July. 2011

日本システム監査人協会 会報2011 年 7 月発行
No━━━

No.125（2011 年 7 月

発行）

125

━━━━━━━━━━━━━━━━━━━━━━━━

会報電子版の記事 目次

１．めだか（システム監査人のコラム）

２【『金融機関等のシステム監査指針』利用における一考察 】

２．システム監査 ISO 化の活動

３

【 システム監査 ISO 化の活動について 】【 IT AUDIT の ISO 化をすすめる意味 （投稿） 】【 システム監査基準の ISO 化への懸念 （投稿） 】

３．セミナー開催報告、支部報告（月例研究会報告）１１【 第 162 回月例研究会受講報告 】(東北支部活動報告) 【 山形月例会兼研修会 】

４．投稿

１５

【 保証業務に係る公表文書の調査研究と保証型システム監査の一考察（３章）】

５．注目情報（7/1～7/31）

２５【 システム監査学会主催 「設立 25 周年記念公開シンポジウム」】

６．全国のイベント・セミナー情報

２６（東京）【 第 18 回システム監査実務セミナー 】（東京）【 東京・月例研究会 】（近畿）【 近畿支部 １２７回定例研究会 】（近畿）【 近畿支部 ２０１１年度研究大会(2011/8/20) 】

７．会員限定記事（7/1～7/31）

日本システム監査人協会 会報

２９1July. 2011

日本システム監査人協会 会報

めだか 【 『金融機関等のシステム監査指針』利用における一考察 】

投稿

最近、金融情報システムセンター『金融機関等のシステム監査指針』（以下、「FISCガイドライン」という）を基準として監査に利用する機会を得た。このFISCガイドライン第３版の第２部チェックポイント集には、リスクおよびコントロールが監査項目である各要点項目／大項目／小項目ごとにチェックポイントに併せて記載されている。またチェックポイント集の内容説明には、チェックポイントは「各監査項目（小項目）における、コントロールの具体的なチェック項目である」とある。
ここでは、監査における評価の手順として、一般的に小項目ごとのチェックポイントの妥当性判断により、まず小項目の有効性の評価を行い、その結果で総合的に大項目、最終的に要点項目の有効性評価がなされるものと考える。このようにFISCガイドラインでは、総合的に体系的で論理的な評価を行う手順となっている。
しかし、第３版より小項目単位にリスクは別として、主要なコントロールが記載されるようになった。本来、監査においては“評価はコントロールの有効性を判断する”ものである。すなわち、監査項目である小項目単位に適切なコントロールが有効に実施されているかどうかを評価する判断事項がチェックポイントであると言える。
ところが、FISCガイドライン第３版では主要なコントロールが小項目単位にまとめて記載されており、コントロー
ルとチェックポイントとの関連付けがない。これでは具体的な監査実施の段階でチェックポイントの妥当性判断により、体系的・論理的にコントロールの評価を行うのが難しく時間を要する。また、数多いチェックポイントの判断結
果により小項目としての全体評価を行うのは、判断に迷うケースが生じる。
例えば、要点項目「４．システム開発」／大項目「３．システム開発ライフサイクル（ＳＤＬＣ）」の小項目「Ｂ．開発検討」には、３つの主要コントロールの記載があり、チェックポイントは１４項目ある。だが、各チェックポイントがどのコントロールのチェック項目なのか記載はない。チェックポイント１４項目の妥当性判断の結果で、小項目「Ｂ．開発検討」を評価するのは判断に迷う場合がある。
ここで今回監査をするに当たり、筆者はコントロールとチェックポイントの関連付けを行った。その結果、チェック
ポイントの判断によりコントロールの評価を行い、各コントロールの評価結果により小項目の有効性評価を実施でき、段階的かつ体系的・論理的な手順で監査を行うことができた。
さらに、コントロールが複数ある場合にはキーコントロールを識別し、チェックポイントにもキーチェックポイントを設定することにより、合理的かつ効率的に小項目の評価が行えるように考慮した。
その結果、数多くのチェックポイントの判断結果は、体系的・論理的かつ効率的に小項目の有効性評価につながり、適切な評価手順・評価結果として、顧客の理解度・満足度がより充足されたものと考える。
賢明なる読者諸氏の御意見をお伺いしたい。
（格物致知）（このコラム文書は、投稿者の個人的な意見表明であり、ＳＡＡＪの見解ではありません。 ）日本システム監査人協会 会報2

July. 2011

日本システム監査人協会 会報

報告 【 システム監査 ISO 化の活動について 】

１．出張報告力 利則（副会長）
いつもお世話になります。力です。 パリでの国際会議（ＩＳＯ/ＩＥＣ ＪＴＣ１/ＳＣ７）から無事に戻ってきました。出張報
告です。ＳＣ７は Software and Systems Engineering に関する標準化を担当しています。この度の出張については、
ＳＡＡＪの皆様には大変お世話になり有難うございました。ぜひ日本発信の国際標準化を実現させたいと思います。
前回ご連絡したように日本から提案したＩＴ監査に関する国際標準化案が ５月初までの国際投票で採択（17 対 5）された結果を受けて、今回の パリの国際会議にて、今後の進め方についてＷＧ４０メンバーにて話し合い、 基本的な合意が得られました。
ＳＣ７ ＷＧ４０は、ＩＴガバナンスの標準化の検討ＷＧですが、ＩＴ監査も検討対象に入っています。
ＷＧ４０は、昨年の新潟での国際会議の時は数名でしたが、今回は約１０ヶ国、多い時は２０数名が集まりました。ＩＳＡＣＡのメンバーも出席していました。
基本的な合意の結果、今後、日本、韓国、ニュージーランドをエディターとしてＷＤ（Working Draft）作りを進めることになりました。次回は９月１９日からのロンドンでの会議になります。
今後はＷＧ４０の日本での小委員会を 6/13（PM）、7/8（AM）、7/22（AM）に開催して、８月上旪までに日本としてのＷＤ案を作成することになっています。
引き続き、ＳＡＡＪ協会の皆様、基準研の皆様にはお世話になります。何卒宜しくお願い致します。
以上

２．ご寄付者一覧
鈴木 信夫（会長）
仲 厚吉 （会計）
このたび、当協会の出版物の執筆者の皆さまに、ＩＳＯ化の運動資金のご寄付をいただいております。謹んで御礼申し上げます。
プロジェクト経費は、国際会議への出席を伴うため、本年度予算の予備費だけではまかなえず、協会編集の 「情報システム監査実践マニュアル」、 「ＩＴ統制監査実践マニュアル」、 「個人情報マネジメントシステム実践マニュアル」の印税が入ったのを機会に、執筆者各位にお願いし、執筆者個人配布分の印税、約８０万円を、ご寄付いただきました。全
額、プロジェクトの経費にあて、海外出張分などをまかないます。
ご寄付いただいた各位の、掲載ご了解の方のお名前を掲げます。
青木敏信、 石島 隆、 一村義夫、 岩田 薫、 梅津尚夫、 小野修一、 金子長男、 橘和尚道、木村裕一、
木村陽一、 桜五由美子、 清水美欧、 下平利和、 鈴木信夫、 鈴木 実、 高五憲彦、高橋邦明、 竹下和孝、
力 利則、 富山伸夫、 仲 厚吉、 沼野伸生、 蓮見節夫、 馬場孝悦、原 純江、 本田 実、 牧野恭人、
松枝憲司、 三谷慶一郎、 山田 隆、 渡辺和宣
以上日本システム監査人協会 会報3

July. 2011■（投稿）

日本システム監査人協会 会報
IT AUDIT の ISO 化をすすめる意味
竹下 和孝（No.898）

ソフトウェアの分野で、システム監査基準、システム管理基準を ISO 規格化する動きが進んでいます。
日本システム監査人協会の基準研が中核メンバーの一部を担い、その仕組みの提案準備が進んでいるわけですが、研究会の中でも ISO 化メンバーで提案骨子の議論が進んでいます。まだドラフトなので公開できる段階ではないようですが、機会がきたら広く紹介されるタイミングも近いでしょう。今回は、規格化についての理解をすすめるために、私の経験を踏まえて、ISO 規格の制定の仕組みを紹介しておきたいと思います。
１． ISO マネジメントシステムの始まり
1985 年のことですから今から 25 年も前のことです。当時の欧州、西ドイツ、英国で製造販売物流関連の情報システム構築運用を担当していた私の周りでも、英国規格 BS5750 や新しく ISO 品質マネジメント規格が準備され、その要求に合わせることが事業を進める条件のひとつとして認知されつつありました。当時の欧州地域では、西独、仏、英を中心に商品を輸送するにも、販売するにも、国境を越える輸入であり輸出でした。通関事務処理も各仕向け国ごとに異なる対応が必要で、大変煩雑でした。単に日本の消費税に相当する VAT 付加価値税の税率が違うとか、表示する言葉や通貨の単位が違うだけでなく、それ以上に商品の安全規格や品質規格が違っていたのです。これらが統一された基準で運営できることは大きな魅力で、だから短い期間で市場統合への下準備が進んでいったのだと思います。東西ドイツの統合をきっかけに欧州市場統合（EC’1992）の対応が加速していきました。
最初のマネジメントシステムといわれる ISO9000 シリーズは、日本の製造業が目覚しい躍進を遂げる中で、当時の先進国である欧米製造業の復活に向け、品質保証に関する規格として制定される必然性があったのです。これは、日本の工業製品が高品質・低価格を武器に国際競争力を高めている状況に危機感を募らせた先進国が、工業製品の「品質」だけでなく、製品を生み出す企業の経営品質の観点から見直すよう工夫をしたことから始まった、とさえいわれます。PDS（Plan-do-see）や PDCA（Plan-do-check-act）などと一緒に、TQC（Total-quality-control）、
TQM（Total-quality-management）が声高に唱えられるようになりました。
ISO は国際標準化機構（International Organization for Standardization）の略ですが、影響力の大きさから民間組織（非営利組織）であることはあまり知られていません。さらに、日本国内では、その国際的な活動をする組織が認証するマネジメントシステムのことを“ISO”と呼ぶ場合も多いようです。その背景には、すでに 1970 年代から始まっていた新たな国際競争、規格競争、標準化競争の姿があります。
このように ISO が定める規格には、工業製品や技術の標準化を促進するという側面と、規格に適合していることを認証するという側面からの役割があります。標準化の面では、ねじやボルトナットなどのサイズや品質条件を定めて、国際的に取引を進める企業や製品の規格を定めることで、カタログを見るだけで、必要とする大きさや内容を統一して把握するという役割があります。
一方で、ISO の認証を取得する意味は、国際規格に合格した製品であることの証明であり、マネジメントシステム
への認証を受けることは、取得した企業や組織が一定の管理の仕組み（マネジメントシステム）を保有して運用していることを第三者である認証機関が証明しているという意味があるわけです。

