大阪広域環境施設組合監査委員告示第１号
地方自治法（昭和 22 年法律第 67 号）第 199 条第２項及び第４項の規定による令和３年度定期監査等を実施したので、同条第９項の規定により監査の結果に関する報告を決定し、公表する。
令和４年２月９日

大阪広域環境施設組合
監査委員

阪 井 千鶴子

同

片 山 一 歩令和３年度定期監査等結果報告の公表について

第１ 大阪広域環境施設組合監査委員監査基準への準拠
公文書管理に係る事務等に対する当該監査は、大阪広域環境施設組合監査委員監査基準に準拠して実施した。

第２ 監査の種類
地方自治法第199条第１項、第２項及び第４項に基づく財務監査及び行政監査

第３ 監査の対象
１ 公文書管理に係る事務
・主に令和元年度以降を対象とした。
・全課及び全事業所を対象とした。
２ 工場更新事業に係る事務
・住之江工場更新・運営事業を対象とした。
・施設部建設企画課を対象とした。
３ 情報セキュリティ制度の運用に係る事務
・主に令和２年度以降を対象とした。
・全課及び全事業所を対象とした。
４ 契約等に基づく収入及び支出に係る事務・令和２年度以降を対象とした。
・全課及び全事業所を対象とした。
５ 課又は事業所の事務の実施状況全般
・主に現年度を対象とした。

- 1 -

・施設部施設管理課（北港事務所）及び建設企画課（住之江工場現場事務所）を対象とした。

第４ 監査の着眼点監査の実施に当たり、重要リスク及び監査の着眼点を次のとおり設定した。
なお、監査の対象とした事務のうち、第３の４及び５の事務については、関係規程に沿って適正に事務が行われているかの確認を基本として監査を実施した。
重要リスク

着眼点

監査の結果

⑴ 公文書管理が適 ア 作成・受領等をした文書が関係規程に沿っ切に行われていな
いリスクて簿冊に編集されているか。
イ 簿冊が適正に作成され、保存されている

指摘事項１ ⑴
指摘事項１ ⑵か。
ウ 簿冊の廃棄手続が適正に行われ、廃棄されているか。
⑵

工場施設の更 ア 工事が計画に沿って実施されるよう、適正

新・運営事業が適 に監理しているか。
切に行われていな イ 工事監理が適切な体制・分担のもとで実施
いリスクされているか。
ウ 運営への移行を見据えた準備が計画的に進められているか。

⑶

情報セキュリア 関係規程に規定されている事項が適切にティ制度の運用等行われているか。

が適切に行われて イ これまでの指摘事項に係る改善措置が適いないリスク

正に継続的に実施されているか。
ウ 運転制御システムの設定・運用が各工場で適正に実施されているか。

――――
指摘事項２ ⑴
指摘事項２ ⑵
指摘事項２ ⑵
指摘事項２ ⑶(注) 「監査の結果」欄の「－」の項目については、今回の監査の対象範囲において試査等により検証した限りにおいて、指摘に該当する事項が検出されなかったことを示すものである。

