January 2022

日本システム監査人協会

認定 NPO 法人

日本システム監査人協会報

会報2022 年 1 月号
No

250

No.250（2022 年 1 月号）＜12 月 25 日発行＞ ━━━━━━━━━━━━━━━━━

2022 年は、DX への取り組みが更に進む可能性が高い年。
当協会もシステム監査の発展とシステム監査人の飛躍に寄与します。

巻頭言

新型コロナウイルス感染拡大防止における IT 活用に注目の目を向ける
会員番号：6027 小野修一（会長）

我が国における新型コロナウイルスの感染状況は落ち着きを見せています。しかし、諸外国の感染状況を見たとき、我が国での感染再拡大も懸念されています。感染再拡大を抑えるために、政府では 3 回目のワクチン
接種や忘年会・新年会やイベントなど多人数が集まる場面でのワクチン接種証明・検査パッケージの活用を計
画・実施を始めています。これまでの感染対策での教訓を踏まえた取組であり、効果が期待されていますが、対策の確実な実施、実施結果の管理・検証には IT の活用が不可欠です。
いかに予算をかけた大掛かりな対策も、明確な方針・計画に基づいて実施・運用され、その結果が正確に記録され、感染予防効果の分析が行われ、次の対策に繋げる PDCA サイクルが機能してはじめて、効果的な対策となります。そのためには IT の活用なしには不可欠ですが、残念ながら、新型コロナウイルスの感染が始まってから実施・運用された各種システムは十分な効果を発揮するに至りませんでした。その原因をしっかりと分析した上で、効果的な IT 活用に活かして行かなければなりません。
新型コロナウイルス感染症は一国の問題ではありません。したがって、世界レベルでの情報共有の仕組みも必要です。世界レベルでの正確な情報に基づいた対策でなければ。十分な効果を発揮できないことは当然です。システム監査人は自らの感染予防への取組に努めるとともに、感染予防のための IT 活用の PDCA が機能しているかに注目していきたいものです。
2022 年が SAAJ の会員の皆様にとって、平和で明るい年になることを祈念いたします。
以上

日本システム監査人協会

会報1

January 2022

日本システム監査人協会

会報

＜目次＞
各行から Ctrl キー+クリックで該当記事にジャンプできます。

○

巻頭言........................................................................................................ 1『新型コロナウイルス感染拡大防止における IT 活用に注目の目を向ける』

１．めだか........................................................................................................ 3【時代の変化とシステム監査 ‐ 初春 -】２．投稿.......................................................................................................... 4

投稿【決済システムの信頼性確保に向けて】【コラム】システム監査のための、法律・会計再入門（1）【基礎自治体における IT ガバナンス監査考】―（第５回）模擬 IT ガバナンス監査演習の可能性の提案―

3．本部報告...................................................................................................... 16【第 262 回月例研究会：講演録】
テーマ：「工場・プラントを狙ったサイバー攻撃の最新動向と Live デモ」

4．注目情報IPA...................................................................................................... 19【ITSS＋「データサイエンス領域」2021 改訂版を公開】

5．セミナー開催案内.......................................................................................... 20【協会主催イベント・セミナーのご案内】

6．協会からのお知らせ....................................................................................... 21【ＣＳＡ／ＡＳＡ資格をお持ちの方へ：資格更新手続きについて】【第２１期通常総会の開催】【新たに会員になられた方々へ】【協会行事一覧】

7．会報編集部からのお知らせ

日本システム監査人協会............................................................................... 25

会報2

January 2022

日本システム監査人協会

会報2021.12
めだか【

時代の変化とシステム監査 ‐初春- 】

システム監査の領域が広がる中、進化の階段の一つ上の段に上がる。そこで時代の変化とシ
ステム監査を考える。時代の変化は、気候変動や、新型コロナウイルスによるパンデミック等であり、システム監査は、正すものである。
さて、稲作が各地に広まると各地の集落が拡大しそれを治める権力者として首長という存在が生まれ始める。その当時の日本がどのような状況であったかは中国の歴史書などにおいても語り継がれている。
「漢書」地理志によると、紀元前 1 世紀頃、中国側から日本は「倭」と呼ばれており「楽浪海中に倭人有り、分れて百余国を為す。歳時を以て来り献見す。
」という。
「後漢書」東夷伝には、1 世紀のなかば、倭の奴国の王が漢（後漢）に使いを送り皇帝から金印を授けられたとあり、福岡市博物館にその金印が展示されている。中国の三国時代のことを書いた「三国志」のうち、「魏」の歴史を書いたものが「魏志」で、その「倭人伝」に、卑弥呼が邪馬台国より（239 年から）たびたび魏に使いを送り、魏の皇帝から親魏倭王の称号と銅鏡 100 枚などを授けられたと書かれている。
「宋書」
古墳が多く作られた 3 世紀後半から 7 世紀を古墳時代と呼ぶ。（421 年から 502 年にかけて）や「梁書」には、宋などの南朝に 13 回の朝貢を行った倭の五人の王「讃」
「珍」
「済」
「興」
「武」の記述が残されている。「武」は雄略天皇（ワカタケル大王）と考えられ埼玉県稲荷山古墳出土の鉄剣に銘がある。
6 世紀末から 7 世紀の飛鳥時代。聖徳太子（574～622）は、父は用明天皇、母は欽明天皇皇女の穴穂部間人、厩戸 (うまやど) 皇子、豊聡耳 (とよとみみ) 皇子または上宮 (じょうぐう) 太子ともいう。叔母の推古天皇の摂政として、内政や外交に尽力し、冠位十二階や憲法十七条を制定して集権的官僚国家の基礎をつくり、遣隋使を派遣して大陸文化の導入に努めた。憲法第 1 条に「以和為貴、無忤為宗」（和 を 以 て 貴 しと 為 し 、忤 (さ か ら )う こ と 無 き を 宗 と せ よ ）はよく知られている。
「三経義疏 (さんぎょうぎしょ) 」を著し、法隆寺や四天王寺などを建立して仏教の興隆につくした。
渋沢栄一は、「正しい道理の富でなければその富は完全に永続することができぬ」と利益至上主義を諫め、企業活動にも「論語」の道徳が必要だと説いている。これはアダム・スミスが唱えた国富論と道徳感情論という二つの考えの総合といえる。万葉集は、雄略天皇の和歌から始まって、大伴家持の和歌「新（あらた）しき年の始の初春の今日降る雪のいや重（し）け吉事（よごと）」でおわる。私たちは時代の変化とシ
ステム監査を考えること、そして、さまざまな出来事と役割に対し、改めて考えてみることが求められる。
（空心菜）
資料「日本史 パノラマ大地図帳」監修 山本博文

