February 2022

日本システム監査人協会

認定 NPO 法人

会報2022 年 2 月号

日本システム監査人協会報

251

No

No.251（2022 年 2 月号）＜1 月 25 日発行＞ ━━━━━━━━━━━━━━━━━

第 21 期通常総会のご案内
2 月 18 日（金）13:30 開始
2 月初より参加申し込みを受付けます。
※本年度もオンライン開催となります。

巻頭言

継続は力なり会員番号：0555 松枝憲司（副会長 IT アセスメント研主査）

2022 年年明け早々「ISO/IEC38503:2022（IT ガバナンスのアセスメント）」が、IS（国際規格）として正式に発行されるとのニュースが届きました。思いおこせば本規格は、今から 10 年以上前に日本のシステム
監査/管理基準を ISO 化できないかという当時の情報セキュリティ大学院大学の原田要之助先生の発案で開始されたもので、IT アセメント研究会の前身のシステム監査基準研究会の時代から、SAAJ としても長年支援を続けてきたものです。当初は「IT_Audit」の規格を目指してプロジェクトが発足し、「ISO/IEC

30120」の文書番号が付されました。タイトルは「IT Audit - Audit guideline for Governance of IT」でしたがなかな
か各国のコンセンサスが得られず、2015 年に Audit から Assessment に変更され現在の「ISO/IEC38503:Assessment of Governance of IT」のタイトルとなり、ISO38500（IT ガバナンス）のファミリー規格として位置づけられると共に、当初の TR(技術報告書)から IS（国際規格）を目指すことで各国が合意し、再度プロジェクトが立ち上がり進められていました。
ISO の公式の会議は年 2 回開催されますが、この会議に協会のメンバを送り出すことが、日程と費用の両面から大変でした。協会として費用負担することに対して見直すべきとの意見もあったのですが、出張回数を減らすなど何とかやりくりして継続してきました。この 2 年はコロナ禍により全てリモート会議での開催となったため参加しやすい環境となりました。ロンドン、チェジュ、ダブリン、東京、シドニー、レドモンド、岡山、リスボン、ソウル、パリ等で開催された正式会議と、Web 会議で随時開催される検討会に主に松尾理事が参加されたこと等により無事ゴールに行き着くことができました。今回の成果は正に「継続は力なり」です。
関係各位のご支援とご協力に深く感謝と敬意を表します。

日本システム監査人協会 会報

以上

1February 2022

日本システム監査人協会

会報

＜目次＞
各行から Ctrl キー+クリックで該当記事にジャンプできます。

○

巻頭言....................................................................................................... 1『継続は力なり』

１．めだか....................................................................................................... 3【時代の変化とシステム監査 - ロボット -】２．投稿.......................................................................................................... 4

投稿【万一に備える～セキュリティインシデント即応体制整備に向けたシステム監査の役割期待】【コラム】システム監査のための、法律・会計再入門（2）【エッセイ】結界

3．本部報告 ...................................................................................................... 13【第 263 回月例研究会：講演録】
テーマ：「コロナで対応が変化した BCP・BCM」

4．支部報告 ...................................................................................................... 15【北信越支部 2021 年度 12 月リモート例会報告】【北海道支部 2022 年度 1 月の月例研究会】

5．注目情報 ...................................................................................................... 23
総務省【「地方公共団体における情報セキュリティ監査に関するガイドライン」（改定案）を公表】

6．セミナー開催案内.......................................................................................... 24【協会主催イベント・セミナーのご案内】

7．協会からのお知らせ....................................................................................... 25【（予告）第２１期通常総会の開催】【新たに会員になられた方々へ】【協会行事一覧】

8．会報編集部からのお知らせ............................................................................... 28

日本システム監査人協会 会報2February 2022

日本システム監査人協会

会報2022.01
めだか 【 時代の変化とシステム監査 ‐ ロボット ‐ 】

システム監査の領域が広がる中、進化の階段の一つ上の段に上がる。そこで時代の変化とシ
ステム監査を考える。時代の変化は、気候変動や、新型コロナウイルスによるパンデミック等であり、システム監査は、正すものである。
さて、資料によれば、著者は、“ロボットを研究することは、人間を深く知ることである”という。日常生
活の中では仕事や雑事に追われて深く考えないが、改めて考えてみると、誰しもその興味が自分を中心とした人間そのものにあることに気が付くというのである。また、“他人は自分を映す鏡である”ともいう。
古くから鏡は自分を映すものであり、“私たち人間の持つ感覚器はすべて体の外を向いており外の世界を知覚するようになっている”からである。
2020 年 3 月から日本でも始まった新型コロナウイルスの感染拡大によって人と人が直接会うことを避けなければならない状況になりテレワークが強いられるようになった。リモート会議システムは、報告や情報交換を目的とするならよい。しかし、リモート会議システムで議論し自由に発想するには、“人間の対話能力は実環境に適応している”ことを忘れてはならないという。また、遠隔操作ロボットは、“ロボットに操作者の意図を十分汲み取る能力と、自律的に行動する能力があれば遠隔操作はずいぶんと楽になる”というのである。
ロボットは、自律、心、存在、対話、体、進化、生命など、人にとって何であるかを問うものである。そこで自律性の本質を問うために、移動型子どもアンドロイド「イブキ」が 2019 年に開発された。すなわ
ち、”子どもの移動型アンドロイドであれば、あちこち移動しながら、人間に質問しながら、助けを求めながら人間との間で関係を構築することができ、知識は人間との関わりを通して得ることができる。“それから、”イブキは、音がほとんどしない減速比の小さい静かな DC サーボモータで構成し、バッテリーで自由に動き回ることができる。“また、人がイブキと自然と接しやすいよう、”車輪移動機構に上下動のメカを組み合わせて移動する際にまるで歩いているように体が上下左右に振れるようにした“という。
これを「社会養育ロボット学」という。人と手を繋ぎながら移動するイブキが印象的である。
私たちは、時代の変化とシステム監査を考えること、そして、さまざまな出来事と役割に対し、改めて考えてみることが求められる。
（空心菜）
資料：
「ロボットと人間 人とは何か」石黒 浩 著 岩波新書 1901
（このコラム文書は、投稿者の個人的な意見表明であり、ＳＡＡＪの見解ではありません。）＜目次＞

日本システム監査人協会 会報3February 2022

日本システム監査人協会

会報2022.01
投稿【万一に備える～セキュリティインシデント即応体制整備に向けたシステム監査の役割期待】
会員番号 436 大石正人
万一の事故や事件を表現する用語として、著しい順にクライシス＞アクシデント＞インシデントと 3 段階の表現があります。クライシスといえば破局の語感に近いですから、凡人が予めそれに備えるのは極めて困難です。アクシデントの代表は交通事故ですが、通行人が備えても例えば無謀運転を避けるのは難しいので、日ごろから自衛策をとるしか予防策はありません。
こう考えると、万一の備えとしてはインシデント＝偶発事象として、予め発生が予見される事態を想定す
るのが人知の及ぶ限界といってよいでしょう。
事業分野により「インシデント」の定義はさまざまですが、例えば医療分野の場合、例えば患者の勘違い、投薬の取り違えなど、医療事故につながりかねないヒヤリハット事例を指すようです。人の命を左右しかねないわけですから、そうした事例を収集して、患者や投薬の識別方法を改善する、などの取り組みに繋げています。
一方、情報セキュリティ分野だと、システムの管理面で正常な運用を阻害する事態一般をさすのが一般的です。ネットワークでシステム同士がつながることにより、セキュリティ侵害の影響は以前に比べ格段に高まっています。皆さんが日常的に手にするスマホは今や立派な情報端末ですし、その意味で四六時中セキュ
リティインシデントに晒されている、といっても過言ではないでしょう。
現代を「リスク社会」ないし危険社会と特徴づけたのは、ドイツ・社会学者のウルリッヒ＝ベックでした。社会や個人が何らかの選択を行った結果、社会的なリスクとしてそれが立ち現れてくる社会を指しています。個人情報を満載した情報端末の利用が一般化した現在、そうしたリスク社会の代表格がセキュリティ
インシデントといってもよいでしょう。
こうしたインシデントに適切に備えることは難しい課題です。脅威に見舞われた組織、例えば身代金要求型のランサムウエア攻撃を受けた病院にとって、それは顕現化した具体的な脅威です。身につまされた組織
は、その教訓を踏まえて対策をとりますが、他の多くの組織は被害の大きさを含め実感がわきません。このため、ＩＰＡ（独立行政法人 情報処理推進機構）のような政府機関、あるいはセキュリティ専門会社から、警告情報が発せられても、自組織への影響を検討の上、必要十分な対策が講じられない可能性があります。
その結果、次の攻撃対象に選ばれてしまうやもしれないのです。
またセキュリティ侵害による脅威は、事業者の対策の網の目をくぐるように新種のウイルスや攻撃手法が編み出されることで、常に新たな様相を呈してきます。手口の詳細が不明だったり、その対策が十分に普及しなかったりする間に、新たなセキュリティ侵害の事例を生むことになりかねません。
このようないたちごっこの常態化が、セキュリティ侵害の扱いにくさだといえません。事業者によっては外部事業者への委託を含め、インシデント発生やその脅威に即応する体制（シーサート、CSIRT:Computer
Security Incident Response Team）を整備していますが、だからといって脅威がなくなるわけでも、完璧な対策が立てられるわけでもないのです。
２０２２年もインシデントへの備えが十分できているかの点検は、情報セキュリティやシステム監査といった第三者視点で検証する役割を担う技術者に期待される大切な役割だと思います。
それではインシデント即応体制（シーサート）を整備する事業者も徐々に増えている中で、こうした体制とは別に存在する監査業務はどういった立場で、インシデント発生の脅威への備えを評価し、必要な助言を行うべきでしょうか。
第一に、監査対象となる事業者なり内部監査の場合は自組織が、インシデントの脅威を十分に認識し、万一に備えた体制を構築し、運営できているのか、という点の確認です。

