June 2022

日本システム監査人協会 会報

認定 NPO 法人

2022 年６月号

日本システム監査人協会報

No

255

No.255（2022 年 6 月号）＜5 月 25 日発行＞ ━━━━━━━━━━━━━━━━━━━

事例の「振り返り」で新たな学びを！
今月号の注目記事【 『ポストモーテム』を読む～異例事態を「振り返る」ことの大切さ 】

巻頭言

３５
５あ

「CSA レポート・体験記」が公開されています
会員番号：2581

斉藤茂雄（副会長

CSA 利用推進 G 担当）

皆さん、当協会の下記サイトの「CSA レポート・体験記」をご覧になりましたでしょうか？
https://www.saaj.or.jp/csa/CSAReport/CSAReport.html
現在２名の方の体験記が公開されております。お一方はセカンドキャリアとして地方自治体での CIO
補佐官経験を語られ、お一方は現役時代のグローバルな監査活動を活かして、「IT ガバナンスのアセス
メント（ ISO/IEC38503）」発行にかかわった体験を語られています。まだお読みでない方には是非お読みいただき、同僚や後輩にもご紹介いただきたいと思います。
さて、私が担当する「CSA 利用推進 G」は、公認システム監査人（CSA）
・システム監査人補（ASA）
資格の認知度向上と活躍の場の増大を目標に活動しています。また CSA・ASA の相互啓発を目的に「CSA フォーラム」を主催しています。活動は十分とは云えませんが、CSA・ASA の認知度が向上
し、自治体や省庁の監査関連業務の調達条件や任期付職員募集に CSA 資格取得者が加わるケースも増
えてきております。
CSA・ASA 資格者の増大は協会の重点施策の一つでもあります。既に資格をお持ちの方は同僚や後輩に CSA・ASA 資格の活動の場や資格者のスキル活用の利点をご紹介いただくこと、まだ資格をお持ちでない方は是非 CSA・ASA 資格取得にチャレンジいただく、または後輩等にお薦めいただくなど、
CSA・ASA 資格者増による協会の社会的ステータス向上にご協力いただくことをお願い致します。
以上

日本システム監査人協会 会報1

June 2022

日本システム監査人協会 会報＜目次＞
各行から Ctrl キー+クリックで該当記事にジャンプできます。

○

巻頭言....................................................................................................... 1【 「CSA レポート・体験記」が公開されています 】

１．めだか...................................................................................................... 3【 この変化の時代にシステム監査が目指すもの ‐ 梁塵秘抄 ‐ 】

２．投稿......................................................................................................... 4【 『ポストモーテム』を読む～異例事態を「振り返る」ことの大切さ 】【 時事論評 】RPA 導入裏マニュアル 2【 コラム 】システム監査のための、法律・会計再入門（6）3．本部報告..................................................................................................... 13【 第 266 回月例研究会：講演録 】テーマ：「ニューノーマル時代のシステム監査」

4．支部報告.................................................................................................... 16【 近畿支部

5．注目情報第１９4 回定例研究会 】.................................................................................................... 18【 「サイバー攻撃を受けた組織における対応事例集」を公表（NISC） 】【 基本情報技術者試験と情報セキュリティマネジメント試験を通年試験化（IPA） 】

6．セミナー開催案内........................................................................................ 19【 協会主催イベント・セミナーのご案内 】【 外部主催イベント・セミナーのご案内 】

7．協会からのお知らせ...................................................................................... 21【 新たに会員になられた方々へ 】【 協会行事一覧 】

8．会報編集部からのお知らせ

日本システム監査人協会 会報............................................................................. 232

June 2022

日本システム監査人協会 会報
2022.5

めだか【

この変化の時代にシステム監査が目指すもの ‐ 梁塵秘抄 ‐ 】

この変化の時代にシステム監査が目指すものを考える。この変化の時代とは気候変動を始め、新型コロナウイルスのパンデミック等々であり、システム監査が目指すものとは正しさである。
現代において私たちは常に変化と共にあることを知りシステム監査を考える。
「梁塵秘抄」について次の文章がある。“後白河法皇は少年のときより、今様と呼ばれる歌謡を好んだ。
歌の上手を召して多くの歌謡を知ったが、死後それらが伝わらなくなることを惜しみ、書き留めて本にした。また、歌謡の歴史などについて、別に口伝集十巻を残した。書名の「梁塵」は、名人の歌で梁の塵も動いたという故事より、すぐれた歌のこと。（ウィキペディア）”
さて、司馬遼太郎は、「ロシアについて 北方の原形」の湖と高原の運命の中で、次のように語っている。
いまよう

十二世紀の日本に、今様（民衆歌謡）のすきな上皇がいた。かれは今様をあつめ、「梁塵秘抄」を編んだ。
みこ

そのなかに、巫女―シャーアマンーについての歌が出てくる。京では巫女とは女ときまっている。そういう思いこみから、次のユーモラスな歌意が出ている。
あずま

東 には

女はなきか

おとこ み

こ

男 巫女

さればや神の

男には憑く
あずま

ばんどう

時代は公家にとってめざわりな武士が勃興したころのことだから、どうせ京都あたりの感覚で 東 ―坂東うた―の異風をからかった謡にちがいない。歌意の解釈はいくつかあるが、「かの地では神は男に憑くときいたぞ、坂東にはおそらく女というものがいないのにちがいない」
ぎ ま んというふうに素直に読みたい。本物の巫女は、欺瞞でなしに特異な精神状態におちいる。神が憑くと、
かん

こうこつ

すわったまま信じがたいほどの高さまで跳躍する。その間、戦慄があり、恍惚がある。また無意識の狂舞
ひょういがある。そういう状態のなかから、憑依した神霊の言葉を吐くのだが、どこか、女性に多いヒステリー状
態と似ているせいか、巫女は女に多い。
周知のように、巫女とそれにちなむ宗教現象をシャーマニズムという。古アジア一般の原始信仰で、どうやら発生地はシベリアではないかという説が一般的である。
つまり、日本の基層文化の一部にシベリア圏にまでおよぶ古アジアの民俗を含んでいるというのである。現代は目まぐるしく変わる歴史の変わり目である。この変化の時代に、システム監査が目指すものを
考え、そして、さまざまな出来事と役割に対し、改めて考えてみることが求められる。（空心菜）
資料：「ロシアについて 北方の原形」司馬遼太郎著