宝島社

（このコラム文書は、投稿者の個人的な意見表明であり、ＳＡＡＪの見解ではありません。
）＜目次＞

日本システム監査人協会

会報3

January 2022

日本システム監査人協会

会報2021.12
投稿【決済システムの信頼性確保に向けて】
会員番号436 大石正人

２０２１年初めからの相次ぐ基幹システムでの障害と顧客影響について、メガバンクに対する金融庁の行政処分（業務改善命令）が伝達、公表されました。既に報道されているので、改めての詳細な紹介は省略しますが、内容は極めて厳しいものでした。
特に、システム上、ガバナンス上の問題の真因として、①システムに係るリスクと専門性の軽視 、② IT現場の実態軽視 、③ 顧客影響に対する感度の欠如、営業現場の実態軽視 といった問題に加え ④言うべきことを言わない、言われたことだけしかしない姿勢、といった企業体質にかかわる事項まで踏み込んだ指摘になっており、重ねてこの 4 点の多くが「過去のシステム障害においても通底する（共通する）問題だ」、との指摘は金融当局として、再発防止策の約束を踏みにじられた、との強い気持ちが最大限かつ前面に出た内容となっています。
この拙文でも２０２１年は何度か、このメガバンクやシステムの安定稼働に向けた課題について、自分の狭い経験から考えたり指摘したりしてきました。今回の業務改善命令には「（基幹）システムの安定稼働に必要な事項（有事を想定した被害の極小化に必要な取組みを含む。）を十分に洗い出さずに、M（基幹シス
テム） を開発フェーズから保守・運用フェーズへと態勢移行させた上、M の保守・運用に必要な人員の配置転換や維持メンテナンス経費の削減等の構造改革を推進した。」という下りがあり、問題意識は同じ、との印象を抱きました。
つまり鳴り物入りで構築した基幹システムについて、内在するリスク特性を十分に把握しないまま、「安定稼働期に入ったのだから、通常の運行体制に移行できる。そうであれば人員もコストも最小限でよいはずだ」、と経営陣が誤認した、と指摘しているわけです。
確かにこのＭという基幹システムの構築はライフサイクルを考慮した鳴り物入りのプロジェクトでした。
サグラダファミリアにたとえられるほど、何度も本番稼働を延期して慎重に移行作業を進めたはずでした。
しかしその間に金融環境は厳しさを増し、稼働した途端に収益を生まない資産として財務上償却したと報道されたことは以前にも触れました。
しかしだからといって、Ｍシステムの業務上の重要性は変わりません。銀行業務に求められる顧客口座の管理やさまざまな取引に伴う資金移動、決済など、誤り（二重引き落としなどもってのほかです）も遅れも許されない、社会的に重要なインフラをなしています。メガバンクとなれば、こうした業務の担い手としての責任は極めて大きくなります。
だからこそ、今回改めて金融庁は「短期間に複数のシステム障害を発生させたことにより、個人・法人の顧客に重大な影響を及ぼし、社会インフラの一翼を担う金融機関としての役割を十分に果たせなかったのみ
ならず、日本の決済システムに対する信頼性を損ねた」として経営陣の責任の重大性を指摘しているのです。
今後は、再発防止策の策定や実行、企業統治（ガバナンス）の強化など、システムや顧客影響を考慮した事業運営体制の再構築を改めて図ることになりますが、その道は容易ではありません。最も懸念するのは、システムや業務の特性（リスク）を十分に理解するコア人材が、果たして銀行内に残っているのか、という点です。報道や金融庁の公表資料によれば、安定稼働期に移行したとして、ＩＴ部門から人員の再配置が行われたようですし、こうしたケースでは人材の流出もあったでしょう。
他の大手銀行の場合は、ＩＴ部門を担う人材は専門性や適性を十分に踏まえ、経験を積ませている例が多いのですが、当該銀行の場合、こうした人材のポートフォリオをどこまで把握し、将来的な視点から育成、確保に努めてきたのか、不安なしとしません。しかも、大規模な基幹システムの構築から時間も経過し、ＩＴ部門を担うべく士気を維持した人材の集約は容易でないことが予想されます。同じことがシステム運営のパートナーである委託先ＩＴ会社についても妥当すると予想されます。
つまり安定稼働を再構築するための体制整備は、その初期条件を整える見通しが全く立っていない状況にあると推察されます。
日本システム監査人協会

会報4

January 2022

日本システム監査人協会

会報

こうした現状の把握を、例えばシステム監査を含む内部監査部門が、第三者的な視点で押さえ直す作業
も、迂遠（遠回り）に見えるかもしれませんが、大切な取り組みではないか、と考えます。
報道の中に「顧客よりも当局の意向が優先で、真に課題に向き合えてないのではないか」といった評価がありましたが、まずは自身の現状を客観的な目でとらえなおすことが最優先の課題ではないでしょうか。
ところで 11 月後半になり、〇ペイ事業者において、システム障害から二重払いが発生した、との報道がありました。特定のカード会社が発行したプリペイドカードでチャージした利用者、という一定の条件に該当するケースだったようですが、事業者からの公表資料が見当たらず、詳細はわかりません。報道によれば二重決済の件数は２５千件に上る、とのことであり、決して軽視できる水準ではありません。この事業者は直前にも送金や決済ができない事態を招いているので、もしかするとシステムに何らかの潜在的な問題を抱えている可能性もあります。
少し前に「勤労者の給与振込口座として、資金移動業者のデジタル口座も指定できるようにする、という議論」を紹介しましたが（2021 年 5 月号）、どういった条件に充てはまるケースであれ、決済にかかる信頼性を損ねるような事業運営体制は極めて問題です。
最近は迅速な給付のため、こうしたデジタル口座の利用を考える動きが、公的機関でも見られているようですが、おそらく事業者の提供する決済サービスの信頼性を正しく評価できる主体はいないでしょう。
今回二重払いを発生させた事業者のようなケースがあると、それこそ生活資金の確保や日常的な資金決済に支障が生じ、生活者に重大な影響を与えかねません。その意味で、資金移動業者について、そのシステム
運営の信頼性を、システム監査などを活用して評価し、資金移動業者の自己規律を高め、可能であれば「一定の信頼水準を確保していなければ、資金移動業者として公的なサービスでは使わない」、位のガイドラインが必要になると思います。
銀行などの金融機関の場合は、長年のシステム運営や決済サービス提供の経験から、顧客の信頼が得られるような業務運営体制を構築していますし、リスク管理や内部監査のプロセスを通じ、持続的な品質確保の仕組みがあります。それが損なわれたからこそ、今回のメガバンク事案のように、金融庁から厳しく指弾を受けているわけです。
これに対し、近年資金移動サービスに参入した事業者は、事業機会の拡大のために矢継ぎ早の施策を打つことに長けていても、顧客影響がないようなシステム運営のノウハウは十分でない懸念があります。
併せて、銀行を含めた決済サービスの担い手に必要なのは、安定稼働のための資源配分の確保です。
２０００年代入り後に大手銀行を含めて基幹システムにおいてシステム障害が相次いだ反省から、事業会
社によっては、毎年度一定程度の比率の「安定稼働のための投資枠」を確保する取組みが見られました。
その後、こうした動きは、収益環境の厳しさやシステムのアウトソーシング（共同化を含む）など運営体
制の変化のなかで、果たして継続できているか不安なしとしませんが、決済サービスの担い手としての責任として、改めてこうした「安定稼働のための投資枠」の概念を想起することは極めて重要だと考えます。
併せて、万一システムダウンや情報セキュリティ侵害などが発生した場合に備えた、対応計画（コンティンジェンシープラン）の策定と緊急事態に備えた訓練もできれば必須にしたいところです。
新規参入の資金移動者に対しても、事業運営のガイドラインとして、こうした考え方が常識となるような働きかけをすることで、改めて決済サービスの信頼性確保の大切さを啓発していくことはできないでしょうか。一考に値すると思います。
一時的なブームで一儲けしよう、といった意識ばかりが先行するとすれば、それは決済サービスの信頼性の確保に反するはずです。マスコミもこうした観点から報道内容を吟味するよう期待したいところです。
2022 年が決済サービスの信頼性を維持、強化する年になるよう、事業者への必要な働きかけと、できればシステム監査人による質の保証への貢献の年になるよう、願っています。
＜目次＞
日本システム監査人協会

会報5

January 2022

日本システム監査人協会

会報2021.12【コラム】システム監査のための、法律・会計再入門（1）
会員番号1644 田淵隆明（近畿支部

システム監査法制化推進プロジェクト）§1.はじめに謹賀新年。本年もよろしくお願い致します。昨年は「システム監査のための、順列・組合せ・確率・統計再入門」の連載をさせて頂きましたが、今年は、システム監査のための法律と会計に焦点を当てたいと思います。
なお「研究開発費の一律費用処理と損金不算入問題」とカリキュラムと言語は引き続き取り上げて行きます。
§2.会計の基本
システム監査人にとって会計システムは重要な監査対象である。今回は読者の皆様からのご要望にお応えして、SAP を例として仕訳基本パターンについて説明する(→[4]も参照)。SAP では右側の商業簿記においても「三分割法」(Periodic Inventory Method)ではなく、「売上原価対立法」(Perpetual Inventory Method)を使用する。

