December 2021

日本システム監査人協会

認定 NPO 法人

日本システム監査人協会報

会報

2021 年 12 月号
No249

No.249（2021 年 12 月号）＜11 月 25 日発行＞ ━━━━━━━━━━━━━━━━━

攻撃活動再開の兆し「最恐」とも言われたマルウェア「Emotet（エモテット）」にご注意を。

巻頭言『システム監査を取り巻く活動』について
会員番号：281 力 利則 （副会長）

システム監査を取り巻く最近の動向について、私が関わってきた２つの事項を記載します。
（１）ＩＳＯ化、ＪＩＳ化の動きとシステム監査基準について
私は企業において内部監査の一環としてシステム監査に関わってきました。その関係で、数年前から、当時の日本のシステム監査・管理基準をＩＳＯ（国際標準）に提案しませんか！という相談を受けて、ＩＳＯの委員となり活動をしてきました。最初は日本の当時のシステム監査・管理基準を英訳して提案しましたが、その後、ＩＴガバナンスのＩＳＯを検討する体制ができて、そこでのテーマとなり、オーディットからアセスメン
トに内容が変わり、ＥＤＭモデルに関する ISO/IEC38500 ができました。そして現在 ISO/IEC38503 にてＩ
Ｔガバナンスにおけるアセスメントの標準化の制定があと一息です。また、私は日本におけるシステム監査・管理基準の改定作業にも関わってきました。ここでお伝えしたいことは、システム監査人である皆さんも、Ｉ
ＳＯ化・ＪＩＳ化、システム監査・管理基準等の作成や改定側の立場になってどんどん働きかけて欲しいということです。そのことが、システム監査・管理の実務にもきっと役立つものであると考えます。
（２）経営者、ＣＩＯ・ＣＩＳＯへの働き掛けの推進
当協会では、システム監査人向けの活動にはかなり本格的に取り組んでいると思います。ただ、私はこの数
年、システム監査にも取り組んでいますが、いくつかの組織で、ＣＩＯ補佐官、ＣＩＳＯアドバイザーも務めています。そこでは、組織トップに近いＣＩＯ、ＣＩＳＯ等との関わりもあり、大事な役割です。私はその立場でシステム監査人との関わりがほとんどないことが残念です。組織の中での監査機能の位置づけのこともあるかとは思いますが、当協会としては、経営者やＣＩＯ、ＣＩＳＯ等のトップの方々に、システム監査・管理の重要性や関係性をよく知ってもらって、経営者やＣＩＯ、ＣＩＳＯ等のトップがシステム監査の有意義な位置づけや役割認識を深めて欲しいと考えています。そのためには、当協会からも、もっと直接的に経営者やＣ
ＩＯ、ＣＩＳＯ等、および関連団体等への働き掛けをしていくべきだと考えます。皆さんもぜひ宜しくお願い致します。

日本システム監査人協会

以上

会報

1

December 2021

日本システム監査人協会

会報

＜目次＞
各行から Ctrl キー+クリックで該当記事にジャンプできます。

○

巻頭言........................................................................................................ 1『システム監査を取り巻く活動』について

１．めだか........................................................................................................ 3【時代の変化とシステム監査 ‐ 縄文 -】２．投稿.......................................................................................................... 4

投稿【携帯端末は我々をどこへ導くのか】【コラム】システム監査のための、順列・組合せ・確率・統計再入門（12）【基礎自治体における IT ガバナンス監査考】―（第４回）自律的な IT ガバナンス強化に向けた助言ツール―【エッセイ】宝箱3．本部報告...................................................................................................... 17【第 261 回月例研究会：講演録】
テーマ：「令和 3 年改正個人情報保護法について」
イベント報告【(2021 年度)関東地区主催

4．支部報告会員向け SAAJ 活動説明会】...................................................................................................... 23【近畿支部 第１９１回定例研究会】【近畿支部

5．注目情報システム監査基本学習セミナー】...................................................................................................... 28

IPA【「Emotet（エモテット）」と呼ばれるウイルスへの感染を狙うメールについて注意喚起】

IPA【DX 未着手・途上企業の担当者向け「DX 実践手引書

6．セミナー開催案内

IT システム構築編」を公開】.......................................................................................... 29【協会主催イベント・セミナーのご案内】

7．協会からのお知らせ....................................................................................... 30【年会費請求書を発送】【新たに会員になられた方へ】【協会行事一覧】

8．会報編集部からのお知らせ

日本システム監査人協会............................................................................... 33

会報2

December 2021

日本システム監査人協会

会報2021.11
めだか【

時代の変化とシステム監査 ‐ 縄文 - 】

システム監査の領域が広がる中、進化の階段の一つ上の段に上がる。そこで時代の変化とシ
ステム監査を考える。時代の変化は、気候変動や、新型コロナウイルスによるパンデミック等であり、システム監査は、正すものである。
弥生式土器は高温で焼成する薄く硬く焼かれたもので紀元前 4 世紀頃が始まりとされる。また、稲作が日本列島に広まり日本人の原型ができたとすると紀元前 1000 年頃が弥生時代の始まりと推定される。
ジャポニカ米は朝鮮半島経由で伝来し、亜種のジャパニカ米は沖縄や南西諸島を経由して伝来した。九州
北部に伝わった水田稲作の技術は、近畿地方に伝播するのに約 350 年、東北地方まで到達するには約 600
年の時間がかかったのではないかと考えられる。
縄文時代の人々は動物の毛皮やアンギン（編布）と呼ばれる植物繊維（苧(からむし)など）で衣服を作った。弥生時代になると、中国、朝鮮半島から、縦糸と横糸を織り込む機織りにより織物の布から衣服が作られた。住居は、縄文時代と同じく、竪穴式住居である。稲作が各地に伝わると日本人の先祖の生活は大きな変化を遂げていくようになる。稲作によって食糧の生産量は格段に増加した。食糧に余剰が発生する
ようになると、余剰を蓄える人々が現れ、人々の間に貧富の差と身分の差を生むようになった。稲作を行うためには水が重要であり、水を確保するための集団とそれをまとめるための権力機構が発生し、水を巡って集落と集落の間で紛争も起きるようになった。
さて、2018 年頃から世界の様々なメディアが、スウェーデンの若き環境活動家、グレタ・トゥンベリさんの訴えを報じている。彼女は各国の代表を前に、経済成長ばかりに目を向け地球温暖化対策がなかなか進まない現状に怒りをあらわにしている。また、2020 年頃から新型コロナウイルス感染症の猛威にさらされ全世界で空前の被害に見舞われている。2021 年には日本では収まりつつあるように思われるが、まだわからない。感染症が人類の脅威となってきた背景には、やはり定住化がある。定住に依って人口が増え、集住すると人同士が近接して暮らすことになる。そして人々は歯周病や糖尿病にかかっている。
世界中を結ぶ交通網が発達した現在、パンデミック等は時には交通や対面そのものを遮断することを求めている。私たちは時代の変化とシステム監査を考えること、そして、さまざまな出来事と役割に対し、改めて考えてみることが求められる。（空心菜）
資料「日本列島四万年のディ―プヒストリー 先史考古学からみた現代」森崎一貴 著 朝日選書 1024
「日本史 パノラマ大地図帳」監修 山本博文 宝島社（このコラム文書は、投稿者の個人的な意見表明であり、ＳＡＡＪの見解ではありません。
）＜目次＞