文春文庫（このコラム文書は、投稿者の個人的な意見表明であり、ＳＡＡＪの見解ではありません。）＜目次＞

日本システム監査人協会 会報3

June 2022

日本システム監査人協会 会報
2022.5

投稿【『ポストモーテム』を読む～異例事態を「振り返る」ことの大切さ】
会員番号436 大石正人

専門誌の日経コンピュータの手になる『ポストモーテム』が発刊されました（日経ＢＰ社刊）。「みずほ銀行システム障害事後検証報告」の副題にある通り、２０２１年中に相次いでシステム障害が発生し事例をとりあげた本です。
日経コンピュータは１９８１年に創刊され、直近で通算 1070 号近くになりますが、よく読まれるコラムに「動かないコンピュータ」があります。今回の発刊はいわばその特集版とでもいうべきもので、2021 年
2 月からの 1 年間に発生した１１件ものシステム障害について、銀行自身が公表したシステム障害特別調査委員会の報告書（２０２１年６月）などをもとに、原因や対応の経緯を含めわかりやすく解説しようとしています。
著者が序文でも述べている通り、この本は、この銀行の基幹勘定系システムの刷新プロジェクトについて
２０２０年２月に発刊された著述のなかでで、新システム（ＭＩＮＯＲＩ）につき、ＳＯＡの全面採用で、「コンポーネント間のつながりを緩やかにすることで、障害の影響を極小化する狙いがあった」という記述にとどまり、このＳＯＡの採用が「機能しなかった原因を考察して報じる」責務を果たすことを執筆動機に挙げています。
執筆者によるレクチャーの参考動画もみられますので（２０２２年４月２７日～配信）、ご興味あれば配信期限内にご覧になってください。
「ポストモーテム みずほ銀行システム障害 事後検証報告 - Forkwell Library #2 – YouTube」
https://www.youtube.com/watch?v=wz7d9Yu6P6E
執筆者がこの本の題名を「ポストモーテム」としたのはなぜでしょうか。post‐mortem はラテン語で死後、検死を意味します。システム障害報告書がシステム部門の幹部など上席者へのレポートであるのに対し、システム障害やインシデント発生後に振り返って、組織内の共有財産とすることを企図するものです。
こうした振り返り自体はさまざまな銀行のシステム部門で、長年取り組まれてきたはずでしたが、この銀行の新基幹勘定系システムについていえば、１９年もの長期にわたるプロジェクトだったほか、基幹システ
ム自体が収益を生みにくい環境で稼働を開始したため、おそらくそこまでの余裕はなかったのではないか、と推察します。
というのも少し前の投稿でも述べた通り、稼働開始と同時に（正確には前倒しで）、システム資産を含め巨額の減損処理を行うなど、収益体質の強化などコスト構造改革を含む経営計画に乗り出すタイミングだったからです。このため、プロジェクトに投入していた人材などの資源は、早々に収益強化に優先配分せざるを得ない状況にありました。
また品質を確保しながらシステムを開発し、本番移行することが優先される結果、システムを定常運用する部門の強化にまで手が回っていなかった側面がある、とこの本では指摘しています。言葉を選ばずにいえば、運用部門のステータスや業務特性を十分に意識して、新勘定系システムが構築されていなかったのではないか、という疑念を抱かせる部分があります。
経営統合が進むなかで主要メガバンクの運用拠点を訪問した経験では、運用体制の強固さには、企業なり
システム部門なりの文化なり伝統なりに依存するという印象を強く持っています。経営統合やシステムの更改が進む中で、いわば「運用文化」を築けているのか、が平素の安定稼働やそのための取組み、万一のシス
テム障害時の迅速な対応、などを左右するという印象を持っています。
どういうことか、というと、読者の皆様には申し上げるまでもなく、安定稼働の基礎とは、例えば統合的な運用監視ツールや権限者管理を含めたセキュリティ対策、休日夜間などに障害が発生した場合の対応体
制、システム機器を含めた予防保守、そして何より重要なのは、平素からの障害対応訓練です。
この銀行の運用部門は２０２０年７月に、ＩＴベンダーとの共同出資会社に移行しています。新勘定系シ
ステムは、サブシステムをコンポーネント化する、というコンセプトで開発されましたが、個々のシステム
日本システム監査人協会 会報4

June 2022

日本システム監査人協会 会報

が様々な技術基盤で成り立っており、しかも各々サポートするＩＴベンダーも区々、となると、通常稼働時の運用は想像を絶する複雑さを抱えていると想定されます。
つまり、新たに稼働するシステムを運用面で「乗りこなす」には、幅広い知見を要することは容易に想像されます。つまり、運用機器、個々のシステム、システム間連携、など、万一に備えるための組み合わせやパターンは、幾何級数的に高まっているはずです。
とすれば本番稼働後でないと、経験知は積みあがらない面が大きい、と考えるべきでしょう。
またこの新勘定系システムは、幅広い顧客基盤に根差した商業銀行業務を支えている過去のシステム資産を引き継がずに作り直しを行った野心的な取組みだったうえに、信託業務まで取り込んだ幅広いサービスをささえるものとなっています。
この点で他のメガバンクのシステム更改では統合前のいずれかの銀行のシステム資産を引き継いでおり、システム運用についても過去の経験知をベースにすることができることと、強い対照性（コントラスト）を有しているのです。
したがって１２か月に１１件のシステム障害を起こした「経験」を、どのように共有財産にできるか、は、この銀行の業務やサービスの信頼性の基盤になるはずです。その意味でこの著作が目指したような、ポストモーテムの精神をどのように組織文化として銀行内に根付かせることができるか、がポイントになりそうです。
併せてこの本の特徴は執筆者が、グーグルクラウドにも採用されているサイト信頼性エンジニアリング（SRE:Site Reliability Engineering)のアプローチや、先に紹介した動画の中でも言及されていますが、社
会的信頼性の重要性を強調していることです。
社会的信頼性は、人事管理やチームの達成度合い向上などの脈絡で語られることもありますが、今回の事
例でいえば、日常的な IT サービスの経験知を高めるうえで、振り返りを含めたチーム内の信頼感醸成がす
べての出発点になるからだ、と考えます。またグーグルの取り組みが注目されているのはサイトの信頼性＝障害なきサービスの継続がミッションクリティカルな IT サービスのカギとなるからです。
このうち前者はある意味で、金融庁による行政処分（業務改善命令、２０２１年１１月２６日付）の理由として言及されている「システム上、ガバナンス上の問題の真因」とも相通じるのかもしれません。現に同処分に対応して、銀行から金融庁へ提出された再発防止に向けた取り組みのなかで、「『言うべきことを言う』組織を確立する」との言及がみられるからです。
最後に組織内での振り返りの大切さにつき、個人的な経験に言及したいと思います。規模が小さめの職場に変わって、リスク管理にかかるコーディネーション役を仰せつかった初年度に、トップが記者会見まで開いたシステム不備に起因するトラブルが発生しました（この過程で「動かないコンピュータ」の取材も受けました）。この組織に経験のなかったことですが、一連の対応が終息した後に、幹部も含めた振り返りのための総括会議を開催しました。またこうした大きな事案に至らない過失事故についても、報告書を作成した
後に現場で事案の共有と再発防止に向けたミーティングの開催を推奨することとし、こうした会合に陪席し、対話を促進する役目を担ったのです。
自身の業務を抱えながら他部署の事案に関与するのは正直、時間的にも精神的にもきついものがありまし
たが、新参者がさまざまな職場と接点を持つ貴重な機会となり、組織が抱える様々な課題をもとに、経営陣を含め提言活動をしたり、職場への啓発のため情報発信したり、得難い経験を積むことができました。
経営陣の交代などもあり、その後こうした文化が薄れてしまったようですが、「ポストモーテム」を読み解く中で、問題事案発生後の振り返り＝ポストモーテム、の有効性と重要性を反芻するとともに、組織文化として定着することの難しさを改めて痛感しているところです。
システム監査人が被監査部門に対し、こうした取り組みを促すのは立場上難しいかもしれませんが、少な
くともこうした仕組みがあるかどうか、を確認することで、組織的な異例事態を活かし、リスク管理を強化することに思いを致す必要があるのではないでしょうか。
＜目次＞
日本システム監査人協会 会報5June 2022

日本システム監査人協会 会報
2022.5【時事論評】RPA 導入裏マニュアル 2
会員番号0707 神尾博

1.開発に携わって収穫はあったか？
RPA（Robotic Process Automation）という代物に関わって、足掛け約 2 年。避けて通れたかもしれな
いが、携わることで遭遇できた障壁や課題はバラエティに富む。それらをどうにかこうにか乗り越えられたことで、濃密な時間を過ごせたという充足感を得た。いや、実は現在も続いているのだ。今回は開発を始めた時期である前回の報告から、さらにコアなノウハウをお伝えする。記述した内容や、ここで採り上げるという事自体について理解できないという方々も少なくないだろう。また尖った見解に眉を顰める輩もいるかもしれない。あるいは賞賛の嵐を得られるだろうか。しかしながら筆者はそうした空気を読むだけというのは、もっとも嫌う行為のひとつであるので、ここは粛々と、事実とそれに基づく考察を積み上げていくことにしよう。