日本システム監査人協会 会報4February 2022

日本システム監査人協会

会報

情報セキュリティ管理体制を整備する必要性は、現在、事業や組織の規模の大小を問わず、幅広く共通認識になっています。しかし残念ながら、顧客の要請に応じて認証を得るために、形式的な要件整備で手一杯な組織も多く、自組織が直面する脅威を十分踏まえた内容になっていないのが実態ではないでしょうか。
特に自組織が直面する情報セキュリティ面の脅威を正しく認識できているか、はシーサートを整備する段階で最初の一歩となります。監査部門は必要に応じ、シーサート事業者なり自社組織なりと、体制構築後の早い段階から十分なコミュニケーションをとり、この点を確認することが大切です。
第二に、日々変化する情報セキュリティ管理を巡る環境や脅威の変化に対し、正確に情報を把握し、自組織に活かす仕組み＝モニタリングが機能しているかどうか、の確認です。
一旦構築したインシデント即応体制も、前提とする情勢認識が現状とずれていれば、新たな脅威が認識できなかったり、脅威の認知が遅れたりする懸念があります。モニタリングレポートが、情報セキュリティ推進組織にきちんと伝えられ、活用される仕組みが機能してこそ、「即応体制」の名に相応しいものになるはずです。
第三に、最も重要かもしれないのは、インシデント発生を前提とした対応体制の十分性検証です。地震など自然災害の場合も同じですが、経験知を組織的に共有できている事例は必ずしも多くありません。したがって、現実にインシデントが発生した場合に、あらかじめ定めた手順通りに、末端まで組織内部で役割を期待通りに果たせる保証は全くなく、むしろ想定を超えた事態が発生する場合も十分あり得ます。
東日本大震災の際に、地域の拠点病院として機能を全うした宮城県石巻市の石巻赤十字病院で指揮官を務めた外科医の石井正氏も、講演で強調していたのは「事前に訓練していた以上のことはできない」という点でした。
（注）石井正著「東日本大震災 石巻災害医療の全記録」（講談社ブルーバックス）
つまり大切なことは、インシデント発生時の対応手順を整備すること以上に、発生に備えた動作訓練が、組織的に根付いているか、ということなのです。
監査人としては、インシデント即応体制のもとで、例えば年度の初めに立案される計画の中に、インシデ
ント発生に備えた訓練計画が組み込まれているかどうか、またその内容が当該組織の直面する脅威やその変化などに照らした実践的かつ十分な内容となっているかを確認します。そのうえで、訓練の実施結果を踏まえて、インシデント即応体制なり対応手順なりが見直されているか、を検証することが大切です。
２０２１年１０月に日経コンピュータ誌が特集した「役立つＩＴ資格」ランキングで、改めてシステム監
査技術者などシステム監査関連資格が、「これから取りたいと思う資格」として５位に浮上した、と伝えられました。古くからある、呼称も変わらない、どちらかというと地味な資格ですから、久方ぶりの明るい話
題といえます。
システム監査の要路の方々に置かれても、ぜひこうした時代の要請にこたえられるよう、インシデント即応体制の実効性検証にも、十分に配慮した業務運営に当たって頂きたいと思います。
筆者も微力ながら、そうした点での貢献ができるよう、取り組んでまいる所存です。

＜目次＞
日本システム監査人協会 会報5February 2022

日本システム監査人協会

会報2022.01【コラム】システム監査のための、法律・会計再入門（2）会員番号 1644 田淵隆明 （近畿支部 システム監査法制化推進プロジェクト）§1.はじめに年が明けて寅年となり新年が始まったが、新型コロナ・ウィルスは未だに収束していない。昨年末に外国産の経口治療薬が承認されたが、ワクチンや治療薬に続き経口治療薬についても、我が国の製薬業は遅れをとるに至った。このことは先進国日本としてはあってはならないことであり､甚だ遺憾にことであり､慙愧に堪えない。
昨年の 12 月号などで指摘してきたように、2006 年度以降の我が国の会計制度が、研究開発費を巡る会計制
度・法人税制が新薬開発における重大な足枷になっていると考えられる。
§2.研究開発を巡る会計制度と税制の関係 ～ G7 で唯一の異常な状態
まず、法人税法、日本会計基準(JGAAP)、国際会計基準の根拠規定及び改廃権限者は次のとおりである。

701 年に「大宝律令」が定められてから今年で 1321 年になるが現在もこの考えは生きている。
「律・令・格・式」の 4 階層になっているが、現在では「法律・施行令(政令)・施行規則(内閣府令または省令)」の構成となっている。
「格」は改正法令であるので、現在と比較すると概ね次のようになる。
律
令式・・・ 法律・・・ 施行令(政令)・・・ 施行規則(内閣府令または省令)

続いて、研究開発費を巡る、法人税法、日本会計基準(JGAAP)、国際会計基準における取り扱いは概ね次のとおりである。紙面の都合上(字が小さくなり過ぎるため)、まず法人税法と日本会計基準の対比を先に示す。

日本システム監査人協会 会報6February 2022

日本システム監査人協会

会報

続いて、日本基準と国際会計基準の対比を示す。

このように、日本の会計基準では、量産化のための研究開発費は製造間接費として扱われ、製品の売却時に費用化され､法人税法もそれに準ずるため大きな問題は無い。問題はその他の場合である。いわゆる「基礎研究」
・「応用研究」に係る支出については、会計上一律費用処理されるにも関わらず、研究用の設備・機械装置・他社から使用許諾を受けた知的財産権のコスト等は会計上は費用処理されるにも関わらず、法人税法上は繰延資産となり損金算入されず、その償却額のみが損金算入されるのである。これは、本来、製造業にとっては「虎の子」
である筈の研究開発部門に係る支出、特に、基礎研究・応用研究に係る支出が、罰金・課徴金や接待交際費と同等の扱いを受けており、研究開発部門が「コスト・センター」の扱いとなっていることを意味する。その結果、「自力で開発するよりも、外国の企業から権利を買ったほうが手っ取り早い」という風潮を惹起している。このことは開発のノウハウの蓄積がされないことを意味しており、非常に危険なことである。これは「加工貿易」が生命線である我が国にとっては極めて異常なことであり、今回、新型コロナ対策の治療薬やワクチン開発が諸外国よりも遅れをとった元凶の１つと考えられる｡国民の生命と健康を守る為にも､直ちに是正するべきであろう。
★研究開発費の一律費用処理が導入された差異の立論は次の 2 点であった。(→文献[4])①財務諸表の企業間比較を容易にするため②会計処理から不確実性を排除するため
この論法は「保守主義」の観点から言えば一理あるとは思われるが、他の先進国や中国・韓国・台湾が一定の条件のもとで「開発費」の資産計上を認めている以上、早急に是正する必要がある。また、文献[5]にも指摘があるように、研究開発費を資産計上するほうが中長期的には ROA が上昇するとの研究もある。
新型コロナ対策が焦眉の急である現状を考えると、最低でも、基礎研究・応用研究のためのコストが「会計上の費用になるが損金不算入」という、異常な事態だけは早急に(遅くとも 2023 年 4 月からは)是正する必要がある。すなわち、最低でも「損金不算入となる部分」については資産計上(繰延資産の「開発費」、または、国際会計基準と同様に無形固定資産への計上)を認めるべきである。
【余談】技術の蓄積・継承は企業内部にノウハウを蓄積しないと発展させることは非常に困難である。何故なら最先端の技術には弱点が付きものであり、弱点の情報は内部にしか蓄積されないからである。旧日本軍が誇る零戦は､1942 年にアリューシャン列島に不時着し､それを米軍が回収し分析した。①右旋回の操作が難しいこと、②急降下時にエンジンが止まる可能性があるなどの零戦の弱点が突きとめられ、その後の航空戦や空母決戦での帰趨を決する結果となった。また、ラバウル航空隊の悲劇は第二次量産型の零戦の主翼の形状変更による空気抵抗の増大が航続距離を顕著に縮めたことに起因しているが、これも米国側に見破られその後の航空部隊の壊滅に繋がった。
先月、国内の鉄道会社で唯一、高速車両で連接車両の運行を行っていた大手私鉄がその廃止を発表した。リニ
ア・モーター規格の全国展開の困難さ、及び、連接構造を持つフランスの TGV が 2003 年に 574km/h の記録を樹立したことを考えると、高速車両の連接車両のノウハウが国内から消滅することは、我が国の鉄道技術にとって大きな禍根となることが懸念される。
日本システム監査人協会 会報7February 2022