日本システム監査人協会

会報3

December 2021

日本システム監査人協会

会報2021.11
投稿【 携帯端末は我々をどこへ導くのか 】
会員番号436 大石正人

スマホなど様々な端末を携帯し、その場で情報を検索したり、動画を楽しむことが日常化しました。さらに、端末をかざしたり、ＱＲコードなどに導かれて、モノの手配やその場での購入、配信サービスを申し込
むことも当たり前になりました。
さらに、本人を認証する機能をスマホが備えるようになると、生体認証といった「本人性」以上に、端末も携行しないと本人だと認められなくなる心配も出てきました。
情報機器であり、エンターテインメントの提供手段であるだけでなく、資金決済など生活を支え、かつ所
有者の属性を証明する手段として、今やスマホに代表される端末は「生活必需品」といってよいでしょう。
この生活必需品は電力、通信ネットワーク、アプリや決済などサービス提供会社に支えられていますが、機器である以上故障や破損もありますし、経年劣化による機能不全もあります。さらにはペイメント口座になると、残高やさまざま決済サービスの信頼性が、システム障害やセキュリティ侵害により損なわれるリス
クもあります。
便利だけに依存を高めれば高めるほど、さらされるリスクも高まることになります。肌身離さずもってい
るのも、なかなか容易ではありません。実際に交番へ届けられる忘れ物、落し物としては、財布、カードなどと並び、上位に位置するようです。「携行貴重品」の代表格に昇格したというべきでしょうか。
こうした一方で、スマホなどの端末は別の意味で「情報端末」です。
通信内容、場所、検索・操作履歴など、利用者が端末をどのように使ったか、という情報を集め、プールし、その結果が分析され、マクロ（巨視的）なトレンドが抽出される一方、利用者本人の嗜好を反映した広告などの表示（悪く言うと誘導）も可能になるのです。良く知られるようにこうした現象を米国のネット活動家であるイーライ・パリサーがフィルター・バブル（フィルタリングにより泡に閉じ込められた状態）と名付けました。
今や端末を携行し、持ち歩きながらも操作し、始終画面に向き合っている日々とは、自身の行動・操作検索・購入など履歴という情報をタダ同然で検索エンジン運営会社、決済を含むサービス提供会社に召し上げられている姿なわけです。（利用に応じたポイント還元など、データ価値に比べれば、微々たるもののはずです）。
考えようによっては、携帯端末利用者は何ともおめでたい存在にも映ります。
しかも提供されるサービスの対価を払っているかどうか、も怪しい状況なので、サービス提供会社の都合で、いつでもサービスを中断ないし取り止められるリスクを抱えています。
さすがに資金決済サービス会社の場合には、資金移動業務を営む事業者として、金融当局の監督を受けています。しかしながら預金取扱金融機関のように、預金保険制度などはないため、万一の場合の補填がなされるのか、不確実性を伴うのが実情です。２０２０年には銀行口座との連動性があるサービスにおいて、不正引き出し事案が発生しました（注 1）。かねてから、ネット上の決済サービスのアカウントを、給与振込先へ指定しては、という議論が続いてきましたが、利害関係者間の合意が得られず、執筆時点では実現を見ていません。
（注 1）令和２年９月 15 日 金融庁「資金移動業者の決済サービスを通じた銀行口座からの不正出金に関す
る対応について」https://www.fsa.go.jp/news/r2/sonota/20200915/20200915.html
さらに、社会的重要インフラであるネットワークや端末キャリアの障害により、端末がつながらない、という事態も発生しえます。最近でも大手キャリアＮ社において、設備更新時の不具合に起因した長時間の通信障害により、広範囲の利用者に多大な影響が発生しました。タクシーでの運賃支払いができなくなり、現金の持ち合わせがなかった乗客から、料金回収を断念した事例もあったと伝えられています。
日本システム監査人協会

会報4December 2021

日本システム監査人協会

会報

このように考えてくると、スマホなどの携帯端末は、利便性の高さが魅力となって、生活必需品であり財布などと並んで貴重品の地位を獲得しました。サービス業者は利用者の位置や履歴情報を、低めの対価で収集し、自らの事業利益の拡大に有効活用しています。しかしながら、そのサービスは継続保証（資金移動サービスの場合は万一の場合のアカウント情報の保証）に不確実性があり、通信障害を含め中断リスクや、情報
セキュリティの侵害が顕現化した場合に、多大な影響を被る可能性があります。
したがって、利用者は、こうした携帯端末の特性（利便性と万一の場合のリスク）を十分踏まえて、自らのリスクを一定の範囲内に抑える知恵を身に着けなくてはならないはずです。
残念ながら、通信キャリアが主宰するスマホ入門講座では、便利な使い方の解説はあっても、こうした万一のリスクへの説明を受けることはまずありません。資金決済サービスの解説ウェブサイトを読んでも、使い勝手の良さを訴えるばかりで、万一に備えた措置について、言及していないようです。
通信キャリアの講師もサービス提供会社のウェブ管理者も、実はこうしたリスク認識が不十分ではないか、と懸念されます。
筆者自身は、フィーチャーフォン（ガラケー）向けサービスが終わっているなど、やむを得ない場合にのみ、スマホでアプリを利用してはいますが、必要なければ、電池を消耗させないため電源を切っていますし、
モノやサービスの購入は現金でなければせいぜい電子マネーも併用できるクレジットカードまでです。日常的に現金を持ち歩き、少額硬貨も数えながらレジで精算する、ある意味では不便生活を「エンジョイ」しているアナログな生活嗜好です。しかしいずれ、スマホ最優先、あるいはスマホ限定でしか利用できない店舗
やサービスが支配的になる可能性もあり、今の不便生活が行き詰まり状態に陥る心配は大いにあります。
これから公共サービスの提供も、ますますスマホファーストの傾向を強める予感がします。その結果、デジタルデバイドならぬ「携帯端末デバイドが」発生する懸念も十分あります。自治体の緊急時の体制として
は、スマホ向けに情報を提供するので十分、ないしそれで手一杯になっている予感がします。
こうした一方で、災害、緊急時に、インフラとして本当に携帯端末だけに頼れるのか、は不安なしとしま
せん。利用集中が復旧を遅らせた経験は、先の携帯キャリアの通信障害の際にも顕現化しましたし、災害などによる停電で、地域自治体がいち早く、給水と並んでスマホ充電の体制を整える事例が増えたのは、電力供給の復旧がなければ使い物にならない、情報収集手段としての携帯端末の脆弱性を表しているといえるでしょう。アナログな対応手段が有効だったケースは、先の東日本大震災でも随所に見られました。
果たして、これ以上携帯端末依存（一極集中化傾向）を強めてよいのか、大いに疑問が残ります。
首都圏直下地震も含め、震災の発生可能性が繰り返し指摘されています。この機会に携帯端末についてのリスク特性を改めて認識頂き、万一のサービス中断時の自衛策として、代替通信手段の確保の算段を考慮する必要があると考えます。
最後に、個人的には、四六時中携帯端末を手にして、時間（実はデータも）どろぼう（注 2）に、大切なご自身の分身（行動履歴などの情報）を奪われてしまって本当に良いのか、についても、自らに問いかけて頂
きたいと、切に望んでいることを（小声で）申し添えます。
（注 2）ミヒャエルエンデ著「モモ」（時間どろぼうと，ぬすまれた時間を人間にとりかえしてくれた女の子の物語）岩波少年文庫ほか＜目次＞

日本システム監査人協会

会報

5December 2021

日本システム監査人協会

会報2021.11【コラム】システム監査のための、順列・組合せ・確率・統計再入門（12）会員番号1644 田淵隆明（近畿支部

システム監査法制化推進プロジェクト）§1.はじめに新型コロナについてはデルタ株の死滅等がネット上を賑わせているが真偽のほどは不明である。なお、11 月 5日より「抗体カクテル療法」が予防薬としても使えることとなった（→文献[5]）。また、治療薬としての経口薬もまもなく承認される見込みである。我々は、何としてでも、この危機を乗り切らねばならない。
しかし、各方面から指摘されているように、国産のワクチン及び治療薬の開発は諸外国に比べて 1 年は遅れており後塵を拝することとなった。また、我が国の製薬会社でも自社開発をしている会社は限定されているようである。
これは、世界に輝く先進国日本としては 20 世紀後半にはあり得ない事態であり、平成 30 年の暗黒の時代による衰退をまざまざと感じさせられる。やはり 2006 年の会計制度の改悪にその原因がある(※ソフトウェアの資産計
上とセットでこの改悪が行われていることに注意)と言わざるを得ない。