第５ 監査の主な実施内容
監査手続は試査を基本とし、質問、閲覧及び現地確認等の手法を組み合わせて実施した。

第６ 監査の実施場所及び日程
１ 実施場所ルシアス庁舎、北港事務所、住之江工場現場事務所その他事業所
２ 実施日程令和３年８月17日から令和３年11月26日まで

第７ 監査の結果
第１から第６までの記載事項のとおり監査した限り、重要な点において、監査の対象となった事務が、法令に適合し、正確に行われ、最少の経費で最大の効果を上げるようにし、その組- 2 -織及び運営の合理化に努めていることがおおむね認められた。
ただし、是正又は改善が必要な事項は次のとおりである。
１ 公文書管理について改善を求めるもの⑴ 公文書を編集する簿冊の保存状況について改善を求めるもの【ルール、あるべき状況等】
本組合は、事務の適正かつ効率的な遂行を図り、また、公文書の公開等の制度の円滑な運用に資するため、本組合の公文書の管理に関して大阪広域環境施設組合公文書管理条例（平成26年条例第３号）を定め、さらに、大阪広域環境施設組合公文書管理条例施行規則（平成26年規則第３号）や大阪広域環境施設組合公文書管理規程（平成26年達第２号。以下「公文書管理規程」という。
）等において公文書管理の細目を規定している。
これらの規程に基づき、本組合において作成し、又は取得した公文書については、課（工場を含む。以下同じ。
）ごとに簿冊への編集等を行い、適正に管理しなければならない。簿冊への編集に当たっては、公文書管理規程に基づき、次のとおり取り扱う必要がある。
・１簿冊に編集しがたいときは、副題を付けて分冊とすること（第25条第１項）。
・公文書の編集は、原則として、表紙、背表紙及び索引目次を付けて行うこと（同）。
・なお、公文書の作成等は文書管理システムを利用して行うことが基本であり、公文書を編集した簿冊は文書管理システムに登録する必要がある（第３条第２項及び第26条）。
【現状】
今回の監査において、各課で保管している簿冊からそれぞれ一部を抽出して確認したとこ
ろ、次のとおりであった。
・起案又は供覧の際に別添資料管理票を用いるなど、紙媒体の公文書を編集している簿冊を抽出して確認したところ、現に複数の簿冊に分けて公文書を編集しているにもかかわらず、
文書管理システム上の登録では分冊されていない事例が少なからず見受けられた。
・表紙又は索引目次がない簿冊のほか、表紙等に所定の様式を用いていない簿冊が見受けられた。
【問題発生の原因】
本組合の文書管理システムは、システムの設計上、文書編集用の簿冊の追加登録（登録済の簿冊の分冊を含む。
）は制度主管課（総務課）のみに権限があり、各課では、文書分類表に記載されている簿冊であっても、個別の追加登録作業ができない仕様となっている。
そのため、各課において現に簿冊を分冊しようとする場合、総務課あて当該簿冊の分冊に係る追加登録を依頼する必要があるが、そのための追加登録の手続が行われていなかった。
この点においては、総務課において、追加登録のための様式等を整備していなかったこと、そのために追加登録の手続が浸透していなかったことが要因となっている。
また、公文書を編集した簿冊について、当該簿冊を保存している部署において活用するものという意識が職員にあり、公文書管理制度は、当該部署における保存文書の活用のみならず、市民に対する説明責任の一環及び本組合の組織全体のために記録を保管することを目的としていることの認識が不十分であったためと考えられる。