日本システム監査人協会

会報§3.連結会計による透明性・明晰性の確保 ～ 新公会計制度における実践事例
我が国の企業会計では 2001 年 3 月期より、「会計ビッグバン」の一環として、上場企業には連結財務諸表の開示が義務付けられた。
「連結会計」は単純合算と異なり、2＋2＝3 のイメージである。この点からも「連結決算」は連接構造に似ている。実は中国語では Consolidation Accounting を「連接会計」と訳すこともある。

しかし、連結会計は企業会計に限らない。2018 年度より、新公会計基準は全ての地方自治体に義務化され、連結財務諸表の作成・開示も義務付けられた。公会計では「外郭団体」を子会社と見做して「フル連結」を適用し、「一部事務組合」を共同保有の関連会社と見做して「比例連結」を適用する。企業会計では「関連会社」は簡易な「持分法」を適用するが、公会計では BS・PL・CF の中味が見える「比例連結」を適用している点で、
公会計は企業会計よりも明晰度が高いとも言える｡また､連結財務諸表規則第 5,10,13 条の寛恕規定を用いた｢連結外し｣や｢持分法外し｣も一切認められないため、国際会計基準(IFRSs)に近い制度とも言える。また、有価証
券報告書のように子会社等の一覧表で｢その他〇〇社｣とするようなことも禁止されている(→文献[1],[2],[3])。
★下記は、東京都の某特別区の WebSite の「新公会計制度に基づく財務情報の公表について」からの引用である。なお、公会計で PL(損益計算書)に相当するものは「行政コスト計算書」、SS(株主資本等変動計算書)に相当するものは「正味資産(＝純資産)計算書」である。

この特別区では、新公会計制度採用の 2 年目である令和元年度決算から、次のような資料も開示している。
・連結精算表⇒連結処理のプロセス
・内部取引による相殺消去の内訳表(連結 BS) ⇒債権債務の相殺消去マトリックス
・内部取引による相殺消去の内訳表(連結 PL) ⇒売買取引の相殺消去マトリックス
・内部取引による相殺消去の内訳表(連結 CF) ⇒キャッシュフローの相殺消去マトリックス
日本システム監査人協会 会報8February 2022

日本システム監査人協会

会報★上記の資料は新しく作成するものではなく、正規の簿記の原則に則り、連結決算のデータを作成していれば必ず途中で作成される資料である。従って､役所担当者の業務上負担は WebSite にアップロードするだけであり、業務上の煩雑さは皆無である。
★21 世紀に入り、多くの会計上の不祥事が発覚し、大きな問題となっている。本来、企業会計でも同様の資料の開示を義務付けるべきであり、少なくとも、証券取引所は上場企業にその開示を義務付けるべきである。
なお、当該特別区では、他にも「固定資産台帳」や「施設ごとの PL」も開示している。これも透明性を担保する上で非常に重要である。

これらの財務情報の開示は、会計の明晰化・透明化を実現する上で強力な手段となるだけではなく、税金の使い道や財政状況について客観的な分析に資すると思われる。他の自治体の模範になると思われる。21 世紀
初頭、新自由主義の旗印のもと、感情的な「公務員叩き」の嵐が吹き荒れたが、今回の新型コロナ対策を見る
限り、短期的視野での公務員の大量削減が正しかったのか疑問を禁じ得ない。システム監査と同様、行政においても、客観的数値に基づく分析が必要であることは言うまでもない。
当該特別区は、データのバックアップを二重に構え、外部有識者として「システム監査技術者」保有者を招いたり、情報政策課の職員に情報処理試験の資格取得を奨励し、セキュリティ面でも対ハッカーの防御演習を実施するなど、情報処理の観点でも他の自治体の模範となる自治体であると思われる。
※以上述べたことは筆者の私見であり、いかなる団体をも代表するものではありません。また､法令の適用･会計基準の適用等については､必ず､御自身でご担当の顧問会計士その他の専門家の方々への御確認･照会をお願いします。
<参考文献>[1]「軽減税率」田淵隆明が語る、IFRS&連結会計〔Ⅰ〕〔Ⅱ〕: "In Varietate Concordia", EU の知恵に学べ
IFRS では何故そう考えるのか?Ver7 (2021/03/08 及び 2021/03/15)[2]「「軽減税率」田淵隆明が語る、「インコタームズと連結上の照合・相殺消去」再考」(2021/03/01)[3]「軽減税率」田淵隆明が語る、数学・理科のカリキュラム再考（2021/09/27）[4] 研究開発費の会計と税務の取扱、両者の違い https://hyodo-ao.net/difference[5] 日本企業の投資が ROA に与える影響について（久田祥子）
https://www.u-tokai.ac.jp/uploads/sites/10/2021/03/12_hisada.pdf＜目次＞

日本システム監査人協会 会報9February 2022

日本システム監査人協会

会報2022.01【エッセイ】結界
会員番号 0707 神尾博

1.ゼロトラスト
平安京は霊的な結界を企図して造営された。東西南北がそれぞれ流水、大道、湖沼、丘陵で構成される四神相応の地が選ばれ、創建後には鬼門である北東に、安倍晴明屋敷、赤山禅院、比叡山延暦寺の鬼門封じが配された。徳川家康が開拓した江戸の町も四神に守護され、鬼門は神田明神、上野寛永寺でガードされていた。こうした防衛網にもかかわらず、どちらの地でも悪霊や妖怪の徘徊噺は後を絶たなかった。また、地域での結界を担う地蔵尊や道祖神も、狡猾な物の怪にすり抜けられた。
COVID-19 の蔓延によるテレワークの急速な拡大により、組織の内側をファイヤーウォールや IPS/IDS 等
によって守る境界型防御には限界が見えてきた。そこで登場した「ゼロトラスト」は、もはやバズワードではなく広範に社会に浸透しつつある。そこで本稿では、現代と過去のゼロトラストについて考察したい。
まずはゼロトラストの概念から。2007 年の Forrester Research 社の提唱を皮切りに､2020 年の NIST(米国国立標準技術研究所)の定義などがあるが､筆者一押しのワンフレーズは｢何も信頼するな！必ず検証せよ！｣
である。従来の「内と外」の原理で構築されていたネットワーク構成やセキュリティソリューションは、変更を余儀なくされている。具体的には、すべての通信経路の暗号化や認証の強化等の配備で、この課題に対処している。
さて、このゼロトラストでは「信頼できるのは人そのものだけ」だというが、我が国の近世以前には「人らしきもの」の存在も人々に恐怖を与え続けてきた。

2.脅威
結界を張っていても、必ずしも魑魅魍魎の出現を阻止できるわけではない。平安時代に豪傑・渡辺綱は、深夜の一条戻橋で「五条まで同伴して欲しい」という若い女に遭遇するが、これを鬼と見破り、その左腕を断ち斬った。また能の｢鉄輪（かなわ）｣では、夫の浮気が原因で嫉妬に狂った妻は、洛北の貴船神社に丑の刻詣をし、鬼に変身したまま下京へと向かう。
恨みといえば､現代では組織への遺恨からの､内部不正による情報漏洩等の問題がある。江戸の怪談噺では、夫や奉公相手に遺恨を持つ幽霊は、大半が外部からの侵入ではなく元々はその地域の住民だった。恨みはなくとも「シャドーIT」と呼ばれる、組織に許可されていないクラウドサービスの利用も、やはり重要データの流出やマルウェア感染のリスクがつきまとう。
このように、過去には道を歩いている輩や隣家、さらには自宅にいる者、現代では組織員や貸与の PC であっても、軽々しく信用してはならないというわけである。では、この一筋縄ではいかない、いにしえやサイ
バースペースの魔物たちへの対応策を順に見てみよう。

日本システム監査人協会 会報10February 2022

日本システム監査人協会

会報

3.認証
ゼロトラストにおいては、まずはユーザ認証の強化が重視される。ID とパスワードにデバイス、バイオメト
リックス等を組み合わせた多要素認証は鉄板だが、他にもまだまだ追加すべき認証条件がある。たとえばアク
セスの時間帯や場所のチェックだ。日勤であるはずの社員が、頻繁に夜間に接続を試みることはまずあり得ないだろう。出張者でもないのに、国外からのログインというのも同様だ。さらには、アクセス許可対象を相手によって細分化するマイクロセグメンテーションも用いられる。
時間帯や場所といえば、先に述べた渡辺綱と鬼女の逸話でも、綱の剛勇については評価できるが、漆黒の闇
夜に街中を出歩く若い女をいぶからずに馬に乗せたのは、都を守護する武士として不心得ではなかったか。
特撮番組「ウルトラマンエース」に登場したメトロン星人 Jr は、地球防衛チームの隊員の婚約者への完璧な変装と、しかるべき所持品である婚約指輪、さらにはその男性隊員同伴でロケット基地への潜入に成功するかに見えたのだが……。結果は次章までお待ちを。
ところで、妖怪は美男美女に化けることが多いという。なるほど、印象が肝腎なのは、魅力のある美辞麗句を駆使してリンクをクリックさせる詐欺メールも同じ。VPN 認証を使ったテレワークでも、自宅 Wifi につながっている私用の機器でこうした罠に引っかかれば、それを踏み台にしての、業務用 PC や所属組織への攻撃が危惧される。個人用のデバイスも、アンチウイルスソフトの導入やソフトウェア/ファームウェアのアップ
デートを怠らないようにしたい。