日本システム監査人協会

会報

6

January 2022

日本システム監査人協会

日本システム監査人協会

会報

会報

7

January 2022

【6】月次の決算整理仕訳

日本システム監査人協会

会報→ 売上原価対立法のため無し。

§3.言語の重要性
これまでも、言語の重要性を取り上げて来たが、今後も継続することとする。下の図は、新課程の高校の「物理基礎」及び「化学基礎」で登場する物質の三態変化を表したものである。

日本システム監査人協会

会報8

January 2022

日本システム監査人協会

会報

筆者が若いころ、固体→気体の直接変化(英：sublimation,独：Sublimierung,仏：sublimation)も、気体→固体の直接変化(英：deposition,独：Deposition,仏：déposition)も、我が国の教育では「昇華」と訳されていた。このような訳語の多義性は多くの学生を躓かせる(実は筆者も躓いた)。
以前から度々指摘しているように、外国語は英語だけでは不十分である。理系ならば、英語・ドイツ語・フランス語・古典ギリシャ語・ラテン語は非常に有用である。ドイツの場合、第 5 学年から第一外国語(これは日本も同じ)、第 8 学年から第二外国語、第 10 学年からは第三外国語を履修する。多くの場合、第一・第二は英語とフランス語であり、第三は中国語/日本語/ラテン語からの選択となることが多いようである。
現在、フランス南部のマルセイユの約 60km 北方に位置するカラダッシュ(Cadarache)で熱核融合炉の建設が進められており、2025 年には運転開始の見込みである。これは ITER と呼ばれているが、ラテン語の「道」(希：ἡ ὁδός)という意味である。これは中性名詞の第三変化であるが、次のように活用する。
(単数)
(複数)
主格(～は、～が)iter
itinera対格(～を)
iter
itinera与格(～に)
itinerīitineribus
属格(～の)
itineris
itinerum
奪格(～より、～で) itinere
itineribus※以前にも指摘したように、ラテン語の奪格は曲者である。特に複数形においては常に意味が正反対の与格と同形であり、多くの誤解や誤訳の元凶となっている(単数形でも第二変化では与格と同形、第一変化では主格の語尾-a が- ā となるのみ)。まさに漢文の「於」と同じであり、多くの誤解や誤訳の元凶となっている。
ITER では、次の核反応を用いる。同じ質量の石油を燃やして得られるエネルギーの約 8000 万倍である。
D ＋ T → 4He ＋ n ＋ 14.1MeV★ここで、D は重水素核、T は三重水素核(トリチウム核)、4He(ヘリウム 4 原子核)、n(中性子)である。この反応では大量の T(トリチウム)の確保が課題となっている。上記の ITER だけでなく、小型核融合炉の開発も俎上に上る昨今であるが、いずれも上記の反応を用いる予定であり、大量の T(トリチウム)の確保が課題となっている
一方、現在我が国では、2011 年以降、トリチウム水(HTO,DTO,T2O)の処理方法が大きな問題となっている。
この T(トリチウム)を発電の原料として供することができれば「究極のリサイクル」となる訳であり、我が国の輸出産業になるかもしれない。この件については、政府は早急に研究を開始するべきであると考える。
§4.おわりに2023 年 10 月 1 日より、我が国の消費税は「インボイス方式」に移行する。導入時の経緯・紆余曲折により肝心の「インボイス」が導入されなかったが、実に 34 年 6 カ月の年月を経て、ようやく、「複数税率とインボイス」という国際標準に追いつくこととなった。インボイス導入についての計算方式の一部変更などは、今年、順次取り上げることとするが、「インボイス」(適格請求書)を発行するためには、「適格請求書発行事業者の登録申請書」を所轄税務署長への届け出が必要である。以下の点に留意が必要である。
①適格請求書発行事業者の登録申請は、インボイスを発行する為には簡易課税事業者であっても必要。
②適格請求書発行事業者の登録申請は、2023 年(令和 5 年)10 月 1 日の制度開始日から適用を受けるためには、2023 年(令和 5 年)3 月 31 日までに行わなければならない。
③2023 年(令和 5 年)4 月 1 日以降に設立する新設事業者(法人・みなし法人・個人)の場合は、2023 年(令和5 年)9 月 30 日までに登録申請を行わなければならない。
システム監査人としては、クライアント企業等のシステムの対応のみならず、届け出期限等についての助言等も必要であることを肝に銘じるべきであろう。(次号につづく)※以上述べたことは筆者の私見であり、いかなる団体をも代表するものではありません。また、法令の適用・会計基準の適用、医療上の判断等については、必ず、御自身でご担当の顧問会計士その他の専門家の方々への御確認・照会をお願いします。
<参考文献>[1]「軽減税率」田淵隆明が語る、IFRS&連結会計〔Ⅰ〕〔Ⅱ〕 (2021/03/29)[2]「軽減税率」田淵隆明が語る、「インコタームズと連結上の照合・相殺消去」再考(2021/03/01)[3]「軽減税率」田淵隆明が語る、数学・理科のカリキュラム再考（2021/09/27）[4]SAP HANA 日本語マニュアル
https://blogs.sap.com/2015/09/18/saphana%E6%97%A5%E6%9C%AC%E8%AA%9E%E3%83%9E%E3%83%8B%E3%83%A5%E3%82%A2%E3%83%AB/[5]https://www.nta.go.jp/taxes/shiraberu/zeimokubetsu/shohi/keigenzeiritsu/pdf/300416.pdf

日本システム監査人協会

会報

＜目次＞
9

January 2022

日本システム監査人協会

会報2021.12
投稿【

基礎自治体における IT ガバナンス監査考 】―（第５回）模擬 IT ガバナンス監査演習の可能性の提案―
CIO 補佐官経験者※本投稿については、実名が原則であるが、過去において認めた匿名の投稿を継承した内容となっており、引き続き匿名とすることを認めた。ご了承願いたい。
（会報主査）

８．IT ガバナンス監査演習の意義・位置づけ
本稿（第２回）で、すでに論点「IT ガバナンス監査の品質をどのように確保（担保）するか」で、ITガバナンス監査演習の必要性について、述べた。
支部研究会で提案するにあたって、改めて、
「模擬

図表-18

メリルが提唱する ID 第１原理

IT ガバナンス監査演習」の意義・位置づけについて、メリルの ID（インストラクション デザイン）
第１原理（効果的な学習環境を実現するための５つの要素）に基づき確認した。
なお、この第１原理の前提（参考資料１）として、①学びの姿勢は学習者が他者とのかかわり合いを通じて知識を組み立てるようなかたちで教育すべき（構成主義）②研修内容としては
 熟達度の高い学習者に対して、難易度の高いテーマ
 業務に直結した課題解決型の学びとし、ケーススタディを伴うものが示されている。IT ガバナンス監査に関する学びは、この原理の対象といえる。
（１）問題：IT ガバナンス監査の社会的要請は？
①

DX 推進と IT ガバナンス、IT ガバナンス監査
今求められている DX 推進には、アクセルをふかす役割と軌道をそれないためのコントロールの役割が求められる。ここで、コントロールには、予防的と事後的の 2 面がある。


予防的コントロール

計画決定プロセス、推進体制、投資対効果の事前評価、適正・公正な調達、導入システムの品質管理、シス
テム移行時のリスク管理、そして情報セキュリティ・BCP 及び人間行動に関する統制

事後的コントロール

目標成果の事後評価と是正・改善による普及の徹底など、システム導入後の効用最大化に向けた統制
こうしたコントロールがＩＴガバナンスとして整備されないままでは、DX 推進が乱調となり、加速もおぼつかない。IT ガバナンス監査は、このコントロールが適正に整備・運用されていることを検証し、DX 推進に実質的に貢献できるよう助言し、活動を支援する。
他にも、IT ガバナンス監査の必要性について、様々に会報で触れられてきたことは言うまでもない。
日本システム監査人協会

会報10January 2022②

日本システム監査人協会

会報

システム監査技術者試験の問題傾向から見た社会的環境
午後Ⅰ・Ⅱの問題傾向を、システム監査に求められる社会的環境の表れとして見てみる。数年前には開発プ

ロジェクトや情報セキュリティのマネジメントレベルがテーマであったものが、直近ではシステム投資の事
前・事後評価、推進体制、人材育成など、IT ガバナンスレベルのテーマも加わってきている。やはり、IT 活用を積極的に展開する一方で、そのリスクを経営課題としてしっかりコントロールしてゆかなければならないという、昨今の社会的環境を反映したものと考えられる。
③

