平成１３年４月１９日
経済産業省 商務情報政策局
情報処理振興課 御中
日本システム監査人協会
新システム監査人制度に関する提言について[はじめに]
1. 本提言の位置づけと目的
私ども日本システム監査人協会は昨年１２月に（1）システム監査のあり方、（2）システム監査技術者試験制度の位置づけ、（3）民間資格制度の創設、（4）当協会の役割などについて「システム監査のあり方に関する提言」としてまとめたものを提出した。
今回の掲記提言は、その時ご指摘頂いた事項を更に検討を重ねて、各論的に深めた具体的な提言として位置づけられるものである。
ひるがえって見るに、産業構造審議会情報化対策小委員会の中間報告（99.6.21）で新しいシステム監査人制度についての問題提起は、次の二つであった。
第一は、「システム監査人がユーザの信頼を得るためには、単に知識等に習熟するのみならず、実践的監査経験を積むことが重要である。この観点から、従来より実施している情報処理技術者試験（システム監査技術者試験）に合格した上で、一定の有効な実務経験を積んだことを確認することにより、システム監査人として認定する制度の創設を検討する。」 （前掲中間報告、p.8）
第二は、「ＩＴ技術が急速に変化する中で、システム監査人が最新の技術動向に対応できるよう情報処理技術者試験の見直しと併せて定期的セミナーの受講を義務づけるなどの方策を検討する。」 （前掲中間報告、p.8）
これらの問題提起を踏まえて、以下のように「システム監査技術者試験についての提言」と「新しいシステム監査人制度についての提言」にまとめたのでご検討を頂きたい。
これら提言の目的は、今後益々重要になるシステム監査の更なる発展を期待するところにあり、かつシステム監査の普及を実施面で支えるシステム監査人の養成が急務であると思考するからでもあることをご了承頂きたい。
２．本提言の実現に並行する課題
この提言の作成過程で常に問題になったことは、次のようにシステム監査の普及の問題であったので、この点も並行してご高配頂きたい。
ご高承のように行政手続きの電子化をはじめ、インターネットを基盤とした情報システムに大きく依存する社会が実現しようとしている。このようなＩＴ社会の適切でセキュアな運営のためには、システム監査が極めて重要であると言わなければならない。つまりその重要なシステム監査を一層普及させることが急務となり、その担い手のシステム監査人の育成や関連諸制度の整備が重要な課題となる。
このような認識のもと、既に金融機関においては、システム監査の実質的な制度化が進行しており、いずれは中央・地方行政システムを始め公共性の高い重要な情報システムについてのシステム監査の実質的な制度化が浸透していくものと想定される。またその推進には当局の積極的な関与が大いに期待されるところである。
そのようなシステム監査の普及に併せて、内部あるいは外部のシステム監査人の需要増加も期待できることになる。
また、制度上のシステム監査も今後更に増加することと思われるが、現在時点でも次のような制度上のシステム監査があり、これらについても今後「システム監査人」によるシステム監1

査として明文化されるよう要望する次第である。
・安全対策事業所認定制度の改革で新設されるＩＳＭＳ適合性評価制度
・特定システムオペレーション（ＳＯ）企業認定制度
・プライバシーマーク認定制度 など
３.本提言の実施計画について
この提言にあるシステム監査人の認定制度の創設、維持、運営には、その体制、組織等の検討、準備を含め実施計画の立案には、かなりのロードがかかることになる。したがって、今後提言の方向性が認められる段階で具体化していくこととしたい。
なお、本提言の作成にあたっては、ＩＳＡＣＡ東京支部の代表の方に最初から参画頂き、節目節目で適切なご助言を頂いた。またシステム監査学会の検討委員会からも最終段階で、適切なご意見を頂けた。付記してお礼を申し上げたい。
［提 言］
Ⅰ．システム監査技術者試験についての提言＜省略＞
Ⅱ．新しいシステム監査人制度についての提言
１．新システム監査人の認定制度の概要
システム監査技術者試験の合格者はその知識・技術に関する一定の能力レベルに到達していると認められるので、システム監査人に相応しい「実務経験」と「継続的な能力の維持・向上」に努めているかを別途評価して、民間資格の「システム監査人」（仮称、以下同じ）として認定する新システム監査人の認定制度の創設を提言する。
この認定制度を創設することにより、市場ニーズに見合った真の実力あるシステム監査人の育成が可能となるとともに、システム監査技術者試験の受験者並びに合格者のモチベーションを維持・向上させることができる。
このため資格認定制度の維持・管理や継続教育の実施等を行う必要があり、そのための民間推進機関を立ちあげることを提言する。
新システム監査人の認定制度の概要は、次のとおりである。
システム監査技術者試験の合格者は、現行どおり「システム監査技術者」となる。同時に一定の継続教育を受けることを条件に、民間機関に登録した者を、「システム監査人補」とする。
システム監査人補は、登録後３年以内に申請を行い、２年以上のシステム監査の実務経験（登録日以前の実務経験を含む）を積んでいることを、確認されれば、「システム監査人」として認定する。（実務経験があれば登録直後の申請も可能）
その後のシステム監査人の認定期間は３年サイクルとし、その期間内に継続教育の受講等を確認し認定の更新を行うことができる。
これまでの試験合格者に対しても、一定の継続教育を受けることを条件に、民間機関に登録した者を、「システム監査人補」とすることを認める。また申請により監査実務経験を確認して、上記と同様に「システム監査人」として認定する。
上記の提言を実現する方法は、これから更に具体化していくことになるが、これまでに検討したシステム監査人の監査実務経験の認定要件については次の第２項、継続の認定要件を含む新制度案については第３項および第４項、民間推進機関の創設案については第５項のとおりである。
なお、情報化人材対策小委員会での問題提起がＣＩＳＡ（米国公認情報システム監査人）制度との比較から出ていると想定されるので、ＣＩＳＡとの対比を参考事項として第６項に付記してある。