4.監視
平安時代の陰陽師・安倍晴明は、幼少のころから常人には目にすることの出来ない百鬼夜行を、看破することが出来たという。洛内で目撃しており、これも結界のみで全ての魔の侵入を阻止するのは、不可能という例である。
サイバーセキュリティでも同様である。従来の境界型防御では、外部との通信ログやパケット等の監視が中心だった。ところがゼロトラストでは、接続デバイスやそのセキュリティ状態、たとえばパッチ適用やマルウェア感染の監視が従来よりも重要になる。EDR（Endpoint Detection and Response）では、端末での通信やプログラムの不審な動きが無いかどうかをチェックする「振る舞い検知」によって、疑惑を発見すれば管理者に通知が届く。
晴明と白い犬の逸話も紹介しよう。藤原道長が出向いた寺院の前で、同行した飼い犬がしきりに吠えて立ち入りを妨害するため、不審に感じ晴明を呼び寄せると近くの地中から呪具が見つかった。自力で解決できない
場合に専門家を頼るのは、EDR と同様である。
憑き物においても、態度や行動に怪しげなところがないかを見定めろと伝えられており、狐憑きはヒステ
リックに、蛇は淫乱になるそうだ。先ほどのメトロン星人 Jr だが、婚約者である男性隊員の前で、女性隊員の「身に着けているエンゲージリングを、この場で渡せばここを通す」という要求に躊躇せずに応じ、あっさりと正体が見破られた。地球の文化への諜報不足が敗因となったのである。

日本システム監査人協会 会報11February 2022

日本システム監査人協会

会報

5.撃退
妖怪や魔物の正体を見破れば、次は撃退である。まずは、奴らの恐れるものを突き付けるという方法がある。神話の時代や古代には桃が重宝された。伊邪那岐命（イザナギノミコト）は、桃の実で黄泉醜女（ヨモツシコメ）を退散させた。また 3 世紀から建造が始まったとされる、奈良県の纏向（まきむく）遺跡からは大量の桃の実が出土しており、祭祀・魔除けに用いられたという説が有力だ。
テレワークの普及により組織員の行動把握が難くなった昨今、邪な行為に走ろうとする者が嫌がる PC 監視ソフトの導入が進んでいる。
不正のトライアングルのひとつである「動機」の駆逐には有効ではある。たとえば不正競争防止法のような、法的責任を追及できる範囲に限った利用であれば問題はない。しかしながら無節操な対象拡大は避けるべきであり、一部の労働組合からも濫用を抑止すべきだという声が上がっている。
ゼロトラストでは前章で述べたように、エンドポイントでの有害活動の阻止が重視される。たとえば、乗っ取られて犯罪者の意のままに操られるようになったデバイスは、もはや一時的には味方ではないと判別し、EDR での隔離後、脅威を駆除してから復帰させる。
さて、今や COVID-19 の禍中だが、近世以前では疫病は鬼や怨霊がもたらすと信じられており、辟邪絵(へきじゃえ)や、魔除けのカラーである赤色の疱瘡絵等が護符として用いられた。リアル出社が減っている現状
では､教育の一環として組織内ポータルに､セキュリティ上の注意喚起の記事を適宜掲載するのも有効だろう。

6.定期的なレビュー
そもそもゼロトラスト自体が、サイバーセキュリティ（この概念自体が、以前は「情報セキュリティ」だった）の考え方が、技術進歩や社会情勢とともに変容したものである。思い起こせば、メインフレーム全盛時代には外部からの手出しは先ず不可能で、圧倒的に堅牢だった。
セキュリティ監査や自己点検では、短期的なスパンではワクチンソフトのアップデート、OS やアプリへのセキュリティパッチの適用等の項目が列挙される。もう少し時間軸を長く見ると SHA1 や WEP といった危殆化した暗号の置き換え等が該当するが、いずれにせよ防御側の停滞は許されない。
江戸から明治へ時代が移り、知識階級を中心に非合理的なものへの懐疑の念が高まり、内務省令で呪術的行為は禁止、また井上円了らの科学的なアプローチによって、迷信や妖怪は次々と表舞台からは姿を消した。一方でサイバーセキュリティ上の脅威は、これからも連綿と進化し続けるだろう。

（このエッセイは、記事提供者の個人的な意見表明であり、SAAJ の公式見解ではありません。画像は Wiki よりパブリックドメインのものを引用しています。）＜目次＞
日本システム監査人協会 会報12February 2022

日本システム監査人協会

会報2022.01
第 263 回月例研究会：講演録
テーマ：「コロナで対応が変化した BCP・BCM」
会員番号 2574 竹原 豊和（月例研究会・会報部会）【講師】東京海上ディーアール株式会社 ソリューション創造本部主幹研究員
指田朝久（さしだともひさ）氏【日時・場所】2021 年 12 月 2 日（木）18:30 – 20:30、オンライン（Zoom ウェビナー）【テーマ】「コロナで対応が変化した BCP・BCM」【要旨】
新型コロナウイルスのパンデミックにより企業経営も影響を受けている。それに伴い BCP／BCM も変化している。企業が直面する課題は感染症対策、操業停止，人権・風評対策、そして需要蒸発である。
操業停止の主要因はクラスターの発生、部品調達不能の 2 点である。感染症対策 BCP として企業は多能工化、チーム分け、応援受援、そしてサプライチェーンの見直しを行った。
また、感染症対策もかねてテレワークが促進された。テレワークは今の BCP の主流である地震からはじめる BCP の初動の参集体制も変化させ自在性を確保する一方、情報セキュリティの脆弱性を増加させた。ここではこれらの一連の企業の取り組みを概括し、今後の BCP の在り方を考える。

【講演録】
Ⅰ．本講演のアジェンダについて
本講演については、以下のアジェンダにてご説明をいただいた。また、併せて「情報セキュリティマネジメ
ントシステムの体系（事業継続にスコープ）」「情報セキュリティの 3 要素」についてご説明をいただいた。

・第 1 部新型コロナウイルス COVID‐19 と企業の対応を振り返る
・第２部 BCP の普及の経緯と基礎的な概念整理
１ BCP とは
２ BCP の普及の経緯と現状
３ BCP の基礎的な概念
４ BCP の好事例
５ 地震からはじめる BCP の課題

Ⅱ．
「第 1 部新型コロナウイルス COVID‐19 と企業の対応を振り返る」
COVID-19 概要及び、パンデミックに関する世界と日本の状況とオリンピック開催等を交えた 3 つのシナリ
オの評価のご説明と予測、日本の企業の状況についてを振り返りの内容も含めてご説明をいただいた。また、
COVID-19 への企業の対応の詳細や災害対策の改善課題をご説明いただき、その上でリスクマネジメントから見た論点について詳細なご説明をいただいた。
日本システム監査人協会 会報13February 2022

日本システム監査人協会

会報

Ⅲ‐1．「BCP とは」（第２部 BCP の普及の経緯と基礎的な概念整理）
事業継続（BCP）に関する詳細なご説明をいただいた。また、事業継続の概念図及び内閣府事業継続ガイド
ライン第 3 版を活用した形で、時間軸を元にしたご説明をいただいた。

Ⅲ‐2．「BCP の普及の経緯と現状」（第２部 BCP の普及の経緯と基礎的な概念整理）
令和 2 年の実態調査を踏まえた BCP の普及状況に加え、国内外のガイドラインの状況、我が国における動きについての詳細なご説明をいただいた。

Ⅲ‐3．「BCP の基礎的な概念」（第２部 BCP の普及の経緯と基礎的な概念整理）
BCP とは供給責任を果たすための事前対策（地震防災のことではない）について 7 項目の内容からご説明をいただいた。また、防災と BCP の違い、事業影響度分析（BIA）と重要業務の選定及び SLA も含めた RTO のポイント、リスク評価のポイント、リスクマップを元にした被害想定、地震や水害といった早急に求められる対策､ビジネスフローの分析･ボトルネックの洗い出しの進め方といった内容についてのご説明をいただいた。

Ⅲ‐4．「BCP の好事例」（第２部 BCP の普及の経緯と基礎的な概念整理）
BIA 及びリスクアセスメントにおける評価方法(優先順位付け）、サプライチェーンとの関係及びリスク評価
例、BCP における計画策定のポイントの戦略面及び東日本大震災の状況や教訓、事業継続の具体的な取組に関してご説明をいただいた。また、BCP 戦略の最先端に関しては事例を元にご説明をいただいた。