〔1〕企業会計基準委員会「研究開発費等会計基準」
2006 年の財務諸表等規則等の改正を受けた、企業会計基準委員会の「研究開発費等会計基準」から引用する。
************************************［定義］************************************
１ 研究及び開発
研究とは、新しい知識の発見を目的とした計画的な調査及び探究をいう。開発とは、新しい製品・サービス・生産方法（以下、「製品等」という。
）についての計画若しくは設計又は既存の製品等を著しく改良するための計画若しくは設計として、研究の成果その他の知識を具体化することをいう。
２ ソフトウェア
ソフトウェアとは、コンピュータを機能させるように指令を組み合わせて表現したプログラム等をいう。
二 研究開発費を構成する原価要素
研究開発費には、人件費、原材料費、固定資産の減価償却費及び間接費の配賦額等、研究開発のために費消されたすべての原価が含まれる。（注 1）
三 研究開発費に係る会計処理
研究開発費は、すべて発生時に費用として処理しなければならない。
なお、ソフトウェア制作費のうち、研究開発に該当する部分も研究開発費として費用処理する。（注 2）（注 3）*********************************［結論の背景］*********************************
１ 研究及び開発の定義について研究及び開発の定義は研究開発費の範囲と直接結びついている。本基準では、研究開発費に関する内外企業間の比較可能性を担保するため、諸外国における定義を参考とするとともに、我が国の企業が実務慣行上研究開発として認識している範囲等を考慮しつつ検討を行い、研究及び開発を次のように定義することとした。
研究とは、「新しい知識の発見を目的とした計画的な調査及び探究」をいい、開発とは、「新しい製品・サービ
ス・生産方法（以下、「製品等」という。）についての計画若しくは設計又は既存の製品等を著しく改良するための計画若しくは設計として、研究の成果その他の知識を具体化すること」をいう。
例えば、製造現場で行われる改良研究であっても、それが明確なプロジェクトとして行われている場合には、開発の定義における「著しい改良」に該当するものと考えられる。なお、製造現場で行われる品質管理活動やクレーム処理のための活動は研究開発には含まれないと解される。
２ 研究開発費の発生時費用処理について
重要な投資情報である研究開発費について、企業間の比較可能性を担保することが必要であり、費用処理又は資産計上を任意とする現行の会計処理は適当でない。
研究開発費は、発生時には将来の収益を獲得できるか否か不明であり、また、研究開発計画が進行し、将来の収益の獲得期待が高まったとしても、依然としてその獲得が確実であるとはいえない。そのため、研究開発費を資産として貸借対照表に計上することは適当でないと判断した。
また、仮に、一定の要件を満たすものについて資産計上を強制する処理を採用する場合には、資産計上の要件を定める必要がある。しかし、実務上客観的に判断可能な要件を規定することは困難であり、抽象的な要件のもとで資産計上を求めることとした場合、企業間の比較可能性が損なわれるおそれがあると考えられる。したがって、研究開発費は発生時に費用として処理することとした。
******************************************************************************
日本システム監査人協会

会報

6December 2021

日本システム監査人協会

会報〔2〕「研究開発費」の会計処理
企業会計基準委員会(ASBJ)の「研究開発費等会計基準」及び公認会計士協会の会計制度委員会報告第 12 号
「研究開発費及びソフトウェアの会計処理に関する実務指針」においては、「研究開発費は全て費用処理しなければならない」とされ、製造現場における「著しい改良」に該当する場合のみ、製造原価に含まれる(この場合は BS 上は「仕掛品」及び「製品」に含まれることになり、製品が払い出されて初めて費用となる)こととなった。そのため、企業のブレインである研究所における費用は全て一律費用処理されることとなった。
★これは、製造業にとっての生命線である「研究開発部門」が「コスト・センター」に転落したことを意味する。その結果、企業経営者は R&D 部門の合理化・効率化を株主から求められるようになり、自らもそれを経営指針に加える経営者が続出した。その結果、半導体や製薬などの分野において、研究開発部門の縮小・リストラが横行し、我が国の一流企業の研究所から、我が国の産業を支える”虎の子の人材”が大量に海外に流出することとなるに至った。
★他に「費用になるが、損金算入されない（必要経費否認）」ものは、罰金・課徴金・接待交際費〔3〕繰延資産の「研究開発費」の会計処理
繰延資産には「開発費」が残されてはいるが、非常に限定的であり、使いづらいものになっている。ASBJ の
実務対応報告第 19 号「繰延資産の会計処理に関する当面の取扱い」では次のように定義されている。(文献[6])ここでは「新技術又は新経営組織の採用、資源の開発、市場の開拓等のために支出した費用、生産能率の向上
又は生産計画の変更等により、設備の大規模な配置替えを行った場合等の費用」とあるため、新薬の開発など
は「開発費」には該当せず、資産計上が不可能となり、製薬会社などは「研究開発をすればするほど赤字になる。しかも大半が税法上損金算入できない」という大きなジレンマを抱えることとなった。また、2005 年に制定された「金融検査マニュアル」の厳格運用に伴う、赤字の製造業に対する金融機関の「貸し渋り」・「貸し剥がし」が横行したため、製造業は新製品の開発において、大きな足かせをはめられることとなった。
********* ASBJ の実務対応報告第 19 号「繰延資産の会計処理に関する当面の取扱い」************(5) 開発費の会計処理

開発費は、原則として、支出時に費用（売上原価又は販売費及び一般管理費）として処理する。ただし、開発費を繰延資産に計上することができる。この場合には、支出のときから 5 年以内のその効果の及ぶ期間にわたって、定額法その他の合理的な方法により規則的に償却しなければならない。
開発費とは、新技術又は新経営組織の採用、資源の開発、市場の開拓等のために支出した費用、生産能率の向上又は生産計画の変更等により、設備の大規模な配置替えを行った場合等の費用をいう。ただし、経常費の性格をもつものは開発費には含まれない。
なお、「研究開発費等に係る会計基準」の対象となる研究開発費については、発生時に費用として処理しなければならないことに留意する必要がある。
****************************************************************************§2.順列・組合せ・確率・統計再入門（10）前回に引き続き、場合の数と確率の説明を続ける(詳細は文献[2]を参照)。このシリーズの最終回である今回も、「順列・組合せ」と正多面体の融合問題を取り上げる。
〔設例 2.1〕3 次元空間において、(±1, ±1, ±1)の 8 点を頂点とする立方体Ｋを考える。各点の座標をA(1,1,1), B(-1,1,1), C(-1,-1,1), D(1,-1,1), E(1,1,-1), F(-1,1,-1), G(-1,-1,-1), H(1,-1,-1)とする。
(1)立方体Ｋの 8 個の頂点の内、A,C,F,H を結んでできる三角錘Ｌは、どのような四面体か？
(2)四面体Ｌには辺が 6 本あるが、それらの中点を結んでできる図形Ｍは何か？
(3)図形Ｍには面が 8 枚あるが、それらの中心を結んでできる図形Ｎは何か？
(4)立方体Ｋには面が 6 枚あるが、それらの中心を結んでできる図形 J は何か？
〔考え方〕実際に、座標を取ると分かり易い。
〔解答〕(1)辺 AC,辺 AF,辺 AH,辺 CF,辺 CH,辺 FH の長さは全て 2 2 であるので、全ての面は正三角形である。
よって、四面体Ｌは「正四面体」である。
(2)頂点は(±1,0,0),(0,±1,0),(0,0,±1)であるので、図形Ｍは「正八面体」である。
(3)図形Ｍの面は正三角形であり、各面の中心は(±1/3, ±1/3, ±1/3)であるので、図形Ｎは「立方体」(正六面体)である。
(4)立方体Ｋの面は正方形であり、各面の中心は(±1,0,0),(0,±1,0),(0,0,±1)であるので、図形Ｊは「正八面体」である。
日本システム監査人協会

会報

7

December 2021

日本システム監査人協会

会報※1.このように、3 次元空間では、正六面体のなかに正四面体が隠れており、正四面体のなかに正八面体が隠れnており、正八面体のなかに正六面体が隠れている。一般の n 次元空間においても、正八面体の系列である 2 胞体（正軸体）、正六面体の系列である 2n 胞体(超立方体＝正測体)の間には(3)と(4)の「双対関係」が成立するが、(1)と(2)は 3 次元空間のみで成立する。（→詳細は本会報の 2021 年 9 月号、及び、文献[3]を参照）。
※2.正四面体の系列は、正(n＋1)胞体は「正単体」と呼ばれている。
「正単体」の頂点 A1,A2,A3,…,An,An+1
は、次のようにして得られる。(n＝4 の場合の回転行列を用いて Galois 理論の中核部分が証明できる→[文献 3])
A1(1,0,0,…,0,0), A2(0,1,0,…,0,0), A3(0,0,1,…,0,0),…,An(0,0,0,…,0,1)とすると、これらの 2 点間の距
離は√2 である。最後の An+1 の座標を(t,t,t,…,t,t)(t＞0)とすると、
A1An+12＝(t－1)2＋t2＋…＋t2＝(t－1)2＋(n－1)t2＝2⇔ n t2－2t－1＝0