日本システム監査人協会 会報4

July. 2011

日本システム監査人協会 会報

国際取引の中では、顧客である購入者は、製品やサービスを外国企業や外部から調達するため、供給者に品質保証を求める契約を取り交わす場合が多いのですが、製品やサービスそのものの品質だけでなく、開発・生産・物流の流れや工程、経営者の責任などを含めて、契約の中に品質保証を求める場合もあります。そのために、
ISO 認証を取得した企業は、相手先の評価や取引の交渉の一部を簡素化し、また有利に進めることができるわけです。同じことが、情報サービス、ネットワークサービスやソフトウェアの開発についてもいえます。
２． ISO 化の手順
ISO 関連規格や JIS 規格をおりまとめる日本工業標準調査会（JISC）が公開している ISO 規格の制定手順によると、ＩＳＯ規格は通常次の６つの段階を踏んで作成され、36 ヶ月以内に国際規格の最終案がまとめられることになっています。JISC は、工業標準化法に基づいて経済産業省に設置されている審議会で、ISO 化について国内での意見を取りまとめする役割を持っています。（参照 http://www.jisc.go.jp/international/iso-prcs.html）
ISO 化される規格は、次の６つの手順を経て、１国１票の投票により制定されていきます。
（ 図 ６つの手順 ）
（1）

（2）

（3）

（4）

（5）

（6）

NP

WD

CD

DIS

FDIS

IS

（1）新作業項目（NP：New work item Proposal）の提案（2）作業原案（WD：Working Draft）の作成（3）委員会原案（CD：Committee Draft）の作成（4）国際規格原案（DIS：Draft International Standard）の照会及び策定（5）最終国際規格案（FDIS：Final DIS）の策定（6）国際規格の発行（IS：International Standard）
それぞれの手順で国際的な承認を経るためには、まず参加国の国内委員会での合意を得る必要があり、意見や反対のコメントをまとめる必要があります。それぞれは６ヶ月以内に合意するよう標準日程として定められています。国際会議での合意を得られなければ、その時点で廃案とされますが、多くはほぼ 24 ヶ月程度で成立しています。経済発展、社会環境の異なる参加国との合意は容易ではなく、利害がぶつかり調整していきます。
FDIS の承認後、正式に国際規格として発行されます。発行には期限があり、最初に NP として提案承認されて36 ヶ月以内に同意を得られなければ廃案になります）。制定された国際規格に対して、ISO/IEC27001 のように適合性評価の認証が行われます。IS 規格とならない場合には、一般仕様書 (PAS)、技術仕様書 (TS)、技術報告書(TR)などの略称が付けられます。
３．適合性評価について
今後も円滑に事業を発展させていくため、世界の共通語としての国際規格に基づく活動の普及は欠かせないでしょう。顧客や取引先との取引条件を満たすために必要であり、また国際規格の理解や運用についても同様です。インターネットを経由して、即時に情報が伝達され、翻訳されると、正しい理解に基づく運用を進める必要がでてきます。ＩＳＯ内に設置されているＣＡＳＣＯ（適合性評価委員会）は、その適合性評価の仕組みを検討する役割です。同様に、日本工業標準調査会（JISC）の解説（http://www.jisc.go.jp/acc/index.html）によると、

日本システム監査人協会 会報5

July. 2011

日本システム監査人協会 会報（1）適合性評価
一般に、標準・規格・規定といったものが必要とされる場合、さらに、その標準・規格・規定を、製品・サービス・プロセスといったものが満たしているかどうかを確認する行為が必要となってきます。
この行為を、適合性評価（Conformity_Assessment）といいます。
（2）認証
適合性評価は、その客観性が求められる場合、製品・サービス・プロセスの受け渡しの当事者である供給者または購入者とは無関係である第三者（Third-party）が行うこととなります。このように「製品、プロセス、サービスが特定の要求事項に適合していることを第三者が文書で保証する手続き」を認証（Certification）といいます。
（出所：日本工業標準調査会（JISC）のサイト）「認定」や「認証」は、製品やサービスに対して権威ある機関が、一定の基準を満たす「お墨付き」としての意味で利用されており、評価の手続や手順を示す ISO19011 や ISO27006 に基づいて行われています。
４． 基準としての規格
ISMS（ISO/IEC27001）の審査員資格を取得された方は、ISO19011 または、ISO27006 に基づき、審査員や審査
認証機関の役割について学んだことを覚えていらっしゃるでしょう。
・認定機関： 公平な Audit を行うように、審査機関、審査員評価機関、審査員研修機関を認定する・審査機関： 第三者認証を実施する組織で、審査員（Auditor）が所属する・審査員評価機関：審査員としての登録し、審査員の資格維持や昇格を管理する・審査員研修機関：審査員になるための研修をする組織
・審査員：所定の研修を受けて、審査員としての登録、および審査員としての資格要件を満たすもの
このように国際的に合意された第三者認証審査の仕組みを整備、運用する仕組みが用意されています。
基準に基づき第三者が評価するという Audit の仕組みは、他者や他社と接する機会の多かった欧米諸国で、より多く運用されています。Audit をどのように訳出するか、日本では審査、監査、Audit など微妙な違いはありますが、内部監査も含めて、利害関係の尐ない他の人が評価するという意味では、権威の差はあっても同じです。
多くの海外企業が、自社の技術を世界の標準にすることで、先行者利益を得ることができます。これは国際共通語としての英語の普及をみても、Windows パソコンの普及を見ても明らかでしょう。
インターネット技術の普及により、システム開発や IT 活用の場面は大きく広がりました。インドや中国のように IT
立国をめざす国での開発やインターネットを経由したサービスサポートはすっかり定着しています。さらに情報化
革命は、パソコン、携帯電話、スマートフォンのように個人が利用する機器を中心に、大きく変化してきました。いよいよディジタル化の本格的な登場です。システム監査基準、管理基準のような実践規範が、どのように評価され受け入れられるか未知数ですが、何らかのものさしが無いと比較も難しいのです。その意味でも ISO で利用される表
現ですが、「改善の機会」という不具合の表現は、これからもより多くの利用者に受けいれていくと思われます。
システム監査も、普段着の監査からフォーマルな監査まで、時代の要請に乗って広く普及するよう期待します。
（以上）

日本システム監査人協会 会報6

July. 2011

日本システム監査人協会 会報■（投稿）システム監査基準の ISO 化への懸念
藤野 正純（No.162）
日本のシステム監査基準、管理基準を ISO 規格化する案「IT AUDIT」が進行しています。
協会の理事会議事録で見るばかりなので、その詳細については知りませんが、システム監査基準の ISO 化というテーマから想定される懸念について尐し意見を述べたいと思います。
まず、システム監査基準とシステム管理基準の違いをよく識別し、ISO との立ち位置の違いを認識した上で、ISO規格化を提案すべきだと考えます。
何のために誰がどのようにシステム監査を実施するのかという規範を定めているのが「システム監査基準」であり、監査要点毎の判断尺度を示しているのが「システム管理基準」です。両者の意義を明瞭に区分するため、前者を基準（standard）、後者を規準（criteria）と呼び換えることがあります。
日本システム監査人協会創設の昔から、システム監査とは何かの議論が紛糾するのは、システム監査「基準」とシステム監査「規準」を峻別しないことにほとんど原因がありました ①。ある人が「基準」を議論しているのに、他の人が「規準」について反論して議論がかみ合わないといったことです。いまだに状況は変わっていません。困ったことに、いまだにシステム監査基準とシステム管理「規」準の峻別ができない人がいるという状況です。
いま、協会で運動されている ISO 規格化案は、システム監査基準とシステム管理基準の ISO 化と謳われています。
これも初めはシステム監査基準の ISO 化と呼ばれていたような気がします。システム監査基準を ISO 化するのかシス
テム管理規準を ISO 化するのかでは意味がかなり違ってきます。
次に論じますように、ISO は認証審査の規格ですので、システム監査基準をその中で規定することは出来ません。
論理的にあり得ません。その認識なしに ISO 規格化運動を進めることは、システム監査の存在意義を否定することにつながると心配しております。
ISO 規格②は、基準と規準のどちらかかというと規準に属します。
つぎに、認証審査とシステム監査は、「監査」という用語で同列に論ずることは出来ないと認識してください。認証
審査の中には監査がありませんし、監査の中には認証審査はあり得ません。
認証審査は、審査業務であって監査業務ではありません。システム監査が ISO 認証審査と同じ論理構成と同じ検討手続を取らないといけないわけでも、取るわけでもありません。ISO 認証審査がシステム監査と同じ論理構成と同じ検討手続を取らないといけないわけでもなく、取るわけでもありません。その辺りを混同してはなりません。③
ISO 9000:2005(JIS Q 9000:2006)の監査に関する用語の定義を読んでみますと、ここでの audit の使われ方は、シ
ステム監査での監査の使われ方とは異質なものとなっています。
「監査」というよりも「検証行為」という意味でとらえられているようです。
ISO 認証審査では、「監査」は認証審査という業務を行うに当たっての技術用語として位置づけられています。ISO
19001 は、品質マネジメントシステムの監査とは自らを呼んでいません（ISO 監査などという呼称は存在しません）。
ISO 認証審査と呼んでいます。その認証審査業務を行う時に「監査」というプロセスを使うと言っています。
一方、システム監査では、「監査」は手段でも技術でもなく、業務の名称です。
一人で出来る「監査」という発想は、業務としての「監査」からは生まれません。「検証行為」というレベルではじめて成立する定義です。ある者の行為や結果のうち、依頼者が自らでは判断できない専門的な分野について、信頼おける第三者に調査検討を依頼し、保証を求める行為を「監査」と呼ぶのであって、調査検討することを監査と呼ぶ
わけではありません。調査検討した結果、ある者の行為や結果をその者が言うとおり信用してもいいと保証する行為
日本システム監査人協会 会報7

July. 2011

日本システム監査人協会 会報を監査と呼んで他の業務から区分しているのです。保証しないのなら、検証などと呼べばいいことです。わざわざ「監査」と呼ぶのは、保証した監査人の意見を信じて取引をした後に、その意見に反することが起こり依頼者が損害を被った場合、監査人が損害賠償の責任を負うからです。監査人の保証があってはじめて、監査はほかの業務から明瞭に区分して監査と呼ぶ値打ちがあるからです。
図:システム監査基準と ISO 規格における「監査」の用法
シ ス テ 監査ム