2.無料版をどう扱うか？
RPA の中には、学習オンリーや小規模企業の場合はライセンス料不要といった製品も存在する。注目したいのは前者のケースだ。この場合、企業等の組織が取り得る
選択肢は 3 つである。まずは社員/職員がインストールするのを知らぬふりをする、あるいは気付かないというパターンだが、これは論外である。こうしたまったくポリ
シーというものがない、監視が行き届いていないという欠陥は、世間の笑いものである。次は社員/職員を信頼して、啓発目的以外には使用しないように指示し、スキル向上を優先するというものだ。最後に彼らを信用せずに、インストール自体を禁止
し、DX（Digital Transformation）に向けての能力アップよりもコンプライアンス
絶対重視といった考え方だ。
なお、これは囚人のジレンマ、トロッコ問題のような「思考実験」であるため、もちろん正解はない。その組織トップの倫理や規範が試されているだけだ。最悪なのは部下が尋ねてきたときに自ら判断できず、逃げを決め込むことである。CIO（Chief Information Officer）が保身のため社長に決断を迫ってきた場合はどうだろう？この場合は、該当役員に判断と責任を担保させるという手もある。彼/彼女も相応の報酬を得て、善管注意義務を負っている身分だからだ。
もっともテレワークの場合は「プライベート PC にインストールし、上長にスケジュールを事前申請しておけば、就業時間中の学習利用を許可する」といった解決方法もある。これならライセンス問題はクリアする。しかしながら「社員/職員が長時間、会社貸与の PC の前にいないことを禁止するか？あるいは真面目に学習に取り組んでいると信頼するか？」という新たな思考実験が発生するのは悩ましいところである。

3.正確性をどう担保するか？
次に期待する結果に対する正確性について採り上げる。RPA の「環境依存の壁」についてご存じの方も日本システム監査人協会 会報6June 2022

日本システム監査人協会 会報

多いだろう。返される結果が OS やアプリの細かなバージョン、あるいはレジストリの設定等に左右されるケースだ。つまり機能要件としてはまったくバグのないプログラミングを作成しても、本来の動作をせず望んだ結果が得られない場合があるということである。またその時々の CPU やメモリ、通信等のリソースの状況によって、連続して起動しても成功とエラー停止という結果に分かれることがある。これは RPA 製品
自体の仕様であり、すなわち制約条件になる。この点での製品が改善されていく可能性はあるが、環境依存が完璧に解消されることはないだろう。
したがってエラーハンドリングが重要となる。再試行（リトライ）や予想される、あるいは開発中に起きたエラー発生の際の条件分岐等のプログラムへの組み込みは、従来の情報システムと同様ながら、表計算のマクロ程度しか触ったことのない者には、頭の切り替えが必要だ。
もうひとつの対処は、統計・確率に基づく関係者への品質レベルの提示である。連続テストにより、エラーの%（または ppm）を検査するのが一般的だ。合否をどの程度に設定するかは、最終的には SLA（Service Level Agreement）のように開発者と利用者との合意にて決めることになるだろう。つまりプログラムの内容によって基準は変わる。たとえば 10 回に 1 回途中停止するようでは玩具レベルであり、ビジネスツールの域に達していないと、レビュアから非難されることが予想される。数万回に 1 回なら「RPA ではこれ以上の品質を求めるのは無理」で納得してくれるかも知れない。こちらの必要性は、数学力のない人間には、説明してもなかなか追いつけないだろうし、実際そういう経験もした。

4.従来の情報システムを変えられるか？
諸氏もご存じの通り、RPA は既存の Web ベースの情報システム、表計算ソフト、フリーソフト等のアプリ連携が機能の肝になっている。従来は人間の手で操作していた部分だ。そうしたアプリ間の間隙を埋めるものであるから、RPA の方で対処すれば情報システムへの改修要求は減るのではないかと、当初は見ていた。膨大なバックオーダーを抱えて青息吐息の開発部門は、少し一服のはずであった。ところが、実は既存の情報システムが影響を受ける可能性も発見したのだ。
たとえば、こうしたケースはいかがだろうか？表計算データを一括で Web 画面に打ち込んでいくというケースだ。この RPA プログラムを作成する事自体は比較的簡単である。ところが前章で述べた通り、環境依存で動作不具合が発生する場合もあり、間違ったデータが一気にシステムに反映されてしまいかねない。
修正画面はあるだろうが、機能別のアクセス制限があって使えなかったり、再入力にかえって手間がかか
り、RPA 化の意味がなくなってしまったりするケースもあるだろう。
対策として、たとえば一括インプットを一時保留し、人間系でのチェック後、改めて承認ボタンを押すといった手順が考えられる。この場合は全数かつ全項目の目視確認ではなく、総数カウントや一部をサンプリ
ングし照合を行う、あるいはその再照合を RPA がやるという手もある。
情報システムで、この「一時保留」が出来なければ改修が必要になるし、データベースに反映させる前に入力データを表示させ、RPA での再チェック後に確定ボタンを押すのであれば、そうした画面やボタンを日本システム監査人協会 会報7

June 2022

日本システム監査人協会 会報

追加しなければならない。
また情報システムの開発部門はこうした要望を受けて立たなければならないし、そのために RPA の概略の理解は必須になる。また RPA 導入・作成部門が要求を伝えやすい組織風土も、RPA による DX（Digital
Transformation）の成否の鍵を握るはずだ。

5.どういった人材をアサインするか？
成功の最大のカギは社員/職員のスクリーニングであると断言する。ここでは、その選別基準や方法についていくつかを紹介する。RPA 普及の黎明期である数年前に、「DX 人材への転換」を謳って間接部門を中心に再教育を実施した企業が、最近になって大規模な人員削減に走り始めたという報道も、目にするようになった。おそらく落ちこぼれた社員も多いのだろう。
さて、RPA は業務改善のサブセットである。この文章の意味さえ理解できない者は問題外である。また
文脈を読み取れても、実業務で改善ができない、実績が無い、改善マインドが無いといった中堅・ベテランには期待する方が間違っている。さらには、テレワークが進む中、ビジネスチャット等でのデジタルなコ
ミュニケーション力が低いと、プロジェクト遂行のパフォーマンスが落ちるばかりか、職場にストレスがた
まるという悪影響が増大する。発言は証跡として残っていくので、スクリーニングには大いに役立つ。他の方策としては、先行者は模範となる好例を開発できる者をアサインしたい。逆に序盤に粗悪な開発実績を作ってしまうようなら、早めに外した方がよい。また優れた見本を真似られない者のふるい落としは当然ながら、咀嚼して発展させられない者も次の仕分けの対象となるだろう。

6.労働環境の改善に寄与できるか？
私が製造業種に就職した 1980 年代は、工場では FA（Factory
Automation）化の真っただ中。生産力増強や省人化に加え、重筋作業の撤廃といったミッションも存在した。働き方改革が声高に叫ばれる昨今、RPA にも効率化や人員削減のみならず、ホワイトカ
ラーにおける精神的負担が大きい作業の解消への期待がある。
実際、ミスが許されないため集中力持続が必要である、短納期の処理が多く定時内に処理しきれないといった愚痴は、誰もがよく耳にするはずだ。もちろん組織全体の課題として認識し、軽減に向けて粉骨砕身されている社員/職員も多いだろうし、リスペクトに値する。
高齢者雇用が進む中、肉体労働でのパワーアシストスーツのようなソリューションとして、RPA がホワ
イトカラーの過酷労働からの解放ツールとなることを望みたい。もっともその RPA 開発等の業務改善をす
る力がない中高年は、割を食って早々に引導を渡されることになるかもしれないが。

（このコラム文章は、記事提供者の個人的な意見表明であり、SAAJ の公式見解ではありません。画像はWiki よりパブリックドメインのものを引用しています。）<目次>
日本システム監査人協会 会報8June 2022