- 3 -【リスク】
現状では、文書管理システム上のデータと現に保存している簿冊の内容が一致しないことで、公文書や簿冊の探索が困難となり、公文書の紛失と同様の事態が生じかねず、また、同一年度に発生した同種の公文書を同一の簿冊に編集することで、誤って公文書を保存期限までに廃棄しかねないことにより、事務を適正かつ効率的に遂行できず、又は公文書の公開制度等の制度を円滑に運用できず、市民への説明責任を果たすことができないリスクがある。
したがって、以下のとおり指摘する。
［指摘事項１ ⑴］
１ 総務課は、文書管理システム上、簿冊の分冊を円滑に行える仕組みを整備すること。
２ 総務課は、公文書管理関係規程の内容に係る周知徹底を行うとともに、定期的に保存中の簿冊の実態を確認し、状態に応じた是正が行える仕組みを整備すること。
⑵ 公文書の簿冊への編集状況について改善を求めるもの【ルール、あるべき状況等】
本組合は、事務の適正かつ効率的な遂行を図り、また、公文書の公開等の制度の円滑な運用に資するため、公文書管理関係規程において公文書管理の細目を規定している。
これらの関係規程に基づき、本組合において作成し、又は取得した公文書については、課ごとに簿冊への編集等を行い、適正に管理しなければならないところ、簿冊への編集に当たっては、事務及び事業の性質及び内容等に応じて系統的に公文書を分類するために定められた文書分類表に従った取扱いを行う必要がある。
なお、公文書の編集に当たっては、公文書管理規程第25条第１項第２号に基づき、２以上の分類に関連する場合、保存期間の最も長い分類に係る簿冊に編集するほか、公文書管理規程第29条第１項及び第２項に基づき、主管課で作成し、又は取得した公文書は、主管課長が適正に管理しなければならない。
【現状】
今回の監査において、各課において保管している簿冊からそれぞれ一部を抽出し、編集されている公文書の内容等を確認したところ、次のとおりであった。
・本来編集すべき簿冊に公文書を編集していない事例が少なからず見受けられた。
・起案等をした課において簿冊に編集した上で保管すべき別添資料管理票が別の課で保管されている事例が見受けられた。
【問題発生の原因】
各課において、公文書の編集先を誤った際のリスクの理解が行き届いていないこともあって、それぞれ利用頻度の高い簿冊に公文書を編集する傾向があり、公文書管理関係規程に基づいて公文書を適正に管理しなければならないという認識が不十分であった。
また、この点については、文書分類表に記載されている簿冊の種別が十分でなく、各課において、限られた簿冊の中から適当と考えられる簿冊に編集せざるを得なかったという事情- 4 -も認められる。
なお、別添資料管理票が別の課で保管されている事例については、平成27年４月の本組合の事業運営の開始に当たっての暫定的な取扱いが、これまで適時に検証を経ることなく継続されていたことが原因である。
【リスク】
現状では、編集すべき簿冊に編集しないまま公文書を保管し、又は他課が公文書を保管することで、当該公文書の廃棄時期を誤って判断し、本来の保存期限より前に廃棄しかねないこと
により、事務を適正かつ効率的に遂行できず、又は公文書の公開制度等の制度を円滑に運用できず、市民への説明責任を果たすことができないリスクがある。
したがって、以下のとおり指摘する。
［指摘事項１ ⑵］
１ 総務課は、編集すべき簿冊に現に編集されていない公文書については、編集先として適切な簿冊に編集するよう指示した上で、その進捗状況を確認すること。また、各課が公文書を適切な簿冊に編集できるよう、文書分類表の改正を柔軟かつ適正に実施すること。
２ 総務課は、特に簿冊の廃棄に際しては、当該簿冊に編集されている個々の公文書の内容の確認を各課に徹底すること。
２ 情報セキュリティ制度の運用について改善を求めるもの⑴ 情報セキュリティ検査の実施について改善を求めるもの【ルール、あるべき状況等】
本組合においては、庁内通信ネットワークにおける情報等のセキュリティの保持を目的として、大阪広域環境施設組合情報セキュリティ管理規程（平成27年達第３号。以下「情報管理規程」という。
）を定めており、情報管理規程では、情報セキュリティ対策の実施に関する統一的な基準等を定める情報セキュリティ対策基準を作成し、さらには情報セキュリティ実
施手順において情報セキュリティ対策の実施に関して必要な事項を情報システムごとに定めることとしている。
これらの規程のうち、上位規程である情報管理規程第11条には、情報セキュリティ対策の実施状況の検証を目的として、統括情報セキュリティ責任者（事務局長）による定期的な検査（以下「情報セキュリティ検査」という。
）の実施が規定されており、情報セキュリティ検査を実施する必要がある。
なお、情報管理規程に基づく情報セキュリティに係る体制は次の表のとおりである。
表 本組合の情報セキュリティに係る体制
役職名[補職名]

権限及び役割

統括情報セキュリティ責任者

本組合における情報セキュリティを総括し、情報セキュリティ対[事務局長]

策の統一的な実施に必要な指導、助言又は調整を行う。

副統括情報セキュリティ責任者 統括情報セキュリティ責任者を補佐する。
[総務部長]- 5 -ＩＴ管理者

本組合における各情報システムの開発及び運用状況、データの管[総務課担当係長]

理状況、通信ネットワークの利用状況等を把握し、課において情報セキュリティ対策が適切かつ確実に実施されるよう必要な指導、助言又は調整を行う。

課情報セキュリティ責任者

所管する情報システム又は通信ネットワークにおける情報セキュ[課長等]