IS O認証審査(業務レベルでの用法）
監査手続（ 手続や技術レベルでの用法）

監査技術（ プ ロ セ ス と し 監査ての）ISO では監査を「監査基準④が満たされている程度を判定するために、監査証拠を収集し、それを客観的に評価するための体系的で、独立し、文書化されたプロセス」と定義しています。ここには「保証」の「ほ」の字もありません。
保証という要素がないならば、あえて「監査」と呼ぶ必然性はないはずなのです。
「監査」という言葉には不思議な魅力があります。検証行為を表現する言葉に、調査、検査、検討、審査、審理など様々な言い様がありますが、「監査」と言うと、なにか上等に聞こえるのです。「詳しく調査します」と言えばいいとこ
ろを、「精査⑤します」という今の流行り言葉と同じように、やたらと「監査」という言葉は使われます。監査が調査や審査と区分されるのは、保証行為だからだという本質を顧みずに、ただ格好良いから使われるという面があります。大昔、SNOOPY の中で、Hi-Fi と書かれた風船でもって、格好良いだけで意味も分からず Hi-Fi を使いたがる世間が批判されていたことを思い出します。監査という言葉も、どういう場合に他の言葉でなく監査という言葉を使うのかを意識されることはほとんどありません。単に格好良さそうだからというだけで使われがちです。
ISO のなかで使われている監査(audit)は、正にこのような誤解に満ちた使われ方です。
その中へ、我が日本システム監査人協会は乗り込んでいこうとしています。システム監査基準、管理基準を ISO 規
格化しようとするなら、まず、ISO9001 が昔に訳も知らずに定義した「監査」を他の用語に変更することから運動しなければなりません。ISO の中で定義された「監査」を生かしたままで、システム監査基準を ISO 化することは「監査」のダブルスタンダード化となります。「監査」の誤用を放任することになります。
システム管理「規」準の ISO 化は、まだ、論理的矛盾は尐ないでしょう。なぜなら、システム管理基準が前文で述べているように、それは、システム監査人に役立つのみならず情報システムの管理者等にも管理規準として役立つからです。
「システム管理基準は、組織体が主体的に経営戦略に沿って効果的な情報システム戦略を立案し、その戦略に基づき情報システムの企画・開発・運用・保守というライフサイクルの中で、効果的な情報システム投資のための、またリスクを低減するためのコントロールを適切に整備・運用するための実践規範である。」と述べています。「システム日本システム監査人協会 会報8

July. 2011

日本システム監査人協会 会報

監査基準に従って監査を行う場合、原則として、監査人が監査上の判断の尺度として用いるべき基準（藤野註：規準の意味）となる」が、組織体が経営管理のために用いる場合には、コントロールを適切に整備・運用するための実践規範になると言っています。実践規範とは分かりにくい表現ですが、コントロールが適切に整備され運用されているかを判定するための極めて具体的な規準という意味にとって間違いではないでしょう。
そうした規準は、ISO に載せることは出来ます。情報システムの効率性や信頼性や法令への準拠性を判断するための規準として役立つに違いありません。
ISO 19001 がもつ「監査」に関する用語の問題点は次の通りです。
監査の定義に、参考として、第一者監査、第二者監査、第三者監査なる用語を創造していることです。被監査客体から独立した第三者が行う保証行為であるという「監査」の大前提を理解していません。自らを監査するなどということは、監査の本質からいってあり得ないことなのです。「第三者監査は、JISQ9001 又は JISQ14001 の要求事項への適合性を審査登録又は認証する機関のような、外部の独立した監査機関によって行われる」といって、審査機関
や認証機関を監査機関と同一視しています。なぜある行為が審査であり、他の行為が監査であるかの認識がまるでありません。ここでの「監査」の使われ方は、検証行為とほぼ同意であって、保証行為の意味はありません。
「監査証拠」を「監査基準（藤野註：criteria をこう翻訳しています）に関連し、かつ、検証できる、記録、事実の記述
又はその他の情報」と定義されています。監査基準が「監査証拠と比較する基準として用い」られ、監査所見は、「収集された監査証拠を監査基準に対して評価した結果」とあるように、監査を単なる検証行為として認識しているようです。ここには、他の用語でなく、わざわざ「監査」という用語を使わなくてはいけない理由が見当たりません。
監査論では、監査証拠を単に判断尺度（criteria）と突合するものとは規定していません。監査意見を形成するための論拠として位置づけています。そのような認識が ISO にはありません。
監査チームの定義もひどいものです。「監査を行う一人以上の監査員」と言っています。監査は一人では出来ません。一人でしてもいけません。監査意見を形成するためには、偏りのない知識と経験と判断力が必要です。それを一人で持つことはまず不可能です。数名の監査人が分業し協業し意見を戦わせてこそ合理的な意見形成が出来るのです。それを一人でも監査が出来ると定義している意味は、これが監査ではなく、「監査基準」と「監査証拠」を比較し評価する単なる検証行為であるからだと推測できます。
「監査プログラムの管理」以下の監査手続に関する ISO の記述は、監査意見の形成論からみると、いよいよ奇妙奇天烈な様相を呈してきます。
「しなければならない」(shall)とすべきところに「してもよい」「望ましい」(should)という述語が乱発されていることに原因があるようです。

．．．．．．．．．
「監査プログラムの管理責任者は、次の作業を行うことが望ましい。」として、管理責任者がしなければならない項目．．．．．
を列挙してしてもよいと言っています。
「監査の計画策定及び実施を方向付けるために、監査プログラムの目的を設定することが望ましい」「特定の監査に対して監査チームリーダーを指名することが望ましい」．．
「監査の実施可能性は、次の事項の利用可能性を要因として考慮し、判定することが望ましい。」として、考慮しな．．．．．．．
．．．．．
ければならない項目を列挙してしてもよいと言っています。
「監査依頼者、監査チーム及び被監査者の間で、監査の実施に関する合意形成の基礎とするため、監査チームリーダーは、監査計画を作成することが望ましい。」として、監査計画を監査依頼者等との調査活動手配の手段程度にしか認識していません。監査計画とは、監査意見形成のために必要十分な監査証拠を秩序整然と適時に収集するた
日本システム監査人協会 会報9July. 2011

日本システム監査人協会 会報

め、監査資源をいかに配分するかという、監査を実施するためになくてはならないプロセスだという認識はありません。
監査計画なしに監査を実施するなどということはあり得ません。
「監査チームメンバーは、監査の割り当てに関連する情報をレビューし、並びに、参照のため及び監査の進行状況の記録のために、必要に応じて作業文書を作成することが望ましい。」「作業文書は、作業文書の使用の結果として生じる記録を含めて、尐なくとも監査が完了するまで保持しておくことが望ましい。」と、いかにして監査意見が形成されたのかをしめす作業文書（監査論では、「監査調書」といいます）を作成しなくてもいいし、監査が終われば破棄してもいいと言っています。すなわち、これは監査結果に責任を持ち、監査手続に不備があって監査報告書の利用者に損害を与えた場合、賠償責任を負う監査というものを想定していない書きぶりなわけです。やりっ放しでもいいわけです。後から責任を追及されることはない業務なようです。
こんな風に指摘していたらきりがありません。最後の極めつきはこれです。
「監査チームリーダーは、監査報告書の作成及びその内容に責任を持つことが望ましい。」
だれも責任を持たなくてもいい監査報告書とは何でしょうか・・・（絶句）つまり、IOS で書かれている「監査」とは、「監査」とは全く別物の作業レベルの行為を言っているのです。「監査」という用語を使わなくてもよい検証行為を「監査」と呼んでしまった誤解の産物です。
現在の日本では、横文字で書かれたものを諸手を挙げて歓迎し信仰する風潮があります。読んでみて変だと思っても無批判に受け入れる傾向があります。
ISO の中の「監査」の記述について、ISO にこう書いてあるから、監査とはこういうものだと声高に主張する人まで出現しています。情けない限りです。専門家であるならば、自分の頭で考えてみないといけません。
そんな嘆かわしい状況下で、システム監査に携わる有志の方々が、日本のシステム管理基準の ISO 化に打って出られたことには、おおいに敬意を表するものです。是非とも、ISO の不明や蒙昧を正して、システム監査に従事する
世界中の人達に役立つ世界標準を作っていただきたいと願っています。
システム管理基準の ISO 規格化の際に陥るに違いない過ちについて、老婆心ながら、以上書かせていただきました。どうかご参考にしてください。
① システム監査人協会創設当時は、システム監査基準のみでした。システム監査基準の中に監査規準が記述されていたことが混乱を招いた一因でもありました。
② システム監査基準（audit standard）で使われる standard は ISO や JIS で使われる standard とは意味が違っています。日本工業規格がＪＩＳ（Japanese Industrial Standards）と呼称するように standard を規格の意味で使います。ISO もstandard を使っており、これは標準と訳されます。標準とは、技術的な品質を判定する規準という意味です。それに対して、システム監査基準の訳語としての基準 standard は、システム監査を実施するための行動規範という意味です。
③ この後に論じているように、監査が他の業務から区分されるのは、保証行為であるからだと考えます。認証審査は、厳密に定義された規格に照らし合わせて審査対象が規格を満足している程度を判定する業務です。保証行為を含まないので認証審査には監査的要素は必要ありません。監査は監査人自身の責任で保証するため、機械的な判定
だけでは成立しません。監査人が自己の保証意見を述べるに必要十分と考える監査証拠を集めなければなりません。
その監査証拠が十分かどうかは監査人自身が責任を持ちます。監査には審査的要素は希薄です。両者は性格の異なった業務と言わざるを得ません。
④ 監査規準のことです。原文では、audit criteria となっています。standard とはなっていません。
⑤ 精査は試査に対応する監査論での専門用語です。