日本システム監査人協会 会報
2022.5【コラム】システム監査のための、法律・会計再入門（6）会員番号1644 田淵隆明（近畿支部

システム監査法制化推進プロジェクト）§1.はじめに
3 年目に入った新型コロナ禍であるが、3 年振りに緊急事態宣言の無い GW を迎えることができ、経済も徐々に回復し始めているようである。しかし、油断は禁物である。ο(オミクロン株)は症状が比較的軽いと言っても感染力は強い。もし、強毒性に変異したら大変なことになるからである。
本コラムの執筆中に朗報が飛びこんできた(→[文献 7,8])。我々は何としてでも、この危機を乗り越えねばならない。
§2.サスティナビリティに関する国際的取り組み
サスティナビリティに関する会計基準に関して、国際的な枠組み作りが始まった。このことは大変喜ばしいことである。一部の有識者の間では「サスティナビリティを推進することはコスト増加要素である」という見解が有るが、このように会計基準によるサポートを行うことで、企業がサスティナビリティに取り組む上でのインセンティブになると考えられる(→[文献 6])。この件については、システム監査上も重要な論点であるので、今後、積極的に取り上げて行く予定である。
§3.研究開発費の一律費用処理問題の方策としての国際会計基準(IFRS)または修正国際会計基準(JMIS)の適用拡大
先月号で、研究開発費と「のれん」に関する、国際会計基準(IFRS)と日本版修正国際基準(JMIS)と日本会計基準(JGAAP)の対比表を掲載したが、読者の方々より、リース取引(特に所有権移転外リース)に関する会計基準の差異について問合せがあったので追記して再掲する。
現行の日本基準では、所有権移転外のリース物件は、その大半が資産計上を回避することが可能であり、筆者が担当してきた会計コンサル案件でも、資産計上対象となるものは極僅かであるか、皆無であった。

日本システム監査人協会 会報9June 2022

日本システム監査人協会 会報★現行の日本基準におけるリース会計基準(企業会計基準第 13 号)は 2008 年 4 月に強制適用となったが、ASBJ(企業会計基準委員会)は、2019 年 3 月より、これに代わる新たなリース会計基準を開発中である。[文献 9]の項目 1 には、新たなリース会計基準について次のように明記されている。
（検討状況及び今後の計画）
2019 年 3 月に、すべてのリースについて資産及び負債を認識するリースに関する会計基準の開発に着手することを決定した。これまで、関連する業界団体から意見聴取を行った後、各論点について検討を行い、公開草案の公表に向け審議を進めている。
⇒従って、近未来(恐らく 2‐3 年以内に)、現行の所有権移転外リース物件に関する「資産計上の回避」の容認の対象は大幅に縮小される見込みである。例えば、従来は所有権移転外ならば資産計上が不要であった社用車やコピー複合機なども資産計上の対象になると考えられる。筆者の経験では IFRS 対応において最も苦戦したのは、実は、(データが未整備の)リース物件の資産台帳の整備であった。
★そもそも、「資産計上の回避」の容認の制度趣旨は、少額のリース資産も逐一計上するという実務上の煩雑さを斟酌した「例外的な寛恕規定」であった。しかし、実際の運用としては、船舶や航空機、大型の生産設備も契約年数を 11カ月にするなどの運用が広がり、「本則」と「例外」が逆転することが常態化していたことも否めない。
日本システム監査人協会 会報10June 2022

日本システム監査人協会 会報§4.高校での新カリキュラムの施行待ちに待った高校での新カリキュラムが本年 4 月に施行された。新カリキュラム施行後 1 カ月を経過して、いろい
ろと課題も見えて来た。前回のまとめは以下の通りであった。
①当初削減が検討された漢文が、「言語文化」の中でむしろ拡大された。
②共通テストで「情報Ⅰ」が受験必修となった。
③旧帝大を始めとする所謂有名大学の文系において、共通テストの数学が「数学 IA」及び「数学ⅡBC」となり、ベクトル(2 次元及び 3 次元)・複素数平面が文系でも出題範囲となった(二次試験では「数学 C」の行列も出題範囲)。
④「数学Ⅰ」だけでなく、「理数探究」及び「情報Ⅰ」でも統計の知識が必須となった。
⑤「数学 A」で立体図形(特に正多面体)を充実させたこと。
⑥「数学 C」で行列が復活した。

‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐①について：「言語文化」では漢文の長文が登場した。このこと自体は喜ばしいことであるが、文法的側面は脆弱なままであり、「句法による訓読」に留まっている。
②について：これは大変喜ばしい。また、カリキュラム上も、表計算ソフト Excel が履修単元となった。
③について：「数学 C」に行列が復活したことは喜ばしいが、ベクトルの履修が 3 年生では遅すぎる。一部の「物理基礎」の教科書ではベクトルの記載を強化しているようであるが、これでは「泥縄式」となってしまう。緊急的措置として、1 年生の「理数探究基礎」の時間を使ってでも、高校 1 年生の間に 2 次元と 3 次元のベクトルの和・差・内積・外積を教える必要がある(「第一次ゆとり教育」で槍玉に上げられた「外積」は絶対に必要)。
また、次回の改定では、統計分野を(共通テストで受験必修となった)「情報Ⅰ」に移動させ、ベクトルは「数学Ⅰ」または「数学 A」に移動させるべきである。また、指数関数と対数関数も「数学Ⅰ」に移動させるべきである。
⑥について：大変喜ばしい。工学での姿勢制御・恒星の歳差運動・CG の観点からすると、3×3 行列におけるRodrigues の定理(→会報 2021 年 8 月号を参照)や球面三角法も必要である。
§5.SAP のためのドイツ語入門
これまで述べて来たように、SAP を理解するにはドイツ語の能力は非常に有用である。それと同時に、ドイツ語を学ぶことは英語力の強化にもつながる。今回は、読者の方からのご質問にお答えして、ドイツ語版のマニュアルを読む上で不可欠な語順の問題について説明することとする。ただし今回は können(英語の can に相当)等の話法の助動詞を含まない場合で説明する。(→詳細は、[文献 1‐5])○日本語の語順
述部は文末に来るが、その内部の語順は、「本動詞→受動→敬語(※)→完了→過去/未来」である。これは現代日本語も古文も同様である。なお、「敬語」の内部では、謙譲語→尊敬語→丁寧語の順である。
○英語の語順
語順は「未来→完了→進行→受動→本動詞」の語順であり、日本語の述部とは逆順である。
★具体的な例文：He eats an apple. では次の通り。

日本システム監査人協会 会報11June 2022

日本システム監査人協会 会報○ドイツ語の語順
ドイツ語では主節を「主文」(Hauptsatz)、従属節を「副文」(Nebensatz)と呼ぶ。語順のルールは次の通り。
(1)話法の助動詞の無い副文では、文末に(目的語)→(述語形容詞)→「本動詞」→「受」→「完」→「未」 の順に配列する。これは日本語及び古文から敬語を除いたものに似ている。否定の場合は、文末に(目的語)→★否定★→(述語形容詞)→「本動詞」→「受」→「完」→「未」 の順に配列する。 ここで、述部の最後尾に来るものが「定動詞」(人称変化するもの)である。
(2)主文(Hauptsatz)では、(1)の定動詞を第 2 位置に配置する。
★具体的な例文：Er nimmt einen Apfel.では次の通り。主文(主節)と副文(従属節)では語順が異なることに注意が必要である。