(2.1)
(2.2)

★ここで、n＝3 とおくと、t＝1 となる。頂点は A1(1,0,0), A2(0,1,0), A3(0,0,1), A4(1,1,1)となるので、立方体の頂点を 1 つ置きに取った場合に該当することが分かる。これは 3 次元のみの現象である。
------------------------------------------------------------------------------------------------------------3 次元の有限群は、n 次巡回群 Cn、2 面体群 Dn、正多面体群のいずれかに同型であることが知られている。
前回、「円順列」は「(鏡映を含まない)n 回転対称性」、「数珠順列」は「(鏡映を含む)n 回転対称性」に対応しているが、ここでは 3 次元版の「円順列」及び「数珠順列」を考える。
まず、正多面体の対称性は次表のとおりである。
「回転対称性」が「円順列での除数」、鏡映を含む場合が「数珠順列での除数」に相当する。正六面体の中心を結べば正八面体が生じ、正八面体の中心を結べば正六面体が生じる。また、正十二面体の中心を結べば正二十面体が生じ、正二十面体の中心を結べば正十二面体が生じる。これを、正六面体と正八面体、正十二面体と正二十面体は相対の関係にあると言う（→文献[1],[2],[4]）。
〔設例 2.2〕5 種類の正多面体の各面を異なる色で塗り分ける場合、次の数を求めよ。
(1)姿勢が異なるだけで回転させて重なる場合は同一とみなす場合(2)(1)に加えて、鏡映対称も同一とみなす場合〔考え方〕(1)は「円順列」の三次元版、(2)は「数珠順列」の三次元版である。正 n 面体の姿勢を区別する場合
は、塗り分け方法は、n!(通り)であるので、同一視する数で割れば良い。

(1)の場合：(正四面体の場合)＝4!/12＝2(正六面体の場合)＝6!/24＝30(正八面体の場合)＝8!/24＝1,680(正十二面体の場合)＝12!/60＝7,983,360(正二十面体の場合)＝20!/60＝40,548,366,802,944,000(2)の場合：※常に、(1)の場合の半分である。
(正四面体の場合)＝4!/24＝1(正六面体の場合)＝6!/48＝15(正八面体の場合)＝8!/48＝840(正十二面体の場合)＝12!/120＝3,991,680(正二十面体の場合)＝20!/120＝20,274,183,401,472,000§3.おわりに：言語学の重要性
日本システム監査人協会

会報

(2.3)
(2.4)
(2.5)
(2.6)
(2.7)
(2.8)
(2.9)
(2.10)(2.11)(2.12)

8

December 2021

日本システム監査人協会

会報

この「システム監査のための、順列・組合せ・確率・統計再入門」シリーズは今回で終わりとなる。(来年からは新テーマを用意している。)最初に申し上げたように、「第一次ゆとり教育」(1966/04/02～1978/04/01 生に適用)では、大半の高校で 3 年次配当の選択科目となったため、文系の大半と理系の一部は一切履修しておらず、文系で「確率・統計」が出題されたのは京都大・一橋大のみであった。その為、官僚の中にも、命題の逆・裏・対偶などを知らない人が多く、法解釈においても奇妙な反対解釈が発生するなど、多くの弊害が発生している。
★去る 10 月 31 日の衆議院総選挙において、全国民に無条件に毎月一定額を給付する「ベーシック・インカム制度の創設」が複数の政党が公約した。しかし、注意しなければならないことは、これには二通りの意味があることである。

A 党：ベーシック・インカムは既存の社会保障制度・雇用制度を維持した上で、それに加算する方法で実施し、雇用制度は正社員化を推進し、累進課税制度を強化する。
B 党：ベーシック・インカムと引き換えに、生活保護・国民年金を廃止し、社会保障制度を大幅に削減した上で、解雇規制を撤廃し、累進課税制度をフラット化し、キャピタル・ゲイン課税を総合課税化する。
制度の優劣や賛否についてのコメントは、この場では控えるが、まさに同床異夢。全く、逆の効果をもたらす政策について、同じ「ベーシック・インカム」という用語が用いられている。恐ろしいことである。
★今年 1 年を通じて、言語学の重要性を指摘してきたが、下記は SAP の HANA に日本語モードでログオンし、SPRO で IMG を開き、「有効化：ビジネス機能」を実行した場合に最初に表示されるメッセージである。(以下は IDES 環境)

お分かりであろうか？ 原文のドイツ語のままで、英語には翻訳されていないのである。現在、EU 諸国では産業所有権の本部はミュンヘンにあり、支部はベルリンとハーグのみである(→[6])。Brexit により、中長期的に EU における英語の地位が低下することは不可避である。やはり、大学の卒業要件として外国語の 3 カ国語以上の習得と大学入試における外国語の 2 カ国語を義務化するべきである。現在の中 3 の学年より、中学の英語の必修英単語数は従来の 750 語から 1600～1800 語に急増し、前置詞付き関係代名詞も複合関係代名詞も仮定法も中学の範囲となった。

従って、高校で第 2 外国語の履修を義務化することは十分可能である。
また、我が国の産業競争力を考えると、物理を微分・積分と一体で教育することは不可欠である。その為には「物理基礎」を高 2 配当にするとともに、現行の数学 1・2・A を中学に、数学 B と復活する C(ベクトル・行列)を高 1 に降ろし、理系科目としての「ベクトル解析」と「3 変数の微積分」と「微分方程式」を高 2 に降ろす必要がある。
※以上述べたことは筆者の私見であり、いかなる団体をも代表するものではありません。また、法令の適用・会計基準の適用、医療上の判断等については、必ず、御自身でご担当の顧問会計士その他の専門家の方々への御確認・照会をお願いします。
<参考文献>[1]「軽減税率」田淵隆明が語る、IFRS&連結会計〔Ⅰ〕〔Ⅱ〕 (2021/03/29)[2]「軽減税率」田淵隆明が語る、「インコタームズと連結上の照合・相殺消去」再考(2021/03/01)[3]「軽減税率」田淵隆明が語る、数学・理科のカリキュラム再考（2021/09/27）[4]「高次元の正多面体」（数セミ・ブックス⑦,一松信）[5] 抗体カクテル、初の予防薬に 無症状や濃厚接触者に 厚労省
https://news.yahoo.co.jp/articles/e2f8c7d4556e6a668fb54c39935525c69fca6c5d[6] https://www.asb.or.jp/asb/asb_j/documents/docs/equity_method_2/equity_method_2_3.pdf＜目次＞

日本システム監査人協会

会報

9December 2021

日本システム監査人協会

会報2021.12
投稿【

基礎自治体における IT ガバナンス監査考 】―（第４回）自律的な IT ガバナンス強化に向けた助言ツール―
CIO 補佐官経験者※本投稿については、実名が原則であるが、過去において認めた匿名の投稿を継承した内容となっており、引き続き匿名とすることを認めた。ご了承願いたい。
（会報主査）

７．論点４：IT ガバナンス監査の評価結果に基づく助言をどのようにするか（１）助言ツールの必要性
実践マニュアル：2.3 アセスメントの実行の（3）報告（P120）において『アセスメント報告は、関連する重要な情報に基づいてアセッサが作成する。報告には、アセスメント結果だけではなく、改善計画を立てるための指標を含める。アセスメント報告書は、スポンサーと影響を受ける当事者へ効果的に伝達し、理解できるよう文書化し、スポンサーに提出し、承認されるべきである。
』と示している。
（第２回）で示したＩＴガバナンスの六つの軸の成熟度評価をもとに、CIO・CIO 補佐官に対すエグゼク
ティブ・サマリー（マクロ視点）で、また、IT ガバナンスに関わる担当者にはミクロ視点を交えて監査報告を行う。評価結果を改善の起点として共通認識し、以後の改善提案を助言することになる。
ＩＴガバナンス上の緊急性・重要性をもとに改善事項を具体的に助言し、改善をフォローアップすることは重要である。しかし、被監査組織の対応が、指摘事項と改善提案のみに拘泥すると、IT ガバナンス強化の改善がパッチワークとなってしまい、強化全体の方向性を見失ってしまうことが危惧される。
IT ガバナンスの成熟度評価結果を受け取った CIO・CIO 補佐官や IT ガバナンス強化を主導する担当者が、パッチワークの改善に陥ることなく、将来にわたり段階を踏んで、自律的に IT ガバナンスを向上してゆくた
めにはどうしたらいいのか。こうした疑問に答えるために助言ツールが必要となる。

