January

2019

日本システム監査人協会

認定 NPO 法人

2019 年 1 月号

日本システム監査人協会報

No

会報

214

No.214（2019 年 1 月号）＜12 月 25 日発行＞ ━━━━━━━━━━━━━━━━━

2019 年会報の年間テーマが決定しました。

【システム監査人のターニングポイント】

フリー写真集より各行から Ctrl キー+クリックで

巻頭言

平成最後の年、平成 31 年の新年を迎えて該当記事にジャンプできます。
会員番号：6027

小野修一（会長）

新年あけましておめでとうございます。会員の皆様には、すがすがしい新年を迎えられたことと思います。
情報システムを取り巻く状況を見てみると、今年から来年にかけて、システム監査人がその役割を果たすことが期待されるテーマが多くあるといえます。2019 年の大きな話題が元号の変更です。西暦 2000 年問題の時とは違い、情報システムがスムーズに対応できて当たり前と思われていますが、油断は禁物、しっかりと検証していく必要があります。また、消費税のアップも 2019 年に予定されています。単なる税率アップだけではなく、さまざまな形での軽減税率の適用が検討されています。複雑な仕組みになればなるほど、情報システムが確実に対応できるのか心配なところで、システム監査によるチェックが期待されます。
2020 年はいよいよ東京オリンピックです。世界中が注目する中、東京オリンピックを標的にしたサイバーセ
キュリティ攻撃が想定されており、国レベルでの対応に呼応し企業・団体における対策も強く求められており、情報セキュリティ監査に対する大きな期待があります。2020 年問題が叫ばれています。Windows7 を始めとする多くの IT プラットフォームが 2020 年度にサポート停止時期を迎えます。後継のプラットフォームへの移行がスムーズにできるか、サポート停止になったプラットフォームを使い続けることで問題を引き起こさないか、システム監査による診断・助言が期待されます。

情報システムを利用しない経営・事業活動は、もはや考えられません。上で述べてきたことの経営・事業活動への影響は、避けては通れません。少しでも影響を少なくして、健全で安全な社会、経営・事業活動を実現するために、日本システム監査人協会は着実かつ前向きに活動を続けていきます。会員の皆様のご支援・ご協力をお願いいたします。

日本システム監査人協会

会報1

January

2019

日本システム監査人協会

会報

＜目次＞
○ 巻頭言

.......................................................................................................... 1【平成最後の年、平成 31 年の新年を迎えて】

1．めだか........................................................................................................... 3【システム監査人のターニングポイント】
2．投稿.............................................................................................................. 4【基礎自治体の CIO 補佐官というセカンドキャリアのすすめ】（その 3）－提案、CIO 補佐官というキャリアパスではなく、なぜセカンドキャリアなのか－

3．本部報告........................................................................................................ 12

第 236 回月例研究会：【IoT・ビッグデータ時代のソフトウェア・AI に係る知的財産】【PMS 要求事項【JIS Q 15001:2017】と「個人情報取扱規程」の事例 管理策 10 最終回】

4．支部報告........................................................................................................ 22【西日本支部合同研究会

in Fukui 2018 報告】【北信越支部 2018 年度 石川県例会・研究報告】【近畿支部

5．注目情報第 175 回定例研究会】........................................................................................................ 34「2018 年度情報セキュリティに対する意識調査」報告書について (IPA)

6．セミナー開催案内............................................................................................ 35【協会主催イベント・セミナーのご案内】
7．協会からのお知らせ......................................................................................... 36【第 18 期通常総会の開催】【ＣＳＡ／ＡＳＡ資格をお持ちの方へ：資格更新手続きについて】【新たに会員になられた方々へ】【SAAJ 協会行事一覧】

8． 会報編集部からのお知らせ

日本システム監査人協会

会報............................................................................... 40

2

January

2019

日本システム監査人協会

会報2018.12
めだか【

システム監査人のターニングポイント】「SAAJ システム監査人倫理規定」第 4 条（監査基準・手続き）は、“システム監査人は、
システム監査の基準、手続きを明らかにし、それに基づきシステム監査を行わなければならない。”と、規定している。システム監査基準・システム管理基準の改訂版が、2018 年 4 月 20
日、経済産業省ホームページで公表され、2018 年 5 月 19 日、SAAJ 月例研究会で報告された。両基準が、改めてシステム監査に当たって明らかにするべき基準、手続きとなったことは、システム監査人のターニ
ングポイントである。
システム監査基準は、前文、Ⅰ.システム監査の体制整備に係る基準、Ⅱ.システム監査人の独立性・客観性及び慎重な姿勢に係る基準、Ⅲ.システム監査計画策定に係る基準、Ⅳ.システム監査実施に係る基準、
Ⅴ.システム監査報告とフォローアップに係る基準で構成される。システム管理基準は、前文、システム管理基準の枠組み、Ⅰ.IT ガバナンス、Ⅱ.企画フェーズ、Ⅲ.開発フェーズ、Ⅳ.アジャイル開発、Ⅴ.運用・利用フェーズ、Ⅵ.保守フェーズ、Ⅶ.外部サービス管理、Ⅷ.事業継続管理、Ⅸ.人的資源管理、Ⅹ.ドキュ
メント管理、用語定義、参考文献で構成される。
2019 年の初めであるので、基準について遡ってみる。太古、中国人の世界観は、「天地人」である。天は半球で、方形の地をおおい、その間に万物の霊長である人間がいるという世界観である。時間は、祖先から始まって子孫へと続く。始皇帝が、「音階」、「度（長さ）量（容積）衡（重さ）」の単位、「文字」、及び「貨幣」を統一したのが基準の始まりである。音の第一律（黄鍾（コウショウ）という）が単位のはじめである。漢代、第一律の決め方は、“竹を使い、籾のついたままのクロキビの平均的な穀粒九十粒を選び出し、それを縦に並べて、長さ 24.885 センチメートル（九寸）、容積 17.12 立法センチメートルの管を作る。この竹管（後には銅管）が黄鍾律管となる。”のである。
この黄鍾律管を吹いて、宮音を決め、音階が決まる。管の長さを定めたクロキビの一粒が一分、十分が一寸、十寸が一尺である。黄鍾律管に籾の付いたままのクロキビの穀粒の平均的なものを入れる。約 1,200粒くらいであり、それを一勺とし、十勺を一合の容積とする。黄鍾律管に入った 1,200 粒の重さを十二シュとし、その二つ分の 24 シュを一両とする。十六両が一斤の重さである。黄鍾律管の長さ九寸にある数を掛けて、4,617 年という数字を作りだし、その年数が経つと完全に元にもどる暦のシステムを作り、その最初の適用として太初暦を作っている。太初元年は、西暦前 104 年であるという。
何気なく使っている単位が、太古に始まる総合的な基準に由来していることに感心する。（空心菜）
参照資料：「沈黙の世界－儒教」加地伸行著、ちくま学芸文庫 筑摩書房
（このコラム文書は、投稿者の個人的な意見表明であり、ＳＡＡＪの見解ではありません。）＜目次＞

日本システム監査人協会

会報3

January

2019

日本システム監査人協会

会報2018.12投稿 【基礎自治体の CIO 補佐官というセカンドキャリアのすすめ】（その３）―提案、CIO 補佐官というキャリアパスではなく、なぜセカンドキャリアなのか―
CIO 補佐官経験者

１．はじめに※本投稿については、実名が原則であるが、自治体が特定されることで、問い合わせにより業務に支障を来たす可能性を考慮し、特に匿名とすることとした。ご了承願いたい。（会報主査）（その１）で、基礎自治体の抱える IT ガバナンス・マネジメント課題を中核市の包括外部監査報告書から再確認した。さらに IT ガバナンスの強化では、包括外部監査によるチェックだけでは限界があり、IT ガバナ
ンスを組織文化として定着させるため、CIO 補佐官が日々の活動の中に入って一緒に問題解決をし、情報部門と職員に成長を促す必要があることを述べた。
（その２）では、私の体験を基に、基礎自治体（中核市）の CIO 補佐官の活動姿勢と成果、及び成功要因について紹介した。
最終稿（その３）では、私の体験を踏まえ、情報部門のマネジメント力と IT に関する専門能力を持つ皆さんに、「基礎自治体の CIO 補佐官というセカンドキャリアのすすめ」を提案したい。
草稿を目にされた方から、「こうした提案をされても、受け止められる人がどれだけいるかな？」との感想をいただいた。私は、会員の皆さんはもちろんであるが、民間在職中に色々なユーザ団体でご一緒した情報部
門のマネジメント経験者や、あるいは今後経験するであろう後進の方々も思い浮かべ、このすすめを書いている。ご了解いただきたい。
私は、基礎自治体の抱える IT 課題解決のため、ユーザ企業で情報部門のマネジメントを経験した方々に、自治体の IT ガバナンス・マネジメント力強化の基盤作りに携わっていただきたいと、切に願っている。
ベンダー経験者とは別のユーザ目線を持ち、そして実践に裏付けられた知見を備えた IT マネジメント人材
こそが、自治体における IT ガバナンス・マネジメント力強化の要請にかなっていると思うからである。
さらに、CIO 補佐官というセカンドキャリアが、①U ターン、J ターンなどでの地方への IT マネジメント
人材の還流、②培ってきた IT マネジメント力の集大成と自己実現、という二つの点で、社会にとっても自分にとっても、大変意義深いことになるのではないかとも思っている。
さて、（その２）の冒頭で、「市も私も所期の目的を『無事達成』した」と述べた。そのこころは、CIO 補
佐官の外部任用の評価が定まらず、必ずしも任用を評価する声が大勢ではないように思うからである。確かに、後述するように CIO 補佐官の外部からの任用は少数にとどまっている。
評価が定まらない理由を考えると、（1）任用時のミスマッチ、（2）雇用環境の問題があると思われる。
すなわち、（1）任用のミスマッチ
ア

任用される CIO 補佐官が、自身がなすべきことを認識できているかイ

任用する側、任用される側の双方が成功要因を認識できているか（2）雇用環境の問題
ア

民間ユーザ企業の IT マネジメント人材が東京一極集中という現実

イ

望む IT マネジメント人材にふさわしい待遇を自治体が提供困難という現実

日本システム監査人協会

会報4

January

2019

日本システム監査人協会

会報（1）の任用時のミスマッチとならないための一つの事例を、私の体験をもとに（その２）で述べた。本稿では、（2）を念頭に、以下に・基礎自治体の CIO 補佐官というセカンドキャリアへの思い

・基礎自治体の CIO 補佐官の任用状況

・CIO 補佐官の立ち位置、求められる力・CIO 補佐官の任用形態について述べ、まとめとして「CIO 補佐官というセカンドキャリアのすすめ」を提案したい。

２．基礎自治体の CIO 補佐官というセカンドキャリアへの思い（１）地方創生と基礎自治体の CIO 補佐官
情報システムから離れるが、地方創生（「まち・ひと・しごと創生総合戦略」）においては、地方公共団体などが「地域の戦略を策定し、戦略を総合・管理する人材、個別事業の経営にあたる人材、第一線で中核的に活躍する人材など、様々なタイプの人材が必要となる」とし、U ターン、J ターン、I ターンなど大都市から地方への人材の還流を促している。
民間の情報システムの IT マネジメント体制を考えてみると、大企業の情報部門は本社機構のある東京を中心とした大都市に集中しており、まさしく大都市と地方の IT マネジメント力の格差、さらには IT マネジメン
ト人材（IT 専門技術者でないことに留意）の層の格差を感じる次第である。
地方創生と通ずるところが大いにあるが、民間企業で IT マネジメント力を培った人材には、U ターンなど
により、地方自治体の IT マネジメント力向上に貢献するという、地域貢献が待っているように思う。

（2）CIO 補佐官としての自己実現
民間で情報部門の統括責任者を経験された方々の給与待遇を考えれば、地方の CIO 補佐官に応募する金銭的（利己的）理由は見いだせない。残念ながら、中核市レベルの CIO 補佐官でも、上場企業の部長級と同じレベルの報酬で報いることは難しい。こんな事情も考え、本稿では現役の方々の転籍を伴う「CIO 補佐官というキャリアパス」ではなく、ひとつの仕事を成し遂げた方々が、退職後に社会貢献の一つとして取り組んでいただきたいとの考えから、「CIO 補佐官というセカンドキャリア」という言葉を使ってきた。
CIO 補佐官への応募の動機は、システム監査人の倫理規定と同様、IT マネジメントの専門家として、地域における情報化社会の健全な発展に寄与することであり、そして CIO 補佐官の活動において、IT マネジメン
トの専門家として培ってきた力を発揮し、自己実現を図るという『自利利他』の精神であってほしい。

話はさかのぼるが、我々民間企業の情報システム草創期を経てきた人間は、現在のような情報システムを専門とする学科を卒業した者はいない。それでも、情報システムの利活用を目指し、システム開発に携わってきた。今のようなガイドラインもなく、また、IT マネジメントについて教えを乞う人もほとんどなく、海外のソフトウェアを見よう見まねで、無手勝流で道を開いてきた。当初の業務効率化プログラムの開発では、それでも大した問題はなかったが、業務プロセスのシステム化の段階からは、いま思えば技術過信や業務分析が未熟なまま、無謀にシステム開発に挑み、プロジェクトの成果を出せず、情けない思いもした。それでも苦い経
験を重ね、失敗経験を糧とし、後半生の情報部門の IT マネジメントでは、一定の評価が得られる取り組みが実現できたと考えている。