※以上述べたことは筆者の私見であり、いかなる団体をも代表するものではありません。また、法令の適用・会計基準の適用等については、必ず、御自身でご担当の顧問会計士その他の専門家の方々への御確認・照会をお願いします。
<参考文献>[1]「軽減税率」田淵隆明が語る、IFRS&連結会計〔Ⅰ〕〔Ⅱ〕: "In Varietate Concordia", EU の知恵に学べ IFRS では
何故そう考えるのか?Ver7 (2022/4/18) ★←新規改定★
[2]「「軽減税率」田淵隆明が語る、「インコタームズと連結上の照合・相殺消去」再考」(2021/03/01)[3]「「軽減税率」田淵隆明が語る、数学・理科カリキュラム再考」[4]SAP のオンライン・マニュアル https://lyricsodus.com/skill/SAP.html?genre=(KKF6M%20OR%20KKF6N)&lang=ja‐JP[5]SAP のトランザクション・コード一覧(SE93 でも検索可能)http://www.enjoyops.de/interessantes/index/ja/tcod/tcod_k_ja.php5[6] ISSB 基準・公開草案等の概要(ASBJ) https://www.asb.or.jp/jp/ifrs/exposure_draft_ssbj.html[7]塩野義ワクチン６月にも承認申請 飲み薬は９月までに
https://news.yahoo.co.jp/articles/aee14df050b105485f370425c6a6ff5c382aa483[8]「緊急承認」新設、改正薬機法が成立 塩野義に適用視野
https://www.nikkei.com/article/DGXZQOUA131D70T10C22A5000000/[9]現在開発中の会計基準に関する今後の計画(ASBJ)https://www.asb.or.jp/jp/wp‐content/uploads/2022_0414.pdf<目次>
日本システム監査人協会 会報12June 2022

日本システム監査人協会 会報
2022.５

第 266 回月例研究会：講演録
テーマ：「ニューノーマル時代のシステム監査」
会員番号【講師】株式会社 NTT データ経営研究所
三⾕慶一郎（みたに0819 永井孝一（個人情報保護監査研究会）

執行役員 エグゼクティブ・コンサルタント

けいいちろう）⽒【日時・場所】2022 年 4 月 18 日(月)18 時 30 分～20 時 30 分、オンライン(Zoom ウェビナー）【テーマ】「ニューノーマル時代のシステム監査」【要旨】
デジタル技術の活用は進みつつあります。企業における DX 推進の重要性も増大し、経済産業省は関連政策群によってこれを支援しています。
一方、「デジタル敗戦」という言葉に代表されるように、昨今、社会的な情報システムがうまく活用されず、利用者にとって大きな不具合を起こしている事象も散見され始めています。このような状況を踏まえ、これからのニューノーマル時代に向けて、私たちシステム監査人が持つべき視点、システム監
査の新しい方向性についてお話しいたします。
【講演録】
１．国際競争力の低下

－

市場の変化

①国際競争力の低下
日本企業の国際競争力は低下している。世界時価総額ランキングで、平成元年は 30 社中 21 社が日本企業だったが、平成 31 年には 0 社に後退している。この 30 年でデジタルネイティブ企業に日本企業が追い抜かされたと言える。スタートアップも十分育っていない。国別のユニコーン企業は、アメリカが全体の半分を占め、日本は 0.6%に過ぎない。
②市場の変化
これから先人口が減少するという、誰も経験したことがない日本が始まって以来、初めての変曲点に直面している。メガヒットはなく個々人の好みが分散するロングテール化が進行している。社会の成熟度が高まり市場がモノからコトへ価値がシフトしている。
これまで日本が勝ってきた「既存のモノの効率化」から、「新しいコトの創造」へパラダイムが変わりはじめている。
２．DX の現状－

デジタル敗戦

①DX の現状
DX とは「企業がビジネス環境の激しい変化に対応し、データとデジタル技術を活用して、顧客や社会のニーズを基に、製品やサービス、ビジネスモデルを変革するとともに、業務そのものや、組織、プロセス、
企業文化・風土を変革し、競争上の優位性を確立すること」（経済産業省（DX ガイドライン））であるが、DX を語るうえで重要なのは、必ずしもいいことばかりではないということだ。
日本の DX の実施レベルは、既存ビジネスをどうするかが主で、創造や革新につながる実施レベルにはなっていない。
日本システム監査人協会 会報13June 2022

日本システム監査人協会 会報②デジタル敗戦
デジタル臨時行政調査会で、「今世紀に入ってから、我が国の官民を通じたデジタル化の遅れは深刻」、「コロナが浮き彫りにしたデジタル化の遅れは、他のすべての分野に通じる本質的課題」と報告されている。デジタル投資額と GDP はほぼ連動しているが、この 20 年日本のデジタル投資額は伸びていない。
「デジタルで新しい収益を生み出す」ことこそが真の DX で、2000 年代にインターネットの普及によって、デジタルが新しいサービスを生み出すプラットフォームになった。
３．コロナ禍で見えてきたこと①DX の加速
新型コロナウイルス禍を契機として、テレワーク、オンライン診療、オンライン教育と、デジタル技術を活用した「非対面・非接触活動」は活発に行われている。
②新しいデジタルビジネスの台頭
米国を中心にこの 1～2 年、「K 字型回復」という言葉が使われていて、ピュアデジタル企業で新しいサービスが出てきている。新型コロナウイルス禍で環境は一変し、明確で世界共通的な新しい社会課題が目の前に山積しており、今がこれを解決する新しいデジタルビジネスの創造にチャレンジすべきときである。
③「技術以外の課題」の重要性
新型コロナウイルス禍で様々な課題が顕在化したが、その多くは技術そのものではない、それ以外のマネ
ジメント、制度、ガバナンス等である。効果を上げるためには、デジタル技術導入だけでなく、それを活用する「しくみ」が必要である。「しくみ」の取得は容易ではないが、組織にとって差異化の源泉になり得る。
４．経済産業省の DX 政策①DX の現状を可視化する
経済産業省の「DX レポート」で、既存システムが「レガシー化」している状況では効果が限定的になると言っている。レガシー化は技術だけの問題ではなく、不十分なマネジメントもレガシー化を引き起こす。
経営者に DX への舵を切らせるには、自社のシステム等の状況を客観的に把握する必要がある。見える化するためのツールとして、「DX 推進指標」がある。
②DX の現状を開示する
経営者に求められる、企業価値向上に向け実践すべき事柄は「デジタルガバナンス・コード」として取りまとめられている。経済産業省では、国が策定した指針（デジタルガバナンス・コード）を踏まえ、優良な取り組みを行う事業者を、申請に基づいて認定する「DX 認定制度」を 2020 年 12 月から開始し、2022 年
4 月時点で 342 社が認定されている。
５．DX 監査の可能性
企業の DX 推進状況が、健全かつ有効であることを客観的に評価し助言を行う「DX 監査」の必要性は十分にありそうである。また、「DX 監査」は、その目的や対象範囲から見て、十分、システム監査に含まれると考えられる。
ただし、「DX 監査」を行うためには、システム監査人は DX に関する深い知見を持つとともに、新たに必要となる監査項目・観点、監査方法を研究する必要がある。
日本システム監査人協会 会報14June 2022