日本システム監査人協会 会報10

July. 2011

日本システム監査人協会 会報

セミナー開催報告、支部報告■ 【第 162 回月例研究会受講報告】
木村 裕一（№0148）
・テーマ

IT Auditing for IFRS Project
IFRS プロジェクトをシステム監査する

一般事業会社を中心として

 日時、場所

2011 年 5 月 31 日（火）18：30～20：30

御茶ノ水 総評会館

 講師

あずさ監査法人 ＩＴ監査部 パートナー
NPO 法人 日本システム監査人協会 理事

遠藤 誠 氏

まず、遠藤氏から次の講演骨子をいただきました。
『2011 年度は IFRS 基準の最終化に向けて、主に会計上の論点、影響等についての議論も一定の方向性に落ち着いてくると期待をしている。これから、本格的に IT システムの検討事項を作業レベルに落として取りまとめようとしている企業が多くなるのではないかと考えている。同時に今後はシステムの検討事項取りまとめにあたり、システム監査についてどのように取り組んでいくべきかについても検討が進むと思われる。 一般事業会社を例に取り上げて、リスク・フォ
ワード・ルッキングの考えに基づいた、システム監査計画を立案し、どのような評価手法、評価ポイントがあり得るのかについて説明をする。なお、IFRS プロジェクトに対するシステム監査事例を公開している研修セミナーはまだ実務が浸透していない事もあり、あまり見かけない。これから IFRS プロジェクトに対するシステム監査を計画したいと考えている方へヒントになるアイデアまたは具体的なアプローチの仕方について、意見交換できる研修になればよいと考えている。』
最初に提案骨子として次のようにまとめを話された。
①リスクフォワード・ルッキングアプローチに基づくリアルタイム監査
起こってしまった事実から監査するのではなく、これから起こるかもしれないというリスク予測に基づいてシステム監査を実施する。
②カスタムメイドをしたシステム監査評価項目を作成
経営からの要請、統制リスク評価、IFRS 固有のプロジェクト特性を踏まえて、カスタムメイドをしたシステム監査評
価項目を識別・計画する。
③内部統制の整備の評価にウエイトを置くアプローチ
内部統制を構築、組込みする時点で評価し、構築目的、意義、内容、統制のポートフォリオ等についてタイムリーに評価し、改善を促す。
IFRS プロジェクトのシステム監査を実施することの基本は、リスク予測に基づくこととして、IFRS プロジェクトのシステム
リスクの存在を探る、ことから考える。
この、アプローチとして次がある。
・先を見越して出来るだけ早くリスクを認識し、監査資源を効果的に投入・保証型監査よりも助言型監査の実施へ
・事後監査から、プロジェクトの進捗に応じた開発過程監査へ・リスクが高い特定領域にフォーカスした監査実施へ
この考え方にベースをおき、システム監査テーマをどのように決めるか、IFRS プロジェクトに対する会社のスタンスを 3
日本システム監査人協会 会報11

July. 2011

日本システム監査人協会 会報つに分けた上で、実施する場合のシステム監査の事例を示した。
次の目次展開により詳細に解説された。
１．IFRS プロジェクト
２．システム監査はいつから実施するのか？
３．システム監査テーマをどのように定めるのか？
ここは、テーマ１ から テーマ５までを設定して解説
４．内部統制の構築・設計に重点を置けるか？
５．IFRS について経営者の視点がどこにあるのか？
そして、システム監査を実施した結果、「わが国の内部統制報告制度から学んだこと」として『これからは、資源を必要なところに集中投下し、内部統制の構築の意義が共有され、周知される状態を作りたい。』と話をされた。また、Higher Level Control の考えを展開し、より高度な内部統制構築に向けての示唆をしている。
最後には、IFRS について投資家の視点および経営者の視点を重視する考え方から、経営者の視点がどこにあるか、
それは投資家の視点とどのような関係が有るかをみて、プロジェクト責任者の視点と、それを監査するシステム監査人の視点（役割）を次のように明確にした。
プロジェクト責任者の視点
１．IFRS が要求する会計ルールの枞組みに従って、最低限必要な情報の信頼性確保を重視し、重要なところにコストをかけ、限られた期間で品質の高い情報を提供できる仕掛けを構築する。
2．組織関係者等を動かし、有益な情報を定義し、IT を利活用して経営者の要求事項を実現する。
３．企業競争力を高める上で、うまくいっていること、うまく行っていないことをグルーピングし、関係者間で共有できる情報にするなど。
システム監査人の視点（役割）１．情報の信頼性に関する評価を中心に行い、今後起こりえるリスク対応を評価する。
２．1 に加えて、情報の拡充性に関する評価、IT の利活用の程度等の評価も行う。
３．うまくいっていること、うまく行っていない事の識別、分類、見える化の実現度合いを評価する。また根本的原因を分析可能にする知恵、手法の有効度合い、改善活動の実現度合いを評価する。など
当日は、１４０人近くの会員、会員外の方々がおいでになり、熱心に聴講されていた。
これから必要となるテーマであり、支部の方もビデオにより視聴、あるいはビデオ貸し出しの機会があるので、ぜひごらんいただき活用を図っていただくようにお勧めいたします。
なお、これまで IFRS 関連をテーマに行った月例研究会は次のとおりです。
・第 156 回 - 「IFRS（金融商品会計）による IT の影響と IT の内部統制の評価」－(2010/7/30)
・第 151 回 - 「ＩＦＲＳの概要と情報システムに対する影響」－(2009/12/25)
本部からのビデオ（資料つき）の貸出し制度があります。
以上

日本システム監査人協会 会報12

July. 2011

日本システム監査人協会 会報

支部報告 【東北支部活動報告：山形月例会兼研修会】■東北支部活動報告
舘田 あゆみ【山形（寒河江）合宿 月例会兼研修会】
東日本大震災により中断していた東北支部の活動再開の場として、６月度月例会兼研修会を、年初の計画通り山形県寒河江市で開催致しました。東北支部の毎年の恒例行事となりつつある“そば打ち体験”や、研修後のさくらんぼ狩りなどのイベントも含めて、久しぶりに会員が顔を合わせ、震災後のお互いの無事を喜び合うとともに、近況を語り合い、大変盛り上がりましたのでご報告致します。
＜開催概要＞
・開催日： 2011年6月25日（土） ～ 6月26日（日）・スケジュール：
25日（土） 11:00～13:30 そば打ち体験（紅葉庵） --会員懇親イベント
14:00～17:00 研修会part１ ディベート（テーマ：マネジメント信仰が会社を滅ぼす？）26日（日）

9:00～12:00 研修会part2 「震災を受けて －体験からのBCP」

・会 場： ホテルサンチェリー 山形県寒河江市本町一丁目2-23
・参加人数： そば打ち体験 10人、 研修会part１ 12人、 研修会part2 ９人＜報 告＞
１．そば打ち体験
既に3度目、4度目の挑戦となる会員も存在するほど、東北支部の例会でのそば打ち体験は恒例行事となりつつあります。
何度体験しても、自分で打ったそばの味は格別。何故か、他のチームが打ったそばより、自分のチームのそばがおいしく感じられてしまうのです。 田舎そば風の太い麺、そうめん風の極細面など、様々な太さでしたが、今年も大満足のそば打ちでした。
２．研修会ｐａｒｔ1「ディベート」
ディベートを体験してみよう、ということで演習にチャレンジしました。
まず、ディベートの基本について勉強した後、肯定、否定、審判の３つのグループに分かれ、演習2題に取り組みました。
① 「住むなら、マンション／一戸建」
ディベート初挑戦のメンバもあり、多尐説得力に欠ける（？）点もあったものの、やり方、進め方は全員把握できたかな？という雰囲気。ウォーミングアップの題材としては適当でした。

日本システム監査人協会 会報13

July. 2011

日本システム監査人協会 会報②「マネジメント信仰が会社を滅ぼすか」
ディベートの雰囲気を掴んだところで、普段の仕事に密接に関わるテーマとあって、議論にも熱が入りました。ただし、結論としての主張は、実は肯定派も否定派もほぼ同じ方向性・内容になってしまい、優劣は主張の際の態度や口調による差で決着しました。
ディベートは、それと意識せずに仕事の中で訓練されていることが多い、と参加してみて感じましたが、体系的に組み立てられたゲームの中で、普段の自分自身の思考と行動を振り返ることができ、大変有意義でした。
３．研修会part2 「震災を受けて －体験からのBCP」
一人一人が、震災時の自らの体験と、その後の状況を語るとともに、様々な角度からBCPについての考えを披露し、後、尐しテーマを絞って議論しました。
今回の参加者が、宮城、福島など被災地の中に居る、ということもあり、生々しい話や実務での苦労など、各人の体験談だけでも大変
聴きごたえのある内容でした。
たくさんの観点から、有意義なキーワードが挙がったため、研修後にキーワードをまとめる作業に入っています。
現在、被災地だけでなく、全国各地でも今回の震災に伴っていろいろな勉強会やシンポジウム等が開催されていますが、体験者の目を通したBCPとして、東北支部でもまとめて行きたいと考えています。
４．おまけ
今回も、東北支部以外から、桜五さん、福田さんが参加して下さいました。例会を盛り上げていただきありがとうございました。
また、JISTA東北支部からも共催イベントとして参加いただきました。
震災の影響で、東北の太平洋側沿岸部はまだまだ被災の爪痕が厳しく、ご苦労されている方々が大勢いらっしゃいますが、仙台をはじめとして都市部はほぼ日常を取り戻しております。
東北支部も、しばらく活動停滞しておりましたが、みんな元気に頑張っておりますので、全国のみなさま、
是非、東北支部に遊びに（？）きて下さい。そして、東北復興のために積極的に観光などにもお出かけ下さい。お待ちしております！
以 上