日本システム監査人協会

会報5

January

2019

日本システム監査人協会

会報とはいえ、過去の苦い思いは今も消えず、そんな苦い思いを、次の世代の人々にはさせたくないと思う。
基礎自治体の遅れた情報化を挽回しようと悪戦苦闘している職員の方々に、情報システムの世界に身を置く先輩として、同じ情けない思いをさせない、そして、それが情報化社会の健全な発展に貢献すると確信している。
（３）自己実現の余得
人生第二ステージの５年間の CIO 補佐官業務の任期満了にあたって、当市の IT マネジメント力強化の取組に深く関心を持っていただいた議員の一人から、議会質疑を締めくくるにあたり、意見・要望として、「（前略）・・・現在、その任に当たっておられる CIO 補佐官は、その高度で専門的な知識、経験をいかんなく発揮していただき、情報セキュリティにとどまらず、システムの最適化、ＩＣＴ利活用といった本市の情報統括全般にわたって力を発揮していただき、その高い見識については私自身も敬意を表するところであります。しかしながら、その CIO 補佐官も今年度で退任されるとお聞きしております。ぜひ後任の方も現在の補佐官と同等のスキルを持った人を選任していただきたいと思う・・（後略）」との言葉をいただき、慣れない公務員生活であったが、この５年間の勤めが報われた思いがした。
また自己実現もさることながら、行政経営幹部はもちろん、職員や地域の人々との交流、自然・文化・歴史とのふれあいなど、地域に戻って人生の余得をいただいた。
民間退職時には想像もしなかったことで、人生第二ステージの新たな稔に、あり難く感謝している。

３．基礎自治体の CIO 補佐官の任用状況（1）自治体における外部人材の任用と活用状況
国の IT 総合戦略室は、「地方にお図表１

いて IT 戦略を推進する人材の育成・確保」について、CIO 補佐官の任用状況（図表１）など、情報を整理している。
さらに、この資料では、IT 総合戦
略室における地方への支援体制として、政府 CIO 補佐官の業務内容に「地方自治体業務改革、情報システム改
革の支援・助言」を明記したことや、地方に派遣する各種伝道師の任命を進めることに、触れている。

(2) 基礎自治体にも CIO 補佐官が必要なのか
基礎自治体の CIO 補佐官について考えてみる。一部で、基礎自治体での CIO 補佐官の採用が形ばかりにとどまり、なかなか実効性が上がっていないようなことも耳にする。事実、基礎自治体に CIO 補佐官がいなが日本システム監査人協会

会報

6

January

2019

日本システム監査人協会

会報

ら、なぜシステム調達や運用管理に齟齬をきたすのか、という声も聞こえており、今一つ基礎自治体の CIO
補佐官の有用性に懐疑的な見方がされることもある。
また、地方においては、総務省をはじめとした中央省庁が策定するガイドラインなど技術的助言に従って、大企業のグループ子会社のように、親会社の指導のもと情報化を進めればいいのであって、あえて地方において独自に CIO 補佐官を採用する必要があるのかという問いかけもあろう。
ガイドラインなどの技術的助言や、施策テーマを定めた伝道師などの派遣による人的支援は、基礎自治体にとって問題認識と課題解決に向け有用ではある。しかし、そのことと（その１）で述べた「継続的な技術指導と人材育成」を伴う IT ガバナンス課題の解決とは、別のような思いがする。

市民サービスの最前線における情報システムへの依存が深まる中、基礎自治体では、①システム開発や運用が業者任せで、特定の業者に依存、②システム更新の遅れで制度変更対応に汲々、③システム導入や移行プロ
ジェクトがとん挫、④全般的な IT 利活用の停滞、⑤セキュリティ対策の遅れなど、様々な IT リスクが存在する。この課題を解決する IT ガバナンス・マネジメント力の強化を、ガイドラインや技術的指導のみによって、専門性の乏しい自治体職員ができるのか危惧する。
内部監査について、「監査人が、被験者毎に異なる症状に応じて、知恵を働かせて多面的に検証し、平衡感覚と一般常識で病状及び原因を特定し、病気の治療及び再発の防止又は健康の回復及び維持に役立つ適切な助言を提供するという、真に実効のある監査を実施すべき。」という意見がある。この意見にならえば、CIO 補
佐官業務においても、各基礎自治体は組織の規模・体制・範囲、組織の伝統文化、そして取り巻く行政経営環
境は、それぞれの自治体で異なっており、CIO 補佐官は、その環境と症状の中で、真の実効性ある IT ガバナ
ンス・マネジメント力を発揮できるよう、組織・職員を導いてゆく必要がある。
(3)

自治体の CIO 補佐官の任命状況
自治体における、CIO（情報化統括責任者）・CISO（最高情報セキュリティ責任者）・CIO 補佐官の任命状

況は、総務省の「地方自治情報管理概要」によれば、2015 年３月末、2017 年 3 月末時点で図表２のとおり
である。

図表２

ここで、組織体の IT ガバナンス体制の整備が CIO の任命とリンクし、さらに IT ガバナンスの質の担保が、CIO
補佐官の任命とリンクすると考えれば、IT ガバナンスの質の向上に向けた体制
整備において、まだまだ改善の余地が窺える。さらに、民間の IT ガバナンス・
マネジメント力の活用を図る「外部人材の任用」は、むしろ微減となっており、2015 年以前と比較しても、外部人材を任用する施策の広がりは見られない。残念な結果である。
一方、CISO の任命について、2015 年と 2017 年を比較してみると、明らかに自治体における情報セキュ日本システム監査人協会

会報

7

January

2019

日本システム監査人協会

会報

リティ管理体制が、マイナンバーの導入に伴い強化されてきており、総務省が組織をあげて自治体の情報セ
キュリティ管理体制の強化に取り組んできた指導の一端がうかがえる。
すなわち、情報セキュリティ対策は国の責任で推進する段階にきているのに対し、IT ガバナンスの強化は、
各基礎自治体の自己責任の段階にとどまっているとも考えられる。

なお、CIO 補佐官というセカンドキャリアをすすめているのに、任用される可能性が少ないのではと思われるかもしれない。しかし、任用を検討した自治体が、適任者の確保が覚束ないため募集を見送り、特定の課題に絞って外部委託した事例もあり、CIO 補佐官の必要性を認める自治体の数は、任用実績よりもっと多いと感じている。さらに、中核市の数は、2017 年で 48 市であったものが 2019 年見込みで 65 市と、1.35 倍に増大するという。
（その１）で述べた包括外部監査などの指摘を受け、IT ガバナンス・マネジメント力強化の必要性を認識し、情報システム最適化計画の策定や CIO 補佐官の任用を志向する市も増えてこよう。

４．CIO 補佐官の立ち位置、求められる力（１）CIO 補佐官の立ち位置
外部人材任用の CIO 補佐官には、自治体組織の一員であると同時に、市民目線で客観的なシステム評価・
プロジェクト評価が出来なければならないし、また、首長や CIO から、そのことを期待されている。
プロジェクトの遂行においては、導入担当の情報部門・現課（ユーザ部門）と IT ベンダーとの間に立って、第三者の観点から、内部と外部の不備・不調を発見し、是正し、プロジェクトを完遂するための用心棒としての役割が問われている。
CIO 補佐官は、組織体を代表してプロジェクト完遂の責任を負うが、実際はユーザ部門と IT ベンダーの両者がプロジェクトの主体としてどのように行動し機能したかが問われるべきことである。CIO 補佐官は、プロ
ジェクトの成否以前に、プロジェクトの遂行に当たって当事者の活動が、説明責任を果たすことができる業務遂行となっているかを、指導管理してゆく必要がある。
（２）基礎自治体の CIO 補佐官に求められるサンドイッチ力
基礎自治体における CIO 補佐官の役割と

図表３

基礎自治体の CIO 補佐官に求められるサンドイッチ力

能力について改めて考えてみる。
基礎自治体の CIO 補佐官に求められる力は、図表３に示すサンドイッチ力である。
すなわち、あんこを自治体の情報部門・職員とみなせば、あんこを上から包み込むマ
ネジメント力と下から支えるサポート力、
そして、あんこである職員の相談相手となるコンサルティング力である。サンドイッ
チ力を構成する、それぞれの力の解説も、図表３に示した。ここでは、サポート力について補足したい。

日本システム監査人協会

会報8

January

2019

日本システム監査人協会

会報

基礎自治体では、大手の民間企業と異なり、組織体の規模から IT スタッフは脆弱であり、また、一心同体の情報子会社の協力が得られるわけでもない。地域における情報化の需要と供給から、IT ベンダーのスキル
レベルも大都市圏ほど期待できず、情報化に取り組む態勢において、大きなハンディキャップを覚悟しなければならない。
すなわち、基礎自治体においては、意欲はありながらも経験・知識が不足する職員の活動について、きめ細やかな「コンサルティング」を行うと同時に、組織として人的リソースが不足する部分においては、口を動かすより、自ら手を動かし補ってゆかざるを得ない「サポート力」が必要とされる。
自治体では、プロジェクトの遂行にあたって、不足するリソースを補うために、コンサルティングファーム
や IT ベンダーといった外部リソースを調達し、協力を仰いでいる。しかし、委託では補えない１人月にも満たない業務や、当初の業務目標としてとらえられていない業務を、自ら手を動かしてサポートしないと、IT
ガバナンスの強化も PMO 活動も進展しない。
また、行政経営幹部、議会などからの質問への対応は、普段の備えがものをいう。しかし、要求されるかど
うかもわからない多面的な検討に、繁忙な職員に時間を割くことを求めるのは、現実的に厳しい。とはいえ、最終説明責任が自らにあることを思い、忙しい職員に代わり、政策や管理について説明責任を果たすべく、普段のデータ整理が重要である。
最後に、サンドイッチ力で何より強調したいのは、CIO 補佐官はコーチであり、成果（成績）のすべては職員が主役であるという思いをもってサポートすることである。
任期付特別職員とはいえ自治体職員の一員になって、多くの自治体職員が本務以外にも、様々な場面で地域・市の活動に携わるという、民間とは異なる職場環境を見た。多能でない私などは、落ち着かない業務環境に集中力を欠くのではと思ってしまう。今思えば、こうした環境でも IT ガバナンス・マネジメント力の強化に真摯に取り組んでいた職員を、もっとリスペクトすべきだったかと反省もしている。
図表４

中核市の CIO 補佐官の任用状況（人数）５．CIO 補佐官の任用形態
中核市における CIO 補佐官の任用状況は、図表４のとおりで、庁内任用の部局長級と課長級が多く、その経年変化はあまり見られないが、外部人材の任用は減少している。
CIO 補佐官には、庁内任用、庁外からの任用、そして場合によっては、外部委託の場合が考えられる。
CIO 補佐官の任用を検討している自治体には、私自身の５年間の経験を踏まえ、ぜひ民間ユーザ企業出身者の外部人材任用を薦めたい。また、外部人材の任用に当たっては、情報処理上級レベルの資格はもちろん、期待する役割から、業務経験においても部長級のマネジ
メント経験者の採用を前提とすべきと考える。これは私自身の公募の要件でもあったが、任用後の活動の立場・役割を考えれば、同様の要件を満たす人材を求めるべきと考える。
この見解として、基礎自治体の CIO 補佐官の任用形態別に、CIO 補佐官に期待する能力や制約条件の面か

日本システム監査人協会

会報

9

January

2019

日本システム監査人協会

会報

ら比較検討した総合評価を図表５に示す。ここで想定する CIO 補佐官像は、（その１）で示した IT ガバナン
ス・マネジメントの課題解決にあたる場合を想定している。特定の ICT 活用テーマを深堀する場合などには、「ベンダー経験者」など、他の任用形態が適切な場合も考えられる。
なお、IT ガバナンス強化が組織文化の定着であることを考えれば、いつまでも外部人材に依存するのは問題である。CIO 補佐官とともに過ごし、実践的な知識・経験を積んだ職員が、いずれ庁内任用の CIO 補佐官に相応しい人物となるよう、人材育成するのも CIO 補佐官の役目である。
図表５

基礎自治体の CIO 補佐官の任用形態

６．CIO 補佐官というセカンドキャリアのすすめ
最後に、情報システムに限ったことではなく、様々な業種・職種にも当てはまることだが、U ターン、J ター
ン、I ターンによるセカンドキャリアを考えてみたい。
私は長い単身赴任生活を東京一極集中

図表６の情報部門で過ごしていたが、家の事情もあり、退職を機に地元に生活拠点を戻すことにしていた。地元に帰ってからは、中小企業診断士として中小企業の情報化を含
む経営サポートを志し、診断士のコミュニ
ティにも参加し、準備もした。残念ながら、地域においては、IT 技術者の需要はあっても、民間時代の知見を活かせるような経営とリンクする IT マネジメント人材の需要を予感するものはなかった。
日本システム監査人協会

会報10January

2019

日本システム監査人協会

会報

そんな中、SAAJ のメーリングリストにより、CIO 補佐官の公募を知り、IT が経営とリンクし、IT ガバナ
ンスの必要性を認識する組織が存在することを理解した。地方の限られた IT マネジメント人材需要の中で、CIO 補佐官への応募は、IT マネジメント経験者が、地域のコミュニティに戻ってゆく、良い機会と感じた。
地方創生の中で、地方移住を考える都会のサラリーマンにとって貴重な助言がなされている。（図表６）まさしく、私の経験からも大いにうなずける助言であり、特に、図表６の④、⑤は、そのような心構えで行動してきたように思う。
CIO 補佐官の業務は、高度な専門家である SAAJ 会員諸氏から見れば、何か特別な取組をしたわけではない。
しかし、これまで培った IT マネジメントの知見に寄りかかるだけではなく、実際の場に立って、その時々で最善をもとめ、最善を尽くすべく、愚直に CIO 補佐官の活動をすめてきた。すなわち、各種ガイドラインを紐解き、民間事例も研究し、また転ばぬ先の杖として他市のシステム導入事例の成否、あるいは包括外部監査の指摘事項も調査し、当市の行政経営環境や組織文化に合った事前の対策を整備してきた活動ともいえる。これは当市のポリシーであった「事前の一策は、事後の百策にまさる」とも通ずるもであった。