（２）ＩＴガバナンス成熟度評価シートの開発
ＩＴガバナンスの改善活動の自己点検では、監査で用いられた IT ガバナンス・レベルチェックシートによりセルフ・アセスメントを行うことも考えられるが、手間と時間がかかりすぎる。また、改善に当たって、ひとつひとつ監査項目をつぶすようなことも好ましくなく、求められるものでもない。
このため、監査報告書とともに、今後の IT ガバナンス強化活動の指針ともなる IT ガバナンス成熟度評価
自己点検シートを助言ツールとして提案する。助言ツールの開発は、以下の要件を考慮して進めた。

① 従来からあるツールを活用し、発展形であること②

IT ガバナンス統括部門（情報政策部門など）の活動の指針となり得ること③

現状を把握できている職員にとっては自己点検に業務負担がかからないこと④

IT ガバナンス強化を進める職員が成長を実感できるような指標を提示できること⑤

利害関係者が IT ガバナンス強化の状況を直観的に理解できるよう、見える化ができること

まず総務省は、「地方公共団体の IT ガバナンスレベルシート」（２００７．７）（図表―１２）を IT ガバナ
ンス強化の自己点検リストとして提供している。CIO 補佐官在任時には、このレベルシートを５段階の成熟度
評価に拡張し、一部評価項目を追加し自己点検リストとして活用していた。しかし、このシートは既に策定後１０年以上も経っている。この間、総務省において情報セキュリティ・個人情報保護・オープンデータなどの日本システム監査人協会

会報10December 2021

日本システム監査人協会

会報

ガイドラインが整備されており、さらに直近では喫緊の課題である DX 推進に関し、「地方自治体 DX 全体手順書」といったガイドも示されている。一方で、システム管理の共通言語ともいえるシステム管理基準においては、IT ガバナンスに係る管理項目が大幅に整備された。
図表－１２ 地方自治体

IT ガバナンスレベルシート

この様なことを踏まえ、新たに IT ガバナンス成熟度評価シート（自己点検用）（案）（図表―１３）を作成した。ＩＴガバナンスの六つの評価軸に対し、中項目のプロセスを定義し、各プロセスのあるべき行動基準や姿を示している。この行動基準に適合しているか否かにより、ＩＴガバナンスを自己評価する。なお、この表の成り立ちの説明のため、図表中の色分けの解説を下段に付した。また、この成熟度評価シート（案）は、地方自治体の環境や用語となっているが、この成熟度評価シート（案）の適用が、地方自治体に留まるものではなく、一定の汎用性があることを示すため、システム管理基準の管理項目番号を表中該当部分に併せて示した。
システム監査人が、改善提案の一部として成熟度評価シート上で現状のレベル認識を確認し示す。これを起点として、被監査組織は、提供されたＩＴガバナンス成熟度評価シートを、IT ガバナンス全体の活動の指針・自己点検ツールとして活用し、総合的・着実に IT ガバナンス強化を進めることができる。

【CIO 補佐官経験者のつぶやき：IT ガバナンスは「事前の一策」の源】
CIO 補佐官経験者として、基礎自治体の IT ガバナンス監査に個人的に望むことを、ここに述べたい。
まず、IT ガバナンスのストーリーは、おおよそ次のようなことを求めている。
【ICT 活用戦略】
・

行政経営を取巻く課題を認識し、全庁的な ICT 利活用方針・目標を決定し、その上で情報システム化基
本計画を策定する。同時に、情報システム化にかかわる組織・業務の変革を検討し、またベースとなる技術指針を定める。

【推進体制、人材確保】
・

上記施策を実現するため、CIO および中核となる情報化推進委員会（注８）・情報部門の役割を明確にし、市民など利害関係者の参画を促し、産学との連携も考慮する。同時に、施策実現に必要な情報政策部門などの ICT にかかわる高度な専門家集団の育成と、必要に応じ専門家の活用に努める。

(注８)

一般的な呼称で情報化推進委員会としているが、今現在は DX 推進委員会、デジタル活用推進委員会など。

【企画・事後評価、開発・調達支援】
・予算化に当たっては、ICT 利活用方針の内容を考慮した予算配分とし、個々のシステム化企画案は PMOなどによる事前・事後の客観的評価と全体最適化を徹底し、企画案の説明責任を果たす。
日本システム監査人協会

会報

11December 2021
・

日本システム監査人協会

会報

システム導入から運用管理まで、システムのライフサイクルの総コストを考慮し、かつ競争的な調達方法あるいはプロポーザルなどの調達形態を選択し、効果的・効率的な調達改革を実行する。

・

システム導入時受入テストの完了確認と業務移行時の事前のリスク対策を徹底させる。
図表―１３

IT ガバナンス成熟度評価シート（自己点検用）(案)の一部

薄橙色：「地方自治体の IT ガバナンス強化ガイドライン」を 4 段階評価から 5 段階評価に拡張し、加えて、
情報セキュリティ・個人情報保護、オープンデータなどのガイドラインの要求項目を加えたもので、本表の作成のベースとなるもの。この際、「地方自治体 DX 全体手順書」の文言による、加筆（橙色）を行っている。
黄

色：「地方自治体 DX 全体手順書」の要求事項に基づき、想定される管理事項・レベルを追加。

水

色：「システム管理基準」の IT ガバナンスの考え方から補完した事項

白

色：以上の要件以外に、全体を 5 段階評価とするため、プロセスの管理の流れから埋めた事項。

日本システム監査人協会

会報

12

December 2021

日本システム監査人協会

会報【情報セキュリティ・事業継続計画】
・

一方、情報システムの利用に関わるリスク対策として、情報セキュリティポリシー、個人情報保護の規程を整備し、教育の徹底とモニタリングによる是正を図る。同時に、物理的、技術的対策及び業務委託
先の情報セキュリティの遵守状況を管理する。

・市の事業継続計画を踏まえ、整合性ある ICT 分野の事業継続計画を策定し、訓練によって実効性を検証する。一方、情報セキュリティ・インシデントなど、危機管理にかかわる全庁の対応体制・手続きを整備し、訓練によって緊急時に取るべき行動を徹底する。

このように考えれば、IT ガバナンスは当たり前のようにも思えるが、IT ガバナンスが機能するとは、具体的にどのような能力水準を言うのだろうか。全庁の ICT 戦略と比べれば些末な案件かもしれないが、（第１回）で紹介した「電話催告センターの運営」を例にとって、考えて見る。まず⓵～④のレベルを再掲する。
①

所管部署の課題として電話で対応する②

先行する部局がコールセンターシステムを活用する委託業者を選定して対応する③

市民にとってワンストップ対応の部局横断的な「電話催告センター」を設置する④「電話催告センター」の機能を、全庁の役割を俯瞰し再定義する
IT ガバナンスの統括支援部署である、情報政策部門・PMO や CIO・委員会の活動を中心にみてみる。

なお、文末カッコ内は、IT ガバナンス成熟度評価シートの評価軸（中項目）と成熟度レベルである。
【起：システム化企画案の掌握】・②の段階に着手する際、指針（調達ガイドライン）にもとづき、予算段階でシステム化概要企画書などを提出するよう、部門担当者に教育できているか、また窓口を明示しているか？（調達支援・レベル３）

・

システム化概要企画書は予算段階で、調達ガイドラインに従って提出されたことをモニタリングしているか？（例えば、予算編成部署の協力を得ているか、など）（調達支援・レベル４）＜―本件は重要性大・情報政策部門・PMO はシステム化概要企画書の様式を定め、記載事項（位置付け、目的、投資効果、代替案の検討、調達方針・要件、運用体制、プロジェクト工程、ライフサイクルコスト、業務・組織見直し）と評価基準（必要性、緊急性、投資対効果など）を定めているか？（予算化案件の評価・レベル３）【承：システム化企画案の事前評価、開発・調達支援】
・