日本システム監査人協会 会報14

July. 2011

日本システム監査人協会 会報

投稿■ 【保証業務に係る公表文書の調査研究と保証型システム監査の一考察 （3 章）】
榎本 吉伸(この投稿は 6 月号に掲載したレポートの続きです。4 章は 8 月号に掲載予定です。)
3．監査・保証実務委員会報告第 20 号「公認会計士が行う保証業務等に関する研究報告」（日本公認会計士協会：
2009 年 7 月 1 日）における保証業務の定義
3.1 本研究報告の目的「監査・保証実務委員会研究報告第 20 号「公認会計士等が行う保証業務等に関する研究報告」（以下、「研究報告」という）の公表について」によれば、「日本公認会計士協会では、財務諸表監査以外の保証業務について、その扱いが必ずしも明確ではない部分もあるため、平成 16 年７月６日付けで保証業務フレームワーク検討プロジェクトチーム報告書「公認会計士が行う保証業務に関するフレームワーク（試案）」を公表し、」云々とある。
また、同じく「本研究報告は、上述の意見書が、保証業務の概念的枞組みを整理することを目的としており、必ずしも公認会計士等が行う業務上の直接的な規範となるものではないことから、意見書に記載された用語を踏襲しつつも、会員の実務の参考に資するため、公認会計士等が行う保証業務について、（中略）その範囲及び信頼性の程度等を明確化し、現行の実務の状況に基づいて、保証業務に係る手続や結論の報告の内容及び関連する留意事項等を示した。」とある。
この目的の記載で特に留意すべき点は、「財務諸表監査以外の保証業務について、その扱いが必ずしも明確ではない部分もある」と「意見書が、必ずしも公認会計士等が行う業務上の直接的な規範となるものではない」という２つの視点である。
以下、上記の２視点において本研究報告固有の記載内容を、本研究報告の目次に順じて紹介する。なお、「財務情報等に係る保証業務の概念的枞組みに関する意見書」（金融庁企業会計審議会）の内容に準じた記載項目は項目名のみ記載し詳細は省略する（項目のあとに（意見書に同じ）、また特段に紹介することもない項目は（省略）と記入）。
3.2 保証業務の概要
3.2.1 保証業務の定義
本項は、意見書に基本的に同じだが、以下の事項が注記されている。
①本研究報告の対象としていない業務・会社法に規定する計算書類の監査
・金融商品取引法に規定する財務諸表監査（中間監査を含む）、内部統制監査
・四半期レビュー②本研究報告での保証業務に該当しない業務
・財務情報又は財務諸表の作成・編集の受託業務
・依頼者のためだけに実施するコンサルティングや助言の業務・関与先の代弁者となる業務（税務業務を含む。）
・合意された手続による業務
3.2.2 保証業務の分類
本研究報告では、以下の２つの分類を挙げている。次の①は本研究報告固有の分類ゆえここに紹介する。
①主題情報に対する保証業務と直接報告による保証業務
本研究報告では、主題情報について明確にされている。すなわち、主題情報とは「主題に責任を負う者が、一定の規準によって主題について自ら評価又は測定を行い、その主題を評価又は測定した結果を表明する情報である主題
情報」と定義されている。その上で、主題情報に対する保証業務とは、「業務実施者が当該主題情報の一定の規準への準拠性について独立した第三者の立場で評価又は測定し、自ら入手した証拠に基づき規準に照らして判断した結果を結論として報告する業務である。」（傍点筆者）と追記して説明されている。
日本システム監査人協会 会報15

July. 2011

日本システム監査人協会 会報

一方、直接報告による保証業務とは「業務実施者が、主題に責任を負う者からの主題情報を入手することなく、主題それ自体を直接一定の規準に照らして評価又は測定した結果を結論として報告し、もって主題に対して一定の信頼性を付与する業務である。」（傍点筆者）。
②合理的保証業務と限定的保証業務
基本的に意見書と同じ記載内容だが、その相違が保証業務の実施結果としての結論の報告形式の差異となり、「合理的保証業務の場合は積極的形式によって結論を報告し、限定的保証業務の場合は消極的形式によって結論を報告する。」とある。
3.3 保証業務の実施の前提（意見書に同じ）
3.3.1 法令や倫理規則等の遵守（省略）
3.3.2 品質管理体制の整備（本研究報告固有：省略）
3.4 保証業務の要素（意見書に同じ）・業務実施者、主題に責任を負う者、想定利用者によって構成される保証業務に関わる三当事者の関係・保証業務における適切な主題・主題を評価又は測定するのに適した規準・十分かつ適切な証拠・合理的保証又は限定的保証を表現するために適切な様式により書面をもって提供される保証報告書
3.5 保証業務に関わる当事者（意見書に同じ）
3.5.1 三当事者の存在
3.5.2 業務実施者
本研究報告では、業務実施者の定義が成されている。即ち「業務実施者という用語は、財務情報に関する監査やレビ
ュー業務を行う業務実施者を呼称する監査人という用語よりも広義である。」と、業務対象を財務情報に限定していな
いことがキーワードである。
3.5.3 主題に責任を負う者
本項では、但し書きとして「ただし、主題に責任を負う者は主題のみに責任を負う者ではなく、場合によっては主題情
報には責任を負うが主題には責任を負わない場合もあり得る。」とある。ここは具体的な例を挙げて説明の欲しい箇所である。
3.5.4 想定利用者
本項でも、意見書に加えて留意すべき次の追記がある。「保証報告書は、すべての想定利用者向けのものである。
例えば、保証報告書の名宛人以外であっても、当該保証報告書を入手可能な者は、想定利用者に含まれる。」
3.6 主題（意見書に同じ）
本項では、主題の事例について意見書よりも具体的な表示があるので紹介する。

１
２
３
４

項目

主題の例

主題情報の例

四半期財務情報四半期の財政状態、経営成績及四半期会計基準に基づく四半期財務諸表

びキャッシュ・フローの状況
内部統制(システム

規準やフレームワークが存在する

当該内部統制（システム又はプロセス）の有又はプロセス)

内部統制（システム又はプロセス）

効性に関する経営者の主張

コンプライアンス

法令等により遵守すべき規準が明

当該業務の法令等遵守に関する経営者の

確な業務

主張

評価規準や指針が存在する環境

環境報告書

環境

日本システム監査人協会 会報16

July. 2011

日本システム監査人協会 会報に関する状況

５

成果

測定規準が存在する成果

当該成果に関する報告書

ここで注意いただきたいのは、「５ 成果」で主題の例に「測定規準が存在する成果」と“測定規準が存在する”という形
容詞がついていることである。保証業務とは、主題を測定又は評価する際に測定可能な一定の規準への準拠性を保証するものであることが伺える。保証型システム監査の目的に信頼性のみならず戦略性や有効性・効率性を含めた場
合、“戦略性や有効性・効率性を測定する規準が存在すること”が重要であることを示している。
3.7 保証業務に関する規準の必要性とその要件（意見書に同じ）
本研究報告には、項の最初に「保証業務の信頼性を確保するためには、主題を評価又は測定するための規準（以下「規準」という。）と、財務諸表監査における監査の基準のような保証業務を実施するための基準（以下「業務実施基準」という。）が必要である。」とある。システム監査でいう「システム監査規準」と「システム管理規準」のことであろう。
3.7.1 主題を評価又は測定するための規準（筆者追記：適切な規準としての要件）
本研究報告には、適切な規準としての要件で、意見書の５項に対して「中立性」が削除され、「客観性」が追加されている。内容は同じことと考えてよい。
3.7.2 想定利用者の利用可能性（意見書に同じ）
想定利用者にとって利用可能性な規準の定義も以下の通り、意見書に同じである。
① 公表されている規準② 主題情報において明示されている規準③ 保証報告書において明示されている規準④ 広く一般に理解を得られている規準
3.8 保証業務の受嘱（他の項目で記載された内容の視点を変えたまとめ）
この項は、本研究報告固有の項目であるが、保証業務を受嘱する視点から満たすべき要件等がまとめられているだ
けで既に触れられている内容である。項目のみ記載する。
3.8.1 受嘱の要件① 倫理規則（例えば独立性や業務チームの専門能力）が遵守されていること② 実施する保証業務が以下の要件をすべて満たしていること
・主題が適格性を有していること
・主題を評価又は測定するための適切な規準が存在し、その規準は想定利用者が利用可能であること
・業務実施者が結論の裏付けとなる十分かつ適切な証拠を入手できる状況であること
・業務実施者の結論が書面により報告されること・業務実施者の実施する手続が合理的に遂行されるものであること
3.8.2 保証業務の実施条件の合意
この項は保証業務を実施する際に契約書等に盛り込む項目として重要な合意要件なので項目のみ記載する。
① 保証業務の目的及び対象② 保証業務を実施する際に準拠する規準及び業務実施基準③ 保証業務の具体的内容や特徴④ 主題に責任を負う者の責任及び業務実施者の責任⑤ 保証報告書の内容及び形式⑥ 業務実施者の独立性⑦ その他必要と考えられる項目（例えば、利用制限、守秘義務、報酬及び経費の額、契約の解除・終了、損害の賠償、裁判の所轄等）3.8.3 業務の変更
合理的保証業務から限定的保証業務への変更等が発生した場合の注意事項で本研究報告には「業務実施者は、保証業務の完了前に、合理的保証業務から限定的保証業務への変更、又は保証業務から合意された手続業務への変更を求められた場合には、変更することに合理的な正当性（根拠）がなければ同意しない。すなわち、否定的な証拠を発見したために合理的保証業務から限定的保証業務に変更するようなことがあってはならない。当初の保証業務開日本システム監査人協会 会報17

July. 2011

日本システム監査人協会 会報

始後発見された証拠は、それが否定的なものであっても、当初の業務目的に沿って利用する。」とある。
3.8.4 法律的リスク及び社会的リスク
意見書には保証業務リスクを定義しているのに対して、本研究報告には「財務諸表監査以外の保証業務は成熟していない業務もあることから、業務実施者は保証業務を受嘱することによって保証業務リスク以外の広義のリスクを負う可能性があるため、保証業務の受嘱の可否を判断する場合に広義のリスクの存在を考慮する必要があると考えられる。
本研究報告では広義のリスクを法律的リスクと社会的リスクに分類する。」とあり、法律的リスクと社会的リスクが紹介されている。各々項目のみ記載する。
①法律的リスク
法律的リスクとは、「業務実施者が、その保証業務の実施において瑕疵があり、不利益を被った契約当事者又は想定利用者から損害賠償を求められる、又は訴訟を提起されるリスクである。保証報告書において不適切な結論を報告した場合や、業務上知り得た情報を正当な理由なく漏洩又は盗用した場合などがこれに該当する。」とあり、法律的リス
ク回避の対策には、次のような対応が挙げられている。
・受嘱時のリスク管理の徹底（事前合意／契約事項の徹底）・職業的専門家としての倫理の厳守
・適切な品質管理の実施
・保証水準の明示②社会的リスク
社会的リスクとは、「業務実施者が付与する保証水準と、契約当事者又は想定利用者が業務実施者の保証業務に期待する保証水準とが乖離し、誤解や紛争が生じるリスク」である。その社会的リスク回避の対策には、次のような対応が考えられる。
・保証業務の契約書での対応－保証業務の目的や与える保証の内容を記載する。
－保証業務は、主題又は主題情報に虚偽や誤謬が存在しないことを絶対的に保証するものではないことを記載する。
－主題情報の作成等の責任は、主題に責任を負う者にある旨を記載する。
－業務実施者の責めに帰すべき事由に基づき生じる業務対象の契約当事者の損害について、その限度額を記載する。
・保証報告書での対応－業務実施者が保証業務を実施する際に準拠した業務実施基準の名称を記載する。
－想定利用者が、業務実施者の結論の根拠を理解できるように、主題を評価又は測定した規準を記載する。
－主題に責任を負う者が主題情報の作成等に責任を有し、業務実施者は、その主題又は主題情報について報告した
自己の結論に責任がある旨を記載する。
－業務実施者は、適用する規準に照らして評価又は測定した主題又は主題情報の信頼性について、その範囲及び程度が明確になるように記載する。
－業務実施者は結論の報告に加えて、特に説明が必要と認められる事項があれば、それを記載する。
－保証報告書の利用目的が制限されている場合には、想定利用者及び利用目的を記載する。
3.9 独立性（意見書に同じ）
独立性の考え方については、意見書では「一 審議の背景」に背景として独立性の強化に触れられているだけで項目を挙げての明示はない。
3.9.1 独立性の原則
本研究報告には、独立性の考え方として、「業務実施者は、主題に責任を負う者や契約当事者に対して独立性を有する必要がある。独立性には精神的独立性と外観的独立性があり、その両方が要求される。」とあり、精神的独立性と外観的独立性について説明されている。
3.9.2 独立性に対する脅威への適切な措置
その上で、独立性に対する脅威として以下の５つが挙げられている。
・自己利益、自己レビュー、馴れ合い、擁護、脅迫
更に、「業務実施者は、保証業務を実施するに際しては、「倫理規則」及び「独立性に関する概念的枞組み適用指針」に基づいて当該脅威の有無に十分留意し、必要な適切な措置を講じる。」とあり、より理解を深めるためには「倫理規則」及び「独立性に関する概念的枞組み適用指針」を参考にすると良い。