リティ対策を実施する。

【現状】
今回の監査において、情報セキュリティ検査の実施状況を確認したところ、次のとおりであった。
・令和３年10月末の時点では、情報セキュリティ検査は実施されたことがなく、実施に向けての具体的な計画も作成されていなかった。
・情報セキュリティ検査の実施に際しては、情報管理規程第11条第４項に基づき、統括情報
セキュリティ責任者が情報セキュリティ検査の実施方法その他必要な事項（以下「実施方法等」という。
）を定める必要があるが、実施方法等が定められていなかった。
・情報セキュリティ検査に近い取組みとしては、平成30年度の監査指摘を受けて令和２年６月に作成された大阪広域環境施設組合 情報セキュリティ実施手順（以下「情報実施手順」という。
）に、課情報セキュリティ責任者が所定のチェックシートによる点検結果を統括情報セキュリティ責任者あて報告する制度（以下「チェック結果報告制度」という。
）が設けられている。なお、チェック結果報告制度は、課情報セキュリティ責任者が自己点検を行うものであるため、統括情報セキュリティ責任者の判断により課情報セキュリティ責任者の管理状況を検査する情報セキュリティ検査には該当するものではない。
【問題発生の原因】
情報セキュリティ検査を実施するには、情報管理規程第11条第５項の規定により実施方法
等を統括情報セキュリティ責任者が定める必要があるが、実施方法等を定める規程（以下「実施規程」という。
）が定められていなかったこと、加えて、令和２年６月に作成された情報実
施手順にチェック結果報告制度を規定したことが相まって、チェック結果報告制度は情報セ
キュリティ検査に該当するものでないにもかかわらず、実施規程を定める実務を担う総務課
において、チェック結果報告制度が情報セキュリティ検査に該当するものとの思い込みがあったことが原因である。
なお、情報管理規程に係る細目を整備すべきことは平成29年度の定期監査等で指摘しており、実施規程が未だに存在しないことは措置漏れにも当たると指摘せざるを得ない。
【リスク】
現状では、情報セキュリティ検査を実施しない状況が続くことにより、各情報システム主
管課の自己点検のみに情報セキュリティの確保を委ねることとなり、必要な改善が遅れるおそれがある。
これには、システム停止等の事態を招き、市民の生活インフラである本組合の施設運営が停滞し、市民の日常生活に多大な影響をもたらすリスクや、情報漏洩等が生じることで市民- 6 -に回復不能な損害をもたらし、併せて市民の信頼の失墜により、円滑な業務運営が困難になるリスクがある。
したがって、以下のとおり指摘する。
［指摘事項２ ⑴］
１ 総務課は、情報管理規程の趣旨に沿った内容の情報セキュリティ検査を定期的に実施すること。なお、実施に当たっては、実施規程を新たに定めるほか、情報実施手順により提出されるチェックシートの精査等を行い、実情に応じた内容とすること。
⑵ 情報セキュリティ実施手順に定める様式及び関係規程の検証について改善を求めるもの【ルール、あるべき状況等】
本組合の庁内情報ネットワークにおける情報セキュリティの確保については、情報管理規程を始めとした関係規程が定められている。具体的には、情報管理規程に基づき定められた
大阪広域環境施設組合情報セキュリティ対策基準（以下「情報対策基準」という。
）及び情報実施手順であるが、これらの制定状況及び運用状況については、これまでも定期監査の対象としてきたところである。
平成31年３月に制定された情報対策基準、令和２年６月に制定された情報実施手順に基づ
き、情報セキュリティの確保に必要な措置が実行されていることはもちろんのこと、これら関係規程が整備されてから１年が経過しており、関係規程の運用実態を踏まえて、関係規程の内容に係る検証が行われる必要がある。
【現状】