企画案件の評価は、定性評価と定量評価を組み合わせ実施しているか？（予算化案件の評価・レベル３）

・②の外部委託にかかわる IT 投資は、（職員人件費を含む）ライフサイクルコストによる総コストをもとに投資対効果を把握しているか？（予算化案件の評価・レベル４）

・

情報部門・PMO は、外部委託先の選定基準（委託先の安定性、実績、技術レベル、セキュリティ対策状況、
品質管理体制など）を示しているか？（調達支援・レベル３）

・

情報部門・PMO は定型化した調達仕様書・契約書のひな形、および事例を整備し、利用部門に提供できているか？（調達支援・レベル３）

・

委託業務を開始するにあたって情報セキュリティ・個人情報保護にかかわる物理的・技術的・人的対策をリスク管理できているか？（調達支援・レベル４）
日本システム監査人協会

会報

13

December 2021

日本システム監査人協会

会報【転：全体最適に向けた方針の検討】
・

情報部門・PMO が中心となって、全体最適化の取組ができているか？具体的には、将来の③・④を見据えた問題提起を委員会の場に提供できているか？（全体最適化の取組・レベル４）＜―本件は重要性大・情報化推進委員会を設置し、ＣＩＯ・行政経営幹部で構成しているか？（推進体制の確立・レベル３）

・

情報部門の問題提起を受け、将来の③、④に向けての検討課題、懸念事項など、関係する実務者の議論を通じ、将来の在り方について結論が得られるよう、情報化推進委員会の下部組織（専門部会・分科会（関係部署の課長で構成など））は機能しているか？（推進体制の確立・レベル４）＜―本件は重要性大・情報化推進委員会は、計画および投資の是非を判断する情報として、情報部門・PMO、および専門部会・分科会の検討結果について報告を受けているか？（IT に関する基本方針・計画の策定・レベル３）

・

情報化推進委員会は、外部サービス利用計画を ICT 活用基本計画にもとづき、承認しているか？（IT に関する基本方針・計画の策定・レベル３）

・

これらを踏まえ、CIO は IT にかかわる予算方針や行政改革方針など、当市の政策方針に実質的な影響を及ぼしているか？（推進体制の確立・レベル４）＜―本件は重要性大・「電話催告センター」のワンストップ化に向け、施策とともに行われる組織および業務の変革を検討し、方針を明確にしているか？（IT に関する基本方針・計画の策定・レベル３）【結：方針決定、フォローアップ】
・

重要案件として、首長や幹部を含めて政策判断が行われているか？（予算化の方針・レベル３）

・組織および業務変革の方針を首長・利害関係者は承認しているか？（IT に関する基本方針・計画の策定・
レベル４）＜―本件は重要性大・業務の運用開始後、一定期間を経て、企画案と対比し、事後評価しているか？（事後評価・レベル３）

・

先行する施策②の成果を、施策③、④に反映しているか?（事後評価・レベル４）
CIO 補佐官在任時の首長は、常々行政経営に取り組む幹部職員に対し「事前の一策は事後の百策に勝る」という姿勢を求めた。すなわち、【起】システム化の担当部署が企画案件の協議を求めなければ、【承】統括支援部署として情報政策部門が、専門的評価・分析により、「意思決定に関わる情報提供」（例えば、全庁での利用動向、全庁最適化の留意点、それを踏まえた企画案評価、他市の利用動向、導入の失敗・成功要因分
析、調達の選択肢など）ができなければ、【転】情報提供を受け、CIO・委員会が行政経営にかかわる ICT 活
用策の方針を示さなければ、そして最後に【結】首長が方針を機関決定しなければ、「事前の一策」を講ずることはできない。
「事前の一策」の源とし、IT ガバナンスが機能せず、場当たり的な対応では、そのツケが回ってくる。
CIO 補佐官経験者としては、IT ガバナンス監査には、IT ガバナンスの能力水準を監査資料やヒアリングから読み解き、IT 統括部門が全庁視点で「事前の一策」に取り組む、そんな活動を促すものを望みたい。
（第１回）で、基礎自治体 IT ガバナンス監査のターゲットは、情報政策部門が、首長・CIO の下で、全庁的視野を持って、ICT 利活用を主導し統括支援できているか、さらに、その活動環境が行政経営の仕組みとしてできているか、と述べた理由もここにある。
日本システム監査人協会

会報

14

December 2021

日本システム監査人協会

会報（３）ＩＴガバナンス成熟度評価シートの適用（第５回）では、いろんな自治体が公開する資料をもとに、仮想の基礎自治体の IT ガバナンスの現況を描き出し、これを対象とした模擬ＩＴガバナンス監査演習を提案したいと思っている。この演習課題で、（第３回）
で述べた IＴガバナンス・レベルチェックシートと、このＩＴガバナンス成熟度評価シートを適用して、対比したものを図表―１４に示す。大きな意味で評価結果は類似するが、レベルチェックシートは多面的評価で、各項目の評価値はばらつくものの、評価軸ごとに平均化され、さらに、取りこぼしにより評価値が低下する傾向にある。一方、成熟度評価シートは重点監査項目に絞っており、端的な評価値を示す。とはいえ、被監査組織
が IT ガバナンス成熟度評価シート（自己点検用）を活用し、自律的に IT ガバナンス強化に取組むことを助言しても良いのではないかと考える。そして、図表―１４ｂの成熟度評価の見える化を毎年実施し、経年経過を比較することで、担当職員は IT ガバナンス強化の成長を実感でき、職務充足につながる。
さらに、利害関係者に IT ガバナンス強化の活動状況（成長）を直観的に説明するツールとしても活用できる。
図表―１４ｂ ＩＴガバナンス成熟度
評価シートにもとづく評価結果

図表―１４a ＩＴガバナンス・レベル
チェックシートにもとづく評価結果
ICT活用戦略
人材育成等

ICT活用戦略2.8

2.8
情報セキュ…

推進体制

人材育成等

3.1 企画・事後…

情報セキュ
3.9
リティ等

2.8

2.4

2.4

調達・開発…

2.6

2.9

2.9

3.0

推進体制

3.4企画・事後
評価

調達・開発
支援

なお、ＩＴガバナンス成熟度評価シートは自己点検用ではあるが、システム監査人がヒアリングに基づき、限られた時間で行う IT ガバナンス簡易診断のツールとしても、活用できる可能性がある。
また、ＩＴガバナンス監査に先立って、被監査組織が本シートに従って自己点検することで、監査の目的・範囲や自己のレベル感を認識し、IT ガバナンス監査に対応できるのではないか、とも考える。
ここまで、基礎自治体の IT ガバナンス監査の可能性と実施手順（案）について述べてきた。本案は、全く個
人の知見の域を出ておらず、今後何らかの方法によってチューンアップする機会が与えられればと、思う。
最終稿では、そんな思いと、過去に支部長として果たせなかった支部主催のシステム監査セミナーの一里塚として、前段となる模擬 IT ガバナンス監査演習の可能性について、提案する。
参考資料：
１．「システム管理基準」 経済産業省（2018.4.20）
２．「地方自治体における IT ガバナンスの強化ガイド」 総務省（2007.7）
３．「デジタル・ガバメント推進標準ガイドライン」 デジタル社会推進会議幹事会（2021.9.10 決定）４．「情報システム監査実践マニュアル 第３版」
５．「地方自治体 DX 全体手順書