日本システム監査人協会 会報18

July. 2011

日本システム監査人協会 会報

3.10 重要性（意見書に同じ）
重要性の原則を適用すべき範囲は、基本的には意見書と同じであるが、意見書では「七 証拠」の第４項として取り上げられており、本研究報告での範囲のほうが広い。箇条書きでまとめると以下のようになる。
・保証業務を計画し実施するに当たって重要性を考慮
・証拠収集手続の種類、時期及び範囲の決定を行うときに重要性を考慮する
・主題情報に重要な虚偽表示があるかどうかの判断を行うときに重要性を考慮する
但し、重要性の判断については「特定の業務の実施における重要性及び量的・質的要因の相対的な重要度は、業務実施者の判断事項である。」とあり、業務実施者の能力如何である。
3.11 保証業務リスク（意見書に同じ）
3.11.1 保証業務リスクの定義（省略）3.11.2 業務の種類による保証業務リスクの水準
保証の水準については意見書と同じであるが、この「水準」については他の監査でも同様に、言語明瞭・意味不明とまでは言わないが、水準の妥当性評価が困難であり、水準を判断すべき尺度（モノサシ）と指標が明確ではない。評価に見解の相違が出る要因であり、業務実施者の能力に大きく影響される所以である。
3.11.3 保証業務リスクの構成要素
保証業務リスクの構成要素については、本研究報告においては以下の通り２段階の分類でより明確に説明されている。
個々のリスクの説明は省略する。
①主題情報に関する重要な虚偽表示のリスク
・固有リスク・統制リスク②発見リスク・発見リスク3.12 十分かつ適切な証拠を収集するための保証業務の手続
この項でも先ほどの水準と同じく、「十分かつ適切」の判断指標が明確でないので実務経験が豊富でないと十分かつ適切な証拠の妥当性の判断は難しい。
本研究報告では十分かつ適切な証拠および証拠収集手続に、意見書より多くの紙面を割いて説明されている。実務上、具体的な作業では参考となるので尐し詳しく見る。
3.12.1 一般的留意事項（意見書に同じ）
本研究報告では、「主題情報に重要な虚偽表示が含まれていないかどうかについて判断するための十分かつ適切な証拠を入手することができるように、職業的専門家としての懐疑心を保持し、保証業務を計画し実施する。」と職業的猜疑心の必要性を説く。また、保証業務を計画し実施する際には、「重要性、保証業務リスク、入手可能な証拠の量の十分性及び質の適切性について考慮する必要がある。特に、証拠収集手続の種類、時期及び範囲を決定する際には、これらを十分に考慮する。」という。
①職業的専門家としての猜疑心
本研究報告には「職業的専門家としての懐疑心に関しては、監査基準委員会報告書第 24 号「監査報告」第 10 項が参考となる。」とあるが、本研究報告と「監査報告」第 10 項とに特段の違いはない。
②主題の適格性の評価
意見書「亓 主題」、本研究報告「6 主題」に照らして評価することが述べられている。
③規準の適切性の評価
意見書「六 規準」、本研究報告「7 保証業務に関する規準の必要性とその要件」に照らして判断する旨が記載されている。
3.12.2 計画①計画策定上の留意事項
計画の策定目的は、「業務実施者は、保証業務を効果的に実施できるように、当該業務を計画する。」とある。更に計画内容として「保証業務における計画は、保証業務の範囲、重点事項、実施時期及び業務実施に関する概括的な戦略であり、実施すべき証拠収集手続の種類、時期及び範囲の詳細とその決定理由を含むものである。」と紹介されて日本システム監査人協会 会報19

July. 2011

日本システム監査人協会 会報

いる。
特に留意する事項として、以下を挙げている。
・保証業務に係る契約条項
・主題及び規準の特徴
・業務のプロセスと証拠の入手源
・事業体及び事業体を取り巻く環境に関する業務実施者の理解・想定利用者及びそのニーズの特定並びに重要性及び保証業務リスクの要因の考慮
・他の職業的専門家の関与の内容及び範囲を含む必要な人員及び専門能力②計画の修正（省略）③主題及び業務環境の理解
本研究報告では、更に主題や業務環境について理解する必要があるという。すなわち「主題及び業務環境を理解す
ることは、保証業務の計画・実施における必須事項であり、業務実施者が次のような事項を実施する場合において、職業的専門家としての判断を行使するために参考となる枞組みを提供する。」と以下を挙げている。
・主題の特徴を考慮する場合
・規準の適切性を評価する場合
・不正の兆候や他の職業的専門家の業務の利用等の特別な事項を考慮する必要性を判断する場合
・量的重要性の基準値を決定し、それが継続的に適切であることを評価する場合又は質的重要性を考慮する場合
・分析的手続を実施する際の期待値を設定する場合
・保証業務リスクを適切な水準まで低減するために追加的手続の計画を策定し実施する場合
・主題に責任を負う者による口頭又は文書による陳述の合理性など証拠を評価する場合
3.12.3 証拠収集手続①証拠の十分性および適切性・証拠の十分性および適切性の定義（意見書に同じ）・証拠の信頼性（意見書より具体的に記述）
本研究報告では、「証拠の信頼性の程度を次のように一般化することは有用であると考えられる。」として、信頼性の程度について“一般的な判断指標”を以下の通り挙げている。実務には有用である。
－独立した第三者から入手した外部証拠ほど信頼性は高い。
－関連する内部統制が有効に機能しているほど内部証拠の信頼性は高い。
－業務実施者が自ら直接入手した証拠は、間接的又は推論によって入手した証拠よりも信頼性は高い（例えば、内部統制の適用に関する観察から得られた証拠は、質問から得られた証拠よりも信頼性が高い。）。
－何らかの媒体（紙やディスク等）により文書化されているものほど信頼性は高い（例えば、会議の場で同時に作成された議事録は、その会議で何が議論されたかについての後の口頭による陳述よりも信頼性が高い。）。
－オリジナルの書面から入手した証拠の方が、コピーやファックスで提供されるものより信頼性は高い。
・異なる情報源から入手した証拠の整合性（省略）・一定期間に関する証拠と一定時点に関する証拠（省略）・証拠の有効性と入手コスト（省略）②証拠収集手続の種類、時期及び範囲等
・証拠収集のための手続の種類、時期及び範囲の相違（省略）・合理的保証業務における証拠収集手続（重要なので詳細を記載）
合理的保証業務において求められる積極的形式での結論を報告するために、その保証水準に応じた十分かつ適切な証拠を入手する手続を適用するときに考慮すべき事項として、次の５項目が挙げられている。
－主題及び業務環境の理解（主題によっては、内部統制の理解を含む。）－前項に示した理解に基づく、主題情報に重要な虚偽表示が含まれるリスクの評価－リスクの評価に応じた証拠収集手続の種類、時期及び範囲の決定－識別したリスクに関連付けた、視察（inspection）、観察、確認、再計算、再実施、分析的手続及び質問の組み合わせによる追加的手続の実施
このような追加的手続は、適用可能な場合には、主題に責任を有する者から独立した情報源からの補完的な情報の入手、主題の特徴によっては、内部統制の運用状況のテストを含む実証手続に関するものである。
－入手した証拠の十分性及び適切性の評価
日本システム監査人協会 会報20

July. 2011

日本システム監査人協会 会報

この最後の項に関しては、具体的な評価の方法を示して欲しいものである。
・合理的保証の水準（重要なので詳細を記載）
合理的保証の水準について、本研究報告には「通常は次のような要因により、保証業務リスクをゼロとすること（「絶対的保証」を得ること）は極めて困難であるか、経済合理性がない。」とあり、以下の５項目を挙げている。第１項目の「保証業務の証拠収集手続は、原則として“試査”により実施されること」の記載が重要である。
－保証業務の証拠収集手続は、原則として試査により実施されること－内部統制の固有の限界があること－入手可能な証拠は、説得力のあるものではあっても絶対的なものではないこと－証拠の収集、評価及び結論の形成には業務実施者の判断が伴うこと－規準に基づいて評価又は測定された時点の主題の特徴
・限定的保証業務における証拠収集手続（省略）3.12.4 確認書（意見書には無い）「確認書」は本研究報告における固有の用語である。本研究報告には、「確認書とは主題に関する責任、主題情報に関する責任（例えば、記述書の作成責任）及び必要と判断した確認事項を記載したもの」とある。内部統制で言えば、『内部統制報告書』が確認書に相当するのであろうか。
①確認書の入手と結論の報告
引続き、本研究報告には「口頭での陳述を文書化することによって、業務実施者と主題に責任を負う者との間に誤解が生じる可能性を軽減することができる。」とある。
また、「確認書を入手していない場合には、業務範囲の制約として取り扱い、限定付結論を報告するか、結論を表明しないことを検討する。また、この場合には、保証報告書に利用制限を記述することも併せて検討する。」とある。
本研究報告から推察できるのは、合理的保証業務を行うに当たっては、主題に関する責任、あるいは主題情報に関する責任等を“文書化”したものを入手することが重要である。
②陳述の評価（省略）③入手すべき証拠と確認書の限界
確認書は、「主題に責任を負う者の保証業務全体の事実認識を確かめる意味では重要なものであるが、確認書自体は業務実施者が入手すべき他の証拠の代わりにはならない。」とある。
3.12.5 専門家の利用（省略）3.12.6 後発事象（省略）3.12.7 調書の作成①調書に記録すべき事項
業務実施者は、次の事項を調書に記録する。
・保証報告書の基礎を形成する重要な証拠となる事項
・保証業務を、本研究報告又は業務実施のためのガイドラインとなる他の適切な基準等に準拠して実施したことを示す
根拠となる事項②重要事項に関する業務実施者の判断根拠の記録
調書には、業務実施者の判断を必要とするすべての重要な事項についての業務実施者の判断根拠と結論を記録する。原則又は判断に関する重要な疑問がある場合には、業務実施者が結論に至った時点において知っていた関連事
項を調書に記録する。
③記録すべき事項の範囲
調書に記録し保存しておくべき事項の範囲を業務実施者が専門家として判断するに際しては、「過去に当該保証業務に従事したことがない他の業務実施者が、実施された業務内容と重要な判断の根拠を理解できる程度の記述をすることに留意する。」とある。更に但し書きがあり、「当該他の業務実施者は、実施された業務内容について、調書を作成した業務実施者とのディスカッションを通じてしか詳細に理解することができない場合もある。」とあり、結局は調書だけでは理解できないことも容認している。
3.13 保証報告書
3.13.1 保証報告書の形式①保証報告書と十分かつ適切な証拠
保証報告書では、「業務実施者が、適用した規準や業務実施基準及び結論の裏付けとなる十分かつ適切な証拠を入手することができたかどうか並びに業務を実施して得た保証に関する結論」を報告する。
日本システム監査人協会 会報21