日本システム監査人協会 会報

新たに必要となる監査の観点として、例えば以下のようなものが考えられる。
①ビジョンをもつ
新しいデジタルビジネスを創出するためには、目指すべき・実現すべきビジョンが必要である。ビジョンなしで新規ビジネスに取り組むと「手段が目的化」することが多い。また、このビジョンは明解で納得できるものであることが必要である。
監査項目・観点案として、「DX で目指すべきビジョンがつくられ、共有されていること」が考えられる。
②試行錯誤プロセスをもつ
新しいデジタルビジネスを創出するためには、迅速な試行錯誤プロセスを持つことが必要である。顧客の反応をリアルタイムでつかみながら、サービスをアップデートし続ける必要がある。「事前に全てのリスクを洗い出して対策する」というマネジメントも、これからは難しいので試行錯誤プロセスが必要となる。
企業に試行錯誤プロセスを組み込むためには、情報システムを「完成した製造物」ではなく「子供のように育てるもの」と再認識する必要がある。
監査項目・観点案としては、「事業推進において試行錯誤を行うプロセスがあること」が挙げられる。
③失敗を容認する「試行錯誤」するということは、連続して「失敗を容認」することだとも言える。「失敗を容認」する仕組みを作ることは極めて重要である。組織内にある「無謬性」をいかに打破するかと、失敗から学ぶためには、後日トレースできるように「意思決定プロセスの可視化」が必要である。また、一人一人が恐怖や不安を感じることなく安心して発言・行動できる「心理的安全性」が高い環境をつくることも重要である。
さらに、「失敗の容認」は文化を変えていくようなソフトなアプローチだけでなく、ルール整備等も合わせて実施していく必要がある。
監査項目・観点案としては、「事業推進における失敗を容認する仕組みをもっていること」が挙げられる。
6.最後に…
DX を進めるとき、情報システムをつくるときには、「倫理的・法的・社会的な課題（ELSI）」への配慮が必要になるということを言っておきたい。ELSI（Ethical、Legal and Social Implications）への配慮とは、
新しい科学技術を社会実装する際に生じうる、技術的課題以外のあらゆる課題をきちんと考えるということで、「情報システムをつくることで、暮らしは快適に、便利になる一方、場合によっては、それが社会に思わぬ、そして大きな影響を及ぼしてしまうということもある」ということを常に意識しなければならない。
システム監査人は、情報システムの「ELSI への配慮」も見極める必要があるのではないかと考える。

【所感】
今回の講演は、現在の日本が抱える課題を大きく、的確に捉えた非常に刺激に富んだものでした。DX の取り組み、新しいデジタルビジネスの台頭のために何が必要なのか、その上で、DX 監査の可能性と、シス
テム監査人としてどうあるべきかの一端を示していただきました。大きな視点で考えることの重要性と必要性を講演を通して感じました。
<目次>

日本システム監査人協会 会報15June 2022

日本システム監査人協会 会報
2022.5

支部報告

【

近畿支部

第１９4 回定例研究会

】
会員番号

１．テーマ

2782 大谷英徳（近畿支部）『セキュリティアドバイザーから見るサイバーセキュリティの裏側』

２．講師

株式会社 Blue Planet‐works
鴫原 祐輔（しぎはら

セキュリティアドバイザーゆうすけ）

３．開催日時2022 年 3 月 18 日（金）４．開催場所

Zoom によるオンライン開催

様

18:30~20:30

５．講演概要講師の鴫原様がサイバーセキュリティ分野で長年コンサルタントとして活動してこられた経験を踏まえ、最新のサイバーセキュリティ動向の振り返りやセキュリティソリューションの有効性についてご説明いただくとともに、元 CIA CISO から聞いた情報セキュリティにおける６つのベストプラクティスについてもお話しいただいた。
なお、今回は新型コロナ感染予防の観点から、Zoom によるオンライン開催となった。

（１）イニシャルアクセスブローカーについて
イニシャルアクセスブローカー（IAB）とは、サイバー攻撃において攻撃対象のネットワーク又はシステ
ムに侵入するための経路を確立して、その権利を他の攻撃者へ販売するバイヤーで、特にランサムウエア―
被害において IAB が大きく関与している。これらの被害にあう企業に共通してみられるのが、AttackSurface を意識していないことである。AttackSurface とはサイバー攻撃を受ける可能性がある攻撃点のことであり、この AttackSurface の数を減らしていくことがセキュリティ対策で重要である。実はAttackSurface につながる情報は、合法的手段に限定しても短時間で外部からでも多く得ることが可能である。したがって、自組織が意図せずに公開していた情報やシステムを把握し、見落とされていた設定不備や脆弱性への対応が必要である。これにはセキュリティベンダーの推奨する提案を鵜吞みにせず、自組織の脆弱性に合致した対策を構築すること。加えてテクノロジー対策のみに特化するのでなく、従業員がセキュリ
ティガードを下げてしまうような行動等を起こすことが無いよう人への対策も重要である。

（２）Eｍotet について
一度テイクダウンした Eｍotet が 2021 年 11 月頃から新しい運営組織の元で活動を再開し、以前より攻撃がレベルアップし感染が広まっていることから注意喚起を含め情報を共有する。主なレベルアップの内容
は、迷惑メールフィルターの信頼度スコアの低減回避や、添付ファイルがアンチウィルスソフトをすり抜ける仕組みを具備している。また Eｍotet の感染拡大で生じた問題として、攻撃メールの着弾だけで感染の有無は特定できず、感染源が容易に特定できないこと、また発見し駆除できたとしても、Eｍotet が呼び込
んだ別の脅威が残っており、当該端末の「初期化」が必要となる。これら非常に危険性の高いマルウエアであるため十分な注意が必要である。

日本システム監査人協会 会報16

June 2022

日本システム監査人協会 会報（３）セキュリティソリューションの動向と実例紹介
現行の防御技術について①中核技術は過去の情報に依存するため過去の情報が活用できない脅威に対しては無力である。②アンチウイルスは歴史あるセキュリティツールであるが故に検出を回避する対抗技術がすでに多数存在している。といった課題が存在する。この現状を踏まえ、事前対策から事後対策へシフトする
動きがあるが、事業継続性が保証されない、24 時間 365 日監視等の体制が必要、検知・調査・復旧のそれ
ぞれの専門人材配置などの問題がこの分野で先行する欧米にて指摘されている。そこで最近は従来の「すべてを『許可』して例外で『拒否』する」守り方から、「すべてを『拒否』して例外で『許可』する」守り方への転換が提唱されている。ここで述べた「許可」も「No Trust」の考え方に基づき必要最小限の動作のみに限定することで、仮に侵入されたとしても侵入者の行動に制限がかけられ攻撃を無効化させるといった防御概念である。最近ではさらに踏み込んで「Zero Trust」と呼んでいる。
事例として全日空の Zero Trust への取り組みを以下に紹介する。同社はセキュリティ対策の柱として多量のマイレージ会員情報の保護、重要インフラ事業者の責務としてシステムの常時安定稼働とし、エンドポ
イント（端末とサーバ）に対して Zero Trust の考え方を導入した。Zero Trust の導入の効果としてシステ
ムの監視や OS のアップデート、新たな脅威に対する対策へのコストが大幅に削減され、効率的なセキュリ
ティ態勢の構築につながっている。

（４）Robert Bigman ⽒の教え
Robert Bigman 氏は元 CIA の CISO として在任中実践していた６つのベストプラクティスの紹介。
１．ネットワーク、OS、アプリケーションをゴールドイメージで固定。ゴールドイメージとはベースとなる環境を決めること。
２．強固な二要素認証でログイン強化
３．アカウント権限の分離を確実に実施。管理者とユーザの明確化や不要アカウントの削除など
４．ネットワークレベルの分離を実施。マイクロセグメント化でシステム間の通信を制御すること。
５．カーネルとメモリ保護の対策。
６．脆弱性検知とパッチマネージメントの自動実行

６．所感
講師の鴫原先生は 2004 年からシステム、ネットワークの最適化事業、セキュリティアドバイザーとして活躍されており、現在は（株）Blue Planet‐works のセキュリティアドバイザーを努められるなどその道の専門家である。講演内容は自身の経験も踏まえた具体的な事例を紹介されるなど非常に解り易く説明いた
だいた。サイバーセキュリティは今まさに全世界的に喫緊のリスクであり、すべての事業者が取り組むべき
課題ではある。そのためには自組織のシステムの脆弱性の状況を正しく把握し、どのような脅威にさらされるかを理解したうえで自組織の状況に合致した対策を講じる。いわば基本事項をしっかりと押さえて対策していくことが重要と改めて認識した。
以上＜目次＞