今回の監査において、情報セキュリティ関係規程の運用状況を確認したところ、次のとおりであった。
・情報実施手順に定める様式を用いて、庁内情報端末や記録媒体の管理等が行われているが、課情報セキュリティ責任者が確認すべき時点との間の齟齬等が見受けられる。なお、一部
では、様式の取扱いの誤認も見られた。
・情報実施手順については、その内容上、年度ごとに更新するべき部分が更新されていなかったほか、文言の不備や関係規程間の齟齬と思われる箇所も見受けられた。
【問題発生の原因】
情報実施手順は、平成30年度の監査指摘を受けて情報対策基準に続いて作成されたものであるが、作成が急がれたこともあり、様式の作成に当たり、その利用手順の検討が十分とはいえなかったこと、また、運用後の利用状況の資料提供は受けていたものの、利用状況に照らした検証を行う予定がなく、現に未実施であったことが原因である。
なお、様式のみならず、情報実施手順の全体についても、作成後の検証に関する計画がな
いこともあり、内容に対する確認作業が行われていなかった。
【リスク】
現状では、情報セキュリティを確保するために必要な手続として定めた様式に不備がある- 7 -ことにより、関係規程の運用がその目的どおりに行われず、情報セキュリティ対策が不十分となって、情報セキュリティインシデントが発生し、本組合の業務運営に重大な支障を来す
リスクがある。また、関係規程の見直しが適切に行われないことについても、同様のリスクがある。
したがって、以下のとおり指摘する。
［指摘事項２ ⑵］１ 総務課は、情報実施手順に定める様式について、その利用状況を改めて把握した上で、適正な手続のために必要な実務上の手順を整理し、その結果を様式に反映させた見直しを行うこと。なお、見直した場合は、様式の利用手順について、その目的に沿って丁寧に説明して周知すること。
２ 総務課は、情報実施手順に定める様式に限らず、これまでの定期監査でも指摘したとおり、情報セキュリティ関係規程については、ＩＣＴに関する状況の急速な進歩や変化等も踏まえつつ、その内容の今日的妥当性を含め、内容の点検整理や関係資料の整理保管、さらには検証の継続的な実施を行うこと。
⑶ 各工場の運転制御システムにおける情報セキュリティの確保について改善を求めるもの【ルール、あるべき状況等】
本組合の設置・運営するごみ焼却工場（破砕設備を含む。
）においては、工場設備の状況を一元的に把握し、制御装置を通じて状況に応じた指令が行うことができる運転制御システム（Distributed Control System。以下「ＤＣＳ」という。
）を整備し、運用している。
ＤＣＳは、工場運転制御用に特化した設備管理用のシステムであり、庁内情報ネットワー
クに接続しておらず、かつインターネット等の外部通信ネットワークにも接続しない運用方
針のもとで運用していることから、本組合の運用する情報システムの情報セキュリティに関する基準である情報管理規程の適用外として取り扱われている。
しかしながら、ＤＣＳの正常な運用に支障を来す事態が発生した場合、市民の生活インフラである工場の運営にも多大な影響が生じ、市民の日常生活にもその影響が及びかねないた
め、ＤＣＳについても、運用実態に応じた情報セキュリティの確保を図ることが必要である。
【現状】
今回の監査において、各工場におけるＤＣＳの運用状況について確認したところ、次のとおりであった。
・ＤＣＳの運用に際しては、保守点検及び緊急対応に係る業務委託契約（以下「保守契約」という。
）がメーカー等との間で工場ごとに締結されているが、情報管理規程の対象となるシステムに係る契約と異なり、契約書や仕様書において情報セキュリティ関係の条項が設けられていなかった。
・ＤＣＳに対しては、保守契約の受注者の作業員等が来場して作業を行う中でＵＳＢメモリ
等の外部記憶媒体を接続することもあるが、その接続記録等が整備されていなかった。