永平寺正門の石柱には、「杓底一残水、汲流千億人」（しゃくていのいちざんすい、ながれをくむせんおくのひと）と刻まれている。情報システムの発展という大河の中では、我々個人の力は一滴にも満たないが、自分が人生で得た IT マネジメントの知見を無駄にすることなく、大河にお返しするという思いは、CIO 補佐官というセカンドキャリアを通じて叶えられると思う。
確か「仕事の報酬とは何か」という本で、こんなことを述べている。
『「収入」＋「地位」、「能力」＋「仕事」という報酬はいつか失われる、しかし、「人間としての成長」を目指していった一人の人間の後姿を見つめ、後に続く人がいる。それは、我々がその生涯を終えてもけっして失われない報酬です。』
退任後数年経つが、年に１度は飲み会の誘いをいただく。初対面の時とは打って変わった職員の自信に満ちた元気な姿を見ると、セカンドキャリアとしての CIO 補佐官の報酬も、そのようなものかとも思う。

７．おわりに長々と書き連ねた。本稿が人生百年時代と言われる中で、今後の人生設計において、基礎自治体の CIO 補
佐官というセカンドキャリアを思い描いていただく、一つのきっかけとなれば幸いである。また、そんなセカ
ンドキャリアを思われたら、ぜひ SAAJ に参加し、会社生活と異なる情報交流をしていただけたらと思う。
参考資料：
１．「地方自治情報管理概要」総務省
２．「内部監査の基本

六訂販」

３．「地方創生人材プラン」

川村

2015（H27）年度・2017（H29）年度
眞一著（2016.7.30）

内閣官房まち・ひと・しごと創生本部事務局（2015.12.25）

４．「地方において IT 戦略等を推進する人材の育成・確保」
５．尾崎弘之神戸大学経営学研究科教授

６．「仕事の報酬とは何か」

2016.06.22 付け

IT 総合戦略室（2017.3.6）
ＹＡＨＯＯニュース田坂広志著（2008.7.1）＜目次＞

日本システム監査人協会

会報11

January

2019

日本システム監査人協会

会報2018.12
第 236 回月例研究会：講演録
テーマ：【IoT・ビッグデータ時代のソフトウェア・AI に係る知的財産】
会員番号2574 竹原 豊和（月例研究会）【講師】東京理科大学ビジネススクール（大学院 経営学研究科 技術経営専攻）
教授博士（工学）

平塚

三好

氏

【日時・場所】2018 年 10 月 22 日（月）18：30 – 20:30、機械振興会館

地下 2 階ホール（神谷町）【テーマ】テーマ：「IoT・ビッグデータ時代のソフトウェア・AI に係る知的財産」【要旨】
ソフトウェア特許をはじめ、異業種間の標準必須特許のライセンス交渉の在り方、ビッグデータの不正競争防止法での保護等、近年の官庁の議論の紹介を通じ、IoT・ビッグデータ時代のソフトウェアやビッ
グデータに関する知的財産の取り扱いについて、解説する。また、AI についても、AI のからくりを紹介しつつ、AI の知財における保護の在り方に関する研究を紹介する。

【講演録】
1．異業種から学ぶ知財（知的財産）活用事例
株式会社ロッテから発売されている「雪見だいふく」は、アイス業界に新規参入する際に様々な障壁があったが、特許という知財（知的財産）を武器として活用することで新規参入に成功できた。
反対に、コカ・コーラ社の「コカ・コーラ」はあえて知財を特許とはせずに、営業秘密‘として管理すること
で、ノウハウが流出せずに高い収益をあげ続けている。
この 2 つはどちらも食品関連の知財事例となっているが、片方が特許で知財管理を行い、もう片方が営業秘密という形で知財管理を行っている。雪見だいふくは固体であるためにリバースエンジニアリングが可能となっているのに対し、液体のコカ・コーラはリバースエンジニアリングが難しく、その意味から固体である雪
見だいふくは特許での知財保護を行い、液体のコカ・コーラは営業秘密として知財保護が行われている。
さらに、コカ・コーラは商標権を販売することで収益を得るビジネスモデルとなっており、商品を売るというより、疑似体験を売るという類のビジネスが行われている。

2．特許の怖さと強み「パテントトロール」という特許を武器にして、莫大な費用請求をする専門家がいる。このパテントトロー
ルにより、イノベーションとなる革新的な技術を開発した企業でもつぶれかねない事態へと発展した事例が過去にある。また、反対に自社で特許を保有することで市場を独占することや、特許ライセンスにより他社からライセンス収入を得ることも可能となる。
自社で特許を保有することで得られる権限は「製造禁止」「販売禁止」「輸入禁止」「展示会やカタログ等のマー
ティング禁止」など多岐に渡る。したがって、ARM 社や Qualcomm 社のようにファブレスを生業とする企業も存在する。

日本システム監査人協会

会報12

January

2019

日本システム監査人協会

会報

3．人工知能のからくり
過去にも幾度となく、人工知能ブームが発生しており、1947 年から人工知能ということがうたわれている。
そして、現在も人工知能ブームではあるが、専門家の言葉として「人工知能という名称は出世魚のように社会に普及すつと名前が変わる」状況となっている。例えば、コンピュータも昔は人工知能とカテゴライズされており、Google 検索、顔認識、Siri、ワトソン、自動運転なども人工知能とカテゴライズされているが、時代とともにその名称も変化しており、人工知能と一言でいっても多岐に渡るのが現実である。
現在、一般的に人工知能として思い浮かぶことは AI（ディーブ・ラーニング）であるが、これは多層型ニューラル・ネットワークであり、プログラムに従って、数学的アルゴリズム（非線形関数の近似）を計算しているに過ぎない（神経回路網の数理）。
ただし、これは神経細胞の電気的挙動に関する基礎研究の応用であり、生物の特徴であるホルモンや化学反応は反映されない。また、人間の知能に似た挙動にみえることもある。その意味で、AI はシミュレーションソ
フトの一種とも呼べる。
ディープ・ラーニングにて、どういう時に機械の故障が発生するか、などの因果関係やその原因を突き止めること、画像（音声）認識により移動体の判別や追跡は可能となるが、統計的モデル計算を行っていることに変わりなく、人間の知性的かつ精神的な活動からは程遠いと考える。
ブームに惑わされず冷静に時代を予測することや、統計演算に優れたコンピューティング・パワーにより何が実現できるか？を考えることは重要となる。IoT データなどのビッグデータのリアルタイム統計処理が可能となる結果、10 年以内には自動運転、無人兵器、医療診断、コンテンツ自動生成、日常会話が可能となり、10年以降においては経営、マネジメント、政策、自動農業が実現できる可能性がある。

4．なぜ知的財産権が必要か特許による知的財産権を活用して行えることは「自社製品の保護」「他社参入の防止」「企業間提携の道具」「競争優位性の確保」となっている。また、無料で特許による使用ライセンスを他社に提供することで、標準特許として周知する方法もある。
特許は所有しているだけで意味があり、他社からのビジネス的な防御策にも活用できる。但し、特許も含めた知財管理はある程度費用が必要となる。ある企業は知財管理費用に対して、事業部内で予算を確保しておき、その予算を活用して知財部門に対して依頼を行う形態をとることで、知財部門の費用を軽減している。
特許となる発明は「自然法則を利用した」「技術的思想の創作のうち」「高度のもの」という制約があるが、プログラムは自然法則を活用していない。しかし、本法律は明治時代に制定したものとなっているため、現在はプログラムも特許として取得することが可能となる。
他社が保有している特許や、現在出願済みの特許を調べる方法として「J-PlatPat」という特許庁の Web サイトがある。この Web サイトを活用することで知財管理がよりスムーズに行えるため、ぜひ自社の知財管理において活用してもらいたい。

【所感】
現在の AI（ディープ・ラーニング）は完璧でも万能でもないが、使い方次第によっては有益に活用ができる
日本システム監査人協会

会報13

January

2019

日本システム監査人協会

会報と感じるとともに、今後システムの中に AI が導入されていくことを踏まえ、システム監査人として AI 部分の監査をどのように実施するのか、ということを真剣に考える必要性を感じた。そのためには、AI をある程度理解することが重要であり、その辺りを踏まえ平塚先生のご講演は勉強になった。
また、知的財産（特に特許）はビジネス面において攻撃にも防御にも活用できることを学ぶとともに、我々
システム監査人が監査対象とするコンピュータシステム、ソフトウェアにおいても多くの知的財産が関係しており、システム監査人として知的財産（特に特許）を考慮したシステム監査を検討する必要性も併せて感じることとなった。その意味でも、知的財産（特に特許）は軽く考えてはいけないと切に感じた講演であった。
以上

＜目次＞

日本システム監査人協会

会報14

January

2019

日本システム監査人協会

会報2018.12
本部報告

PMS 要求事項【JIS Q 15001:2017】と「個人情報取扱規程」の事例
会員番号1760 斎藤由紀子

管理策 10（最終回）（個人情報保護監査研究会）

個人情報保護法には、点検についての規定条項はありません。しかし、事業者自らが構築したＰＭＳの有効性を確認するために行う重要な機能です。
旧 JIS:2006 の”点検”は、”パフォーマンス評価” となりました。3.7.1 運用の確認において、” 不適合が確認された場合は、その是正処置を行わなければならない。” と他の項目には無い記述があります。紛らわしい
記述ですが、運用の確認だけが特別に是正処置を行うのではないことは明らかです。
また、監査は、”内部監査”となり、代表者の見直しは、”マネジメントレビュー”となりました。内容は JIS:2006とほぼ同じです。
是正処置及び予防処置は、”是正処置”となりました。”是正処置は予防処置を含む” のが当然だということのようです。なおリスク分析、事故発生、苦情など PMS の運用で確認されたリスクや不適合は、直ちに是正処置を行い、また 1 年間のマネジメントレビューで発見された不適合についても是正処置を講じて、次年度の計画を策定するという流れとなります。
この最終回も、附属書 A（規定）および附属書 B（参考）の要求事項を確認しつつ、できるかぎりシンプルな規程として「3300 個人情報取扱規程」のサンプルをご紹介します。
引用：日本規格協会「日本工業規格 JIS Q 15001:2017 個人情報保護マネジメントシステム要求事項」
赤字：【2006 年版 JIS】から追加、変更となった規格
青字：PMS 監査研究会のコメント
A3.7 パフォーマンス評価 （2006：3.7）
目的 パフォーマンス評価を実施するため。
A.3.7.1
運用の確認
組織は、個人情報保護マネジメントシステムが適切に運用されていることが組織の各
2006:3.7.1
部門及び階層において定期的に、及び適宜に確認されるための手順を確立し、実施し、かつ、維持しなければならない。
各部門及び各階層の管理者は、定期的に、及び適宜にマネジメントシステムが適切に運用されているかを確認し、不適合が確認された場合は、その是正処置を行わなければならない。
個人情報保護管理者は、トップマネジメントによる個人情報保護マネジメントシステ
ムの見直しに資するため、定期的に、及び適宜にトップマネジメントにその状況を報告しなければならない。
A.3.7.1 は、組織全体として実施する監査（A.3.7.2）と異なり、各部門及び各階層において行われるものである。
附属書 B.3.7.1

一連のマネジメントシステムの実施結果を受けて行うものではなく、日常業務において気付いた点（残留リスクが顕在化していないか、リスク対策が実施できているかなど）があればそれを是正及び予防していくものであるため、たとえ小規模な組織であっても、運用の確認（A.3.7.1）及び内部監査（A.3.7.2）を行うことが望ましい。
【P マーク審査対応のポイント】
・運用の確認の目的は、講ずべき対策の実施確認のほか、「残留リスク」の顕在化の兆し、対策の陳腐化などの発見などです。
・運用の確認は、各部門の部門長もしくは指示を受けた担当者が実施します。貸出したモバイル機器の状況な
どは、従業者からメール報告を受けるなど、適宜工夫して実施します。
・運用の確認の頻度は、毎月点検を必須とするものと取扱う個人情報に応じて決めるものがあります。
・毎月点検：「最初と最終の入退室記録」「来客入室記録」「サーバー室入室記録」「アクセスログ」「Web サイトの改ざん点検」など
・頻度を決めて点検（ミーティング時など）：「常駐先における個人情報の取り扱いの変化」、「貸与された入館証や鍵の保持チェック」、など

日本システム監査人協会

会報15

January

2019

日本システム監査人協会

会報・抜き打ち点検：「許可されないソフトウエアの存在」「貸与された携帯電話のロックチェック」など
・期の途中で不適合が確認された場合は、直ちに是正処置を実施する必要があります。
・「運用の確認」結果は、個人情報保護管理者が承認し、トップマネジメントに報告します。
・審査においては、少なくとも直近の１年間分の運用の確認の記録、及び「是正処置」の記録を確認します。

【3300 個人情報取扱規程】サンプル
3.7 パフォーマンス評価
3.7.1 運用の確認
各部門及び階層において PMS が適切に運用されていることを、定期的に、及び適宜に確認するために、各部門長は、「3303PMS 年間計画書（兼点検表）」の自部門関連項目について点検し、個人情報保護管理者に報告する。