NPO 法人

第 1.0 版」 総務省

日本システム監査人協会（2020.6.12）(2021.7．7)＜目次＞

日本システム監査人協会

会報

15

December 2021

日本システム監査人協会

会報2021.11【エッセイ】宝箱

会員番号0707 神尾博

Password 付 ZIP ファイルと Password を、別の電子メールで送信する PPAP。この方式でのファイルの受け
渡しは、ついこの間までは我が国で比較的お馴染みの手法だった。ところが 2020 年 11 月には内閣府・内閣官房で廃止され、動きは民間企業にも広がりつつある。一方で物品の授受の方は、宅配業者のトラブルのニュー
スや悪い風評はさほど耳にしない。彼ら/彼女らが、今まで築き上げてきた信頼感というのもある。
平安時代後期の説話集である「今昔物語集」には、紀遠助という男の、搬送代行に関する奇妙な体験談が収録されている。都での任務を終えての美濃の国（現在の岐阜県）への帰路で、瀬田の唐橋（現在の滋賀県大津市）に差し掛かった時に、一人の女から頼みごとをされた。指定した場所で、他の女に荷物を渡して欲しいという。気が乗らないながらも引き受けたが、自宅に到着してから約束を思い出し、部屋の中に隠すところを妻に見られてしまった。彼女は浮気相手への贈り物ではないかと疑い箱を開けると、なんと多数の切り取られた人間の目玉や男性器が収められていたという。
さて、PPAP においても相手先との送受信ルート上のリスクが取りざたされており、これが禁止に至った一因であるという。同一経路であれば、攻撃者が本体とパスワードの片方しか入手できないとは、考えにくいからだ。また、ZIP ファイルではセキュリティ機器やワクチンソフトでマルウェアを検出できない、受信者の操作の手間の増加といった弊害もある。
これらはビジネス上での機密漏洩対策や古代の説話の世界であり、自分には無縁だと聞き流してはなるまい。
やきもち焼きのパートナーがスマホを覗き見し、メールのリンクをクリックするなどといったことは、むしろよくありそうな話ではないか。リンク先がエログロ関連だったというならまだしも、マルウェアに感染したりすれば大変だ。また悋気といえば、ストーカーアプリ（ストーカーウェア）というのもあり、こちらは知らぬ
うちにインストールされ、通話記録やファイル等を指定先に送信してしまうものだ。
ちなみに今昔物語集は、女性の嫉妬心を採り上げた作品が数多いという。ところがセキュリティベンダによる 2020 年 2 月の調査では、米国では 10 人に 1 人がストーカーアプリを仕込んだことがあり、利用者は男性
が女性の 2 倍だったと報告されている。統計上の真逆の結果は、はたまた約 1000 年の時差によるものか、あるいは約 10,000km という距離のある国情によるものなのか、興趣をそそるところだ。
（このエッセイは、記事提供者の個人的な意見表明であり、SAAJ の公式見解ではありません。画像は Wikiにより著作権保護期間満了後のものを引用しています。）＜目次＞

日本システム監査人協会

会報

16

December 2021

日本システム監査人協会

会報2021.11
第 261 回月例研究会：講演録
テーマ：「令和 3 年改正個人情報保護法について」
会員番号【講師】個人情報保護委員会事務局

2581 斉藤茂雄（個人情報保護監査研究会）

参事官補佐

當舎修(とうしゃ おさむ) 氏【日時・場所】2021 年 10 月 7 日（木曜日）18 時 30 分～20 時 30 分、オンライン（ Zoom ウェビナー）【テーマ】「令和 3 年改正個人情報保護法について」【要旨】
令和 3 年 5 月 19 日に公布された「デジタル社会の形成を図るための関係法律の整備に関する法律」（令
和 3 年法律第 37 号）により、公的部門及び民間部門における個人情報等の取扱いに関する規律が個人情報保護法に一本化されるとともに、地方公共団体の個人情報保護制度についても全国的な共通ルールが規定され、全体を個人情報保護委員会が一元的に所管することとなりました。本講演では、改正後の個人情報保護法について、改正の目的・骨子、改正法の各規律の概要等をご説明し、施行に向けた今後のスケ
ジュールをお示しします。
【講演録】
民間事業者を対象とする現行の個人情報保護法は、いわゆる「３年ごと見直し規定」を受けて 2020（令和２）年６月 12 日に「個人情報の保護に関する法律等の一部を改正する法律」によって改正され、2022 年 4
月 1 日に施行される。一方、本講演の「令和 3 年改正個人情報保護法」は、2020 年の改正とは別に、「デジタル社会の形成を図るための関係法律の整備に関する法律」（以下「デジタル社会形成整備法」と記述）により、民間事業者、行政機関、独立行政法人等をそれぞれ対象とする３つの法律を一本化するとともに、地方公共団体の個人情報保護制度についても全国的な共通ルールを規定するというもので、個人情報に係わる規律構造を大きく変更するものである。
本講演では、「令和 3 年改正個人情報保護法」について、改正法の概要、改正法の各規律の概要、個人情報保護委員会（以下「委員会」と記述）と行政機関等との関係、政令・規則・民間部門ガイドライン案についてご説明いただいた。また、今後のスケジュールについても想定ということでご紹介いただいた。特に今回の法改正の目玉の官民の法律の一本化の意義と各規律の内容については詳しく解説いただいた。
※「令和 3 年改正個人情報保護法」は次の２段階の改正よりなる。文中の条文番号は、2023（令和５）年春施行予定のデジタ
ル社会形成整備法第 51 条による改正後の条文番号で記載している。
・デジタル社会形成整備法第 50 条による改正（2022（令和４）年春施行予定）：民間事業者、国の行政機関、独立行政法人等について個人情報保護法を適用。
・デジタル社会形成整備法第 51 条による改正（2023（令和５）年春施行予定）：（民間事業者、国の行政機関、独立行政法人
等に加え、）地方公共団体の機関及び地方独立行政法人についても個人情報保護法を適用。

１．改正法の目的① 「個人情報保護」と「データ流通」の両立・強化

日本システム監査人協会

会報

17

December 2021

日本システム監査人協会

会報

官民や地域の枠を超えた個人情報のデータ利活用が活発化しているが、現⾏法制に不均衡・不整合があった。これを是正しかつ個⼈情報保護の水準を高めるため、委員会が、公的部⾨を含め、個⼈情報の取扱
いを一元的に監視監督する体制を確立する。
② 国際的制度調和
GDPR を始めとする国際的な制度との調和を図る。

２．改正法の骨子① 法体系の一本化
3 本の法律を個人情報保護法に一本化。改正後の法律は、地方公共団体の機関・地方独立行政法人にも直接適用。
② 公的部門の規律統一
国の行政機関、独立行政法人等、地方公共団体の機関及び地方独立行政法人に適用される規律について、
基本的に現行の国の行政機関の規律に統一した上で、規律の見直し（下記④）を図る。
③ 病院・大学・研究機関の規律統一
医療分野・学術分野の規律を統一するため、国公立の病院、大学等には原則として民間の病院、大学等と同等の規律を適用。
④ 公的部門の規律見直し
2020（令和２）年改正法（民間部門）の内容を反映するなど、新たな保護に関するルールの導入。（注）（注）

仮名加工情報の取扱いに係る義務、個人関連情報の提供を受ける者に対する措置要求、不適正利用・取得の禁止、外国にある第三者への提供制限、任意代理人による開示等請求、再委託・派遣労働者に係る規律の明記

３．改正法の各規律の内容
３.１定義関係
・「個人情報」、「個人識別符号」、「要配慮個人情報」、「仮名加工情報」、「匿名加工情報」及び「個人関連情報」の用語の定義を統一し、2020（令和２）年改正法の用語の解釈運用を踏襲。地方公共団体についても、統一した定義に基づき法が適用される。
・「行政機関」、「行政機関の長」、「保有個人情報」、「個人情報ファイル」、「行政機関等匿名加工情報」及び「行政機関等匿名加工情報ファイル」の定義は、現行の行政機関個人情報保護法の用語の解釈運用を踏襲。
３.２個人情報等の取扱い関係
・改正後の行政機関等における個人情報等の取扱いに関する規律のうち、現行の行政機関個人情報保護法の規定に相当するものについては、原則として同法の解釈運用を踏襲する方向で、今後、政令・規則・ガイド
ライン等を整備する。
・改正後の行政機関等における個人情報等の取扱いに関する規律のうち、2020（令和２）年改正法を踏まえて新たに規律が設けられたものについては、2020（令和２）年改正法に関する規則・ガイドライン等との整合性も考慮しながら、今後、規則・ガイドライン等を整備する。
・その他の規律についても、今後、2021（令和３）年改正法の趣旨も踏まえながら、政令・規則・ガイドラ
イン等を整備する。
３.３個人情報ファイル関係
日本システム監査人協会