- 8 -【問題発生の原因】
ＤＣＳが情報管理規程の対象外として取り扱われ、また、庁内情報ネットワークにすら接続しない閉鎖型のシステムであることから、情報セキュリティに関する契約条項の見直し等に問題意識が及ばない状況が続いてきた。
また、同様の事情により、近年、本組合において情報管理規程及びその関連規程の見直しが行われたが、ＤＣＳの運用とは関連がないものとして、参照することがなかった。
【リスク】
現状では、ＤＣＳの運用における情報セキュリティに関する契約上の規定が不十分なことにより、情報セキュリティ管理に不備が生じ、ＤＣＳの運用に重大な支障を来すリスクや、同様の事情及び記録の不備等により、問題発生時のリスク分担が不明確になり、保守契約の受注者との間で係争になり、本組合が不利を被るリスクがある。
したがって、以下のとおり指摘する。
［指摘事項２ ⑶］１ 施設管理課は、各工場のＤＣＳに係る保守契約において、情報管理規程等を参考に、
情報セキュリティの確保に関する規定を統一的に盛り込むよう取り計らい、各工場は現に盛り込むこと。
２ 各工場は、ＤＣＳに対する外部記憶媒体の接続等を記録する仕組みを整えること。

第８ その他
今回の監査の結果、是正又は改善が必要な事項として指摘する事項（以下「指摘事項」という。
）は第７に挙げているとおりであるが、本組合の監査においては、合規性、正確性に加え、経済性、効率性及び有効性の観点を踏まえた監査をこれまで実施してきており、令和３年度においても同様である。
そのため、現状では指摘事項には当たらないものの、今後の事務の経済性及び効率性の向上の観点から、今回の監査を機に今後の事業運営において留意すべき事項として次のとおり付言する。
留意すべき事項１ 工場施設の更新・運営事業における公文書の管理について
今回の監査においては、第３の２及び５のとおり工場更新事業に係る事務及び課又は事業所の事務の実施状況全般に対する監査を実施するため、建設企画課（住之江工場現場事務所）の実情を確認した。
その結果、第４及び第７のとおり、今回の監査の結果としては、これらの事務に関して指摘事項はなかったものの、住之江工場更新・運営事業を主管する建設企画課の分室として、現地において工事監理等の業務を担っている住之江工場現場事務所においては、事業進捗に伴って工事監理等の大量の書類が発生しており、同事務所のスペースを圧迫しかねない状況が見受けられた。
こうした事態は、更新工事の受注者及び工事監理業務委託の受注者から設計・施工関係の各- 9 -

種書面（図面を含む。
）が工事の進捗に伴って段階的に提出されることによるもので、契約済の案件でもあり、現状ではやむを得ないとは認められるが、工事の竣工は令和５年３月末の予定
であり、今後も保管を要する書類が相当数増加することが確実である。
一方、公文書管理規程第３条第２項において、文書の取扱いに当たっては、原則として電子情報処理組織である文書管理システムを利用して行うものと定めており、また、文書処理の電子化には、事務の効率化だけでなく、紙の使用量の減に伴う紙資源の節約及び購入費用の節減、文書保管に係る労力やリスクの皆減、事務スペースの有効活用といった多大な効果が期待できる。
ついては、今後の工場更新事業の実施に当たっては、現行の事業における課題を整理した上で、受注者からの申請書等に係る処理の電子化について検討し、可能な範囲で導入するよう留意されたい。

- 10 -

参考１ 平成29年度定期監査等結果報告及びこれを受けた措置の概要（情報セキュリティ管理関係に限る。
）⑴ 結果報告の概要
ア 監査の対象
本組合の定める各種規程
イ 重要リスク及び監査の着眼点
重要リスク

主な着眼点

各種規程の整備・運用が適 規程の整備は適切に行われているか
切でないリスク規程の運用は適切に行われているか

ウ 監査の結果
現在制定されている条例・規則等の規程について調査したところ、「行政事務における情報通信の技術の適正な利用の推進に関する規程（平成27年達第２号）」及び「大阪市・八尾市・松原市環境施設組合情報セキュリティ管理規程（現在の情報管理規程）」については、それらの下位に細目の策定が必要であったが、監査実施の時点において未だに策定されていなかった。
したがって、総務課においては、速やかに必要な細目を策定し、今後の事務執行における公平性や普遍性を将来的に担保できるようにするよう求める。
⑵ 措置の概要
ア 措置日
平成30年３月30日
イ 措置内容又は措置方針等
・「行政事務における情報通信の技術の適正な利用の推進に関する規程」及び「大阪市・八尾市・松原市環境施設組合情報セキュリティ管理規程」に係る細目を策定した。
・将来において制定する条例・規則等については、今回のような細目の策定漏れが生じな
いよう細心の注意を払って業務に当たっていく。
２ 平成30年度定期監査等結果報告及びこれを受けた措置の概要（情報セキュリティ管理関係に限る。
）⑴ 結果報告の概要
ア 監査の対象
本組合における情報セキュリティに関する組織的な管理体制の構築状況、規程等の整備・
運用状況等
イ 重要リスク及び監査の着眼点
重要リスク

主な着眼点

情報セキュリティの管理体 情報セキュリティポリシー(注)や情報セキュリティ実施
制が十分ではなく、重大な 手順が策定され、組織的に承認されているか
事故・犯罪（情報セキュリテ セキュリティ管理を統括するセキュリティ管理責任者
ィインシデント）が発生す が定められるとともに、各部署内のセキュリティ管理るリスク体制が構築されているか- 11 -

情報セキュリティポリシー(注)や情報セキュリティ実施
手順が全職員に周知徹底されているか
情報セキュリティに係る主務官庁からの指導や提言
は、組織内で共有され、対策が実施される体制となっているか
情報セキュリティインシデントに係る情報は、組織内で共有され、対策が実施される体制となっているか
情報セキュリティに係る自己点検や監査が定期的に実施されているか(注) 情報管理規程及び情報対策基準をいう。以下同じ。