日本システム監査人協会 会報17June 2022

日本システム監査人協会 会報
2022.5

注目情報（2022.4～2022.5）■ 「サイバー攻撃を受けた組織における対応事例集」を公表（NISC）
内閣官房内閣サイバーセキュリティセンター（NISC）は、4 月 26 日に「サイバー攻撃を受けた組織における対応事例集（実事例における学びと気づきに関する調査研究）」を公表した。
サイバー攻撃が巧妙化・複雑化する中、国内ではサイバー犯罪が増加傾向にあり、その脅威は深刻なものとなっている。報道においても、日々、個別のインシデントが取り上げられているものの、風評被害等の懸念から、当事者からは、サイバー攻撃の実情が対外的に公表されないことが多く、サイバー攻撃を受けた際の貴重な経験が共有されがたい状況にある。
一方で、我が国のサイバーセキュリティのレベルの向上を目的に、経験を共有すべきとの声も聞かれ、一部の企業からは自社の経験を含めて積極的に知見の共有を図りたいとの意見も寄せられている。
このような状況を踏まえ、NISC では、サイバー攻撃を受けた企業や研究機関などの協力の下、これらの組織が実際に講じたインシデント対応や、体制強化、人材確保等について、事例調査を実施した。
これらの実例を様々な組織でのサイバーセキュリティ対策の検討のヒントとしてもらうべく、得られた教訓や気づきを含め、事例集として公開することとした。
URL：https://www.nisc.go.jp/pdf/policy/inquiry/kokai_jireishu.pdf■ 基本情報技術者試験と情報セキュリティマネジメント試験を通年試験化（IPA）
独立行政法人情報処理推進機構（IPA）は、国家試験である基本情報技術者試験（FE）、情報セキュリティ
マネジメント試験（SG）を 2023 年 4 月から通年試験化することを、4 月 25 日に発表した。
これら 2 つの試験区分では、新型コロナウイルス感染症の拡大などを背景として、2020 年 12 月から CBT（Computer Based Testing）方式による試験を実施してきた。IPA では、さらなる利便性の向上を目指し、通年試験化を進めるとともに、試験時間の短縮、プログラミング的思考力の重視など、出題形式・出題範囲も変更する。
通年試験化によって、これまで年 2 回（上期・下期の一定期間）実施していた試験を、受験者が都合の良い時期・日時を選択して受験することができるようになり、また、年間の受験可能回数も増えることになる。
併せて、試験時間を短縮することによって受験者の利便性が高まる。
IPA は、今回の変更で多くの受験者が試験を受けやすくなることによる IT 人材の裾野拡大を目指し、通年試験化の実施に向けて準備を進めていくとしている。
URL：https://www.ipa.go.jp/about/press/20220425.html＜目次＞

日本システム監査人協会 会報18

June 2022

日本システム監査人協会 会報
2022.5【 協会主催イベント・セミナーのご案内 】■ SAAJ 月例研究会（東京）

第
２
６
８
回

第
２
６
９
回

日時

2022 年 6 月 15 日（水） 18:30～20:30

場所

オンライン（Zoom ウェビナー）テーマ

JUAS「企業 IT 動向調査 2022」の結果からみる、デジタル経営の分岐点

講師

一般社団法人日本情報システム・ユーザー協会（JUAS）
山畔秀雄（やまくろひでお）氏

シニアマネージャー

講演骨子

企業 IT 動向調査は 28 回目を迎えました。2021 年度調査は「デジタル経営の分岐点」を重点テーマに掲げ実施しました。DX 推進、情報セキュリティ、IT 投資の動向など、調査からみえてきた現状と今後の見通しを解説します。

参加費

SAAJ 会員 1,000 円

お申込み

https://www.saaj.or.jp/kenkyu/kenkyu/268.html

非会員 3,000 円

日時2022 年 7 月 13 日（水） 18:30～20:30

場所

オンライン（Zoom ウェビナー）テーマ『情報システム・モデル取引・契約書』第二版
セキュリティ仕様の概要と合理的な統制の在り方

講師

アップデートテクノロジー(株)代表取締役、
ソフトウェア協会理事、Software ISAC 共同代表
板東直樹（ばんどう なおき）氏

講演骨子

システム開発では、扱われる情報が侵害された場合の影響を考慮に入れて設計されるべきであり、想定リスクの影響度に応じたレベルを定め、適切なセキュリティ仕様要件が策定されることが重要である。
そこで、経済産業省・IPA の「情報システム・モデル取引・契約書」第二版は、改正民法への対応に加え、セキュリティ仕様を取りまとめるプロセスと、具体的なセキュリティ設定を例示した。
本セミナーでは、セキュリティ仕様作成のプロセス策定の狙いと、セキュリティに関する合理的な統制の在り方について解説する。

参加費

SAAJ 会員 1,000 円

お申込み

https://www.saaj.or.jp/kenkyu/kenkyu/269.html

非会員 3,000 円＜目次＞

日本システム監査人協会 会報19June 2022

日本システム監査人協会 会報
2022.5【 外部主催イベント・セミナーのご案内 】■ システム監査学会 研究大会

第
３
６
回

日時

2022 年６月 10 日（金） 9:10～17:20

主催

システム監査学会

場所

Zoom オンライン開催（期間限定オンデマンド配信付）

統一論題

システム監査の RE‐DESIGN～アジャイル・ガバナンスの実装と監査・保証のアーキテクチャー

お申込み

https://www.sysaudit.gr.jp/taikai/2022_taikai_36.html＜目次＞

日本システム監査人協会 会報20June 2022

日本システム監査人協会 会報
2022.5【 新たに会員になられた方々へ 】

新しく会員になられたみなさま、当協会はみなさまを熱烈歓迎しております。
協会の活用方法や各種活動に参加される方法などの一端をご案内します。
ご確認
ください

・ホームページでは協会活動全般をご案内
・会員規程
・会員情報の変更方法

https://www.saaj.or.jp/index.html
https://www.saaj.or.jp/gaiyo/kaiin_kitei.pdf
https://www.saaj.or.jp/members/henkou.html

特典・セミナーやイベント等の会員割引や優遇
https://www.saaj.or.jp/nyukai/index.html
公認システム監査人制度における、会員割引制度など。

ぜひ
ご参加を

・各支部・各部会・各研究会等の活動。
https://www.saaj.or.jp/shibu/index.html
皆様の積極的なご参加をお待ちしております。門戸は広く、見学も大歓迎です。

ご意見
募集中

・皆様からのご意見などの投稿を募集。
ペンネームによる「めだか」や実名投稿には多くの方から投稿いただいております。
この会報の「会報編集部からのお知らせ」をご覧ください。

出版物

・「発注者のプロジェクトマネジメントと監査」「６か月で構築する個人情報保護マネジメントシステム」「情報システム監査実践マニュアル」などの協会出版物が会員割引価格で購入できます。
https://www.saaj.or.jp/shuppan/index.html

セミナー

・月例研究会など、セミナー等のお知らせ
https://www.saaj.or.jp/kenkyu/index.html
月例研究会は毎月100名以上参加の活況です。過去履歴もご覧になれます。

CSA
・
ASA

・公認システム監査人へのSTEP-UPを支援します。
「公認システム監査人」 と「システム監査人補」で構成されています。
監査実務の習得支援や継続教育メニューも豊富です。
CSAサイトで詳細確認ができます。
https://www.saaj.or.jp/csa/index.html

会報

・過去の会報を公開
https://www.saaj.jp/03Kaiho/0305kaihoIndex.html
会報に対するご意見は、下記のお問合せページをご利用ください。

お問い
合わせ

・お問い合わせページをご利用ください。 https://www.saaj.or.jp/toiawase/index.html
各サイトに連絡先がある場合はそちらでも問い合わせができます。