2

＜以下、添付資料１と重複する部分は項目のみ列記する＞
２．監査実務経験の認定要件
２−１．認定の条件
２−２．認定の方法
３．継続教育３−１．継続教育の概要
３−２．継続教育の認定要件
４．他資格保持者の取扱いーシステム監査人補の認定の特例
４−１．ＣＩＳＡ（公認情報システム監査人）の取り扱い
４−２．その他の専門資格試験合格者の取り扱い
５．新制度の民間推進機関の創設
５−１．日本システム監査人協会の法人化
当協会は、平成 14 年２月７日、特定非営利活動促進法に基づく特定非営利活動法人（ＮＰＯ）となった。
５−２．推進機関の目的
システム監査人の認定制度、ＩＴ技術等の継続教育制度、継続更新認定制度等を実施し、社会的に信頼されるシステム監査人の養成とシステム監査の普及・啓蒙に努め、情報化社会の健全な発展と社会教育の推進に寄与することを目的とする。
５−３．推進機関の具体的機能(1) システム監査人（同補）の資格認定機能（含；認定者の表彰、懲戒、不適格者の排除等）(2) システム監査人（同補）の資質向上・育成機能（含；苦情相談窓口）(3) システム監査の普及・啓蒙・教育機能（含；マーケティング、個別監査実施機能）(4）研究会・セミナー・講演会等の研究・研修機能(5）システム監査人倫理規定の策定・維持機能(6) 情報セキュリティ管理関連の審査・認証機能(7) 機関紙、資料の刊行、各種広報機能(8) その他
５−４．推進機関の法人化のスケジュール等
特定非営利活動法人（ＮＰＯ）となった当協会が推進機関となる。

６．参考事項−新システム監査人の認定制度とＣＩＳＡ制度との比較
６‑１(1)ＣＩＳＡ公認情報システム監査人認定の実務経験
ＣＩＳＡ認定には情報システム監査やコントロール、およびセキュリティに関して、最低５年の実務経験が必要である。ただし実務経験は以下のとおり代替または免除される。
・最高１年間の情報システムの実務経験、または１年間の監査の実務経験を・・
１年間のシステム監査の実務経験に代替
・２年制大学または４年制大学の学位をもって、それぞれ・・