July. 2011

日本システム監査人協会 会報②保証報告書の形式
保証業務の報告書は“書面”によるとある。当然である。
③短文式報告書と長文式報告書（省略）3.13.2 結論の報告①合理的保証業務合理的保証業務の保証報告書については重要なので以下に全文引用する。「合理的保証業務の保証報告書においては、業務実施者は、保証業務の対象となる主題又は主題情報について、保証業務リスクを合理的保証業務に求められる水準に抑えるための手続を実施したことを記した上で、積極的形式によって結論を報告する。その場合、すべての重要な点において、規準に照らして適正性や有効性等を認めるかどうかを報告する。」②限定的保証業務
同じく限定的保証業務の保証報告書については、「限定的保証業務の保証報告書においては、業務実施者は、保証業務の対象となる主題又は主題情報について、保証業務リスクを限定的保証業務に求められる水準に抑えるための手続を実施したことを記した上で、消極的形式によって結論を報告する。その場合、すべての重要な点において、規準に照らして適正性や有効性等がないと信じさせる事項が認められなかったかどうかを報告する。」とある。
③主題情報に基づく方式と直接報告方式
保証報告書における結論の報告には、以下の２通りがある。
・主題情報に基づく方式
主題に責任を負う者による想定利用者への主題情報の提示に対する結論を報告する方法
・直接報告方式
直接に主題に対する結論を報告する方法
尚、本項には、「主題に責任を負う者による想定利用者への主題情報の提示がない場合は、直接方式により主題について積極的形式又は消極的形式によって結論を報告する。」とあるが、3.12.4 確認書の項には、「確認書を入手していない場合には、業務範囲の制約として取り扱い、限定付結論を報告するか、結論を表明しないことを検討する。」とある。尐し矛盾を感じるのは、筆者だけか。
以上、保証報告書における結論の報告は、まとめとして以下の９通りに分類される。
結論の報告
肯定的結論

範囲限定

結論限定

c. 主題情報にd. 主題情報に

基づく方式

基づく方式

g. 主題情報に基

h. 主題情報にi. 主題情報に

づく方式

基づく方式

基づく方式

a.主題情報に基づ

積極的方式

く方式
b.直接報告方式

消極的方式

限定的結論

否定的結論

結論不表明

e. 主題情報に

f. 主題情報に

基づく方式

基づく方式

(本研究報告の表に筆者一部追記)
ただ、主題そのものを監査する直接報告方式が肯定的結論（積極的方式）にしかない理由をもう尐し詳しく説明が欲しい。
また、消極的方式（否定的結論）および消極的方式（結論不表明）についての記載がない。
3.13.3 結論の報告に係る除外等（省略）
3.13.4 保証報告書の記載事項
この項は、具体的で実務上有効である。各項目の内容は既に記述の内容と重複するので、ここでは記載項目のみ紹
介する。
①表題
②日付
③宛先
④保証業務を実施した法人名又は個人名⑤主題を評価又は測定する規準⑥保証報告書の利用制限
日本システム監査人協会 会報22

July. 2011

日本システム監査人協会 会報⑦ 主題又は主題情報に関する記述⑧ 主題に責任を負う者の識別及び主題に責任を負う者と業務実施者の責任⑨ 保証業務に関する業務実施基準に準拠して業務が実施されたこと（この項、詳細紹介）対象となる主題又は主題情報を評価する際に「特有の業務実施基準」がある場合、「保証報告書において、当該業務実施基準に準拠して業務を実施している旨を記載する。」とある。
⑩ 実施した業務の概要⑪ 業務実施者の結論⑫ 規準に照らして主題を評価又は測定する場合の重要な固有の限界（必要と認めた
場合）⑬ 利害関係の有無
3.13.5 結論の報告の種類と記載方法
この項では、「3.13.2 結論の報告」で報告の種類に応じて示された a.～i.の９通りの報告書の記載例が掲げられている。この記載例は具体的で実務上有効ある。
但し、報告書の記載例で留意すべきは、a.積極的形式（肯定的結論）の雛形において「独立した監査法人の検証報告書」とあり、監査報告書とは書かれていない。これは雛形が、「特定システムのセキュリティの検証についての合理的保証業務を対象とした例」のためか。報告書例が財務報告の信頼性の場合には会計監査報告書であり、「監査報告書」と記載するのが一般である。本研究報告には理由の解説もないが、説明の欲しいところである。
尚、本項で挙げられている文例 a.～f.がシステムセキュリティの信頼性に関する保証業務に関する保証報告書なのでIT に関する保証業務では極めて有効である。
3.14 合意された手続（Agreed upon procedures）
意見書では、合意された手続について「業務実施者が、主題に責任を負う者又は特定の利用者との間で合意された手続に基づき発見した事項のみを報告する業務（傍点筆者）」と定義のみ説明されている。
本研究報告では、合意された手続の実施結果報告書（以下「実施結果報告書」という。）を作成するに際して留意すべき事項が示されている。
なお、本研究報告では「財務情報についての合意された手続を実施する際の取扱いを示しているが、非財務情報に関しての合意された手続についてもこの取扱いによることができる。」とある。
3.14.1 目的合意された手続の目的は、「公認会計士等が業務依頼者及び実施結果の利用者の関係者の間で合意された手続を実施し、その実施結果を報告することである。」と意見書の定義と同様に説明されている。
さらに、目的では保証業務でないことが明確にされている。本研究報告曰く、「業務実施者の報告は、合意された手続の実施結果の事実に関してのみ行われ、いかなる結論の報告も、また保証の提供もしない。」（傍点筆者）。
このため、「実施結果の利用者は業務実施者から報告された手続及び実施結果に基づき、自らの責任で結論を導くことが予定されている。」という。
3.14.2 合意された手続を実施する場合の基本原則（省略）3.14.3 契約条件の合意
業務実施者は、業務依頼者等の関係者と合意された手続及び契約条件に関して、以下の内容を含む文書（契約書）
により明確にする。
① 合意された手続業務は、保証業務には該当せず、したがって、いかなる結論の報告も、また保証の提供もしないこと② 契約の目的③ 合意された手続を実施する対象項目と合意された手続④ 実施する手続の種類、時期及び範囲⑤ 実施結果報告書の内容⑥ 実施結果報告書の配付及び利用制限⑦ その他必要と考えられる事項
3.14.4 計画（省略）3.14.5 文書化（省略）3.14.6 手続と証拠合意された手続において採用される手続として、以下が挙げられている。
日本システム監査人協会 会報23

July. 2011

日本システム監査人協会 会報① 質問及び分析的手続② 再計算、照合・突合その他正確性の検証技術
③ 立会
④ 実査
⑤ 確認
3.14.7 業務対象に責任を負う者の確認書合意された手続における確認書については、「入手することが合理的と判断する場合には、業務対象に責任を負う
者から業務対象に関する責任及び合意された手続を選択する責任等について記載した確認書を入手する。」（傍点筆者）とある。確認書は入手すべきであろう。
3.14.8 実施結果報告書の記載事項
実施結果報告書に記載すべき事項が、以下の通り記載されている。
① 表題（「合意された手続実施結果報告書」）② 日付（業務終了日）③ 宛先（通常は、業務依頼者）④ 合意された手続を実施した法人名又は個人名（署名を含む。）⑤ 合意された手続の業務対象⑥ 実施された手続は、関係者間で合意された手続である旨⑦ 合意された手続の実施に当たり準拠した規準等⑧ 合意された手続を実施する目的⑨ 実施された手続の内容⑩ 合意された手続の実施結果（発見事項及びその詳細を含む。）⑪ 合意された手続業務は、保証業務には該当せず、したがって、いかなる結論の報
告も、また保証の提供もしない旨⑫ 合意された手続のほかに追加の手続を実施するか、又は保証業務を行った場合は、追加的に報告すべき事項が発見される可能性がある旨⑬ 報告書は、実施すべき合意された手続の関係者にのみ配付することができる旨⑭ 報告書は、特定された業務対象のみに関するものであり、全体としてのいかなる業務対象にも言及するものではない旨⑮ 必要に応じて、公認会計士法の規定に準じた利害関係の有無合意された手続における確認書にある「合意された手続を選択する責任」については記載がないのは何故であろう。
3.14.9 実施結果報告書の文例（省略）3.15 本研究報告における「保証業務」まとめ
3.15.1 保証業務の定義
意見書に同じ。
3.15.2 保証業務の要素
意見書に同じ。
3.15.3 本研究報告に関する総論
以上、見てきたように本研究報告の記載内容は、意見書の域を超えていない。意見書に記載された事項の更に詳し
い説明か、あるいは一部の項目では具体的な内容が紹介されているが、実務上有効なのは保証報告書の記載方法（文例）ぐらいである。
『実務指針／実施規準』や『実務マニュアル』のレベルは期待できない。
更に、IT 委員会報告第 5 号「IT に係る保証業務の実務指針（一般指針）」を見る。