＜目次＞
日本システム監査人協会 会報21June 2022【
5月

ＳＡＡＪ協会行事一覧

日本システム監査人協会 会報】

赤字：前回から変更された予定

理事会・事務局・会計
12：理事会

6月

1：年会費未納者宛督促メール発信
9：理事会
21：年会費未納者督促状発送
22～：会費督促電話作業（役員）28：支部会計報告依頼（〆切 7/11）
30：助成金配賦決定（支部別会員数）

7月

5：支部助成金支給
14：理事会

8月（理事会休会）6：中間期会計監査
8：理事会

9月

10 月

13：理事会11 月

9： 予算申請提出依頼（11/27〆切）
支部会計報告依頼（1/7〆切)11：理事会
16：2022 年度年会費請求書発送準備
26：会費未納者除名予告通知発送
27：本部・支部予算提出期限
1： 2022 年度年会費請求書発送
1： 個人番号関係事務教育
9： 理事会：2022 年度予算案
会費未納者除名承認
第 21 期総会審議事項確認
11：総会資料提出依頼（1/11〆切)
14：総会開催予告掲示
20：2021 年度経費提出期限
11：総会資料提出期限 16:00
11：役員改選公示(1/24 立候補締切)
13：理事会：総会資料原案審議
24：17:00 役員立候補締切
29：2021 年度会計監査
31：償却資産税・消費税申告
31：総会申込受付開始（資料公表）
3：理事会：通常総会議案承認

2022.5

認定委員会・部会・研究会
支部・特別催事
18:第 267 回月例研究会
中旬・下旬土曜：春期 CSA 面接
上旬： 春期 CSA 面接
15:第 268 回月例研究会
3:認定 NPO 法人東京都認定日
18‐19: 第 39 回システム監査実務セミナー（初回：2015/6/3）(日帰り 4 日間コース前半)
中旬： 春期 CSA 面接結果通知
中旬・下旬： 春期 CSA 認定証発送
9‐10: 第 39 回システム監査実務セミナー(日帰り 4 日間コース後半)
13：第 269 回月例研究会
中旬：秋期 CSA・ASA 募集案内
1：秋期 CSA・ASA 募集開始～9/30

11：支部会計報告〆切

２:第 270 回月例研究会
30:秋期 CSA・ASA 募集締切
7: 第 271 回月例研究会
前年度に実施した行事一覧

12 月

1月

2月

3月

4月

9：第 262 回月例研究会
中旬：秋期 CSA 面接
下旬：CSA・ASA 更新手続案内〔申請期間 1/1～1/31〕
下旬：CSA 面接結果通知
2：第 263 回月例研究会
12：協会創立記念日
16： CSA/ASA 更新手続案内メール〔申請期間 1/1～1/31〕
24：秋期 CSA 認定証発送
1‐31：CSA・ASA 更新申請受付
7：支部会計報告提出期限
19:第 264 回月例研究会
21：春期 CSA・ASA 募集案内
〔申請期間 2/1～3/31〕

2/1‐3/31：CSA・ASA 春期募集
18：第 21 期通常総会

28：2022 年度年会費納入期限
下旬：CSA・ASA 更新認定証発送
4：年会費未納者宛督促メール発信
1‐31: 春期 CSA・ASA 書類審査
10：理事会
4:第 265 回月例研究会
28：法務局：資産登記、活動報告書提出、東京都：NPO 事業報告書提出
14：理事会18:第 266 回月例研究会
初旬：春期 CSA・ASA 書類審査
中旬：春期 ASA 認定証発行

17:春期情報技術者試験・情報処
理安全確保支援士試験＜目次＞

日本システム監査人協会 会報22June 2022

日本システム監査人協会 会報
2022.5【 会報編集部からのお知らせ 】
１．会報テーマについて
２．会報バックナンバーについて
３．会員の皆様からの投稿を募集しております□■ １． 会報テーマについて
2022 年の会報年間テーマは「この変化の時代にシステム監査が目指すもの」です。

様々なことが変化、進化していく時代の中で、システム監査人は何を目指す必要があるのか、システ
ム監査は何を目的として、実施すべきなのか、その対象範囲やシステム監査人に求められるスキルはどうなるのかという点について、整理・検討が必要なタイミングではないかと考え設定しております。

会報テーマ以外の皆様任意のテーマももちろん大歓迎です。皆様のご意見を是非お寄せ下さい。

□■ ２． 会報のバックナンバーについて協会設立からの会報第１号からのバックナンバーをダウンロードできます。
https://www.saaj.jp/03Kaiho/0305kaihoIndex.html

日本システム監査人協会 会報23June 2022

日本システム監査人協会 会報□■ ３．会員の皆様からの投稿を募集しております。
募集記事は次の通りです。
□■ 募集記事1.

めだか

匿名（ペンネーム）による投稿
原則１ページ

下記より投稿フォームをダウンロードください。

https://www.saaj.jp/03Kaiho/670502KaihoTokoForm2.docx
2.

記名投稿

原則４ページ以内

下記より投稿フォームをダウンロードください。
https://www.saaj.jp/03Kaiho/670502KaihoTokoForm2.docx
3.

会報掲載論文

現在「論文」の募集は行っておりません。

（投稿は会員限定）■投稿について「会報投稿要項」

・投稿締切：15 日 (発行日：25 日）
・投稿用フォーマット
・投稿先：※毎月メール配信を利用してください。

saajeditor@saaj.jp

宛メール添付ファイル

・投稿メールには、以下を記載してください。
✓

会員番号

✓

氏名

✓

メールアドレス✓

連絡が取れる電話番号

・めだか、記名投稿には、会員のほか、非会員 CSA/ASA、および SAAJ 関連団体の会員の方も投稿できます。
✓

会員以外の方は、会員番号に代えて、CSA/ASA 番号、もしくは団体名を表記ください。

■注意事項
・原稿の主題は、定款に記載された協会活動の目的に沿った内容にして下さい。
・特定非営利活動促進法第２条第２項の規定に反する内容（宗教の教義を広める、政治上の主義を推進・支持、又は反対する、公職にある者又は政党を推薦・支持、又は反対するなど）は、ご遠慮下さい。
・原稿の掲載、不掲載については会報部会が総合的に判断します。
・なお会報部会より、表現の訂正を求め、見直しを依頼することがあります。また内容の趣旨を変えずに、字体やレイアウトなどの変更をさせていただくことがあります。
お問い合わせ先：

saajeditor@saaj.jp＜目次＞
日本システム監査人協会 会報24

June 2022

日本システム監査人協会 会報
2022.5

会員限定記事【本部・理事会議事録】（会員サイトから閲覧ください。会員パスワードが必要です）
https://www.saaj.or.jp/members_site/KaiinStart
ログイン ID（8 桁）は、年会費請求書に記載しています。

＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝■発行：認定 NPO 法人〒103‐0025

日本システム監査人協会

会報編集部

東京都中央区日本橋茅場町 2 丁目 16 番 7 号 本間ビル 201 号室■ご質問は、下記のお問い合わせフォームよりお願いします。
【お問い合わせ】

http://www.saaj.or.jp/toiawase/■会報は、会員宛の連絡事項を記載し登録メールアドレス宛に配信します。登録メールアドレス等を変更された場合は、会員サイトより訂正してください。
https://www.saaj.or.jp/members_site/KaiinStart

掲載記事の転載は自由ですが、内容は改変せず、出典を明記していただくようお願いします。

■□■ＳＡＡＪ会報担当
編集委員：竹原豊和、安部晃生、金田雅子、越野雅晴、坂本誠、辻本要子、豊田諭、野嶽俊一、柳田正、
山口達也
編集支援：会長、各副会長、各支部長
投稿用アドレス： saajeditor ☆ saaj.jp （☆は投稿時には＠に変換してください）
Copyright(C)1997‐2022、認定 NPO 法人 日本システム監査人協会＜目次＞
日本システム監査人協会 会報25