Ⅲ‐5．「地震からはじめる BCP の課題」
（第２部 BCP の普及の経緯と基礎的な概念整理）
最近発生した事業中断の原因についての多くの事例・リスクの例、地震からはじめる BCP の場合（総務主体による指揮命令系統）、システムダウンの場合、中小企業の場合、オールリスク BCP がない場合といった各
シナリオ毎の問題点や課題についてご説明をいただいた。また、IT-BCP のオールリスク BCP への組み込みについての内容、IT-BCP で事業部門が直面する問題、様々な IT 開発環境の BCP の課題、新型コロナウイルス
対応についての BCP、BCP 文書の継続的な運用・更新ノウハウ、ERM（全社的なリスクマネジメント）の構
築についてのご説明をいただいた。

【所感】
指田先生には今まで何度もご講演いただき、私自身もその都度参加をさせていただいているが、毎回感じる
ことは「その時代における、その時代ならではの BCP や BCM、そして危機管理についてを客観的な視点からご説明いただき、大変勉強になるとともに様々な面ですぐにでもその知識が役立つ」ということである。
特に、今回のご講演で感じたことは、設計戦略の重要性や BCP の構築にて自社のみではなく、サプライチェーン全体をどこまで考慮できるかということであった。私の業務においても「汎用パーツへの置き換え」
は BCP 対策として今すぐにでも検討すべきことと考える。先生のご講演は都度アップデートされた最新の情報であるため、今後も定期的にご講演いただきたいと切に感じる。
以上
日本システム監査人協会 会報

＜目次＞
14

February 2022

日本システム監査人協会

会報2022.01
支部報告【北信越支部 2021 年度 12 月リモート例会報告】
会員番号 1281 宮本 茂明（北信越支部）
以下のとおり北信越支部 2021 年度 12 月リモート例会を開催しました。
・日時：2021 年 12 月 4 日（土）参加者：10 名

・会場：zoom によりリモート開催
・議題： ・2022 年度計画意見交換
・報告１：「システム監査の現状と課題」 森 広志 氏
・報告２：「システム監査講演会受講報告」森田 清隆

氏

・参加者による意見交換 など◇研究報告「システム監査の現状と課題」

報告者 (会員番号

848 森 広志)

同テーマは、昨年春の支部総会実施を想定し用意しましたが、コロナ下で中止となり、リモート形式主体の活動となりました。支部では、恒常的に総会年 1 回、例会年 3 回、参加者は 10 人程度(リモート形式で増加)
平均年齢は 60 歳前後、若い会員の増加が望まれます。
今回、システム監査に関する現状と課題を考察し、例会の円滑運営のため様々な報告テーマを提案し、参加者の皆様へ２年に 1 回程度の報告を提案しました。
1.システム監査業界の現状と課題
平成 30 年に、システム監査・管理基準が改定され、従来からの課題を反映しＣＩＯやＩＴガバナンスの記述等、新時代に向け刷新されたものと受け止めましたが、地方では、ＣＩＯ等を設けない企業・市町村が一般的であり、現状との乖離を感じていました。
現在、システム監査・管理基準を読み返してみて、ＣＩＯが存在すれば、部門間を跨ぐ業務システムのコンフリクト等を解決するに至っていたのではと思い、ＣＩＯのシステム管理基準への記述について深く感謝しております。
政府が、東京オリンピックまでに目指した「世界最先端ＩＴ国家宣言」では、4／8K テレビが普及し、コロナ化のため、普及が遅れていたテレワークが日常的となりました。しかし、給付金受給のため市役所窓口がマイナンバー手続きで混乱し、国民の意識も薄いことを感じました。又、情報化社会の基盤となる半導体産業の凋落も露呈し「2020 年のデジタル競争力ランキング(IMD)」では 63 カ国中 27 位と、日本のデジタル化が遅れている実態が明らかとなりました。
システム監査業界の課題として、ＤＸ等の新しいリスクにキャッチアップしながらコントロールを工夫することが延々と続くと考えます。それは、コンドラチェフの技術革新の波が終焉する 2050 年代以降も続いてゆき、今後ともシステム監査人は、忙しい時代を過ごすと考えます。
又、システム監査人の姿勢として、常に経営を基本に考えることが大切と考えます。ともすれば新技術のキャッチアップに力を取られがちですが、依頼者は経営者であることを忘れず、経営について意識してゆきたいと思います。
日本システム監査人協会 会報15February 2022

日本システム監査人協会

会報

以上の事を勘案して、例会の報告テーマ例について考えましたので参考にしてください。
2. 報告テーマ例(個人、家庭、町内、同窓会等の小規模ＮＰＯ等)⑴中高年のスマホ活用等、こどもや高齢者の見守り方法の検討⑵テレビ、パソコン、スマホ、電話など、家庭でのネットワーク管理⑶インターホーン、防犯カメラなど、家庭でのセキュリティ対策⑷少子高齢化・人口減少→町内会等の運営困難→閲覧物のデジタル化等⑸同窓会、老人会、各種団体の個人情報管理等

・中高年のスマホや iPad 利活用方法や、家庭やこども・高齢者のためのロボット利活用方法、家庭や小規模ＮＰＯでのネットワーク・セキュリティ・個人情報管理対策等の課題や検討等。
3. 報告テーマ例(店舗、企業・市町村等の組織体等)⑴安全・信頼・準拠性の監査（企画/開発/保守/運用、アジャイル、BCP、委託等）
・以前のシステム監査基準では、信頼・安全・効率性の監査が求められていましたが、近年は、多くの法令・ＩＳＯ・ガイドライン・認証制度等が作られているため準拠性の重要性が増したと考えます。
これらも含めて報告テーマの対象となると考えます。
⑵戦略・有効・効率性の監査（ＩＴガバナンス、経営成果、ＩＴ活用、費用対効果等)
・システム監査基準では戦略・有効・効率性の監査も可能とされ、ＩＳＯで示されたＩＴガバナンスのアセス
メント、戦略性では経営者が納得できる経営成果の見える化、有効・効率性で必要なＩＴ活用・費用対効果の度合測定等、システム監査人の創意工夫が求められます。
⑶システム監査基準による、内部統制等関連業務・文書の見直し他
・ＩＴガバナンスでは、経営陣に情報化投資の予算・投資効果・妥当性評
価、及び情報化のＴＣＯ・個別プロジェクト実績のモニタリングと評価と内部統制があることを求めている。このため、少なくてもシステム開発及び情報処理の個別原価管理が出来ている必要がある。
・開発フェーズでは、プロジェクトマネージャは、総合テスト計画を作成・文書化し、内部統制の観点が求められている。このためプロジェクトマネージャは、業務知識を得る必要がある。
⑷ＩＴ経営企業体のアセスメント(経営に役立つシステム監査・診断)
・ＩＴ経営を目指す中小企業向けに、「ＩＴ経営推進プロセスガイドライン（IT コーディネータ協会）」がありますが、システム監査基準・管理基準と当ガイドラインを適用することで、戦略・有効・効率・準拠性の監査・アセスメントが可能と考えています。
⑸ロボット・ドローン・ビックデータ・ブロックチェーン・IOT・AI・5G 等に関するシステム監査等
日本システム監査人協会 会報16February 2022

日本システム監査人協会

会報・組織体に於いても Society 5.0 の社会を目指し IOT・AI 等の導入が進んでます。常にリスクとコント
ロールを深めるスキルは、ＤＸ領域のシステム監査課題の解決に有効だと思います。
4. 報告テーマ例(国内問題)⑴各産業のウィズコロナ・アフターコロナ対策 ：学校教育、旅行・観光業他
・コロナにより特に影響を受けた、学校教育、旅行・観光業等の課題や検討等。
⑵各産業の温暖化対策 ：自動車、電力、農林水産業他
・カーボンニュートラル達成に向け、百年に１度の変革期である自動車業界、又、電力業界は無資源・災害国での自然エネルギー・原子力等の工夫と普及、農林水産業の立て直し等、課題や検討等。
⑶労働力不足・労働環境改善 ：医療・介護、建設業、畜産業、運送業他
・労働問題に対し、5Ｇ、ロボット、ドローン等の利活用等ＤＸ化の課題や検討。
⑷老朽インフラ整備 ：道路橋、トンネル、河川、下水道、港湾等
・水道橋等の破損等、地域に被害が及んでいます。老朽インフラの問題にＤＸ化の課題や検討等。
⑸少子高齢化 ：子供・高齢者の見守、作業介助他⑹サイバーテロ ：ランサムウェア・標的型攻撃・テレワークへの攻撃・クレジットカード不正決済
5. 報告テーマ例(国際問題)⑴デジタル貨幣と金融システム
・各国の中央銀行にとって、新しい通貨システムを真剣に考えることが重要となってきた。
今年 9 月から中米エルサルバドルでは、ビットコインが法定通貨となり、中国では、デジタル人民元の発行を北京冬季五輪でお披露目することを目指している。今後の課題や影響等。
⑶デジタル法人課税について
・デジタル法人課税は、経済のデジタル化に対応して、グローバル企業に課税する仕組み、代表例はGAFA（Google、Amazon、Facebook、Apple）が挙げられます。今後の税制の課題や影響等。
⑷共産圏の監視システムについて
・自由主義圏の監視システムでは、ファイブアイズが代表的ですが、共産圏の監視システム、ブライバ
シィ・個人情報保護への課題や影響等。
⑸米中覇権下に於ける半導体業界の今後・Society5.0 時代を迎え、半導体業界は、１０年以内に 2 倍の 10０兆円産業に成長、米中覇権下に於ける状況や日本企業の強みや方向性、早急に整えるべき経済安全保障等、課題や影響等。
⑹米中関係とデジタル覇権について 等
・米中関係では５Ｇ覇権、関税合戦、西側諸国や日本企業にも影響を持つ法規制等、検討や課題も含め今後の動向等。
テーマについて、すでに北信越支部で報告したものもありますが、会員の皆様は、更に多様な考えを持っており、テーマの幅も広がると思いますので、それらを合わせ例会等が活発になればと思います。
又、業種別や経営について学ぶ必要もあり、今後の課題としたいと思います。