2 「3303PMS 年間計画書（兼点検表）」には、リスク分析の結果講じるとした対策のうち、点検すると定めた対策を反映する。
3 運用の確認において不適合が発見された場合は、3.8（是正処置）の手順に従い是正処置を行う。
4 個人情報保護管理者は、運用の確認結果を、定期的に、及び適宜にトップマネジメントに報告すること。
■
A. 3.7.2

内部監査

2006：3.7.2

組織は、個人情報保護マネジメントシステムのこの規格への適合状況及び個人情報保護マ
ネジメントシステムの運用状況を少なくとも年一回、適宜に監査しなければならない。
組織は、監査の計画及び実施、結果の報告並びにこれに伴う記録の保持に関する責任及び権限を定める手順を確立し、実施し、かつ、維持しなければならない。
個人情報保護監査責任者は、監査員に、自己の所属する部署の内部監査をさせてはならない。
内部監査は、組織内部からの要員によって、又は組織のために働くように外部から選んだ者によって実施してもよい。その際、内部監査を実施する監査員には、力量があり、かつ客観的に行える立場にある者を当てることが望ましい。
小規模な事業者における個人情報保護監査責任者が監査員を兼ねる場合、監査対象となる部署と兼務してもよい。

附属書 B
3.7.2

運用状況の監査に当たっては、A.3.3.3 によって講ずることとした対策を、監査項目に設定して実施することが望ましい。

“結果の報告”とは、組織のトップマネジメントに対する報告をいう。このため、結果の報告に対する改善の指示も組織のトップマネジメントから受けることが望ましい。改善の指示をトップマネジメントから受けられない場合は、トップマネジメントによって権限を与えられた者の指示を受けてもよい。
【P マーク審査対応のポイント】
・規格への適合状況の監査（適合性監査と呼ぶ）は、規程、手順書等の文書を対象に、JIS Q 15001:2017の付属書 A に照らして、文書化しているかどうかを監査する。
・運用状況の監査（運用監査と呼ぶ）は、規定に従って運用しているかどうかを、ヒアリング、記録の確認によって監査する。
・適合性監査と、運用監査をそれぞれ実施するための監査手順が文書化されていなければならない。
・トップマネジメントによる個人情報保護監査責任者の任命、及び役割、権限、責任が規定されていること。
・監査計画書はトップマネジメントの承認を得ること。
・監査報告書をトップマネジメントに提出すること。
・監査員は、自己の所属する部署の内部監査をしてはならないこと。（小規模事業者を除く）
・適合性監査チェックリストが規定されていること。
・運用監査チェックリストが規定されていること。
・適合性監査は、規程類を改定した時に実施することが望ましい。
・運用監査は、適合性監査を実施し一定期間運用した後に実施することが望ましい。
・監査報告書の「写し」は、通常個人情報保護管理者に回付される。
・審査では、少なくとも直近の一年分の監査計画書、監査報告書、適合性監査チェックリスト、及び運用監

日本システム監査人協会

会報16

January

2019

日本システム監査人協会

会報

査チェックリストを確認する。

【3300 個人情報取扱規程】サンプル
3.7.2 内部監査
PMS においては、JIS 規格との適合状況及びその運用状況について少なくとも年一回、適宜に監査を実施する。

3.5.1 PMS 文書の範囲
個人情報保護監査責任者は、監査の時期について「3303PMS 年間計画書（兼点検表）」に定めた時期より 1 ヵ
月以上前に、全社全部門を対象にした日程および、監査員を明確にして「3721PMS 監査計画書（兼報告書）」を策定しトップマネジメントの承認を得なければならない。
2 個人情報保護監査責任者は、「3303PMS 年間計画書（兼点検表）」に定めた日程にかかわらず、トップマネジ
メントや個人情報保護管理者が必要と判断したときに、臨時の監査を計画しトップマネジメントの承認を得てこれを実施することができる。
3 JIS 適合監査は、「3300 個人情報取扱規程（本文書）」、「3305 個人番号関係事務規程」「3430 安全管理規程」
および規定された関連様式を対象とし、運用監査よりも前の時期に行わなければならない。
4 「3723 監査実施通知（電子メール文）」は、監査実施日の 1 カ月前までに被監査部門に通知しなければならない。
5 個人情報保護監査責任者は、監査員を社内又は社外から選任することができる。社内から選任する場合は、監査員が所属する各部門長に対し、監査のための訓練および監査実施日程を明確にして、監査員が職務を離れることについて通知し、各部門長は特別な事情のない限りこれを了承する。
6 監査員を社外から選任する場合は、契約書に、監査方法、監査実施期間、監査報告書の様式と提出期限、記録の廃棄・消去、および守秘義務などの条項を定めなければならない。
7 監査員は監査の実施において、独立性と客観性を堅持し、誠実に監査を実施しなければならない。
8 監査員は、正当な理由なく監査の実施により知り得た秘密を漏らし、又は不当な目的に使用してはならない。
9 監査員は、自ら所属する部門を監査してはならない。
10 監査員は、前回の監査結果を参照し、観察事項について当年度の監査項目に含めなければならない。
11 個人情報保護管理者は、監査に伴う記録の保持に関する責任を持つ。監査の計画、監査報告書、チェックリ
スト等、監査に関連する記録（紙媒体、電子データ）は、PMS 事務局で 3 年間保管する。

3.7.2.2 監査チェックリスト
監査では、以下の「監査チェックリスト」から選択して使用する。
「監査チェックリスト」は複数使用することができる。
a)b)

目的

チェックリストの種類・説明

適合性
監査
運用監査
（予備

「3725a_JIS Q15001 適合性監査チェックリスト」
JIS 規格の変更、法令や規範の改定があった場合は、チェックリストを見直さなければならない。
「3726b_予備調査チェックリスト」
運用監査の実施予定の２週間前に、被監査部門に配布し、1 週間前に回収する。これにより監査

日本システム監査人協会

会報17

January

2019

日本システム監査人協会

調査）
c)

運用監査
（必須）

d)

運用監査

e)

情況に
応じて
選択

f)
g)

h)

会報

担当者、被監査部門ともに事前準備を行うことができる。
ただしこの予備調査は省略することができる。
「3313 リスク分析表（兼監査チェックリスト）」
毎年各部門で作成した「3313 リスク分析表」を基に監査を実施する。
この監査は必須とする。
「3726d_PMS 体制の運用チェックリスト」
個人情報保護管理者および事務局に対する監査で用いる。
「3726e_施設・設備の安全性監査チェックリスト」
施設ごとの管理部門に対する監査で用いる。
「3726f_情報システム運用の安全性監査チェックリスト」
システム運用部門に対する監査で用いる。
「3726g_情報システム開発の安全性監査チェックリスト」
個人情報を処理する情報システムに対する監査で用いる。
ただしこの監査は省略することができる。
「3726h_部門コンプライアンス監査チェックリスト」
各部門が規程を遵守しているかどうかの監査で用いる。
ただしこの監査は省略することができる。

3.7.2.3 監査における評価
監査担当者は、ヒアリングや目視した事実に基づき、チェックリストに以下の評価を記入する。
評価a) 適合b) 観察事項c) 不適合

記述
○
○’
×

状況
問題なし
直ちに改善され、再発はしないと評価できる状況是正しなければ、本人の権利を侵害し、企業の存続に係わるリスクとなる状況

是正処置
不要
不要
必要

2

チェックリストには、どのような事実によって評価したかを記載し、第三者が見てもわかるように記述すること。

3

個人番号関係事務部門の監査では、特定個人情報を閲覧してはならない。

3.7.2.4 監査報告
全社の監査が完了後、個人情報保護監査責任者は、結果のサマリーとして「3721 監査計画書（兼報告書）」を作成し、各監査対象のチェックリストを添付してトップマネジメントに報告する。添付するチェックリス
トは手書きのままでよい。
■
A.3.7.3

マネジメントレ
ビュー

トップマネジメントは、9.3 に規定するマネジメントレビューを実施するために、少な
くとも年一回、適宜に個人情報保護マネジメントシステムを見直さなければならない。

2006：3.9

マネジメントレビューにおいては、次の事項を考慮しなければならない。
a)監査及び個人情報保護マネジメントシステムの運用状況に関する報告b)苦情を含む外部からの意見
c)前回までの見直しの結果に対するフォローアップd)個人情報の取扱いに関する法令、国の定める指針その他の規範の改正状況
e)社会情勢の変化、国民の認識の変化、技術の進歩などの諸環境の変化
f)組織の事業領域の変化
g)内外から寄せられた改善のための提案
内部監査は社内の現状のルールを前提に、それが守られているかを確認するものであり、それに基づく改善も現状の枠内に止まるものである。A.3.7.3 によるマネジメントレ
ビューは、それに止まらず、外部環境も考慮した上で、現状そのものを根本的に見直すことがあり得る点で、内部監査による改善とは本質的に異なる。

附属書 B
3.7.3

常に A.3.7.3 の a)～g)の事項をまとめて見直すという必要はない。見直しは、必要に応じて実施してもよい。
【P マーク審査対応のポイント】
・「マネジメントレビュー」は、通常会議体で行われ、トップマネジメント、個人情報保護管理者、事務局、

日本システム監査人協会

会報18

January

2019

日本システム監査人協会

会報

教育責任者、システム管理者など、PMS 運用に関わるメンバーが参加する。
・「マネジメントレビューの記録」には、a)～g）について、添付資料の形でインプットされる。添付資料
は、既にトップマネジメントに報告済みの書類が多いはずである。
・「マネジメントレビューの記録」には、個人情報保護管理者が、a)～g）について要約して報告する。
a)監査結果や運用の確認については、その是正状況について報告する
b)苦情及び外部からの意見が無かった場合は、「無かった」ことを報告（インプット）する。
c)前回のマネジメントレビューの是正処置について、1 年間運用の結果を報告する。
d)法令・指針・規範の改正について、自社の PMS にどのように反映したかを報告する。
e)社会状況、国民の認識、技術の進歩に関し、自社の PMS にどのように反映したかを報告する。
f)組織の事業領域の変化に対し、自社の PMS にどのように反映したかを報告する。
g)内外から寄せられた改善のための提案には、P マーク審査も含まれる。
・「マネジメントレビュー」においては、個人情報保護管理者から、次の１年間の PMS 運用に向けての年
間計画の立案がなされる。これは、事前にトップマネジメントに提出されることも可能である。
・「マネジメントレビュー」において、個人情報保護管理者から提出された次年度の計画立案に対し、トッ
プマネジメントから、是正処置が指示される。事前に提出された年間計画に対して、是正処置を指示した結果の公表となる場合もある。
・「マネジメントレビューの記録」は、組織の PMS の歴史を示すものであるため、「是正処置報告書」を含めて、永続的に保管されなければならない。そのため「PMS 記録一覧」に記載する保管期間も「永久保管」としてよい。
・審査では、少なくとも直近の一年分の「マネジメントレビューの記録」「是正処置報告書」を確認する。

【3300 個人情報取扱規程】サンプル
3.7.3 マネジメントレビュー
トップマネジメントによる見直しは、「3303PMS 年間計画書（兼点検表）」に定めた時期に実施する。
2 「3731PMS マネジメントレビュー議事録」を用い、次の事項を考慮して行う。

3

a)
b)
c)
d)

インプット項目監査および PMS の運用状況に関する報告
苦情を含む外部からの意見
前回までの見直しの結果に対するフォローアップ
個人情報の取扱いに関する法令、国の定める指針その他の規範の改正状況

e)
f)
g)

社会情勢の変化、国民の認識の変化、技術の進歩などの諸環境の変化
会社の事業領域の変化
内外から寄せられた改善のための提案

個人情報保護管理者は、a)～ｇ）のインプットに加えて、次年度の「年間計画」を立案する。

4 トップマネジメントは、PMS の継続的改善の機会及び PMS のあらゆる変更の必要性に関する決定を行う。
5 「3731PMS マネジメントレビュー議事録」は年度順に整理して永続的に保管する。
■
A3.8 是正処置（2006：3.8）
目的是正処置を実施するため。
A.3.8
是正処置
組織は、不適合に対する是正処置を確実に実施するための責任及び権限を定める手順を確立し、実施し、かつ、維持しなければならない。その手順には、次の事項を含めなけ
2006：3.8
ればならない。
a)不適合の内容を確認する。
b)不適合の原因を特定し、是正処置を立案する。
c)期限を定め、立案された処置を実施する。
d)実施された是正処置の結果を記録する。
e)実施された是正処置の有効性をレビューする。
是正処置は、パフォーマンス評価の結果、緊急事態の発生及び外部機関の指摘などを通じて、不適合が明らかになった場合に行う。
附属書 B
3.8
不適合の原因が特定されなければ、根本的な解決にはならず、単なるもぐらたたきの改善
で終わってしまい、再発を防げない。 A.3.8b)では、再発防止のための是正処置を立日本システム監査人協会

