現地調査の簡素化について（詳細説明）（説明資料抜粋）

2015年2月
JIPDEC（一般財団法人日本情報経済社会推進協会）
電子署名・認証センター

1

ポイント１
現地調査時において、現行方式のサンプリング調査は原則として行わないこととする。
現地調査において認定認証業務の適正性が確認できる場合にあっては、現行方式のサンプリング調査の件数と同数のサンプルを、現地においてJIPDECがファイル簿冊単位でランダムに指定し、保存文書の実在を確認することに重点を置いた調査を行う。

ただし….
現行方式による発行・失効に関する帳簿書類のサンプリング調査を行うケース① 監査指摘事項について対応状況をフォローする場合② 認定認証業務の発行・失効状況に問題があると判断される場合

2

「ファイル簿冊単位でランダムに指定し、保存文書の実在を確認することに重点を置いた調査」って、何？

現行方式の更新調査前事前準備① 過去1年間の発行・失効状況を指定調査機関に提出（調査申請以前）② 指定調査機関側で、発行・失効枚数に応じて調査対象を全件指定、事業者に依頼③ 事業者側で1件1件指定された発行・失効案件を抽出④ 指定された全件の電子証明書を抽出（IA側に依頼、取り寄せ）、印刷

3

①現地においてファイル簿冊単位でランダムに指定する「新サンプリング方式」
 現地調査初日に、発行・失効に関する関連帳簿が保管されているキャビネットを確認し、管理帳簿があればそれに基づき、過去1年間に発行された発行関連の帳簿を「ファイル簿冊単位」で指定する。
（「ファイル簿冊単位」とは、帳簿が保管されているボックス・ファイルやキングジム・ファイル） ボックス・ファイルやキングジム・ファイルに納められている数は、事業者によって異なるため、当該数と1年間の発行枚数のみを選定基準に、調査対象を確定する。
（従来のように、外国人や旧姓の発行等を勘案しない）
 調査対象となった電子証明書の打ち出しリストも不要

事前に2月を5件、4月を5件、6月を5件….のように、あらかじめ調査対象を指定調査機関側から提示し、現地調査当日までにご準備いただくことも可能（※その場合も、調査対象となった電子証明書の打ち出しリストは不要）
4

では失効は？

 更新調査の対象年次において発行された失効事由の異なる案件について、それぞれ任意の1件を事業者が事前に準備する。
認証局事由

ICカードの紛失・盗難利用の停止
記載事項変更退職・異動受領書未受領
誤発行….

所属組織届出
….

利用者申請

….
失効枚数に応じた残りの調査対象については、業務ごとの失効案件の管理状況を個々に精査し、発行と同様に保存文書の実在を確認することに重点を置いた事業者負担の少ない方法により実施する。
5

＜ポイント１を採用いただく場合＞現地調査において、現地調査時に発行及び失効に関する実際の作業実施状況を確認し、適正に業務が行われていることを確認します。
認定認証業務で利用者署名符号を生成している事業者では、具体的には以下のような事項です。
 発行申請書等の受付

 真偽確認（意思確認、実在性の確認、本人確認）
 電子証明書の発行
 受領書の審査

 失効の受付 失効時の真偽確認（利用者申請、所属組織届出、認証局事由）
 電子証明書の失効
6

＜具体的な確認方法＞
特に受付や真偽確認等、設備の使用を伴わない作業については、以下のような確認方法を想定しています。

方法①
担当者による業務の実施状況を、そのまま確認する。
※その場合、調査員からの質問事項等が発生した場合は、更新調査の担当者に確認し、実務の実施に影響を与えないように配慮します。

もしくは
方法②
会議室等において、業務担当者の実際の運用状況を代行（実演）いただく。

7

従来実施していた発行・失効のログ調査は？

3年に一度、現地調査直近に発行された任意の1件について、利用者の申請から電子証明書の発行まで、従来通りログによる確認・追跡調査を実施する。
同様に、3年に一度、現地調査直近に失効された任意の1件について、利用者の失効申請から電子証明書の失効まで、従来どおりログによる確認・追跡調査を実施する。
※その場合、調査の負担度を考慮し、ポイント2で説明する1400番台の調査年に当たる年を、調査年次とする。

8

ポイント２
設備・施設関係については、変更が行われた箇所について変更認定の調査を行い、変更がない箇所については認定の更新において3年ごとに確認調査を実施する。
 1100番台（認証設備室への入出場を管理するために必要な措置の確認）
3年に一度JIPDEC立ち会いの下、認証設備室への入退室について発報テストを実施する（JIPDECが立ち会わない年は事業者により発報テストを実施）。
※従来、調査効率化のため隔年で交互に実施していた内容が、3年ごとに変わる。

 1400番台（発行者署名符号の生成管理に使用する暗号装置の確認）
3年に一度JIPDECが実機により配線等、暗号装置の措置状況に変更のないことを事業者提出資料等により実際に確認する（JIPDECが実機により確認しない年は措置状況に変更がないことについて、ヒアリングにより確認）。
※ただし、ファームウェアの改版適用の有無については毎年確認する。

 1500番台（認証業務用設備等の災害の被害を防止するために必要な措置）
3年に一度、JIPDECが実際の防火ダンパや天井裏・床下の災害防止措置状況等について、現地調査により確認する（JIPDECが現地調査を実施しない年は、措置状況に変更がないことを担当者やビル管理会社にヒアリングにより確認）。
9

＜来年度以降の調査予定（案）＞2014年度（平成26年度）

2015年度（平成27年度）

2016年度（平成28年度）

2017年度（平成29年度）

発報テスト（調査員立会い）1400番台＋1500番台1100番台発報テスト（事業者が実施）

1500番台1100番台1400番台＋発報テスト（事業者が実施）

1100番台発行・失効のログ調査

発行・失効のログ調査

1400番台＋1500番台発行・失効のログ調査

1. 2015年度の開始時期については調整中。
2. 1400番台におけるファームウェアの改版適用の有無については毎年確認。
3. また、当該項番にかかる変更調査や軽微な変更が実施された直後の更新調査に際しては、従来どおりの調査を実施。
10

ポイント３
帳簿や契約書の保存場所がRA（登録局）・IA（発行局）と同一所在地でない場合、現地調査は3年ごとに実施する。
帳簿書類の保存場所がRA・IAと同一所在地でない場合、現地調査は3年ごとに実施することとし、それ以外の年は、入出庫時の記録や実際の預け入れ時の回収状況等により、遠隔地保管の状況を確認することとする。

ただし….
運用体制等、JIPDECにおいて内容を確認する必要がある帳簿については、事前に認定認証事業者と調整の上、現地調査時にRA又はIAにおいて確認できるようにする。
特に契約書について、書類が遠隔地に保存されている場合等は、調査表に記載されたとおりに該当する帳簿が該当する保存場所に保存されていることを事業者に確認いただき、確認した事実について調査
表に更新調査年次における確認日付を記載いただく。

11

<参考>
・指定調査機関における現地調査の簡素化について（修正版）（http://www.meti.go.jp/committee/kenkyukai/shoujo/denshishomeihou/pdf/h26_004_02_00.pdf）

12