ウ 監査の結果(ア) 情報セキュリティ実施手順の整備について
総務省の定める「地方公共団体における情報セキュリティポリシーに関するガイドラ
イン（以下「ガイドライン」という。
）」を踏まえ、本組合の情報セキュリティポリシー
について確認したところ、個別の情報システム等の情報セキュリティ対策の実施に関し、必要な事項に関する規程が情報セキュリティポリシーに定められていなかった。また、
情報管理規程に基づく情報セキュリティ対策の実施方法を各課情報対セキュリティ責任者に確認したところ、いずでもマニュアル類はなく、本組合においても対策基準を手順や手続に展開して定めるガイドライン上の実施手順（以下「実施手順」という。
）を整備していなかった。これらの状況から、次のとおり指摘する。
・統括情報セキュリティ責任者は、情報セキュリティ対策における実施手順の必要性を認識し、実施手順の作成、情報セキュリティをめぐる情勢の変化等に伴う実施手順の改訂及び実施手順が実際に実施されているかといった遵守状況の確認など、実施手順の整備・運用について情報セキュリティポリシーに規定すること。
・統括情報セキュリティ責任者は、課情報セキュリティ責任者に実施手順の整備を指示し、その結果について報告を受け、整備状況を把握すること。
・課情報セキュリティ責任者は、所管する情報システム等における実施手順の必要性を理解し、実施手順を早急に作成すること。
(イ) 情報セキュリティポリシーの周知徹底について
情報対策基準に基づく情報セキュリティ関係の研修等の実施状況について確認したところ、一度も研修等が行われておらず、また、各課情報セキュリティ責任者による啓発等も実施されていなかったことから、次のとおり指摘する。
・統括情報セキュリティ責任者は、全職員を対象とした情報セキュリティ研修を定期的に実施し、情報セキュリティポリシーの周知徹底を行うとともに、情報セキュリ
ティポリシーの遵守について啓発を行うこと。
・課情報セキュリティ責任者は、職員が情報セキュリティポリシーについて理解し、
情報セキュリティ上の問題が生じないよう、必要な知識及び技術等について定期的に教育・指導を実施すること。
⑵ 措置の概要
ア 情報セキュリティ実施手順の整備について- 12 -

(ア) 措置日
令和２年６月23日(イ) 措置内容又は措置方針等
・統括情報セキュリティ責任者は、情報セキュリティ実施手順の整備・運用が適切に実施されるよう、情報セキュリティポリシーの改訂を行い、平成31年３月１日施行した。
・各課情報セキュリティ責任者は、改訂された情報セキュリティポリシー及び令和元年11月に総務課の策定した情報セキュリティ実施手順（ひな型）を踏まえ、全システムを網羅した各情報システム（令和元年度に新たに稼働した情報システムを含む。
）に係る情報実施手順を令和２年６月23日に策定し、統括情報セキュリティ責任者に報告した。
イ 情報セキュリティポリシーの周知徹底について(ア) 措置日
令和２年４月９日(イ) 措置内容又は措置方針等
・統括情報セキュリティ責任者は、行政職員及び臨時的任用職員を対象とした情報セキ
ュリティ研修を令和元年５月30日から同年６月17日の間に計５回に分けて実施した。
・統括情報セキュリティ責任者は、情報セキュリティポリシーの遵守について啓発する
ため、情報セキュリティポリシーに定める責務に応じた情報セキュリティ研修基本方
針を令和元年11月１日に定めた。
・課情報セキュリティ責任者は、情報セキュリティ研修基本方針に基づき、技能職員を対象に令和２年２月25日から同年３月23日の間に情報セキュリティ研修を実施した。
・令和２年度以降も、行政職員及び技能職員を対象とした情報セキュリティ研修について第２・第３四半期までを目途として継続的に実施することとした。
３ 令和２年度定期監査等結果報告及びこれを受けた措置の概要（情報セキュリティ管理関係に限る。
）⑴ 結果報告の概要
ア 監査の対象
情報セキュリティポリシーの運用
イ 重要リスク及び監査の着眼点
重要リスク