自治体におけるＩＴガバナンス監査の要請
基礎自治体の IT ガバナンス監査については、すでに参考資料２で、新システム管理基準を活用した、ガバ

ナンスレベルの監査と、そのＩＴ監査人材の育成の必要性を指摘している。

（２）活性化：新たな知識やスキルを身につけて、知識・スキルを活性化する機会はあるか？
会報（2018.7 月号）めだか【システム監査基準・管理基準改訂とこれからのシステム監査人】で、『システム監査人は、これから、監査目的や監査対象範囲で「システム監査基準/システム管理基準」を読み解いて使い方を考える必要がある。時にはシステム監査人が集まって議論する場を持ちたいと思う。
』と述べられた。
これは、まさしく基準の改訂を経て、知識の「活性化」を呼び掛けたもので、メリルの第１原理と符合する。「IT アセスメント研究会」では、システム監査基準／管理基準の改訂や国際標準への対応とともに、IT ガ
バナンス監査を実際に進める上でのポイントについて、ここでいう「活性化」の議論がなされ、実践マニュア
ルの改訂において、IT ガバナンスの監査にかかわる説明の大幅な拡充に活かされたものと理解している。
（実践マニュアル

第３部第２章及び様式「IT ガバナンスにおけるアセスメントのポイント」（P112～））（３）例示：不明点や疑問点に具体的に回答してくれるものはあるか？（Tell me ではなく Show me）
さらに、実践マニュアルでは、不明点や疑問点に具体的に回答する例示として、「第４部システム監査の事
例・第３章 IT ガバナンスの事例」（P268～）を提示している。
ただ、事例説明で、「評価のための確認方法として、IT ガバナンス活動を直接的に確認する方法と、IT 業務
執行部門の執行状況から間接的に IT ガバナンスの状況を確認する方法がある。この事例では後者の方法を採用した、理由は以下の３つである。
（以下は引用省略）」（P268）とある。
私見だが、IT ガバナンスの活動が未成熟な組織の場合には、組織全体の成熟度を評価するために、一方でIT ガバナンス活動を直接的に確認し、他方で曲がりなりにも IT ガバナンス強化の取組がなされている部分について、その便益成果や成功証拠を確認するという、両にらみの方法が必要ではないかとも、考える。

（４）応用：例示とは別に議論し、応用力をつける(Let me の)機会はあるか？
さて、IT アセスメント研究会の活動により、システム管理基準や実践マニュアルが改訂され、IT ガバナン
ス監査に関する知識が大幅に拡充された。そして IT ガバナンス監査への社会的要請も高まってきている。
こうした中で、IT ガバナンス監査の実践に向けて、応用力をつける、ここからはひとりひとりの会員の課題である。「例示」の段階にとどまるのであれば、IT ガバナンス監査業務の負のスパイラル（「実務経験が積めない」⇒「スキルがあがらない」⇒「仕事がない」⇒「実務経験が積めない」）に陥ってしまう。この状況を脱日本システム監査人協会

会報11

January 2022

日本システム監査人協会

会報

却し、会員の相互啓発により技術研鑽を図り、監査品質の向上を図るためにも、本稿で提案する「模擬 IT ガ
バナンス監査演習」は、必要ではないだろうか。

（５）統合：現場で適用し、振り返るチャンスがあるか？
（１）問題で述べた事情から、演習で得た知識・スキルを現実の業務に適用する機会はあるだろう。
会報（2018 年４月号）めだか【システム監査基準（案）／システム管理基準（案）について 】で、「システム監査人は、監査テーマに関して被監査部門の人たちとコミュニケーションをとって監査を行っていくが、コ
ミュニケーションにおいてお互いに相手の言葉を 100％理解できているかというと、それは難しい。しかし、監査テーマを限って行えば、相互理解はその範囲で大きく乖離しないものである。ただし、範囲を限定しすぎると全体的な問題が見えなくなるため、監査テーマの範囲を決める匙加減が大切である。」と述べられている。自らの実践を振り返ることで、この匙加減というスキルが身につき、統合＝移植されるのだろう。
かりに、たとえ IT ガバナンス監査に直接携わる機会が無くても、演習によって得られた知識・ノウハウ
は、日常の業務活動において自己コントロールとして、活かせることは間違いがない。

９．模擬 IT ガバナンス監査演習のケースの源泉（１）ケースの源泉をどうするか
民間企業を監査演習のケースの源泉とすると、公開情報が限られ、被監査組織の IT ガバナンスの現況を描き出すための情報収集に難渋することになる、一方、自治体の場合であれば、行政経営の基本戦略、IT 戦略、組織、情報システム概要、IT ガバナンスへの取組みなど、監査に必要な基礎資料は、一定の所までは自治体がHP で公開している。また、包括外部監査報告書等によって、HP とは異なる切り口で情報を得ることもでき、IT ガバナンスの現況やその課題を描きだすことも可能と考える。
そこで、本演習では、様々な市の公開情報を参考に監査演習に必要な範囲の資料を創作する。（その際には、著作権の取扱に十分留意することは言うまでもない。
）特定の自治体を対象とするものではないが、現実の自治体において起こりえる状況を想定した内容で、非現実的なモデル組織を対象とするものとはならない。
なぜなら、自治体の事件・事故や監査報告書により、IT ガバナンス・マネジメント課題を抽出分析し、その結果を踏まえたモデル組織とするからである。むしろ、多くの自治体で見られる課題を体現したものとなる。
なお、本演習案では、基礎自治体を監査対象として演習のシナリオを作成するが、監査のアプローチは、基礎自治体に特化したものではなく、民間における IT ガバナンス監査にも多くの面で通じる所がある。

（２）基礎自治体をケースの源泉とするメリット①

ケースの陳腐化の回避
一旦模擬演習やセミナーを企画し、被監査組織の情報システム利用を描き出しても、情報化の進展によって、描き出した情報化の姿が時を経て陳腐化し、現今の時代背景における IT ガバナンス監査のニーズと遊離することが危惧される。その点、自治体を取巻く IT 環境は国の政策などをもとに数年ごとにアップデートは可能であるし、自治体の情報システム活用の取組も、市の HP 上でアップデートされており、公開資料をもとに創作資料の定期的な更新は可能で、ケースの源泉の陳腐化を防ぐことができる。
日本システム監査人協会

会報12

January 2022②

日本システム監査人協会

会報

業界知識の偏りの緩和
他のシステム監査とは異なり、IT ガバナンス監査では、論点２で示したように、重要関心事項や監査ニーズにかかる事前調査ともいうべきステップを重視する。このため、特定の業界を対象とすると、演習参加者の業界理解に、偏りが懸念される。その点、普段誰もが接する地方自治体を対象とすれば、偏りは緩和される。

１０．模擬ＩＴガバナンス監査演習の概要（案）（１）演習の目標
本演習は、仮想の自治体「わたしたちの市」の IT ガバナンス監査を模擬体験する。この演習では、「わたしたちの市」の IT ガバナンス・PMO 活動の現況を描き出した創作資料をもとに、一部ロールプレイング方式も取り入れ、ＩＴガバナンス監査を模擬演習する。
演習の到達目標は、以下のとおりとする。
①被監査組織（自治体、民間企業）の IT ガバナンス・PMO 活動の課題分析ができる②ＩＴガバナンスにかかわる監査テーマ設定、監査計画の立案ができる③監査テーマに沿った評価の視点と監査項目の洗い出しがスムーズにできる④事前調査の重要性を認識し、効果的な予備調査及び本調査を実施できる⑤現状の問題点について、その原因を確かめるインタビューができる⑥監査結果に基づき、被監査組織に役立つ助言的監査報告書、助言ツールを作成することができる
なお、内部監査部門、ＩＴ統括部門の担当者の場合には、⑦IT ガバナンスに関するシステム監査を監督できる
相互啓発の演習により、IT ガバナンス監査の実務能力の向上を図るとともに、自組織における IT ガバナン
ス・PMO 活動の課題について気づきを持つことが可能である。IT ガバナンス監査に直接携わる機会がない場
合でも、本演習の被監査組織の資料及び（第３回）で触れた「サブチェックリスト」や（第４回）で紹介した
自律的 IT ガバナンス強化の活動指針ともなる「IT ガバナンス成熟度評価シート（自己点検用）」などを参考に、自組織の情報活用戦略の策定、推進体制の整備、システム化企画の事前・事後評価、調達・開発支援、人材育成、情報セキュリティ等のリスク管理など、IT ガバナンスの諸活動の改善・強化を図ることができる。