日本システム監査人協会 会報17February 2022

日本システム監査人協会

会報

◇研究報告
「システム監査講演会受講報告」

報告者 (会員番号 978

森田 清隆)

２０２１年１１月９日に第４１回システム監査講演会がオンラインで開催された。
三谷副会長がご講演された「コロナ禍で見えてきたデジタル推進上の課題とシステム監査」は有益な内容であったので、例会当日改めて会員にご紹介した。

1. DX の現状
⬧ DX への取り組み状況⬧ DX の取り組みに関する日米格差
2. コロナ禍で見えてきたこと⬧ デジタル技術は活用されている⬧ 新しいサービスをデジタルでつくる⬧ 社会的逆境がイノベーションをつくる⬧ コロナ禍における課題の顕在化⬧ 技術を導入するだけでは効果は生まれない
3. 経済産業省の DX 推進政策
⬧ 「DX レポート」DX の現状を自己評価する⬧ 「デジタルガバナンス・コード」DX への取り組み状況をステークホルダーに開示する⬧ 「DX 認定制度」⬧ 「DX 銘柄」
⬧ 「DX 人材」を育成する
4. DX 監査の可能性⬧ DX 監査は、その目的や対象範囲から見て、十分、システム監査に含まれると考えられる⬧ DX 監査における新たな監査観点の例「ビジョンを共有すること」「レガシーシステムを刷新すること」「チャレンジを尊び失敗から学ぶしくみを持つこと」

ＤＸ視点での監査においては「デジタルガバナンス・コード」ならびに「ＤＸ推進指標」が監査の観点として有効であるということ、これらを日常の業務ルールに取り込んでいくことも重要な取り組みと言えるという意識共有が図れた。

以上＜目次＞
日本システム監査人協会 会報18February 2022

日本システム監査人協会

会報2022.01
支部報告 【 北海道支部 2022 年度 1 月の月例研究会 】
会員番号 1448 宮崎雅年

（北海道支部）

北海道支部では、以下のとおり 2022 年度 1 月の月例研究会を開催しました。
・日時：2022 年 1 月 14 日（金）18:30～20:30

参加者：3 名・会場：札幌市男女共同参画センター 研修室 2（札幌市）
・演題：「会社法に定める内部統制の評価の実務について」
・講師：北海道支部長 宮崎 雅年 氏

＜講演概要＞
講師の勤務先は、2020 年 4 月 1 日に発電・小売り事業を行う会社と一般送配電事業を行う会社に分割され、新たに北海道電力ネットワーク株式会社が設立されました。
講師は分割時に北海道電力株式会社に所属していましたが、2020 年 8 月 1 日に北海道電力ネットワーク
株式会社に転籍異動することとなりました。
転籍異動後も内部監査部門に所属し、担当する業務内容に変更はありませんでしたが、新規に設立された会社であることから、何事もゼロからスタートすることとなり、会社法に定める内部統制の評価も例外ではありませんでした。
2020 年度は、内部統制の整備状況および運用状況の評価について、社内関係部署と調整しながらとりま
とめるという実務を経験しました。
これまで漠然と理解したつもりになっていましたが、会社法に定める内部統制の評価について、2020 年度および 2021 年度と実務を通じて理解が深まった部分などを講演いたします。
なお、本発表の内容は講師の個人的意見であり、講師が所属する企業・団体の意見を代弁するものではありません。

＜講演内容＞
１．
「内部統制」には 2 種類ある
「内部統制」とは海外に端を発する概念で、英語で「Internal Control」といいます。これを「Internal= 内部」、「Control = 統制」と訳して「内部統制」と称します。
人のやることには不正あるいは不備があるという前提で、これらを防止するための取り組みを指して「内部統制（Internal Control）」といいます。分かりやすくいうと、誰かがやったことを別の人が確認するというように業務を進めるような仕組みにすることです。別の言い方をすると、個人で勝手に業務を進めることができないような仕組みにすることです。
「内部統制」導入の背景のひとつに、2000 年 9 月に発覚した大和銀行ニューヨーク支店のトレーダーによるアメリカ財務省証券の無断取引、簿外取引等による巨額損失等があり、企業の不祥事防止のため、2006 年 5 月に改正商法（会社法）が施行されました。
日本システム監査人協会 会報19February 2022

日本システム監査人協会

会報

また、もうひとつの背景に、2001 年 10 月に発覚したエンロンによる粉飾決算等があり、ディスクロー
ジャ―の信頼回復のために、2006 年 6 月に成立した金融商品取引法に内部統制報告制度を導入したことがあります。
会社法では、「内部統制」に該当することを「業務の適性を確保するために法務省令で定める体制」（第362 条第 4 項第六号）と定めており、これを「業務の適性を確保するための体制」と称するほか、「内部統制システム」と称します。
金融商品取引法では、「内部統制」に該当することを「財務計算に関する書類その他の情報の適性性を確保するために必要なものとして内閣府令で定める体制」（第 24 条の 4 の 4）と定めており、これを「財務報告に係る内部統制」と称して会社法に定める内部統制と区分します。

２．会社法に定める「内部統制」
会社法第 362 条第 4 項第六号に定める「業務の適性を確保するために法務省令で定める体制」とはどのような体制なのか。実は会社の形態によって異なります。
当社は株式会社で、監査役設置会社であることから、次の条文が適用されます。株式会社の場合、会社法施行規則第 100 条第 1 項第一号から第五号に定めてあり、監査役設置会社の場合、会社法施行規則第 100条第 3 項第一号から第七号に定めてあります。
また、「業務の適性を確保するために必要なものとして法務省令で定める体制」の整備について取締役会で決議があったときは、その決議の内容および当該体制の運用状況を事業報告に記載します。
事業報告とは、法令および定款に基づくインターネット開示事項で、業務の適性を確保するための体制および当該体制の運用状況の概要を含めて記載します。
事業報告を株主に提供するため、株主総会参考書類の一部分として事業報告に記載します。
「業務の適性を確保するために必要なものとして法務省令で定める体制」の整備について決議があったとして、その決議の内容の概要および当該体制の運用状況の概要が事業報告に記載された場合、その内容は監査役監査の対象となり、相当でないと認められるときは、その旨およびその理由を監査報告に記載しなくてはなりません。
当社の場合を要約すると、・内部統制システムの整備について、取締役会で決議しなくてはならない
・内部統制システムの整備について取締役会で決議した場合には、その決定の内容の概要および運用状況の概要を事業報告に記載しなくてはならない
・取締役は、事業報告の内容を監査しなくてはならないとなります。

3．金融商品取引法に定める「内部統制」との相違点
コンプライアンス全般は全ての会社が対象で、会社法は企業活動全般を対象にした内部統制で大会社が対象となり、金融商品取引法は財務報告に係る内部統制で上場企業と連結子会社が対象となります。金融商品取引法に定める「内部統制」との相違点をまとめると下表のようになります。
日本システム監査人協会 会報20February 2022