会報

19

January

2019

日本システム監査人協会

会報

案し、A.3.1.1 に基づく承認を受け、実施することが望ましい。
是正処置を確実に実施させるために期限を区切ることは有効であるが、不適合の内容によっては、長期にわたってもよい。不適合の内容に相応した期限の設定が望ましい。
【P マーク審査対応のポイント】
・是正処置は、PMS 運用のすべての段階において、不適合を確認した時に直ちに行われる処置である。
・是正処置の手順は、具体的には以下の通りである。
a)トップマネジメントが、不適合の内容を、確認する。
b)不適合を発生させた部門管理者が、不適合の原因を特定し、是正処置を立案する（処置管理用までの期間を含めて立案することが望ましい）。 立案は、個人情報保護管理者の確認を経由して、トッ
プマネジメントが承認する。
c)不適合を発生させた部門管理者は、期限を定め、立案された処置を実施する。
d)不適合を発生させた部門管理者は、実施された是正処置の結果を記録し、期限までに、個人情報保護管理者を経由してトップマネジメントに報告する。
e)一定期間経過後、不適合を発生させた部門管理者は、不適合の再発の有無について、個人情報保護管理者を経由してトップマネジメントに報告し、実施された是正処置の有効性をレビューする。
・組織の規模によっては、是正処置立案承認権限等を個人情報保護管理者に権限委譲することも可能である。ただしその場合は、「3341-02PMS に関する責任と権限一覧表」等に明確に規定しなければならない。また最終的にすべての「是正処置報告書」は、トップマネジメントに報告されなければならない。
・「是正処置の記録」は、組織の PMS の継続的改善の歴史を示すものであるため、永続的に保管されなけ
ればならない。そのため「PMS 記録一覧」に記載する保管期間も「永久保管」としてよい。
・審査では、少なくとも直近の一年分の「是正処置報告書」を確認する。

【3300 個人情報取扱規程】サンプル
3.8 是正処置
運用の確認 内部監査 緊急事態の発生 外部機関による指摘、苦情、リスクの認識・分析および対策その他の PMS の運用において認識したすべての不適合、および不適合に発展すると思われる要因を発見した時には、「3801 是正処置報告書」を用いて是正処置を実施する。
2 不適合を発見した者は誰でも、「3801 是正処置報告書」を個人情報保護管理者に提出することができる。
3 「3801 是正防処置報告書」に以下を記述し、a)～e)の各段階でトップマネジメントの確認、承認を得なければならない。ただし、個人情報保護管理者が軽微な不適合であると判断した時には、トップマネジメントに代わって a)～c)の確認・承認を行うことができる。
a)
b)
c)
d)
e)

手順
不適合の内容を確認する。
不適合の原因を特定し、是正処置を立案する。
期限を定め、立案した処置を実施する。

原則
トップマネジメントに報告する。
他部門での発生の可能性についても調査し、原因を除去するための是正処置案を立案して、トップマネジメントの承認を得る。
実施者は不適合発生部門となる。

実施した是正処置の結果を記録する。
実施した是正処置の有効性をレビューする。

是正処置案運用の１ヶ月後、３ヶ月後など、不適合が再発していないかどうか確認し、トップマネジメントに報告する。

4 すべての「3801 是正処置報告書」は、最終的にトップマネジメントに報告され、PMS が継続的に改善されなければならない。
5 「3801 是正処置報告書」は、年度順に整理して永続的に保管する。
■【3300 個人情報取扱規程】サンプル（ご参考：規格に無い項目）
４. 例外的な処理について
個人情報の取得・利用･アクセス・提供において、例外的な処理が発生した場合は、以下のただし書きのいず

日本システム監査人協会

会報20

January

2019

日本システム監査人協会

会報

れに該当するかを「4000PMS 例外処理申請書」に明記し、「3421 個人情報取得・変更申請書」に添付して、個人情報保護管理者の承認を得なければならない。
（ただし書き：省略）

５．罰則
当社の PMS に故意に違反した者、あるいは自らの職務を適正に遂行しなかった従業者（協力会社員は除く）
は「就業規則」に従い懲戒の対象となるとともに、会社に損害を与えた場合は、損害賠償請求を行うことが
ある。

６．改廃
PMS 事務局は、年１回、トップマネジメントによる PMS の見直し時期に合わせて、本規程の効果が十分発揮されているかどうかを検証し、必要な場合、3.8 是正処置の手順に従い、見直しを図る。
2 本規程の改廃は、トップマネジメントの承認を得るものとする。
■

PMS 要求事項【JIS Q 15001:2017】と「個人情報取扱規程」の事例の連載は、今回で終了です。
長期間に渡り、お読みいただきありがとうございました。
【JIS Q 15001:2017】に基づくプライバシーマークの審査は、2018 年 8 月 1 日から申請受付が開始され、この連載を始めた 2 月はもちろんのこと、12 月号の最終回を執筆している 11 月時点でも現地審査が始まったばかりで、実際の指摘の事例、改善の事例をもとにすることができませんでした。
そのため本連載は、審査対策というよりは、個人情報保護の「あるべき姿はこうであろう」にとどまっており、現実の審査で全く別の観点から改善を求められる可能性があります。
その場合には、広い御心で粛々と改善対応いただきますようお願いいたします。
※ この連載を基にした HTML 版を公開しています。
規格本文＞https://www.saaj.jp/03Kaiho/saajpmsJISQ15001_2017/000JISQ15001_2017.html
管理策 1＞https://www.saaj.jp/03Kaiho/saajpmsJISQ15001_2017/001JISQ15001_2017.html
管理策２＞https://www.saaj.jp/03Kaiho/saajpmsJISQ15001_2017/002JISQ15001_2017.html
管理策３＞https://www.saaj.jp/03Kaiho/saajpmsJISQ15001_2017/003JISQ15001_2017.html
管理策 4＞https://www.saaj.jp/03Kaiho/saajpmsJISQ15001_2017/004JISQ15001_2017.html
管理策 5＞https://www.saaj.jp/03Kaiho/saajpmsJISQ15001_2017/005JISQ15001_2017.html
管理策 6＞https://www.saaj.jp/03Kaiho/saajpmsJISQ15001_2017/006JISQ15001_2017.html
管理策 7＞https://www.saaj.jp/03Kaiho/saajpmsJISQ15001_2017/007JISQ15001_2017.html
管理策 8＞https://www.saaj.jp/03Kaiho/saajpmsJISQ15001_2017/008JISQ15001_2017.html
管理策 9＞https://www.saaj.jp/03Kaiho/saajpmsJISQ15001_2017/009JISQ15001_2017.html
管理策 10＞https://www.saaj.jp/03Kaiho/saajpmsJISQ15001_2017/010JISQ15001_2017.html
以上

■■

＜目次＞

日本システム監査人協会

会報

21

January

2019

日本システム監査人協会

会報2018.12
支部報告【西日本支部合同研究会

in Fukui 2018 報告】
会員番号

以下のとおり「西日本支部合同研究会

1281 宮本茂明（北信越支部）

in Fukui 2018」を開催しました．

・テーマ : 「データ利活用とシステム監査」
・日時：2018年11月17日(土)研究会）13:00-17:00、情報交流会）17:30-20:00

・会場：福井市地域交流プラザ 研修室605 （福井県福井市)
・主催：特定非営利活動法人日本システム監査人協会
北信越支部，中部支部，近畿支部，中四国支部，九州支部
・後援：特定非営利活動法人 ITコーディネータ協会，特定非営利活動法人福井県情報化支援協会，
特定非営利活動法人石川県情報化支援協会，特定非営利活動法人 ITコーディネータ富山
・講演：『JIS Q 15001：2017 と規程類の改定について』
日本システム監査人協会 副会長

斎藤

由紀子

氏

『JIS Q 15001:2017を基準としたシステム監査』
日本システム監査人協会 九州支部

支部長

舩津

宏

永田

淳次

氏

氏

『ブロックチェーンとシステム監査』
日本システム監査人協会

近畿支部『公開データ活用事例：基礎自治体のITガバナンス・マネジメント課題の現状調査』
日本システム監査人協会

中部支部

大友

俊夫

氏

『キャッシュレス社会におけるデータ利活用とシステム監査』
日本システム監査人協会

北信越支部

長谷部 久夫 氏

2018年度の西日本支部研究会を北信越支部が幹事支部として福井市で開催しました。
IoT、AI、ビッグデータ、オープンデータ等「データ利活用」が様々な分野で鍵となってきています。今回の合同研究会は、この「データ利活用」とシステム監査をテーマに開催し、本部及び西日本の4支部からご報
告いただきました。
参加人数は、発表者を含めて総勢20名で、日本システム監査人協会19名（九州支部1名、近畿支部３名、中部支部6名、北信越支部8名、本部１名）、一般参加者1名でした。

研究会の概要を以下にご紹介します。
◇講演Ⅰ：『JIS Q 15001：2017 と規程類の改定について』【講師】
日本システム監査人協会 副会長

斎藤

由紀子

氏

【講演概要】
2017年12月20日発表された「個人情報保護マネジメントシステム－要求事項【JIS Q 15001:2017】」
は、「規格本体」が他マネジメントシステムと両立するための構造となり、旧2006年版の改訂版にあたる
日本システム監査人協会

会報22

January

2019

日本システム監査人協会

会報

PMSの管理策は「附属書A（規定）管理目的および管理策」に規定されました。旧2006年版との比較、新
個人情報保護法からの規格への引用、新たな項目である「匿名加工情報」の取扱いなどについて概観を報
告いただきました。

◇講演Ⅱ：『JIS Q 15001:2017を基準としたシステム監査』【講師】
日本システム監査人協会 九州支部

支部長

舩津

宏

氏

【講演概要】「個人情報保護マネジメントシステムｰ要求事項」（JISQ15001:2017）の改訂は、2017年5月30日に施行された改正個人情報保護法の反映と規格の構造をISOのマネジメントシステムの規格構造と合わせた点が特徴です。このJISQ15001：2017を適用した個人情報保護マネジメントシステムについて、個人情報保護リスク対応の要求事項に従いルールを制定するプロセス、個人情報保護リスク対応に関する監査について報告いただきました。

◇講演Ⅲ：『ブロックチェーンとシステム監査』【講師】
日本システム監査人協会

近畿支部

永田

淳次

氏

【講演概要】
Bitcoin システムを代表とする暗号通貨が社会に浸透し始めており、それを視野に入れたシステム監査が求められます。特にブロックチェーン技術は改ざんが困難であるという特徴を持つため、監査証跡の収集に有効であると予想され、システム監査人にとって興味深い技術の一つです。暗号通貨とそれを実現した技術を概観し、ブロックチェーン技術の特徴を活用したシステム監査技法の提案について報告いただきました。

◇講演Ⅳ：『公開データ活用事例
基礎自治体のITガバナンス・マネジメント課題の現状調査』【講師】
日本システム監査人協会

中部支部

大友

俊夫

氏

【講演概要】
基礎自治体のITガバナンス・マネジメント課題の現状を改めて確認するため、中核市における包括外部
監査報告書の指摘・意見と新システム管理基準（2018年4月）の着眼点とを対比し整理され、その内容を「公開データの活用事例」として報告いただきました。また、整理結果の概要に加え、包括外部監査報告書をオープンデータのように活用する際の公開様式の課題や、抽出整理した結果（簡易データベース）の今後の活用方法について展望を報告いただきました。

日本システム監査人協会

会報23

January

2019

日本システム監査人協会

会報◇講演Ⅴ：『キャッシュレス社会におけるデータ利活用とシステム監査』【講師】
日本システム監査人協会

北信越支部

長谷部 久夫 氏【講演概要】
キャッシュレス化は、実店舗における省力化、不透明な現金流通の見える化につながると共に、支払デー
タ利活用による消費の利便性向上や活性化等のメリットが期待されています。近年、キャッシュレス化を促進する制度的枠組みの整備や、オープンAPI・ブロックチェーン等、新IT技術の普及・標準化等の環境変化が生じています。それらの動向を踏まえ、キャッシュレス社会におけるデータ利活用とシステム監査の在り方の一考察を報告いただきました。
◇合同研究会を振り返って[研究会]
今回で16回目となる西日本支部研究会を関係者のご協力のもと、「データ利活用とシステム監査」に関し、様々な角度から報告いただきました。参加された方々が、テーマについて考え、気づきを得るよ
い機会になったと思います。
➢ 「匿名加工情報」を、データ利活用する上で留意すべき点は何か➢ 個人情報保護リスク対応プロセスのパフォーマンス監査にどう取り組むか➢ ブロックチェーンを監査証跡として利用するには、どう取り組むか➢ 監査報告書のオープンデータをどう活用できるか➢ 個人の自己情報コントロールとデータ利活用はどうあるべきか・・・

等[情報交流会]
研究会終了後、会場近くのユアーズホテルにて、19名の参加で情報交流会を開催しました。
全員の自己紹介、近況報告とともに参加者が熱く語り合う場になりました。今回の研究会・情報交流
会を通して参加者の皆様に有益な情報交流の場になったのではないかと思います。
[福井市周辺視察]
翌日、福井市周辺視察として、福井城址～養浩館庭園[福井藩主松平家の別邸]～福井市立郷土歴史博物館～北の庄城址・柴田神社をご案内しました。当日は、例年に比べ暖かく晴天で、天候に恵まれ幸いでした。
[ご協力お礼]
講演者の皆様、西日本各支部の合同研究会準備にご協力いただいた皆様、合同研究会の進行・運営にあたりご協力いただいた皆様ありがとうございました。北信越支部も今年で支部開設15年を迎えることができました。今後も継続し皆様と情報交流を進めていきたいと思いますので、よろしくお願いいたし
ます。
以上
＜目次＞

日本システム監査人協会

会報24

January

2019

日本システム監査人協会

会報2018.12
支部報告【北信越支部 2018 年度 石川県例会・研究報告】
会員番号1281 宮本茂明（北信越支部）

以下のとおり2018年度 北信越支部石川県例会を開催しました
・日時：2018年12月8日（土） 13:00-17:00

参加者：10名

・会場：金沢市勤労者プラザ 407研修室
・議題：１. 研究報告
「キャッシュレス社会におけるデータ利活用とシステム監査」 長谷部久夫 氏

２. 2019年度計画意見交換◇研究報告１「キャッシュレス社会におけるデータ利活用とシステム監査」
報告者 (会員番号1766 長谷部久夫)