主な着眼点

情報セキュリティポリシー 情報セキュリティポリシーに規定されている事項は、の運用が適切に行われてい 適切に行われているかないリスク

情報セキュリティに関する研修や啓発・教育は、適切に行われているかウ 監査の結果(ア) 各種情報システムの端末機器等に係る操作研修について
各種情報システムの端末機器等に関する操作研修について確認したところ、平成30年３月に作成された情報対策基準、令和２年６月に作成された情報実施手順には、新規配属職員に対する操作研修の実施に関する規定があるものの、令和２年度中は操作研修を- 13 -

実施しておらず、また、操作マニュアル等も当初作成時から更新されていなかったことから、次のとおり指摘する。
・各課情報セキュリティ責任者は、情報セキュリティ関係の各種規程の趣旨及び内容を踏まえた上で、令和３年度において機器操作研修を実施し、令和２年度の研修対象者にも令和３年度に研修を受講させること。
・機器操作研修については、規程上は、本組合に新規配属となった職員が対象者であるが、職員の業務実態を踏まえつつ、情報セキュリティの確保の観点から対象者の範囲について検討し、必要に応じて拡大すること。
・各種操作マニュアルについて、当初作成時から更新されていないため、現状に照らして更新の必要性を検討し、必要に応じて更新すること。
(イ) 情報セキュリティ関係規程上の定期的な実施事項について
情報セキュリティ関係規程上、情報セキュリティの確保に関してＩＴ管理者又は課情報セキュリティ責任者が定期的に実施すべき事項（以下「定期的な実施事項」という。
）
について確認したところ、情報セキュリティ及びコンピュータウイルスに関する情報の職員への周知が行われておらず、実施スケジュールが未整理のものも見受けられたことから、次のとおり指摘する。
・課情報セキュリティ責任者は、ＩＴ管理者と調整の上、セキュリティ及びウイルスに関する情報について、注意喚起も含め、全職員を対象に定期的に周知及び啓発を行う仕組みを整え、実行すること。
・課情報セキュリティ責任者は、令和２年度満了後、それぞれ定期的な実施事項の実
施状況についてＩＴ管理者を中心に集約した上で、ＩＴ管理者との調整のもとでこれらの実施状況を検証し、課題のある場合は必要な措置を講じること。
⑵ 措置の概要※※ 令和３年10月26日に管理者から受けた通知に基づく

ア 各種情報システムの端末機器等に係る操作研修について(ア) 措置日
措置中（一部措置済）(イ) 措置内容又は措置方針等
・令和３年度における機器操作研修については、令和３年度の新規配属者を対象に、総務課及び施設管理課において、令和３年４月21日までに実施し、令和２年度の新規配属者については、アンケート調査の回答結果を踏まえ、同月20日に庁内ポータルサイ
トに掲載した研修テキストで対応することとした（措置済）。
・情報セキュリティの確保の観点からは、技術の進歩等に対応した研修を定期的に実施していく必要があることから、全職員を対象とした研修を毎年実施することとしており、令和３年度に実施予定の研修を通じて、機器操作研修の振り返りやテキスト案内等を実施することで、機器操作研修で得られる知識の浸透を図っていく（措置中）。
・各種情報システムの主管課において確認した結果、それぞれマニュアルの更新が行われ、更新後の各マニュアルのデータを記録したＣＤ－Ｒを令和３年６月25日に各課・工場に配付した（措置済）。
イ 情報セキュリティ関係規程上の定期的な実施事項について- 14 -

(ア) 措置日
措置中（一部措置済）(イ) 措置内容又は措置方針等
・ネットワークシステム管理業務の受注者等から毎月報告のある「セキュリティ及びウ
イルスに関する情報」を庁内ポータルサイトに掲載して情報共有を図ることとし、令和３年７月実績の報告分から庁内ポータルサイトに掲載し、月ごとにデータを追加しており、また、攻撃型メールの受信など緊急に全職員への周知を要する情報について
は、令和３年４月16日以降、庁内ポータルサイトのトップ画面（インフォメーション）に掲載している（措置済）。
・定期的な実施事項については、令和２年度の実施状況の確認結果において、未実施の事項があった場合は、情報対策基準の項目ごとに課題を整理した上で速やかに実施し、それぞれの課題の整理を踏まえた改善策を定め、次年度のスケジュールを作成する（措置中）。

- 15 -