（２）演習参加者
本演習が想定する参加者は、まずは支部会員とするが、一定のチューンナップが図られれば、広く参加可能とする。前提資格としては、監査の基本的な流れを理解していることが要件で、①

システム監査技術者試験合格者、あるいは同等の能力を持つ方②

システム監査に従事されている方 、もしくは従事しようとされている方③

内部監査の一環として、IT ガバナンス監査を監督しようとしている方（３）演習の流れ
本演習では、「わたしたちの市」から、ＩＴガバナンスをテーマとするシステム監査の依頼があったことを前提に、監査依頼者（システム監査依頼窓口）に、システム監査に対する意向を確認するところから始まり、
日本システム監査人協会

会報13

January 2022

日本システム監査人協会

会報

被監査組織代表者（CIO）に対するシステム監査報告会の実施までの監査プロセスを、システム監査実施手順に従って、模擬演習する。演習のポイントは

図表―１９

IT ガバナンス監査演習の流れ①課題１：事前調査・事前準備１（監査ニーズの把握）
監査準備段階で、監査目的に関わる監査ニーズ(重要関心事項)について、監査依頼者と被監査組織とが共有し、監査要点を絞込み、限られた期間・労力で効率的な監査を行うため、監査個別計画書の作成をおこなう。
②課題２：事前準備２（IT ガバナンス監査の評価の視点と代表監査項目）

重要関心事項および事前調査における IT ガバナンス・マネジメント課題の分析を踏まえ、IT ガバナンス
監査のテーマに関わる評価視点の設定を行い、それぞれの視点に沿った監査チェックリストをシステム管理基
準の管理項目・着眼点から引用し、監査項目を絞り込んで作成する。
③課題３：事前準備３～本調査（IT ガバナンス評価の定量化（見える化））
監査チェックシートに成熟度評価指標を加味し、IT ガバナンス・レベルチェックシートを作成する。
また、必要に応じて、サブチェックリスト、アンケートも調整する。この IT ガバナンス・レベルチェック
シートを適用することで、IT ガバナンス成熟度評価（見える化）を行う。
④課題４

監査報告・監査報告 ANNEX（助言ツール）

助言ツールとして「IT ガバナンス成熟度評価

自己点検シート」等を準備する。このツールをもとに、被監査組織が IT ガバナンス強化の活動を自己点検し、効果的、かつバランスのよい IT ガバナンス強化活動を進められるよう、エグゼクティブ・サマリーにおいて、助言する。

（４）被監査組織（仮想）のプロフィール①

基礎自治体の規模
・人口３０万人程度の三大都市圏に属さない中核都市
・連携中枢都市圏構想の中枢市の位置付け②

被監査組織の IT ガバナンス状況設定（今後さらに検討）

・情報システムの最適化はもちろん、昨今課題の DX 推進に関して、取組の状況は・・・
・情報戦略の目標において、社会環境・技術環境への対応、ステークホルダーの要請への取組は・・・
・情報システムの基本計画を策定し、また IT ガバナンス強化の取組は実行段階にあるが、推進する体制・人材の実効性は・・・

等々、平均的自治体像として、あり得る状況を設定する。

（５）その他の留意点
近年のコロナ禍の影響を考え、また、広域での演習を考えると、オンライン会議での演習（グループ
日本システム監査人協会

会報14

January 2022

日本システム監査人協会

会報

ワーク、インタビューを含む）の可能性を追求してみる必要がある。この経験は、講師、ファシリテータ（プロデューサ）、演習参加者が、今後オンライン研修に取り組む際の訓練にもなる。
１１．おわりに少し遡るが、支部長在任時に、地域の会員への研鑽の場の提供と、地域社会の健全な情報化の発展に貢献する観点から、なんとか支部でも監査セミナーを開催できないかと思い、支部会員に活動を呼び掛けてきた。
しかし、声掛けだけに終わり、具体的活動に至らないまま、支部長を退任した。
その後、CIO 補佐官退職後に、包括外部監査報告書という公開データを活用し、「基礎自治体の IT ガバナン
ス・マネジメント課題の現状調査」を行い、その成果を会報に報告した。さらに、調査の過程で得た知見と、改訂された実践マニュアル等を拠り所として、IT ガバナンス監査の論点とその対応について本稿をまとめた。
そして、少しずつ監査セミナーの企画が見えてきたことから、監査セミナーという目標（本丸）に一足飛びで進むのは無理としても、まずは支部会員の監査演習はできないかと、その可能性について提案した。
ここまでの作業を振り返って、監査セミナーをゼロから企画するのは、支部の限られた会員で、かつ多忙な現役の方々に貴重なプライベートな時間を割いて取り組んで頂くには、荷が重い活動方針ではなかったかと、反省した。逆に、自分のように現役を引退した会員の社会参加の場も、ここにあったかと思っている。
とはいえ、セミナー開催に向けた一里塚として、模擬 IT ガバナンス監査演習の実現に向け、監査側資料や被監査組織の資料など、整備の方向も見えてきたことから、支部研究会において演習の可能性について報告した。研究会参加の皆さんからは、演習について前向きにご質問・ご意見を頂いたことから、今後は演習の企画・運営を支部有志の皆さんに委ね、現役の皆さんの負担とならないよう、求められる演習素材の提供をもう一歩進められればと思っている。（じつは資料（ドラフト）の作成開始から、はや３年以上たっており、DX 推
進が加速する中で、資料のフィックスと同時にアップデートが必要な時期ともなっている。
）
監査演習を構想するに当たっては、参考資料４の体験セミナーの資料も参考にさせていただいた。今後も支部の枠をこえて、ご指導・ご助言いただき、SAAJ 主催の監査演習にふさわしいものになればと思う。
また、雑誌記事によれば、DX 推進が加速する中で、IT 専門技術者のシステム監査資格への関心が高まっているようである。システム監査資格試験合格者の方々が、こうした相互啓発の演習も活用して応用力を磨き、IT 活用推進を支える IT ガバナンスの整備や IT ガバナンス監査の現場で貢献していただけるようになれば、と願っている。
以上
参考資料：
１．「研修設計マニュアル」鈴木克明 （2015.7.20）（株）北大路書房刊
２．【近畿支部 30 周年記念シンポジウム 】（2018.６.３０）
講演２「地方自治体のＩＣＴ監査に求められる役割と課題について」講師
３．「情報システム監査実践マニュアル 第３版」

NPO 法人

片岡 学 氏

日本システム監査人協会（2020.6.12）

４． SAAJ 中部・北信越支部、JISTA 中部支部合同セミナー 「システム監査体験セミナー（実践編）」
講師 SAAJ 近畿支部 三橋潤

氏（2013．7.20-21）＜目次＞

日本システム監査人協会

会報15

January 2022

日本システム監査人協会

会報2021.12
第 262 回月例研究会：講演録
テーマ：「工場・プラントを狙ったサイバー攻撃の最新動向と Live デモ」
会員番号

2564

櫻井俊裕

【講師】株式会社ビジネスアジリティ
代表取締役社長 福田敏博（ふくだとしひろ）氏【日時・場所】2021 年 11 月 9 日（火曜日）18 時 30 分～20 時 30 分、オンライン（ Zoom ウェビナー）【テーマ】「工場・プラントを狙ったサイバー攻撃の最新動向と Live デモ」【要旨】
2021 年 5 月に、アメリカ国内最大の石油パイプラインがサイバー攻撃を受けて操業停止したのは、まだ記憶に新しい。工場・プラントなどの産業制御システム（OT：Operational Technology）を狙ったサイバー攻撃の脅威は、2010 年頃から認識が高まった。しかしながら、IT と比べて対策が進まないと言われる OT のセキュリティ。本講演では、OT の特徴や IT との違い、攻撃手口などを説明する。
【講演録】