本報告は，2018 年 11 月の西日本支部合同研究会における当支部の研究報告を基にし，その後の環境変化の動向等を加えたものである．また，本報告に基づき，標記テーマについて支部会員間で意見交換を行った。
１．報告概要「キャッシュレス」は，実店舗の省力化，不透明な現金資産／現金流通の見える化につながるとともに，支払データ利活用による消費の利便性向上や活性化等，様々なメリットが期待される．本報告では，キャッシュレス化の現況と課題，環境変化の動向を踏まえて，キャッシュレス社会におけるデータ利活用，及びシステム監査の在り方の一考察を述べる．
２．キャッシュレス社会とはキャッシュレス社会とは，物理的な現金（紙幣・貨幣）を使用しない手段で支払が行われ，そこで生み出されたデータの利活用により，国全体の生産性が向上して，実店舗，消費者，支払サービス事業者がそれぞれ付加価値を享受できる社会をいう．単に支払手段が「非現金」に切り替わるのみではない．
３．キャッシュレスの現況（１）我が国のキャッシュレス決済比率「キャッシュレス決済比率＝キャッシュレス支払手段による年間支払額÷国の家計最終消費支出」は，経済産業省の「FinTech ビジョン」（2017 年 5 月）で示され．「キャッシュレス・ビジョン」（2018年 4 月）は，日本のキャッシュレス決済比率は 18.4％で，韓国 89.1％，中国 60.0％，アメリカ 45.0％などと比較して低い水準にあるとしている．
本指標は，キャシュレスに係る報道記事に取り上げられることが多いが，分子に口座振替（公共料金の自動引落し等）や振込といった「銀行口座間送金」が含まれない等，実社会の状況を必ずしも正しく反映しているとはいえない．指標が示す数字ほど，我が国のキャッシュレスが著しく遅れているわけではないと考える．
日本システム監査人協会

会報25

January

2019

日本システム監査人協会

会報

もっとも，日本銀行は，国際決済銀行（BIS）傘下の決済・市場インフラ委員会（CPMI)の公表資料に基づき，日本の現金流通額の対名目 GTP 比率は 19.4％と CPMI メンバー国の中では突出して高いこと，また現金流通残高の対名目 GDP 比率と，カード決済額の対名目 GDP 比率に弱い負の相関があることを指摘している．我が国のキャッシュレス支払は，他国に比べて，まだ十分普及していないと考えられる．
（２）我が国でキャッシュレス支払が普及しない背景，及びキャッシュレス推進の追い風（⇒に記載）
ア．社会情勢（ア）治安の良さ（盗難の少なさ等），現金の対する高い信頼（きれいな紙幣，偽札の少なさ）（イ）店舗等の POS(レジ）処理が高速かつ正確，現金の入手が容易（ATM の高利便性）⇒ 現金取扱業務コスト（現金の移動・管理・集計コスト等）の削減ニーズ
イ．実店舗等（ア）端末の導入コストや運用維持コスト（支払サービス事業者への支払手数料）（イ）資金繰り（クレジットカードの資金化までのタイムラグ）⇒ キャッシュレス導入のハードル低下「端末導入コスト実質無料」「最短翌営業日に資金化」，
電子レシートや購買履歴データ活用，レジスピード改善，店舗の人手不足，訪日外国人対応
ウ．消費者（ア）キャッシュレス支払に対応していない実店舗等の存在（イ）キャッシュレス支払にかかる各種不安（クレジットカードの使い過ぎ，カード不正利用等）⇒ 「軽い」仕組みによる支払サービスの取組み（スマホ利用等）,PFM（個人資産管理）の普及
エ．支払サービス事業者（ア）支払サービス事業者（クレジット会社，銀行，電子マネー事業会社等）の高コスト負担（イ）マルチ・クワイアリング環境（１つの加盟店に複数業者が並行契約）⇒ プラットフォーマー（GAFA 等）の存在感，Fintech 事業者による新たな支払ビジネスモデル
４．キャッシュレス社会構築に向けての環境変化（１）キャッシュレスにかかるＩＴ新技術の普及
ア．オープン API（Application Programming Interface）
銀行におけるオープン API は，FinTech 企業等が，顧客からパスワード等を受領し用いなくても，
銀行システムにアクセスできるための仕組み．銀行 API は，QR コード決済で利用されるほか，IOTと組み合わせて様々な決済でキャッシュレスのビジネスモデル創出が見込まれる．
イ．QR コード2018 年 7 月，一般財団法人キャッシュレス推進協議会が設立．本年度は「QR コード決済の標準化」プロジェクトを推進中であるが，競争領域と協働領域の調整がポイントになる．
ウ．ブロックチェーン
全国銀行協会は，全銀ネットで行う資金決済システムへのブロックチェーン技術の活用可能性に係る実証実験を実施中．またメガバンクは，ブロックチェーン技術を利用して大量の小口キャッシュレス決済を実用化することを計画している．

日本システム監査人協会

会報26

January

2019

日本システム監査人協会

会報（２）データ利活用にかかる制度的枠組みの整備
ア．個人データ流通にかかる制度整備①改正個人情報保護法での匿名加工情報制度の導入（2015 年），②改正銀行法での金融機関 APIの開放，クレジットカード API に関するガイドライン公表（2017 年），③総務省および経済産業省
が「情報信託銀行の認定にかかる指針 ver1.0」を発出（2018 年）．
イ．データの権利保護と権限分配にかかる制度整備①改正不正競争防止法で技術的管理を施して提供されるデータの不正な取得・使用を不正競争行為とした，②経済産業省は AI・データ利用に関する契約ガイドラインを公表，③全国銀行協会は改正銀行法に基づく API 利用契約の条文例(暫定版)を公表（①～③ともに 2018 年）．
ウ．データ越境移転にかかる制度整備①改正個人情報保護法で外国にある第三者への個人データ提供を制限（2015 年），②欧州連合（EU）
一般データ保護規制（GDPR）で EU 域内の個人データ保護規定の適用開始．個人情報保護委員会と欧州委員会で相互のデータ移転の円滑化に向けた枠組み構築に関する最終合意（2018 年）．
５．キャッシュレス社会のデータ利活用
近年，個人の活動によって発生したデータ（パーソナルデータ）は，企業が独占すべきものではなく，個人がコントロールすべきであるとする考え方が広まりつつある．４（２）ウ．の動向を踏まえ，日本のキャッシュレス社会におけるデータ利活用では，個人が尊重され，個人のデータポータビリティや，情報コントローラビリティの確保が大前提となる．
その実現にあたっては，個人からの信託を受け，個人の情報を管理・運用する４（２）ア．③に示す「情報銀行」の制度が注目されている．すでに来年からの運用開始に向けた実証実験が開始されている．
情報銀行の普及にはサービスやビジネスモデルのメリットを知らせ，一方不安を解消して，その価値が正しく理解されることが不可欠．データ提供の可否をきめ細かくコントロールすることが重要となる．
６．支部会員による意見交換（１）キャッシュレス社会におけるシステム監査
ア．今後求められる人材像
IT 人材として「データ利活用」が追加される中，システム監査人に期待される役割は拡大する．
特に，点検レベルではなく，ルールの提案まで出来る人材が期待される．
イ．システム監査人のあるべき姿（ア）幅広い知見，俯瞰力とバランス感覚
経営戦略，技術，セキュリティ，国内外の法制度等の現況，将来動向について知見を持って，俯瞰できるバランス感覚を持つ人材が求められる．
（イ）本質（目的）思考力の発揮
様々な視点・視野・視座から事象をみる，また発見事象に対して「なぜ？」「何のために？」を繰り返して深堀りしていく等の取組みが重要．監査上の指摘事項を述べるに止まらず，本質や根本原因に目を向けることが大切であり，その除去に繋がる提案をしていくことが求められる．

日本システム監査人協会

会報27

January

2019

日本システム監査人協会

会報（ウ）ビジネスアジリティに相応しい監査の実践
デジタルトランスフォーメーションという言葉に象徴されるように，様々な業態でデジタル化が進み，ビジネスモデルの変革が起きている．こうした時代を生き残るためには，ビジネスアジ
リティが重要．「アジリティ」とは，状況に応じた的確な判断と，それに向かう行動の敏捷性を兼ね備えること．システム監査人は，アジリティをもった経営を支える拠り所となるべき．
（２）キャッシュレス社会構築に向けての提言
ア．安心・安全なサービスの提供
キャッシュレス決済におけるセキュリティ確保と，個人情報保護に配慮し，技術革新に応じて継続的に改善していくとともに，顧客に対して，取得データの活用方針も含めて丁寧な説明・周知を行うべき．
またキャッシュカードの不正利用，電子マネーを利用した違法資金のマネーロンダリング，仮想通貨の盗難等といった犯罪への対策を強化し，キャッシュレス決済の安全性を高める取組みも欠かせない．
更にデジタル決済の前提となる社会インフラである電力や通信の障害・被災対策の強化が期待される．
イ．決済サービス事業者間の協調
市場全体の拡大促進に向けて，キャッシュレス決済の利用環境を拡大するため，決済サービス事業者
は協調を図っていくべき．
韓国や中国，スウェーデンなど，短期間でキャッシュレス決済を拡大した国々では，多くの利用者が使う決済手段ほど，利便性が高まり，より一段と利用者が増えて普及していく好循環が生まれている．
現在進められている QR コードの標準化を含めて，競争領域を確保しつつ，協調領域において積極的に標準化等を推進していくことが，利用者の利便性を高め，結果的に市場全体の拡大につながる．
ウ．各種手続きの電子化とキャッシュレス化の連携
政府・地方公共団体や金融機関は，各種手続きの電子化とキャッシュレスを一体的に推進するべき．
また本人確認などは，官民での連携により効率化を進めるべき．
例えば，マイナンバーカード普及やマイナポータル活用等，納税者が電子納税手続きをしやすくなる
ような環境を整備し，Pay-℮asy（ペイジー）による電子納税や口座振替などの利用を促す必要がある．
2019 年 10 月に導入される共通電子納税システムの利用による納税手続の効率化が期待される．
少子高齢化時代を迎えて，国全体の生産性を向上させるには，キャッシュレス社会で「キャッシュレス」と「データ利活用」を併せて実現する必要があり，今後も，両面でさまざまな環境変化が生じると考えられる．
引続き，支部総会や例会における研究報告等に加えて，メーリングリスト等でコミュニケーションを深めて，
環境変化の動向を的確に把握し，システム監査の在り方等について支部会員間で意見交換する活動を展開していきたい．
最後になりますが，「キャッシュレス社会構築」は大きなテーマであり，本部や他支部から本テーマにつき，ご指導を賜りたく，お願い申しあげます．
以上

＜目次＞

日本システム監査人協会

会報28

January

2019

日本システム監査人協会

会報2018.12
支部報告

【

近畿支部

第１７5 回定例研究会

】
会員番号

１．テーマ

0807

浦上 豊蔵（近畿支部）「保証型システム監査の実施方法に関する考察～特定個人情報保護評価書を活用した保証型システム監査の可能性について～」

２．講師

株式会社バックス

代表取締役

NPO 情報システム監査普及機構

理事

上級システムアドミニストレータ、公認システム監査人
金子 力造 氏
３．開催日時2018 年 11 月 16 日（金）４．開催場所

大阪大学中之島センター

18:30~20:30

2階

講義室 201

５．講演概要個人番号の利用に先立って特定個人情報保護評価制度が開始され、地方公共団体は特定個人情報にまつわるリスクを事前に分析し、リスクを軽減するための適切な措置を講ずることを「特定個人情報保護評価書」
として公表している。この公開された評価書を「言明書」と見なし、特定個人情報保護に関する保証型シス
テム監査が可能であることが提言された。
講演では、保証型システム監査の概要と「言明書」の役割、特定個人情報保護評価書を用いた保証型シス
テム監査の可能性及び実施方法や留意すべき事項について発表されると共に、システム監査基準や自治体の
特定個人情報保護法に対するパブリックコメントを行った活動についても報告があった。

（１）新システム監査基準・システム管理基準に対するパブリックコメント
システム監査基準・システム管理基準の改定にあたり基準案が 2018 年 3 月 6 日に公示され、3 月 20 日までの期間にパブリックコメントの募集があった。システム監査基準のパブリックコメントは総数 110 件の意見が出され、そのうち 40 件が講師の所属する NPO から提出されたものであった。
採用された意見として①前文「システム監査の意義と目的」に、「利害関係者に対する説明責任を果たすこと」の追加、②【基準 2】監査能力の保持と向上の解釈指針にある認定制度の活用として「公認システム監査人」の追記、③【基準 3】システム監査に対するニーズの把握と品質の確保の解釈基準に、システム監査のニーズとして経営陣からのニーズに加えて、委託者のニーズ、受託者のニーズ、社会のニーズの追記の紹介があった。その結果、システム監査基準では 40 件の意見を提出し 26 件が、システム管理基準では 14 件の意見を提出し 8 件が採用されたと報告があった。
保証型システム監査に関しては、保証型と助言型の監査があることが記述されているにもかかわらずその説明がなされていないことを指摘したが、今後の参考にするとの回答を得たものの修正には至らなかった。
パブリックコメントは、システム監査に携わる人の思いが意見として出されており、貴重な成果物である。
しかし、保証型システム監査については基準作成者や多くのシステム監査人の間でこれが保証型監査である