項目

日本システム監査人協会

会社法

会報

金融商品取引法

対象企業

大会社

上場会社と連結子会社

目

的不祥事の防止、コーポレートガバナンス

ディスクロージャーの信頼性確保

範囲

企業活動全般における内部統制

財務報告に係る内部統制

対 象 者

取締役会

経営者（当該会社）構

善管注意義務等ベース（具体的規定なし）

実施基準

評価開示

事業報告

内部統制報告書

監査主体

監査役・監査委員会

外部監査人（監査法人・公認会計士）

改 善 等

会社を取り巻く変化に応じて不断の見直しが求期末までに重要な欠陥や不備を修正するべく改められる

善、見直しが必要

監査結果

監査報告書

内部統制監査報告書

罰

株主代表訴訟などの民事責任のみ

民事責任／刑事責任築則

4．会社法に定める「内部統制」の評価の実際
評価に先立って、内部統制システムの整備について、取締役会で決議しなくてはなりませんが、事業年度の初日（2020 年 4 月 1 日）に、
「基本方針」を取締役会で決議しています。
基本方針の項目は、以下のとおりです。
1.取締役の職務の執行が法令および定款に適合することを確保するための体制
2.取締役の職務の執行に係る情報の保存および管理に関する体制
3.リスク管理に関する規程その他の体制
4.取締役の職務の執行が効率的に行われることを確保するための体制
5.従業員の職務の執行が法令および定款に適合することを確保するための体制
6.当社ならびにその親会社および子会社からなる企業グループにおける業務の適性を確保するための体制
7.監査役がその職務を補助すべき従業員を置くことを求めた場合における当該従業員に関する事項
8.監査役の職務を補助すべき従業員の取締役からの独立性および監査役の指示の実行性の確保に関する事
項
9.当社の取締役および従業員ならびに子会社の取締役、監査役および従業員が当社の監査役に報告するた
めの体制その他の監査役への報告に関する体制
10.その他監査役の監査が実効的に行われることを確保するための体制
これらの基本方針について、企業活動全般の整備状況および運用状況を評価することを「内部統制システ
ムの評価」といいます。
会社法に定める「内部統制」の評価の実際の作業手順は以下のようになります。
・「チェックリスト」（様式）を作成
・「内部統制の基本的要素」に基づき、「チェックリスト」の評価項目を記載

日本システム監査人協会 会報21February 2022

日本システム監査人協会

会報・「チェックリスト」に整備状況を記載
・「チェックリスト」に運用状況を記載
・「チェックリスト」の記載内容を「基本方針」の項目ごとに要約して「主な整備・運用状況」を作成
・「主な整備・運用状況」の記載内容を要約して「運用状況の概要」を作成
整備状況の記載に当たっては、2020 年 9 月（調査時点）現在の当社の規程・マニュアル等のすべてに目を通し、なんという規程・マニュアル等のどこになんと記載されているのかを調査しました。
運用状況の記載は、なんという業務処理を何回またはいつ実施したのかについて、業務を実際に執行している部門に作成を依頼しました。
「主な整備・運用状況」から、「基本方針」の改正要否を判断します。
「業務の適性を確保するための体制の整備・運用状況および基本方針の改正要否等について」を業務執行会議に付議します。
業務執行会議決議後、「2020 年度における内部統制の取り組み状況について」を取締役会に付議します。
合わせて、「提示株主総会の招集について」を取締役会に付議します。

5．まとめ
会社法に定められた業務であるにもかかわらず、「内部統制システムの評価」は年に 1 回の業務であり、ごく一部の限られた担当者しか実務を経験することがありません。
チェックリストの様式およびチェック項目ならびにチェック項目の記載内容をゼロから作成し、社内関係部署と確認・調整しながら業務を遂行できたことは、会社の業務全般について知ることができて大変に良い経験になりました。

以上＜目次＞
日本システム監査人協会 会報22February 2022

日本システム監査人協会

会報2022.01
注目情報（2021.11～2021.12）■「 地 方 公 共 団 体 に お け る 情 報 セ キ ュ リ テ ィ 監 査 に 関 す る ガ イ ド ラ イ ン 」（ 改 定 案 ） を 公 表
2022年1月11日
総務省
令 和 3 年 度 に ｢デ ジ タ ル 庁 設 置 法 」、「 デ ジ タ ル 社 会 形 成 基 本 法 」、「 地 方 公 共 団 体 情 報 シ ス テ ム の標準化に関する法律」等のデジタル改革関連法が成立・施行され、国及び地方のデジタル・トラ
ン ス フ ォ ー メ ー シ ョ ン （ DX） が 推 し 進 め ら れ る こ と と な っ た 。 総 務 省 で は 、 こ れ ら の 地 方 公 共
団体におけるデジタル化の動向や令和 3 年 7 月の政府機関のサイバーセキュリティ対策のための統一基準の改定を踏まえて、今般、情報セキュリティポリシーガイドライン及び情報セキュリ
ティ監査ガイドラインを改定した。
「地方公共団体における情報セキュリティ監査に関するガイドライン」の改訂では、例えば以下の 監 査 項 目 が 追 加 さ れ 、 監 査 項 目 が 361 項 目 か ら 385 項 目 と な っ て い ま す 。
■ Web 会 議 サ ー ビ ス の 利 用 時 の 対 策■ソーシャルメディアサービスの利用■外部サービスの利用に係る規定の整備■外部サービスの選定■ 外部サービスの利用に係る調達・契約■外部サービスの利用承認■外部サービスを利用した情報システムの導入・構築時の対策■ 外部サービスを利用した情報システムの運用・保守時の対策■ 外部サービスを利用した情報システムの更改・廃棄時の対策■ 外部サービスの利用に係る規定の整備■外部サービスの利用における対策の実施
こちらの記事に関する詳細は次の URL となります。

https://www.soumu.go.jp/menu_news/s-news/01gyosei07_02000127.html
昨 年 11 月 に は 政 府 の 「 デ ジ タ ル 田 園 都 市 国 家 構 想 」 が 公 表 さ れ 、 こ の 中 で 自 治 体 ク ラ ウ ド な ど
行政のデジタル基盤を整備する、とされています。地方公共団体もデジタル・トランスフォー
メ ー シ ョ ン （ DX） を 推 進 す る こ と に な り 、 こ れ に 合 わ せ て 情 報 セ キ ュ リ テ ィ 対 策 の 重 視 も 進 められていくでしょう。
システム監査人の活躍の場は、これまで以上に地方公共団体にも広がっていくのではないでしょうか。
＜目次＞

日本システム監査人協会 会報23February 2022

日本システム監査人協会

会報2022.01【 協会主催イベント・セミナーのご案内 】■SAAJ 月例研究会（東京）
日時2022 年 3 月 4 日(金) 18:30～20:30

場所

オンライン（Zoom ウェビナー）テーマ「子どもたちのサイバー犯罪・トラブルの実態と事業者側におけるリスク」

講師

第
２
６
５
回

講演骨子

参加費
お申込み

岡崎女子大学 子ども教育学部 講師
愛知県青少年保護育成審議会 審議委員
花田経子（はなだけいこ）氏
今、小学校・中学校・高等学校の学びの現場が大きく変貌していることをご存知です
か？ ようやく教育現場にも DX の流れが到着し、GIGA スクール端末の導入・運用、中学高校を中心とした情報・統計に特化したカリキュラムの改編が行われています。このような学校現場で育つ子どもたちに対し必要な情報セキュリティ教育はまだ十分ではありません。現状で子どもたちが被害者・加害者になってしまうサイバー犯罪やトラブルがどのように発生しているか、皆様方の事業運営にどのように影響してくるのか、その対策とは何かについてお話しさせていただきます。
SAAJ 会員 1,000 円 非会員 3,000 円
https://www.saaj.or.jp/kenkyu/kenkyu/265.html＜目次＞
日本システム監査人協会 会報24February 2022

日本システム監査人協会

会報2022.01
協会からのお知らせ（予告）【第２１期通常総会の開催】
会員番号 2581 斉藤茂雄（事務局長）
日本システム監査人協会（SAAJ）会員各位■第２１期通常総会のご案内
日本システム監査人協会の第 21 期通常総会を、下記の通り開催致します。
万障お繰り合わせの上ご出席をお願い申し上げます。
なお、第 21 期通常総会は新型コロナウイルスの感染リスク低減のため、ZOOM 会議を用いたオンライン総会とさせていただきます。また、例年実施している特別講演は中止と致します。併せて総会後懇親会も中止とさせて頂きますので、ご承知いただきたく、お願い申し上げます。
総会の参加申込は 2022 年 2 月初に、協会ホームページにてご案内致します。

１．日時：2022 年 2 月 18 日（金）13 時 30 分～15 時

２．開催方法：ZOOM 会議を用いたオンライン総会
３．第 21 期通常総会 議事（予定）
13:30 開会
(1) 2021 年度 事業報告の件(2) 2022 年度 事業計画の件(3) 2022 年度 予算の件
(4) 理事選任の件(5) その他
15:00 閉 会
４．特別講演
実施しません。
５．懇親会
実施しません。

＜目次＞
日本システム監査人協会 会報25

February 2022

日本システム監査人協会

会報2022.01【 新たに会員になられた方々へ 】

新しく会員になられたみなさま、当協会はみなさまを熱烈歓迎しております。
協会の活用方法や各種活動に参加される方法などの一端をご案内します。
ご確認
ください

・ホームページでは協会活動全般をご案内
・会員規程
・会員情報の変更方法

https://www.saaj.or.jp/index.html
https://www.saaj.or.jp/gaiyo/kaiin_kitei.pdf
https://www.saaj.or.jp/members/henkou.html

特典・セミナーやイベント等の会員割引や優遇
https://www.saaj.or.jp/nyukai/index.html
公認システム監査人制度における、会員割引制度など。

ぜひ
ご参加を

・各支部・各部会・各研究会等の活動。
https://www.saaj.or.jp/shibu/index.html
皆様の積極的なご参加をお待ちしております。門戸は広く、見学も大歓迎です。

ご意見
募集中

・皆様からのご意見などの投稿を募集。
ペンネームによる「めだか」や実名投稿には多くの方から投稿いただいております。
この会報の「会報編集部からのお知らせ」をご覧ください。