１．OT の基礎知識
OT（Operational Technology）は、産業オートメーション及び制御システムを動かす運用技術・制御技術を指す。代表的なものとして、監視制御システム（SCADA）と各種機器の制御コントローラである PLC 等が挙げられる。これらは、各種工場プラント、デバートやオフィスビル、鉄道、空港等の交通網、更には浄水場等、非常に幅広い業務・業態で活躍している。
産業オートメーションは FA（ファクトリーオートメーション）と PA（プロセスオートメーション）の種類に分けられる。FA は自動車産業を中心に発展し、組立産業向けに人の作業を産業ロボットなどに置き換えたもので、稼働形態は 24 時間×365 日／2 交代シフト（夜間停止）／日勤等様々であり、シーケンス制御が多い。一方、PA は化学産業を中心に発展し、素材産業向けに製品をつくる際の化学反応を最適に調整されており、稼働形態は 24 時間×365 日が多く、プロセス制御が中心となる特徴を持つ。

２．工場・プラントにおける DX 推進とはDX（デジタルトランスフォーメーション：Digital Transformation）は、デジタル技術による変革を指す。1980 年代の FA（ファクトリーオートメーション）、2000 年代の SCM（サプライチェーンマネジメント）に続き、2010 年代に入って第四次産業革命や Society5.0（日本が提唱する未来社会のコンセプト）が示された。そこでは、つながる工場スマートファクトリーが提唱されており、デジタルデータ活用による業
務プロセスの改革、品質・生産性の向上を継続発展実現が目標となっている。
一方、コロナ禍の OT 環境変化として、付帯設備のリモート監視やリモート保守の対象拡大の促され、外部ネットワーク接続の解禁により、セキュリティリスクが増大している。
日本システム監査人協会

会報16

January 2022

日本システム監査人協会

会報

これらの対策を急ぐあまり、手段である“つながること”が目的となってしまい、本来の目的と手段が逆転している状況がある。
工場・プラントにおける DX 推進における、本来の目的は、サイバー空間とフィジカル空間の融合による付加価値向上により競争優位を獲得する事であり、攻めの DX 推進と守りのセキュリティ対策の両立が欠かせない。

３．最近どのように OT が狙われる？
米国大手パイプライン社では、サイバー攻撃を受けて 5 日間にわたり操業停止する事件が発生している。
IT より攻撃の件数は少ないものの OT が狙われやすいのは確かである。特に日本では OT のインシデント情報を積極的に公開する動きは少ないが、脆弱性情報の公開件数は確実に増加している。
サイバー攻撃では、外部ネットワークから正面きっての侵入はファイアウォールに阻まれ困難が伴う。そのため、最初に標的型メール攻撃によりシステム内部にバックドアを仕掛けて侵入する手口が用いられる。
OT では標的型メール攻撃が困難であるため、休日に工事業者へ成りすまして工場内に立入るなどの直接物理的な侵入手口が用いられる。盗聴器を付けるように小型の通信機器（プラグボット）を対象の施設内に取り付ける事で、構内駐車場等から不正な遠隔操作が可能となる。
攻撃を受けた側では実際に大きな被害がなくても、些細なインシデントを起こし業界に流布する事で、風評被害による信頼喪失等、攻撃対象のレピューテーションリスク顕在化を招き、ビジネス上の競争力低下を引き起こす事が可能となる。実際に同様の手口で、株価に影響する事件が発生している

４．セキュリティ対策の原理原則
セキュリティ対策はセキュリティリスクの顕在化を防止するための手段であり、セキュリティ対策を進める事自体が目的であってはならない。
効果的なセキュリティ対策を講じるためには、まず要因となるリスクを適切に把握する事が必要であり、リスクを適切に把握するための「リスクアセスメント」がとても重要となる。

５．OT セキュリティ対策を難しくする要因
国際標準（ISO 31000（リスクマネジメントー指針）では、リスクアセスメントを、リスク特定、リスク分析、リスク評価から成るプロセス全体と規定している。
リスク特定とは、リスクを見つけてそれを認識することであり、例えば「悪意のある者が工場 LAN に取り付けられたプラグボットから不正アクセスを受けて、制御 PC が未知のランサムウェアに感染する」といった事象の特定が考えられる。
リスク分析とは、リスクの内容を把握してそのレベルを決めることであり、脅威や脆弱性、影響度など
を、数段階のレベルで示してリスク値を求めるもので、“リスク値 ＝ 脅威レベル × 脆弱性レベル × 影響度レベル”

といった数式で表される。

OT のリスク分析においては、過去における脅威の発生頻度などがわからない事や、発生頻度にランダム性がある（10 年に 1 回のような事が続いて起こることがある）事から、脅威レベルの判断が非常に難しい。
日本システム監査人協会

会報17

January 2022

日本システム監査人協会

会報

また、被害が被害を生むといったフィードバックによる影響や連鎖により、影響度レベルについても判断に迷う事が多い。
これらの要因からリスク分析の信憑性に欠け、リスクに対するセキュリティ対策の投資対効果計算もあい
まいなものとなる。
しかし、起こるかどうかはっきりしないが、万が一起こった場合の影響は計り知れない事から、リスクをとらないリスクを考慮すべきであり、ここに経営判断に基づくトップダウンのセキュリティ対策推進が必要となってくる。
国際標準（IEC 62443-2-1 Edition1.0 産業用オートメーション及び制御システムセキュリティプログラムの確立）での要求にも、項番 4.3.2.3.1「組織は、サイバーセキュリティプログラムに対する経営幹部の支援を得なければならない。」と明記されている。

６．さいごにサイバーセキュリティ対策は、人的リスク／技術的リスク／物理的・環境的リスク等の総合リスクへの対処であり、経営層の関与が欠かせない。いま一度、経営層自らが経産省の「サイバーセキュリティ経営ガイ
ドライン」を振り返ること事をお勧めする。
【所感】
世界中でサイバー攻撃の被害が拡大する昨今、我が国も一層のサイバーセキュリティ対策強化が必要であると考えている。特に社会インフラを制御する OT 分野のトラブルは人々の生活に多大なる影響を及ぼすものであり、非常に重要な分野である。
今回のご講演は、IT 分野の技術者が普段あまり触れる事がない OT 分野のセキュリティ対策について、その最新情報を学ぶ事ができ、非常に有意義なものであった。
自分も社会システムを担当する技術者の一人として、今回学んだ知識を IT 分野へ還元し、システムのセ
キュリティ対策強化に役立てたいと考えた。
以上

＜目次＞

日本システム監査人協会

会報18

January 2022

日本システム監査人協会

会報2021.12
注目情報（2021.11～2021.12）■IPA【ITSS＋「データサイエンス領域」2021改訂版を公開】
2021年11月19日

IPA（独立行政法人情報処理推進機構、理事長：富田達夫）は、ITSS＋「データサイエンス領域」2021
改訂版を公開しました。
URL：https://www.ipa.go.jp/jinzai/itss/itssplus.html#section1-5
ITSS+（プラス）・ITスキル標準（ITSS）・情報システムユーザースキル標準（UISS）内の「データサイ
エンス領域」にて、「企業等の業務において大量データを分析し、その分析結果を活用するための一連のタスクとそのために習得しておくべきスキル」を取りまとめておりますが、「2021改訂版」では、以下のとおり、タスクリストの見直しが図られました。
また、一般社団法人データサイエンティスト協会が公開する“スキルチェックリスト” 別ウィンドウで開く
では、進化を続ける時代に対応した項目の見直し・追加など、現在のビジネス環境や実態にあわせて全面的に見直しを行っています。
＜タスクリスト改訂のポイント＞〇AI倫理や個人情報、プライバシー等の重要性を踏まえ、Phase1にコンプライアンス・倫理・権利の確認に関するタスク、Phase4にユーザデータの取り扱いに関するタスク、データを運用およびアルゴリズム活用をモニタリングするタスクを追加〇UI/UXの重要性を踏まえ、Phase4に分析結果を業務で活用するためのユーザインタフェースを開発するタスク
を追加〇MLOpsなど分析モデルを運用するシステムが増えている背景を踏まえ、Phase4に分析モデルをモニタリングする仕組みを構築するタスクを追加〇Phase4に新プロジェクトの要否を判断するタスクおよびプロジェクト終了時のタスクを追加〇データサイエンティスト スキルチェックリストver.4と合わせて、自然言語処理や画像・映像認識、音声認識、などに関する文言反映