日本システム監査人協会

会報29

January

2019

日本システム監査人協会

会報という共通認識がまだ醸成されていない段階にあり、今後共通の理解を確立していく必要がある。

（２）保証型システム監査の概要
新旧システム監査基準に保証型システム監査と助言型システム監査に関する記述から、保証型と助言型シ
ステム監査に関する考え方は大凡下記の通りである。
2004 年の旧システム監査基準の前文から、助言型監査と保証型監査の定義は、• 助言型システム監査は、組織内部の改善を目的とし、判断基準に照らし問題点を指摘し改善を促すこと。
監査意見は、改善勧告、助言。
• 保証型システム監査は、利害関係者を守ることもしくは判断の材料とするため、判断基準に照らし適切であることを保証すること。 監査意見は、保証意見（肯定／否定意見）。
また、2018 年の新システム監査基準の基準３解釈指針１に、監査の目的に保証と助言がある事が示されている。
• 保証目的として、経営者が取引先等からの信頼を得るために、経営者による「言明書」の範囲内で、時組織の情報システムのマネジメントが有効に機能していることのお墨付きを得たいというニーズに対して、保証を目的としたシステム監査が行われる。
• 助言目的として、経営陣が自組織のシステム開発管理等に不安があり具体的な改善方法を指摘してもらいたいというニーズに対して、システム管理規準に照らして評価・検証し、指摘事項と改善提案を行う。
しかし、新システム監査基準には「言明書」の記載があるが、その詳細は述べられていない。講演では、「言
明書とは、IT 統制のための要求項目（要求レベル）がどのようにコントロールされているかを具体的に記述し、責任者がその要求に対する達成度合を “言明” として表明した文書であり、保証の対象を明確化するもの」と定義され、その例が示された。
保証型システム監査のニーズには、①経営者 ②委託者 ③受託者 ④社会の 4 パターンのニーズがある。この依頼者の視点から保証型システム監査は ①経営者主導方式 ②委託者主導方式 ③受託者主導方式 ④社会主導方式の４分類がある。

（３）特定個人情報保護評価制度での保証型システム監査
特定個人情報は、法令により目的外の利用が厳しく制限されており、特に地方公共団体は個人番号利用事
務者としてより厳格な管理が求められる。地方公共団体等において特定個人情報にまつわるリスクを軽減し、国民・住民の信頼の確保することを目的に、2014 年に特定個人情報保護評価制度が開始され、評価の実施が義務づけられた。
「特定個人情報保護法評価書」は、地方公共団体が扱う対象人数の規模に応じて評価項目の詳細度が決められており、「基礎項目評価」「基礎項目評価＋重点項目評価」「基礎項目評価＋全項目評価」の 3 種類があり、定められた項目について自己評価を行う。特に「全項目評価書」については、パブリックコメントを求め、指摘があれば対応する。
「全項目評価書」は、入手・使用・委託・移転・接続・保管・消去という特定個人情報のライフサイクルに沿って構成されており、取扱プロセスにおけるリスクに対して、具体的に実施している対策を記載するこ日本システム監査人協会

会報30

January

2019

日本システム監査人協会

会報とが求められる。これは、一般的な情報セキュリティ管理の構成とは異なることに注意しなければならない。
総務省では、標的型攻撃メールなどのサイバー・テロにより機密情報が盗まれる事案が増加しており、地方公共団体は個人番号利用事務で扱う個人情報の安全管理措置を今まで以上に厳格に行う必要があり、管理状態を地域住民に公表する必要があるとしている。また、「地方公共団体における情報セキュリティ監査に関するガイドライン」（総務省）には、「情報セキュリティ対策の改善の方向性を助言することを目的とする助言型監査と、住民や議会等に対し情報セキュリティの水準を保証することを目的とする保証型監査がある。
どちらの型の外部監査を行うかは地方公共団体の判断次第であるが、一般的には、情報セキュリティ対策の向上を図るため、最初は継続的な内部監査と併せて助言型監査を行い、必要に応じて保証型監査を行うことが考えられる。｣との記述があり、助言型監査から始めて成熟度が上がった時点で保証型監査を行う方向性が示されている。 総務省の指針から、特定個人情報保護評価制度に於いては地方公共団体に対して保証型シス
テム監査の実施が求められていることが判る。

（４）特定個人情報保護評価書を用いた保証型システム監査
地方公共団体は、特定個人情報の照会・提供を情報提供ネットワークシステムを通じて行っている。
組織間での情報連携が頻繁に行われることになるため、各地方公共団体において情報システムの管理レベルに大きな差があることは、漏洩等のリスク増大につながる。住民の信頼を高めるため地方公共団体は、個人情報の管理状況について社会主導型の保証型システム監査を受けることで説明責任を担保することができる。
地方公共団体向け保証型システム監査の関係者を保証型システム監査の４分類に当てはめると、「社会主導方式」に該当する。利害関係者は、住民。議会であり、首長が特定個人情報が適切にリスク対応のうえ扱われていることを特定個人情報保護評価書で言明すると共に、保証型システム監査により客観的にそのリスク対応が機能していることを評価し公開することが求められる。
自治体が当初公表した特定個人情報保護全項目評価書は記載に問題のあるものがあり、JーLIS が公表した全項目評価書をそのままコピーしたものと思われるものもあった。講師の所属する NPO では自治体に対してパブリックコメントを提出すると共に、「全項目評価書記載のポイント集」を作成し各自治体が実際に作成・更新する際のヒントになる指摘事項をとりまとめた。また、「特定個人情報保護に関する管理規準」を作成し、特定個人情報の取扱いプロセスにおけるリスク対策と管理方法を示した。
特定個人情報保護評価書を用いた保証型システム監査のフェーズにおけるポイント
・「特定個人情報保護評価書」を使用し、すでに言明書が存在している前提でスタートすることができる。
・依頼内容確認フェーズ
監査人は、依頼者に保証の意味や範囲、制限事項について説明・確認を行い、合意する。
評価書に基づいて監査要点を整理し、言明を担保する証拠の存在を確認する。
・監査提案・契約フェーズ
依頼者に保証の意味や範囲、監査人の責任限定、監査結果の公開の範囲など制限事項について説明し、依頼者と合意を得る。
・監査計画・調査実施フェーズ
評価書の内容に沿った監査要点を基に監査計画を策定する。
日本システム監査人協会

会報

31

January

2019

日本システム監査人協会

会報

評価書の管理項目に紐付いた資料を収集する。
・検出事項分析フェーズ
言明書（評価書）には、リスク対策として「特に力を入れている」「できている」「十分である」などの自己評価が記載されている。
「全項目評価書記載ポイント集」には各評価項目に具体的な統制事例を示している。この事例を参照することで自己評価の妥当性を判定し、被監査組織の統制目標レベルの設定が可能となり、監査意見の形成の一助とすることができる。
・監査報告フェーズ
事実誤認等がないか確認を取る。
依頼者は、システム監査結果を必要に応じ議会や各種委員会、住民等への説明の裏付けとする。
システム監査結果はウェブ等で公開される場合がある。
特定個人情報保護評価書を活用した保証型システム監査の必要性
地方公共団体で、統一の管理項目によりリスクを分析し、適切な対策を講じていると宣言することは画期的なことである。しかし組織内部の自己点検や内部監査だけでは、特定個人情報保護評価書の実効性を評価するには不十分である。そのため、独立かつ専門的な立場のシステム監査人が、実際の運用状況について検証評価する外部監査によってこそ、リスクに対するコントロールが適切に整備・運用されていることが一定の条件において担保され、地方公共団体首長が住民や議会などの利害関係者に対する説明責任を果たすことができる。
日本年金機構は「特定個人情報保護評価書」を公開しており、2015 年 3 月の評価書には個人情報をイン
ターネット環境下のサーバーに保存することがない仕組みであり、監査も年 9 回実施されていることが記載されていた。しかし、5 月 8 日の不正アクセスによる個人情報流出が発覚した時点においては、共有ファイ
ルサーバーに個人情報が複製されて業務に利用していたという事実が調査結果報告に記載されている。もし、「特定個人情報保護評価書」に対する外部保証型システム監査を早期に実施していれば、今回の事件を未然に防止できた可能性が有る。
特定個人情報保護評価書を言明書と見なし、保証型システム監査を実施することは十分可能であることを示した。しかし、現状では特定個人情報保護評価書の記述が十分でない。各地方公共団体で特定個人情報保護評価書が言明書として活用できるようレベルアップする必要がある。その上で、保証型システム監査の必要性と有効性を広く認知してもらうことが今後の課題である。

６．所感
私は、電機メーカーで SOX 法対応の情報システム内部統制と内部監査体制の導入構築を主導し、全社規定や基準の整備・統制の標準化を推進し監査を行ってきた経験がある。事業部や関係会社の経営者がそれぞれの組織を自己点検し内部統制の有効性を宣言し、監査により全体の内部統制が有効であることを評価する手法は、保証型監査そのものである。
地方自治法改正で都道府県と政令指定都市は 2020 年 4 月 1 日までに内部統制の方針を定め、必要な体制を整備することが義務付けられた(日経 2017 年 8 月 21 日)ことを鑑みると、今後保証型監査の要請が増すものと思われる。講演で提言された特定個人情報保護を事例とした保証型システム監査の手法は具体的で有効
日本システム監査人協会

会報32

January

2019

日本システム監査人協会

会報

な方法である。一方、参加者からの質問で特定個人情報に関して自治体の多くは総務省からのやらされ感があり、特定個人情報保護の監査の実施に納得感が得られていないというものがあった。自治体は住民・議会
へ特定個人情報が適切に扱われていることの説明責任を果たすことが必要で、その手段として保証型システ
ム監査を利用し行政組織の評価を高めることができることを理解する必要があると感じた。

以上

＜目次＞

日本システム監査人協会

会報33

January

2019

日本システム監査人協会

会報2018.12
注目情報（2018.11～2018.12）■「2018 年度情報セキュリティに対する意識調査」報告書について (IPA)
様々なサービスがオンライン化され、スマートフォン（以下、スマホ）の世帯保有率も 75.1%(*1)とな
るなど、多くの人がインターネットを生活の一部として利用しています。一方、インターネットサービ
ス利用者の金銭や情報の詐取を狙い、その手口も巧妙化の一途をたどっています。その結果、利用者が思わぬトラブルや犯罪に巻き込まれるケースも少なくありません。そのため、利用者は身近な脅威や手口について理解し、適切な対策による自衛が望まれます。
今年で 17 回目となる本調査では、パソコン（以下、PC）およびスマートデバイス（以下、SD）でのイ
ンターネット利用者を対象に、情報セキュリティ対策の実施状況、SNS 投稿時の意識、法令遵守に関する意識などについて集計しています。JASA
掲載日2018 年 12 月 11 日

https://www.ipa.go.jp/security/fy30/reports/ishiki/index.html■「鉄道業界でも進む「クラウド化」 東急、京王の先進事例が語るその効果」 ITmedia 株式会社
首都圏を中心に多くの利用者がいる鉄道は、なくてはならない重要な社会インフラだ。IT システムを含めてレガシーなイメージが強いかもしれないが、昨今では AI や IoT を含めたデジタル化が進んでいる。
その変化の最前線を東急電鉄と京王電鉄が語った。
掲載日2018 年 12 月 10 日

http://www.itmedia.co.jp/enterprise/articles/1812/10/news003.html＜目次＞

日本システム監査人協会

会報34

January

2019

日本システム監査人協会

会報2018.12【 協会主催イベント・セミナーのご案内 】■SAAJ 月例研究会（東京）

第
２
３
９
回

日時

2019 年 1 月 22 日(火)18:30～20:30

場所

港区芝公園 3-5-8 機械振興会館 地下 2 階ホール
http://www.jcmanet.or.jp/gaiyo/map_kaikan.htm

テーマ

今、振り返る安対基準第 9 版

講師

講演骨子
参加費
お申込み

公益財団法人 金融情報システムセンター 監査安全部
主任研究員 坂上 昇 氏
研究員
宮島 吉昭 氏
金融機関等コンピュータシステムの安全対策基準・解説書（第 9 版）が発刊されて 1
年弱の期間が経過し、実際に当該解説書を利用した監査を経験したシステム監査人も出てきている中、改めて第 9 版発刊の意図や狙いを解説頂き、その内容を振り返ることで、実務経験も踏まえた理解を深める。
SAAJ 会員 1,000 円 非会員 3,000 円
https://www.saaj.or.jp/kenkyu/kenkyu/239.html■SAAJ 月例研究会（東京）

第
２
４
０
回

日時

2019 年 3 月 12 日(火)18:30～20:30

場所

港区芝公園 3-5-8 機械振興会館 地下 2 階ホール
http://www.jcmanet.or.jp/gaiyo/map_kaikan.htm

テーマ

次世代の会計業務と会計監査

講師

株式会社 JBA ホールディングス
脇 一郎 氏代表取締役／グループ CEO

講演骨子（詳細準備中）参加費
お申込み

SAAJ 会員 1,000 円 非会員 3,000 円
協会ホームページ https://www.saaj.or.jp/ でご案内準備中＜目次＞

日本システム監査人協会

会報35

January

2019

日本システム監査人協会

会報2018.12
協会からのお知らせ（予告２）【第 18 期通常総会の開催】
会員番号2581 斉藤茂雄（事務局長）

日本システム監査人協会（SAAJ）会員各位■第 18 期通常総会のご案内
日本システム監査人協会の第 18 期通常総会を、下記の通り開催致します。
万障お繰り合わせの上ご出席をお願い申し上げます。
総会、懇親会の参加申込は 2019 年１月末より、協会ホームページにて受け付けます。

