
田口聖一 (システム監査技術者、ITC)
Ⅳ 情報セキュリティ対策ベンチマークの自己診断結果
Ⅴ. 通常改善助言
助言1
助言2
助言3
別冊 監査調書ⓒNPO東京ITC20137