3

１年または２年間のシステム監査の実務経験に代替・ コンピュータサイエンスや会計学、情報システム監査などの関連分野で、大学で２年間の常勤講師・・・ １年間のシステム監査の実務経験に代替＊実務経験は、認定申請日以前１０年以内、および試験初回合格日後５年以内＊試験合格日後５年以内に認定申請しないと再受験し、合格すること＊実務経験はすべて、雇用者の証明必要
６‑１(2)提言案との相違点
1)認定申請期間・・ＣＩＳＡは５年あるが、本案は３年である。なお本案では、試験合格後（システム監査人補登録）から継続教育が義務づけられる。
2)実務経験・・ＣＩＳＡは５年だが４年制大学卒で２年、情報システム１年経験で１年合計３年カットされ、実務経験は実質２年あればよい。本案では、実務経験は２年だが、申請までに継続教育の受講の条件もある。
なお、実務的なシステム監査セミナーや養成講座の修了を実務経験とみなすのは、システム監査の普及が遅れている現状を反映した特殊事情である。
3)認定には面接を実施することが本案にあるが、システム監査人の能力の評価には、重要な要素と考える。
６‑２(1)ＣＩＳＡ公認情報システム監査人の継続教育認定要件
認定要件（年間及び３年間の報告期間内に一定の教育時間を達成）
・年間で２０時間以上の教育を受け、報告
・CISA 維持費の全額を毎年納付
・３年間の報告期間で、１２０時間以上の教育を受け、報告・継続教育監査の対象になった場合、要求書類を提出
・ISACA の職業倫理規定を遵守する
継続教育として認められる活動（業務上の活動は原則として認められない）
・ISACA 専門教育活動及びミーティング（無制限＝実時間をカウント）・ISACA 以外の専門教育活動及びミーティング（無制限）・自主学習（無制限）：継続教育活動用に設計、構成された学習コース
・ベンダーの販売／マーケッティングプレゼンテーション（年間１０時間まで）
・講義／講演／各種発表（無制限）・記事、論文、書籍の出版（無制限）：執筆の実時間
・CISA 試験問題作成とレビュー（無制限）
・関連する専門試験の合格（無制限）：他の専門分野、１試験＝１時間
・ISACA、ISACAF の理事会／委員会活動（年間１０時間まで）
・情報システム監査、コントロール専門分野への貢献（年間１０時間まで）（以上ＩＳＡＣＡ「ＣＩＳＡ継続教育方針とプログラム」より要約）
６‑２(2)提言案との相違点
認定要件
1)監査実務を継続教育として認める本案に、認めないＣＩＳＡとの差異がある。実務経験を重視することを本案の特徴と考えたい。
2)その他の本案の認定要件とＣＩＳＡのそれとはあまり変わりはない。
3)本案の特色はシステム監査人補に継続教育を課している点である。
継続教育として認められる活動
1） 活動の種類はＣＩＳＡでは広範囲にわたり、１０項目と多い。

42）時間は制限をつけるものと無制限の両方あるＣＩＳＡに対し、本案ではこれらすべてに１０時間の制限を付している。
６‑３(1)ＣＩＳＡ試験の制度
受験資格は特になく、情報システム監査やコントロール、セキュリティの分野に関心があればよい。
試験は毎年６月に実施され、２００の多肢選択式問題で、４時間に渡って実施される。 試
験の目的は、次の事項についての理解力をテストし分析・評価することにある。
＊一般に認められている情報システム監査の基準、報告書および実務並びに情報システムセキ
ュリティとコントロールの実務＊情報システムの戦略、方針および手続き、管理実務並びに組織構造＊ハードウェア、ソフトウェアのプラットフォーム、ネットワーク、通信インフラストラク
チャ、操作運用業務、情報システム資源の利用並びに業務処理を含んだ情報システムのプロセス＊論理的、物理的、周辺環境的データの妥当性の処理と、処理結果のコントロール及び事業継続計画とテストの手順＊情報システムの開発、入手およびメンテナンス
６‑３(2)システム監査技術者試験の制度
受験資格は特にない。試験は次のとおり。
午前
多肢選択式問題
５０問
９０分
午後Ⅰ
記述式問題
４問中３問
９０分
午後Ⅱ
論述式問題（小論文）３問中１問 １２０分
食事・休憩時間を含めて６時間２０分である。（10:30‑16:50）
昨年から年齢制限の廃止、午前試験の問題数・時間の削減が行われた。
試験の範囲は、次のとおりである。 午前は、コンピュータシステム、システムの開発と運用、セキュリティと標準化、情報化と経営、監査。 午後は、情報システム・通信ネットワーク・システム監査全般に関すること、システム監査の計画に関すること、システム監査の実施に関すること、システム監査の報告に関すること、システム監査関連法規に関すること。
６‑３(3)両試験の相違点
ここでは次のように明かな差異がある。システム監査技術者試験の午後に行われる記述式・論述式問題はケース・スタディ方式でシステム監査人の能力を評価するものであって、実務経験の少ない者には難しい。この場合当然に文章作成能力やその他のコミュニケーション能力も評価できる。ＣＩＳＡ試験の多肢選択式問題だけではこれらの能力を評価しきれない。
６‑３(4)試験の難易度
両試験の難易度は、システム監査技術者試験は合格率があらかじめ設定されている（説）のに対し、ＣＩＳＡは一定水準を満たす者を合格させているので、単純な比較は難しい。
試験の合格率のデータだけで見ると次のとおりである。
システム監査技術者試験は、１５年間５．０％から７．７％まで平均６．５％である。
ＣＩＳＡ試験の合格率は、９９年の全世界の受験者が５，０８６人で、合格者は２，７１５人で合格率は５４％である。なお日本では東京支部１２０人受験して３０人合格、大阪支部で２２人受験して６人の合格である。合格率は２５％と２７％である。
以上

5