出版物

・「発注者のプロジェクトマネジメントと監査」「６か月で構築する個人情報保護マネジメントシステム」「情報システム監査実践マニュアル」などの協会出版物が会員割引価格で購入できます。
https://www.saaj.or.jp/shuppan/index.html

セミナー

・月例研究会など、セミナー等のお知らせ
https://www.saaj.or.jp/kenkyu/index.html
月例研究会は毎月100名以上参加の活況です。過去履歴もご覧になれます。

CSA
・
ASA

・公認システム監査人へのSTEP-UPを支援します。
「公認システム監査人」 と「システム監査人補」で構成されています。
監査実務の習得支援や継続教育メニューも豊富です。
CSAサイトで詳細確認ができます。
https://www.saaj.or.jp/csa/index.html

会報

・過去の会報を公開
https://www.saaj.jp/03Kaiho/0305kaihoIndex.html
会報に対するご意見は、下記のお問合せページをご利用ください。

お問い
合わせ

・お問い合わせページをご利用ください。 https://www.saaj.or.jp/toiawase/index.html
各サイトに連絡先がある場合はそちらでも問い合わせができます。

＜目次＞
日本システム監査人協会 会報26

February 2022【

ＳＡＡＪ協会行事一覧 】

日本システム監査人協会
赤字：前回から変更された予定

理事会・事務局・会計
11：総会資料提出期限 16:00
11：役員改選公示(1/24 立候補締切)
13：理事会：総会資料原案審議
24：17:00 役員立候補締切
29：2021 年度会計監査
31：償却資産税・消費税申告
31：総会申込受付開始（資料公表）
3：理事会：通常総会議案承認

認定委員会・部会・研究会
1-31：CSA・ASA 更新申請受付

下旬：CSA・ASA 更新認定証発送
1-31: 春期 CSA・ASA 書類審査
4：第 265 回月例研究会

4月

28：2022 年度年会費納入期限
4：年会費未納者宛督促メール発信
10：理事会28：法務局：資産登記、活動報告書提出、東京都：NPO 事業報告書提出
14：理事会

5月

12：理事会

6月

1：年会費未納者宛督促メール発信
9：理事会
21：年会費未納者督促状発送
22～：会費督促電話作業（役員）28：支部会計報告依頼（〆切 7/11）
30：助成金配賦決定（支部別会員数）

1月

2月

3月

会報

2022.1
支部・特別催事
7：支部会計報告提出期限

19：第 264 回月例研究会
21：春期 CSA・ASA 募集案内
〔申請期間 2/1～3/31〕

2/1-3/31：CSA・ASA 春期募集
18：第 21 期通常総会

初旬：春期 CSA・ASA 書類審査
中旬：春期 ASA 認定証発行

17:春期情報処理技術者試験・情報処理安全確保支援士試験

中旬・下旬土曜：春期 CSA 面接
上旬： 春期 CSA 面接
15:第 268 回月例研究会
中旬： 春期 CSA 面接結果通知

認定 NPO 法人東京都認定日（初回：2015/6/3）

中旬・下旬： 春期 CSA 認定証発送
前年度に実施した行事一覧

7月

5：支部助成金支給
8：理事会

8月
9月

（理事会休会）28：中間期会計監査
9：理事会

10 月

14：理事会11 月

9： 予算申請提出依頼（11/27〆切）
支部会計報告依頼（1/7〆切)11：理事会
16：2022 年度年会費請求書発送準備
26：会費未納者除名予告通知発送
27：本部・支部予算提出期限
1： 2022 年度年会費請求書発送
1： 個人番号関係事務教育
9： 理事会：2022 年度予算案
会費未納者除名承認
第 21 期総会審議事項確認
11：総会資料提出依頼（1/11〆切)
14：総会開催予告掲示
20：2021 年度経費提出期限

12 月

15：第 259 回月例研究会
中旬：秋期 CSA・ASA 募集案内
1：秋期 CSA・ASA 募集開始～9/30
11-12：第 38 回システム監査実務セミナー(日帰り 4 日間コース)前半
17：第 260 回月例研究会
25-26：第 38 回システム監査実務セミナー(日帰り 4 日間コース)後半
30:秋期 CSA・ASA 募集締切
7：第 261 回月例研究会

12：支部会計報告〆切
29：CSA フォーラム

9/末：本部事務所移転
23：13:30 活動説明会

9：第 262 回月例研究会
中旬：秋期 CSA 面接
下旬：CSA・ASA 更新手続案内〔申請期間 1/1～1/31〕
下旬：CSA 面接結果通知
2：第 263 回月例研究会
12：協会創立記念日
16： CSA/ASA 更新手続案内メール〔申請期間 1/1～1/31〕
24：秋期 CSA 認定証発送＜目次＞
日本システム監査人協会 会報27

February 2022

日本システム監査人協会

会報2022.01【 会報編集部からのお知らせ 】
１．会報テーマについて
２．会報バックナンバーについて
３．会員の皆様からの投稿を募集しております□■ １． 会報テーマについて
2021 年の会報年間テーマは「時代の変化とシステム監査」です。

「ニューノーマル」「IoT、AI、デジタル化」「DX」「SDGｓ」「ESG」「コーポレートガバナンスコード」など、システム監査が置かれた環境が音を立てて動いている。また、システム監査の領域が広がる中、
進化の階段の一つ上の段に上がった、次の時代になった、という意味も踏まえて本テーマとして設定しております。

会報テーマ以外の皆様任意のテーマももちろん大歓迎です。皆様のご意見を是非お寄せ下さい。

□■ ２． 会報のバックナンバーについて協会設立からの会報第１号からのバックナンバーをダウンロードできます。
https://www.saaj.jp/03Kaiho/0305kaihoIndex.html

日本システム監査人協会 会報28

February 2022

日本システム監査人協会

会報□■ ３．会員の皆様からの投稿を募集しております。
募集記事は次の通りです。
□■ 募集記事1.

めだか

匿名（ペンネーム）による投稿
原則１ページ 下記より投稿フォームをダウンロードください。
https://www.saaj.jp/03Kaiho/670502KaihoTokoForm2.docx

2.

記名投稿

原則４ページ以内 下記より投稿フォームをダウンロードください。
https://www.saaj.jp/03Kaiho/670502KaihoTokoForm2.docx

3.

会報掲載論文

現在「論文」の募集は行っておりません。

（投稿は会員限定）■投稿について「会報投稿要項」

・投稿締切：15 日 (発行日：25 日）
・投稿用フォーマット ※毎月メール配信を利用してください。
・投稿先： saajeditor@saaj.jp 宛メール添付ファイル
・投稿メールには、以下を記載してください。
✓

会員番号

✓

氏名

✓

メールアドレス✓

連絡が取れる電話番号

・めだか、記名投稿には、会員のほか、非会員 CSA/ASA、および SAAJ 関連団体の会員の方も投稿できます。
✓

会員以外の方は、会員番号に代えて、CSA/ASA 番号、もしくは団体名を表記ください。

■注意事項
・原稿の主題は、定款に記載された協会活動の目的に沿った内容にして下さい。
・特定非営利活動促進法第２条第２項の規定に反する内容（宗教の教義を広める、政治上の主義を推進・支持、又は反対する、公職にある者又は政党を推薦・支持、又は反対するなど）は、ご遠慮下さい。
・原稿の掲載、不掲載については会報部会が総合的に判断します。
・なお会報部会より、表現の訂正を求め、見直しを依頼することがあります。また内容の趣旨を変えずに、字体やレイアウトなどの変更をさせていただくことがあります。
お問い合わせ先：

saajeditor@saaj.jp＜目次＞
日本システム監査人協会 会報29February 2022

日本システム監査人協会

会報2022.01
会員限定記事【本部・理事会議事録】（会員サイトから閲覧ください。会員パスワードが必要です）
https://www.saaj.or.jp/members_site/KaiinStart
ログイン ID（8 桁）は、年会費請求書に記載しています。

＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝■発行：認定 NPO 法人 日本システム監査人協会 会報編集部〒103-0025 東京都中央区日本橋茅場町 2 丁目 16 番 7 号 本間ビル 201 号室■ご質問は、下記のお問い合わせフォームよりお願いします。
【お問い合わせ】 http://www.saaj.or.jp/toiawase/■会報は、会員宛の連絡事項を記載し登録メールアドレス宛に配信します。登録メールアドレス等を変更された場合は、会員サイトより訂正してください。
https://www.saaj.or.jp/members_site/KaiinStart

掲載記事の転載は自由ですが、内容は改変せず、出典を明記していただくようお願いします。

■□■ＳＡＡＪ会報担当
編集委員：竹原豊和、安部晃生、越野雅晴、坂本誠、豊田諭、福田敏博、柳田正、山口達也
編集支援：会長、各副会長、各支部長
投稿用アドレス： saajeditor ☆ saaj.jp （☆は投稿時には＠に変換してください）
Copyright(C)1997-2022、認定 NPO 法人 日本システム監査人協会＜目次＞
日本システム監査人協会 会報30