ITSS+に関する参考資料（URL：https://www.ipa.go.jp/files/000060737.pdf）＜目次＞

日本システム監査人協会

会報

19

January 2022

日本システム監査人協会

会報2021.12【 協会主催イベント・セミナーのご案内 】■SAAJ 月例研究会（東京）

第
2
6
４
回

日時

2022 年 1 月 19 日(水) 18:30～20:30

場所

オンライン（Zoom ウェビナー）テーマ「アジャイル開発のモデル契約書のご紹介」

講師

講演骨子

参加費
お申込み

株式会社東京証券取引所 IT 開発部・情報システム部長
IPA DX 対応モデル契約見直し検討 WG 委員
山森一頼（やまもりかずより）氏
経産省の DX レポートでもアジャイル開発が有効であると謳われる等、システム開発において日本でもアジャイル開発が普及しつつある。一方、アジャイル開発の契約に関するリスクも挙げられている。それは、アジャイル開発の難しさから、システム開発が成功しなかった際のトラブルが懸念されるからである。そこで、IPA ではアジャ
イル開発のひな形となるモデル契約書を公開した。トラブルの防止に一定の効果があると考える。モデル契約書の検討メンバーにユーザサイドとして参加した経験か
ら、モデル契約書のポイントと、アジャイル開発の現場の実情を語る。
SAAJ 会員 1,000 円 非会員 3,000 円
https://www.saaj.or.jp/kenkyu/kenkyu/264.html＜目次＞

日本システム監査人協会

会報20

January 2022

日本システム監査人協会

会報2021.12
協会からのお知らせ【

ＣＳＡ／ＡＳＡ資格をお持ちの方へ：資格更新手続きについて】

2022年度公認システム監査人及びシステム監査人補の更新手続きのお知らせです。
・資格認定期限が2021年12月31日で満了となる方について、認定の更新手続きを行います。
・資格更新申請の受付期間は2022年1月1日（土）から1月31日（月）までの1か月間です。
・今回の更新対象者は、資格認定番号が下表の方です（2014年度よりすべて2年度ごとの更新です）。

取得年度

CSA 認定番号

ASA 認定番号

2022 年 1 月更新

ご参考2023 年更新

1

2002 年度

K00001～K00253 H00001～H00193○

2

2003 年度

K00254～K00320 H00194～H00263○

3

2004 年度

K00321～K00357

4

2005 年度

K00358～K00401 H00317～H00384○

5

2006 年度

K00402～K00447 H00385～H00433○

6

2007 年度

K00448～K00478

7

2008 年度

K00479～K00518 H00474～H00514

8

2009 年度

K00519～K00540

H00515～H00538○

92010 年度

K00541～K00553

H00539～H00557○

H00264～H00316

H00434～H00473

10 2011 年度

K00554～K00568 H00558～H00572

11

K00569～K00580

2012 年度

K00581～K00596 H00587～H00595

13

K00597～K00606

K00607～K00615 H00603～H00618

15

K00616～K00630

K00631～K00641 H00626～H00634

17

K00642～K00653

○
○
○
○
○
○

H00635～H00644

18 2019 年度

K00654～K00673 H00645～H00650

19K00674～K00690

2020 年度○

H00619～H00625

16 2017 年度
2018 年度○

H00596～H00602

14 2015 年度
2016 年度○

H00573～H00586

12 2013 年度
2014 年度○

H00651～H00654○○○

・資格更新申請には、更新申請書や継続教育実績申告書などの提出が必要です。準備をお願いします。
・更新手続きの詳細は、HP の「CSA の資格をお持ちの方へ」(https://www.saaj.or.jp/csa/forCSA.html)
をご覧ください。
＜目次＞
日本システム監査人協会

会報

21

January 2022

日本システム監査人協会

会報2021.12
協会からのお知らせ（予告２）【第２１期通常総会の開催】
会員番号2581 斉藤茂雄（事務局長）

日本システム監査人協会（SAAJ）会員各位■第２１期通常総会のご案内
日本システム監査人協会の第 21 期通常総会を、下記の通り開催致します。
万障お繰り合わせの上ご出席をお願い申し上げます。
なお、第 21 期通常総会は新型コロナウイルスの感染リスク低減のため、ZOOM 会議を用いたオンラ
イン総会とさせていただきます。また、例年実施している特別講演は中止と致します。併せて総会後懇親会も中止とさせて頂きますので、ご承知いただきたく、お願い申し上げます。
総会の参加申込は 2022 年 2 月初に、協会ホームページにてご案内致します。
１．日時：2022 年 2 月 18 日（金）13 時 30 分～15 時

２．開催方法：ZOOM 会議を用いたオンライン総会
３．第 21 期通常総会 議事（予定）
13:30 開会
(1) 2021 年度 事業報告の件(2) 2022 年度 事業計画の件(3) 2022 年度 予算の件
(4) 理事選任の件(5) その他
15:00 閉 会
４．特別講演
実施しません。
５．懇親会
実施しません。

＜目次＞

日本システム監査人協会

会報22

January 2022

日本システム監査人協会

会報2021.12【 新たに会員になられた方々へ 】

新しく会員になられたみなさま、当協会はみなさまを熱烈歓迎しております。
協会の活用方法や各種活動に参加される方法などの一端をご案内します。
ご確認
ください

特典

・ホームページでは協会活動全般をご案内
https://www.saaj.or.jp/index.html
・会員規程
https://www.saaj.or.jp/gaiyo/kaiin_kitei.pdf
・会員情報の変更方法
https://www.saaj.or.jp/members/henkou.html

・セミナーやイベント等の会員割引や優遇
https://www.saaj.or.jp/nyukai/index.html
公認システム監査人制度における、会員割引制度など。

ぜひ
ご参加を

・各支部・各部会・各研究会等の活動。
https://www.saaj.or.jp/shibu/index.html
皆様の積極的なご参加をお待ちしております。門戸は広く、見学も大歓迎です。

ご意見
募集中

・皆様からのご意見などの投稿を募集。
ペンネームによる「めだか」や実名投稿には多くの方から投稿いただいております。
この会報の「会報編集部からのお知らせ」をご覧ください。

出版物

・「発注者のプロジェクトマネジメントと監査」「６か月で構築する個人情報保護マネジメントシステム」「情報システム監査実践マニュアル」などの協会出版物が会員割引価格で購入できます。
https://www.saaj.or.jp/shuppan/index.html

セミナー

・月例研究会など、セミナー等のお知らせ
https://www.saaj.or.jp/kenkyu/index.html
月例研究会は毎月100名以上参加の活況です。過去履歴もご覧になれます。

CSA
・
ASA

・公認システム監査人へのSTEP-UPを支援します。
「公認システム監査人」 と「システム監査人補」で構成されています。
監査実務の習得支援や継続教育メニューも豊富です。
CSAサイトで詳細確認ができます。
https://www.saaj.or.jp/csa/index.html

会報

・過去の会報を公開
https://www.saaj.jp/03Kaiho/0305kaihoIndex.html
会報に対するご意見は、下記のお問合せページをご利用ください。

お問い
合わせ

・お問い合わせページをご利用ください。 https://www.saaj.or.jp/toiawase/index.html
各サイトに連絡先がある場合はそちらでも問い合わせができます。