１．日時：2019 年 2 月 22 日（金）13 時 30 分～（受付開始：13：00）

２．場所：東京都港区芝公園 3 丁目 5 番 8 号 機械振興会館 地下 3 階 研修 1 室
アクセス：http://www.jspmi.or.jp/kaigishitsu/access.html
３．第 18 期通常総会 議事（予定）

13 時 30 分～15 時

13:30 開会
(1) 2018 年度 事業報告の件(2) 2019 年度 事業計画の件(3) 2019 年度 予算の件
(4) その他
15:00 閉 会
（休 憩）
４．特別講演15 時 30 分～17 時

15:30 開演
演題：「日本内部監査協会青木賞受賞 ー IT 会計帳簿論～IT 会計帳簿が変える経営と監査の未来～」
講師：千葉商科大学大学院 会計ファイナンス研究科 教授(日本公認会計士協会常務理事

中村 元彦

氏

公認会計士・税理士・IT コーディネータ）17:00 閉演
５．懇親会

17 時 30 分～19 時

17:30 開場 （機械振興会館 5 階

倶楽部 1）

19:00 閉場
以上
＜目次＞

日本システム監査人協会

会報36

January

2019

日本システム監査人協会

会報2018.12
協会からのお知らせ【 ＣＳＡ／ＡＳＡ資格をお持ちの方へ：資格更新手続きについて】

2019年度公認システム監査人及びシステム監査人補の更新手続きのお知らせです。
・資格認定期限が2018年12月31日で満了となる方について、認定の更新手続きを行います。
・資格更新申請の受付期間は2019年1月1日（火）から1月31日（木）までの1か月間です。
・今回の更新対象者は、資格認定番号が下表の方です（2014年度よりすべて2年度ごとの更新です）。

CSA 認定番号

ASA 認定番号

1

2002 年度

K00001～K00253

H00001～H00193○

2

2003 年度

K00254～K00320

H00194～H00263○

3

2004 年度

K00321～K00357

H00264～H00316

42005 年度

K00358～K00401

H00317～H00384○

5

2006 年度

K00402～K00447

H00385～H00433○

6

2007 年度

K00448～K00478

H00434～H00473

7

2008 年度

K00479～K00518

H00474～H00514

8

2009 年度

K00519～K00540

H00515～H00538○

92010 年度

K00541～K00553

H00539～H00557○

102011 年度

K00554～K00568

H00558～H00572

K00569～K00580

H00573～H00586

K00581～K00596

H00587～H00595

K00597～K00606

H00596～H00602

K00607～K00615

H00603～H00618

K00616～K00630

H00619～H00625

K00631～K00640

H00626～H00634

11 2012 年度
122013 年度

13 2014 年度
142015 年度

15 2016 年度
162017 年度

2019 年 1 月更新

ご参考

取得年度

2020 年更新

○

○
○

○

○
○

○
○

○
○

・資格更新申請には、更新申請書や継続教育実績申告書などの提出が必要です。準備をお願いします。
・更新手続きの詳細は、HP の「CSA の資格をお持ちの方へ」(https://www.saaj.or.jp/csa/forCSA.html)
をご覧ください。
以上＜目次＞
日本システム監査人協会

会報37

January

2019

日本システム監査人協会

会報2018.11【 新たに会員になられた方々へ 】

新しく会員になられたみなさま、当協会はみなさまを熱烈歓迎しております。
協会の活用方法や各種活動に参加される方法などの一端をご案内します。

ご確認・ホームページでは協会活動全般をご案内

http://www.saaj.or.jp/index.html

ください

・会員規程
・会員情報の変更方法

http://www.saaj.or.jp/gaiyo/kaiin_kitei.pdf
http://www.saaj.or.jp/members/henkou.html

特典・セミナーやイベント等の会員割引や優遇 http://www.saaj.or.jp/nyukai/index.html
公認システム監査人制度における、会員割引制度など。

ぜひ
ご参加を

・各支部・各部会・各研究会等の活動。
http://www.saaj.or.jp/shibu/index.html
皆様の積極的なご参加をお待ちしております。門戸は広く、見学も大歓迎です。

ご意見
募集中

・皆様からのご意見などの投稿を募集。
ペンネームによる「めだか」や実名投稿には多くの方から投稿いただいております。
この会報の「会報編集部からのお知らせ」をご覧ください。

出版物

・「発注者のプロジェクトマネジメントと監査」「情報システム監査実践マニュアル」「６か月で構築する個人情報保護マネジメントシステム」などの協会出版物が会員割引価格で購入できます。
http://www.saaj.or.jp/shuppan/index.html

セミナー

・月例研究会など、セミナー等のお知らせ http://www.saaj.or.jp/kenkyu/index.html
月例研究会は毎月100名以上参加の活況です。過去履歴もご覧になれます。

CSA
・
ASA

・公認システム監査人へのSTEP-UPを支援します。
「公認システム監査人」 と「システム監査人補」で構成されています。
監査実務の習得支援や継続教育メニューも豊富です。
CSAサイトで詳細確認ができます。 http://www.saaj.or.jp/csa/index.html

会報

・過去の会報を公開
https://www.saaj.jp/03Kaiho/0305kaihoIndex.html
会報に対するご意見は、下記のお問合せページをご利用ください。

お問い
合わせ

・お問い合わせページをご利用ください。 http://www.saaj.or.jp/toiawase/index.html
各サイトに連絡先がある場合はそちらでも問い合わせができます。
＜目次＞

日本システム監査人協会

会報38

January

2019【 ＳＡＡＪ協会行事一覧

日本システム監査人協会】

赤字：前回から変更された予定

4月

理事会・事務局・会計
1： 2018 年度年会費請求書発送
1： 個人番号関係事務教育
13：理事会：2019 年度予算案
会費未納者除名承認
第 18 期総会審議事項確認
14：総会資料提出依頼（1/7〆切)14：総会開催予告掲示
19：2018 年度経費提出期限
7： 総会資料提出期限 16:00
10：理事会：総会資料原案審議
26：2018 年度会計監査
30：総会申込受付開始（資料公表）
31：償却資産税・消費税申告7：理事会：通常総会議案承認
28：2019 年度年会費納入期限
8：年会費未納者宛督促メール発信
14：理事会27：法務局：資産登記、理事変更登記
活動報告書提出
東京都：NPO 事業報告書提出
11：理事会

5月

9：理事会

6月

1：年会費未納者宛督促メール発信
14：理事会
19：年会費未納者督促状発送
21～：会費督促電話作業（役員）29：支部会計報告依頼（〆切 7/13）
30：助成金配賦額決定（支部別会員数）
5：支部助成金支給
12：理事会

12 月

1月

2月
3月

会報

2018.12

認定委員会・部会・研究会
支部・特別催事
5：第 238 回月例研究会
13,14：第 33 回システム監査実践セミナー(日 12:協会創立記念日
帰り 2 日間コース)
15： CSA/ASA 更新手続案内メール〔申請期間 1/1～1/31〕
26：秋期 CSA 認定証発送

1-31：CSA・ASA 更新申請受付
18： 春期 CSA・ASA 募集案内
〔申請期間 2/1～3/31〕
22：第 239 回月例研究会
2/1-3/31：CSA・ASA 春期募集
下旬：CSA・ASA 更新認定証発送
1-31: 春期 CSA・ASA 書類審査
12：第 240 回月例研究会

初旬：春期 CSA・ASA 書類審査
中旬：春期 ASA 認定証発行
中旬・下旬土曜：春期 CSA 面接

7：支部会計報告期限

22：第 18 期通常総会

21：春期情報技術者試験

前年度に実施した行事一覧

7月

8月（理事会休会）25：中間期会計監査

9月

13：理事会

10 月

11：理事会

11 月

8：理事会
8：予算申請提出依頼（11/30〆切）
支部会計報告依頼（1/7〆切)16：2019 年度年会費請求書発送準備
26：会費未納者除名予告通知発送
30：本部・支部予算提出期限

13：第 233 回月例研究会
中旬：春期 CSA 面接結果通知

認定 NPO 法人東京都認定日（2015/6/3）

下旬: 春期 CSA 認定証発送

30：近畿支部 30 周年記念
シンポジウム12：第 32 回システム監査実践セミナー(日帰り 2 日間コース)
26：第 234 回月例研究会
28：事例に学ぶ課題解決セミナー
下旬：秋期 CSA・ASA 募集案内
1：秋期 CSA・ASA 募集開始～9/30
30、31:第 32 回システム監査実務セミナー(日帰り 4 日間コース)前半～ 秋期 CSA・ASA 募集中 ～9/30 迄
7：第 235 回月例研究会
13,14: 第 32 回システム監査実務セミナー(日帰り 4 日間コース)後半
22：第 236 回月例研究会
27：会員向け活動説明会
10,17,24：秋期 CSA 面接
21：第 237 回月例研究会
下旬：CSA・ASA 更新手続案内〔申請期間 1/1～1/31〕
30： CSA 面接結果通知13：支部会計報告〆切

21：秋期情報処理技術者試験

17：「2018 年度西日本支部合同研究会 in Fukui」＜目次＞

日本システム監査人協会

会報39

January

2019

日本システム監査人協会

会報2018.12【 会報編集部からのお知らせ 】
１．会報テーマについて
２．会報バックナンバーについて
３．会員の皆様からの投稿を募集しております□■ １． 会報テーマについて
2019 年の会報年間テーマは「システム監査人のターニングポイント」です。
システム監査の過去、未来においてターニングポイントとなった①外部環境の変化、②技術的な変化、③今後予想されることを焦点に議論し、お互いの知見や意見を交換することを目的として設定しました。
参考までに例示を紹介させていただきます。
①の例示：マイナンバー制度②の例示：クラウドコンピューティング、ブロックチェーン③の例示：AI、自動運転、IOT、ビッグデータ等に関する技術的な進展と法制度
あくまでも例示ですのでこれらにとらわれる必要はありません。
会報テーマ以外の皆様任意のテーマももちろん大歓迎です。皆様のご意見を是非お寄せ下さい。
＊2019 年度会報テーマ
年

間

テ

ー

マ

システム監査人のターニングポイント□■ ２． 会報のバックナンバーについて協会設立からの会報第１号からのバックナンバーをダウンロードできます。
https://www.saaj.jp/03Kaiho/0305kaihoIndex.html

日本システム監査人協会

会報40

January

2019

日本システム監査人協会

会報□■ ３．会員の皆様からの投稿を募集しております。
分類は次の通りです。
投稿要項が変更になっておりますので、下記をご確認の上、投稿をお願いします。
□■ 会報投稿要項1.

めだか

匿名（ペンネーム）による投稿
原則１ページ※Word の投稿用フォーム（毎月メール配信）を利用してください。

2.

記名投稿

原則４ページ以内※Word の投稿用フォーム（毎月メール配信）を利用してください。

3.

会報掲載論文

会報掲載「論文」募集要項（2018. 1.11 改訂）（投稿は会員限定） 6000 字以上。17,000 字程度。図表を含める。
システム監査の啓発、普及、理論深化、情報提供、実践、手法開発等に役立つ論文であること。
既発表論文は除く。

■投稿について・投稿締切：15 日 (発行日：25 日）
・投稿用フォーマット
・投稿先：※毎月メール配信を利用してください。

saajeditor@saaj.jp

宛メール添付ファイル

・投稿メールには、以下を記載してください。
✓

会員番号

✓

氏名

✓

メールアドレス✓

連絡が取れる電話番号

・めだか、記名投稿には、会員のほか、非会員 CSA/ASA、および SAAJ 関連団体の会員の方も投稿できます。
✓

会員以外の方は、会員番号に代えて、CSA/ASA 番号、もしくは団体名を表記ください。

■注意事項
・投稿された記事については「会報編集委員会」から表現の訂正や削除を求めることがあります。
又は、採用しないことがあります。
・編集担当の判断で、字体やレイアウトなどの変更をさせて戴くことがあります。

お問い合わせ先：

saajeditor@saaj.jp

日本システム監査人協会

会報41

January

2019

日本システム監査人協会

会報2018.12
会員限定記事【本部・理事会議事録】（会員サイトから閲覧ください。会員パスワードが必要です）
https://www.saaj.or.jp/members_site/KaiinStart
ログイン ID（8 桁）は、年会費請求書に記載しています。

＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝■発行：認定 NPO 法人〒103-0025

日本システム監査人協会 会報編集部
東京都中央区日本橋茅場町２－８－８共同ビル６F■ご質問は、下記のお問い合わせフォームよりお願いします。
【お問い合わせ】

http://www.saaj.or.jp/toiawase/■会報は、会員宛の連絡事項を記載し登録メールアドレス宛に配信します。登録メールアドレス等を変更された場合は、会員サイトより訂正してください。
https://www.saaj.or.jp/members_site/KaiinStart

掲載記事の転載は自由ですが、内容は改変せず、出典を明記していただくようお願いします。

■□■SAAJ 会報担当
編集委員：桜井由美子、安部晃生、越野雅晴、竹原豊和、豊田諭、福田敏博、藤澤博、柳田正、山口達也
編集支援：会長、各副会長、各支部長
投稿用アドレス： saajeditor ☆ saaj.jp （☆は投稿時には＠に変換してください）
Copyright(C)1997-2019、認定 NPO 法人 日本システム監査人協会＜目次＞

日本システム監査人協会

会報42