日本システム監査人協会 会報24

July. 2011

日本システム監査人協会 会報

注目情報（7/1～7/31）■ 【システム監査学会主催 「設立 25 周年記念公開シンポジウム」】【統一論題】 「想定外脆弱性時代のシステム監査」【開催趣旨】 システム監査学会２５周年記念の「公開シンポジウム」を、今年 11 月 12 日（土）に大阪市内の大阪成蹊大
学（相川キャンパス）にて開催します。
現代社会は、ICT（Information and Communication Technology）に依存した社会であり、ICT なしには、企業も社会もなりたちません。しかし、ICT が高度活用すればするほど、その「効用（恩恵）」を受ける反面、その効用に隠された「脆弱性」は、より広範に ICT との関連性がわからなくなるほどに複雑になり、潜在化することになります。近年発生した原子力発電事故、大手銀行のシステム障害、国際的な個人情報漏洩事件など、ICT との関連性は見えず、経営的組
織的マネジメントのミスや失敗で、その修復が遅れ、致命的な問題になりつつあります。また、その原因は、「想定外の事故や災害の発生」となり、セキュリティ対策や危機管理（クライシスマネジメント）、リスクマネジメントの難しさのみが印
象づけられてしまうことになります。これでは、健全な情報化社会は期待できなくなります。想定外の脆弱性の一つひと
つひも解きながら、これまで経験し実施してきたリスクマネジメントやクライシスマネジメントを適用し、できる限り想定外の問題を小さくして対策をとる必要があります。たとえば、BCP（事業継続計画）の見直しやコンティンジェンシープラン（不測事態対応計画）など、新たな対策の見直しは典型的な事案です。
今、このことを指摘し、対策の見直しや改善を促すシステム監査が求められるのです。「想定外脆弱性」と言われるな
かで、システム監査の重要性と新たな役割を討議していきます。
なお、今回のシンポジウムでは、講演と研究発表を行います。多くの会員からの研究発表をお願いします。
【 日 時 】

2011 年 11 月 12 日（土）【 会 場 】

大阪成蹊大学 相川キャンパス プラムホール（３００番教室）他【 詳 細 】

http://www.sysaudit.gr.jp/sympo/25_kinensymposium.html

以上

日本システム監査人協会 会報25

July. 2011

日本システム監査人協会 会報

全国のイベント・セミナー情報■ 【第 18 回システム監査実務セミナー】
システム監査実務セミナーの残席が僅尐となって参りました。
ご希望の方は早めにお申し込みをお願いいたします。
日本システム監査人協会では、設立目的のひとつである「システム監査人の実務能力の維持・向上」のため、毎年数回、実践的なセミナーを開催しています。
今回のセミナーは、当協会が既に多くの開催実績を重ねる、「システム監査実務セミナー」（4 日間コース 1 泊 2 日×2 回）です。
このセミナーは、当協会の事例研究会で実施したシステム監査普及サービスの事例を教材として、実践で得たノウハ
ウを皆様と共有することを目標にしています。
また、システム監査を通して、経営に役立つシステムの提言についてもノウハウをご提供していきます。
システム監査の実際を体験してみたい方や、システム監査技術者試験には合格したもののシステム監査参加機会のない方、社内でのシステム監査に取り組むことをお考えの方は、この機会を利用してシステム監査の実際を経験し、システム監査能力の向上を図りましょう。
なお、このセミナーを受講し、事後課題を提出頂きその内容が適切と判断された場合には、当協会が認定する公認システム監査人の必要なシステム監査実務を１年間経験したものとみなされます。
1．日程及び会場
平成 23 年 8 月 27 日(土)～28 日(日)平成 23 年 9 月 10 日(土)～11 日(日) ＜1 泊２日×２＞
どちらか一方のみの参加は不可
時間：土曜は 10:00～21:00、日曜は 09:00～16:00（進行状況により若干の変更が生じる場合があります。）
晴海グランドホテル〒104-0053 東京都中央区晴海 3-8-1
電話番号： 03-3533-7111（最寄り駅 都営地下鉄大江戸線勝どき駅下車徒歩８分）
2．費用 168,000 円（日本システム監査人協会会員）
189,000 円（一般）（費用には、教材費・宿泊費・食事代・消費税が含まれます。）※ 原則として、宿泊必須となりますが、事情により宿泊が難しい場合は、ご相談ください。
3． 副教材
情報システム監査実践マニュアル(第 2 版) 森北出版社 5,460 円
日本システム監査人協会 会報26

July. 2011

日本システム監査人協会 会報

お近くの書店等にてご購入ください。
※工業調査会版の同名書をお持ちの場合は、内容は変わりませんので、新たに購入する必要はありません。
4． 受講の前提条件
情報処理技術者(システム監査)資格保有者もしくは同等の知識を有する方、または内部監査、システム監査の経験がある方(上記条件に当てはまらない方は、お問合せください)
5．受講していただきたい方
システム監査の実際を体験してみたい方
システム監査技術者試験には合格したもののシステム監査参加機会のない方
内部監査部門で、システム監査にも取り組まれようとしている方
公認システム監査人の資格認定を目指している方
6．募集人員

定員 20 名

7．受講申し込み方法
以下の URL からお申し込みください。
http://www.saaj.or.jp/kenkyu/jitsumuseminar18.html■ 【東京・月例研究会】【7 月の月例研究会】
開催日時：

７月２０日（水） 午後６時半から８時半

場所：

総評会館２階大会議室

講演テーマ ：
講演者

「クラウドサービス利用のための情報セキュリティマネジメントガイドラインについて」： 経済産業省 商務情報政策局情報セキュリティ政策室課長補佐 佐藤 氏【8 月の月例研究会】（速報）
開催日時：

８月２４日（水） 午後６時半から８時半

場所：

総評会館２階大会議室

講演テーマ

：

「医療の情報化と医療情報システム監査人制度について（仮題）」

講演者：

財団法人医療情報システム開発センター
医療情報安全管理推進部 部長 相澤直行 氏（予定）

日本システム監査人協会 会報27

July. 2011

日本システム監査人協会 会報■ 【近畿支部

１２７回定例研究会】

日時

平成２３年７月１５日（金）１８：３０～２０：３０

場所

大阪大学 中之島センター ２Ｆ講義室１
http://www.onc.osaka-u.ac.jp/others/map/index.php

テーマ
講師「中国の最新 IT 事情」
谷口直之氏
有限責任監査法人トーマツ エンタープライズリスクサービス部 パートナー

詳細・参加申し込みは当協会ＨＰ（http://www.saaj.or.jp/shibu/kinki/kenkyukai127.html）をご参照ください。
■ 【近畿支部

２０１１年度研究大会】

http://www.saaj.or.jp/shibu/kinki/kinki_taikai2011.html【統一テーマ】：サスティナブル社会に貢献するシステム監査の実現を目指して
変化の激しい今日の社会環境や突発する自然災害・事故・事件に対して、健全な企業活動や安全な市民生活が持続可能となる社会を構築する上で、システム監査人の知識・能力が大いに貢献できると考えますが、十分活かされていないのが現状です。そのため、今回の研究大会では、近畿支部会員の研究報告の発表に加え、近畿支部の研究会
やＷＧ活動の成果や課題の報告を通じて、システム監査人が社会貢献する方策について、種々の提言を行います。
本協会会員をはじめとして、システム監査、情報システムなどに携わっている関係各方面の方々のご参加をお待ちしております。
１． 日時
２． 場所

平成 23 年 8 月 20 日（土）大会

10:00～17:00

懇親会

17:30～19:30

大阪大学中之島センター ７階 講義室３
（大阪市北区中之島 4-3-53

TEL 06-6444-2100）

京阪中之島線 中之島駅より 徒歩約５分
阪神本線 福島駅／JR 東西線 新福島駅より 徒歩約９分
地下鉄四つ橋線 肥後橋駅より 徒歩約１０分（http://www.onc.osaka-u.ac.jp/others/map/index.php）
３．参加費

日本システム監査人協会会員

1,000 円ＩＳＡＣＡ大阪支部会員

1,000 円

一般

3,000 円

懇親会費（希望者のみ）

4,000 円

４．定員

60 名

５．申込期限平成 23 年 8 月 5 日(金）締切

以上
日本システム監査人協会 会報28

July. 2011

日本システム監査人協会 会報

会員限定記事【本部・理事会議事録】（会員サイトから閲覧ください。パスワードが必要です）＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝■ □■ＳＡＡＪ会報編集担当より━━━━━━━━━━━━━━━━━━━━━━━━━━━
会員の皆様からの、投稿を募集しております。分類は次の通りです。
１． めだか（Word の投稿用テンプレートを利用してください。会報サイトからダウンロードできます）

２． 会員投稿（Word の投稿用テンプレートを利用してください）

３． 会報投稿論文 （論文投稿規程があります）
これらは、いつでも募集しております。 気楽に投稿ください。
特に新しく会員となられた方（個人、法人）は、システム監査への想いやこれまで活動されてきた内容で、システム監査にとどまらず、IT 化社会の健全な発展を応援できるような内容であれば歓迎いたします。
次の投稿用アドレスに、テキスト文章を直接送信、または Word ファイルで添付していただくだけです。
投稿用アドレス：saaj-kaihoh ☆ yahoogroups.jp （☆は投稿時には＠に変換してください）
会報編集部では、電子書籍、電子出版、ネット集客、ネット販売など、電子化を背景にしたビジネス形態とシステム
監査手法について研修会、ワークショップを計画しています。研修の詳細は後日案内します。

■発行： NPO 法人 日本システム監査人協会 会報編集部〒103-0025 東京都中央区日本橋茅場町２－８－８共同ビル６F■ご質問は、下記のお問い合わせフォームよりお願いします。
【お問い合わせ】 http://www.saaj.or.jp/toiawase/■送付停止は、購読申請・解除フォームに申し込んでください。
【送付停止】 http://www.skansanin.com/saaj/
Copyright(C)2011、NPO 法人 日本システム監査人協会
掲載記事の転載は自由ですが、内容は改変せず、出典を明記していただくようお願いします。
■□■ＳＡＡＪ会報担当━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
編集： 竹下和孝、仲 厚吉、安部晃生、成 楽秀、桜井由美子、清水恵子、山田 隆、片岡 学、
木村陽一、藤野明夫

投稿用アドレス：saaj-kaihoh☆yahoogroups.jp（☆は安全対策）━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

日本システム監査人協会 会報29