＜目次＞
日本システム監査人協会

会報23

January 2022【

ＳＡＡＪ協会行事一覧

日本システム監査人協会】

赤字：前回から変更された予定

理事会・事務局・会計
1： 2022 年度年会費請求書発送
1： 個人番号関係事務教育
9： 理事会：2022 年度予算案
会費未納者除名承認
第 21 期総会審議事項確認
11：総会資料提出依頼（1/11〆切)
14：総会開催予告掲示
20：2021 年度経費提出期限
11：総会資料提出期限 16:00
11：役員改選公示(1/24 立候補締切)
13：理事会：総会資料原案審議
24：17:00 役員立候補締切
29：2021 年度会計監査
31：償却資産税・消費税申告
31：総会申込受付開始（資料公表）
3：理事会：通常総会議案承認

認定委員会・部会・研究会
2：第 263 回月例研究会

下旬：CSA・ASA 更新認定証発送
1-31: 春期 CSA・ASA 書類審査
4:第 265 回月例研究会

4月

28：2022 年度年会費納入期限
4：年会費未納者宛督促メール発信
10：理事会28：法務局：資産登記、活動報告書提出、東京都：NPO 事業報告書提出
14：理事会

5月

12：理事会

6月

1：年会費未納者宛督促メール発信
10：理事会
21：年会費未納者督促状発送
22～：会費督促電話作業（役員）28：支部会計報告依頼（〆切 7/12）
30：助成金配賦決定（支部別会員数）
5：支部助成金支給
8：理事会

12 月

1月

2月

3月

7月

16： CSA/ASA 更新手続案内メール〔申請期間 1/1～1/31〕

2021.12

支部・特別催事

12：協会創立記念日

24：秋期 CSA 認定証発送
1-31：CSA・ASA 更新申請受付
19:第 264 回月例研究会
21：春期 CSA・ASA 募集案内
〔申請期間 2/1～3/31〕

2/1-3/31：CSA・ASA 春期募集

7：支部会計報告提出期限

18：第 21 期通常総会

初旬：春期 CSA・ASA 書類審査
中旬：春期 ASA 認定証発行

17:春期情報技術者試験・情報処
理安全確保支援士試験

中旬・下旬土曜：春期 CSA 面接
前年度に実施した行事一覧
19-20：第 37 回システム監査実務セミナー(日帰り 4 日間コース)後半
21: 第 258 回月例研究会
上旬： 春期 CSA 面接
中旬： 春期 CSA 面接結果通知
中旬・下旬： 春期 CSA 認定証発送

認定 NPO 法人東京都認定日（初回：2015/6/3）

15：第 259 回月例研究会
中旬：秋期 CSA・ASA 募集案内
1：秋期 CSA・ASA 募集開始～9/30

9月（理事会休会）28：中間期会計監査
9：理事会

10 月

14：理事会11-12：第 38 回システム監査実務セミナー(日帰り 4 日間コース)前半
17：第 260 回月例研究会
25-26：第 38 回システム監査実務セミナー(日帰り 4 日間コース)後半
30:秋期 CSA・ASA 募集締切
7：第 261 回月例研究会

11 月

9： 予算申請提出依頼（11/27〆切）
支部会計報告依頼（1/7〆切)11：理事会
16：2022 年度年会費請求書発送準備
26：会費未納者除名予告通知発送
27：本部・支部予算提出期限

9：第 262 回月例研究会
中旬：秋期 CSA 面接
下旬：CSA・ASA 更新手続案内〔申請期間 1/1～1/31〕
下旬：CSA 面接結果通知

8月

会報

12：支部会計報告〆切
29：CSA フォーラム

9/末：本部事務所移転
23：13:30 活動説明会＜目次＞
2021.12

日本システム監査人協会

会報24

January 2022

日本システム監査人協会

会報【 会報編集部からのお知らせ 】
１．会報テーマについて
２．会報バックナンバーについて
３．会員の皆様からの投稿を募集しております□■ １． 会報テーマについて
2021 年の会報年間テーマは「時代の変化とシステム監査」です。

「ニューノーマル」「IoT、AI、デジタル化」「DX」「SDGｓ」「ESG」「コーポレートガバナンスコード」など、システム監査が置かれた環境が音を立てて動いている。また、システム監査の領域が広がる中、
進化の階段の一つ上の段に上がった、次の時代になった、という意味も踏まえて本テーマとして設定しております。

会報テーマ以外の皆様任意のテーマももちろん大歓迎です。皆様のご意見を是非お寄せ下さい。

□■ ２． 会報のバックナンバーについて協会設立からの会報第１号からのバックナンバーをダウンロードできます。
https://www.saaj.jp/03Kaiho/0305kaihoIndex.html

日本システム監査人協会

会報25

January 2022

日本システム監査人協会

会報□■ ３．会員の皆様からの投稿を募集しております。
募集記事は次の通りです。
□■ 募集記事1.

めだか

匿名（ペンネーム）による投稿
原則１ページ

下記より投稿フォームをダウンロードください。

https://www.saaj.jp/03Kaiho/670502KaihoTokoForm2.docx
2.

記名投稿

原則４ページ以内

下記より投稿フォームをダウンロードください。

https://www.saaj.jp/03Kaiho/670502KaihoTokoForm2.docx
3.

会報掲載論文

現在「論文」の募集は行っておりません。

（投稿は会員限）■投稿について「会報投稿要項」

・投稿締切：15 日 (発行日：25 日）
・投稿用フォーマット
・投稿先：※毎月メール配信を利用してください。

saajeditor@saaj.jp 宛メール添付ファイル

・投稿メールには、以下を記載してください。


会員番号



氏名



メールアドレス

連絡が取れる電話番号

・めだか、記名投稿には、会員のほか、非会員 CSA/ASA、および SAAJ 関連団体の会員の方も投稿できます。


会員以外の方は、会員番号に代えて、CSA/ASA 番号、もしくは団体名を表記ください。

■注意事項
・原稿の主題は、定款に記載された協会活動の目的に沿った内容にして下さい。
・特定非営利活動促進法第２条第２項の規定に反する内容（宗教の教義を広める、政治上の主義を推進・支持、又は反対する、公職にある者又は政党を推薦・支持、又は反対するなど）は、ご遠慮下さい。
・原稿の掲載、不掲載については会報部会が総合的に判断します。
・なお会報部会より、表現の訂正を求め、見直しを依頼することがあります。また内容の趣旨を変えずに、字体やレイアウトなどの変更をさせていただくことがあります。
お問い合わせ先：

saajeditor@saaj.jp＜目次＞

日本システム監査人協会

会報26

January 2022

日本システム監査人協会

会報2021.12
会員限定記事【本部・理事会議事録】（会員サイトから閲覧ください。会員パスワードが必要です）
https://www.saaj.or.jp/members_site/KaiinStart
ログイン ID（8 桁）は、年会費請求書に記載しています。

＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝■発行：認定 NPO 法人 日本システム監査人協会

会報編集部〒103-0025 東京都中央区日本橋茅場町 2 丁目 16 番 7 号 本間ビル 201 号室■ご質問は、下記のお問い合わせフォームよりお願いします。
【お問い合わせ】 http://www.saaj.or.jp/toiawase/■会報は、会員宛の連絡事項を記載し登録メールアドレス宛に配信します。登録メールアドレス等を変更された場合は、会員サイトより訂正してください。
https://www.saaj.or.jp/members_site/KaiinStart
掲載記事の転載は自由ですが、内容は改変せず、出典を明記していただくようお願いします。

■□■ＳＡＡＪ会報担当
編集委員：竹原豊和、安部晃生、越野雅晴、坂本誠、豊田諭、福田敏博、柳田正、山口達也
編集支援：会長、各副会長、各支部長
投稿用アドレス： saajeditor ☆ saaj.jp （☆は投稿時には＠に変換してください）
Copyright(C)1997-2022、認定 NPO 法人 日本システム監査人協会＜目次＞
日本システム監査人協会

会報27