会報

18

December 2021

日本システム監査人協会

会報

・国の行政機関においては、個人情報ファイルの保有等に係る事前通知に関する規律（法第 74 条）及び個人情報ファイル簿の作成及び公表に関する規律（法第 75 条）について、現行の行政機関個人情報保護法の相当規定を原則として踏襲。
・独立行政法人等、地方公共団体の機関及び地方独立行政法人については、個人情報ファイル簿の作成及び公表に関する規律（法第 75 条）について、現行の行政機関個人情報保護法の相当規定を原則として踏襲。
※個人情報ファイルの保有等に係る事前通知に関する規律（法第 74 条）の適用は無い。

・地方公共団体での「個人情報取扱事務登録簿」の運用は、2021（令和３）年改正法の施行後も、条例で定めを置くことで、同様の運用を継続できる（法第 75 条第５項）。ただし、別途個人情報ファイル簿の作成
及び公表は必要。
３.４開示、訂正及び利用停止関係
・国の行政機関、独立行政法人等、地方公共団体の機関及び地方独立行政法人については、開示、訂正及び利用停止に関する規律（法第５章第４節）について、現行の行政機関個人情報保護法の相当規定を原則として踏襲。
※ただし、改正後の法律においては任意代理人による開示等請求が認められるようになる。

・地方公共団体は、保有個人情報の開示、訂正及び利用停止の手続並びに審査請求の手続に関する事項について、条例で必要な規定を定めることができる（法第 108 条）。
３.５匿名加工情報関係
・国の行政機関、独立行政法人等、地方公共団体の機関及び地方独立行政法人については、行政機関等匿名加
工情報の提供等に関する規律（法第５章第５節）について、現行の行政機関個人情報保護法の相当規定を原則として踏襲。
・地方公共団体の機関及び地方独立行政法人については、当分の間は都道府県及び指定都市のみに提案募集を義務付けることとなる。
３.６規律移行法人等関係
・公的部門のうち、医療・研究を行う一定の法人・業務（規律移行法人等）については、原則として民間部門
における個人情報の取扱いに係る規律が適用される一方で、開示請求等に係る制度及び行政機関等匿名加
工情報の提供については、公的部門における規律が適用される。
・規律移行法人等が法令に基づき行う業務であって政令で定めるものを行う場合は、（民間部門の規律のほか）
公的部門における安全管理措置義務が適用される。

４．委員会と行政機関等との関係
・委員会は「専門的知見を有する独立行政委員会」として、国の行政機関、独立行政法人等、地方公共団体の機関及び地方独立行政法人の監視を行う。
・行政機関等は、規則で定める漏えい等が生じたときは、委員会へ報告しなければならない（法第 68 条）。
・委員会は、地方公共団体の求めに応じて、必要な情報提供や技術的助言を行う（法第 166 条）。
・地方公共団体は、個人情報の保護に関する条例を定めたときは、委員会に届け出なければならない（法第167 条）。

５．政令・規則・民間部門ガイドライン案
日本システム監査人協会

会報

19

December 2021
5.１改正個人情報保護法

日本システム監査人協会

会報

政令・規則案について

2021（令和 3）年改正個人情報保護法に係る政令・規則案については、2021 年 8 月 4 日から 9 月 6 日の間でパブリックコメント手続を実施した。基本的な考え方は以下。
•法律において現行の規律を踏襲した部分については、既存の政令・規則と同様の規律を政令・規則案において整備する。
【大半の改正事項はこれに該当】•法律において規律の充実を図った部分や新たな規律を設けた部分は、民間事業者に関する政令・規則との整合性及び公的部門の実情を踏まえて、必要な規律を政令・規則案において整備する。
※政令・規則事項について、民間事業者に関する規律の内容は変更しない。

5.2 令和 3 年改正個人情報保護法 民間部門ガイドライン案について
2021（令和 3）年改正個人情報保護法に係る民間部門ガイドライン案についても、2021 年 8 月 4 日から 9 月 6 日の間でパブリックコメント手続を実施した。基本的な考え方は以下。
•学術研究機関等が学術研究目的で個人情報等を取り扱う場合について、一律の法の適用除外ではなく、個別の規定ごとに例外規定を設けることとしたこと、改正後の個人情報保護法別表第２に掲げる法人等については、原則として民間の病院、大学等と同様の規律を適用することとしたことを踏まえた改正を行う。
•改正法における「学術研究機関等」に関する定義の追加や条文番号の変更に対応した修正を行う。

６．今後のスケジュール
改正法の 2022 年春の一部施行に向けて、政令・規則の公布及び民間部門ガイドラインの公表をこの秋にも行うべく準備している。公的部門ガイドライン等もこの冬に公表を予定している。
また、これと並行して、改正法の 2023 年春の全面施行に向けた政令・規則、ガイドライン等の準備を進め
ている。
【所感】
個人情報保護法制については民間事業者、行政機関及び独立行政法人等をそれぞれ規律する 3 つの法律があり、また自治体の条例は各自治体個別に存在することから、「個人情報保護法制 2000 個問題」として提起され、当協会の個人情報保護監査研究会でもこの問題の推移を見てきたところである。今回の「デジタル社
会形成整備法」により、法が一元化されることで、公的部門と民間部門とで個人情報の定義や扱いが異なり、
極めて分かりにくい、また両部門の間でのデータ流通の妨げになるといった諸課題の解消が期待でき、個人情報保護に関係した仕事に従事している立場として、大変ありがたい改正であると実感している。また、法の一元化により個人情報保護法の全体像の把握がより平易になったと感じている。
今回のご講演は、改正法の要点を簡明にかつ丁寧にご説明いただき、法改正について短時間で多くの知識を吸収する機会となった。引き続き政令・規則、ガイドラインの公開とともに、さらなる理解に努め、監査業務等に活かしていきたい。
＜目次＞

日本システム監査人協会

会報

20

December 2021

日本システム監査人協会

会報2021.11
イベント報告【 (2021 年度)関東地区主催 会員向け SAAJ 活動説明会 】
会員番号 2581 斉藤茂雄（副会長）

システム監査活性化委員会では、昨年に引き続き、協会活動の活性化を目的に、SAAJ 本部の各研究会・部会活動への参加を促進するよう、「(2021 年度)関東地区主催会員向け SAAJ 活動説明会」を開催いたしました。併せて理事等による 3 つのテーマのミニセミナーを実施しました。
今年は新型コロナウイルスがまだ終息を迎えていない状況から、昨年に引き続き感染リスク低減のため、Zoom ウェビナーによるオンライン開催とし、全国から多数の方にご参加いただきました。

１．開催日時：2021年10月23日(土)13:30～16:30

２．開催方式：Zoomウェビナーによるオンライン開催
３．参加者：73名（内、理事・監事20名）

４．プログラム（進行:斎藤由紀子副会長）
13:30

内容

時間

担当

会長挨拶、SAAJの研究会及び部会からの活動内容説明

50分

小野会長および1.

会報部会～主査:竹原理事

2.

法人部会～主査:山口理事

3.

月例研運営委員会～主査:戸室理事

4.

システム監査事例研究会～主査:野田理事

5.

情報セキュリティ監査研究会～主査:舘岡副会長

6.

ITアセスメント研究会～主査:松枝副会長

7.

個人情報保護監査研究会～主査:斎藤（由）副会長

8.

プロジェクト監査研究会～主査:原田理事

9.

CSA利用推進グループ～主査: 斉藤（茂）副会長

各主査（左記）

14:20

休憩

10分

－

14:30

セミナー1: ISO/IECにおける活動とITガバナンス規格

40分

松尾正行理事

40分

大西智監事

40分

三谷慶一郎副会の開発
15:10

セミナー2:セキュリティ動向調査 - ランサムウェアの最近傾向と、脆弱性対策としてのMITRE ATT&CKにつ
いて -

15:50

セミナー3: DX推進とシステム監査

長

16:30

閉会

日本システム監査人協会

－

会報

21

December 2021

日本システム監査人協会

会報

5．参加された皆様の声(アンケート回答 72 名) －アンケート抜粋－(1)参加地域：
関東 52 名、近畿 11 名、中部 4 名、東北 2 名、北海道 1 名、北信越 1 名、九州 1 名(2)活動内容説明で興味を持った研究会・部会 （複数回答）：
情報セキュリティ監査研究会 22 名、プロジェクト監査研究会 17 名、システム監査事例研究会 12 名、
個人情報保護監査研究会 11 名、IT アセスメント研究会 9 名、月例研運営委員会 6 名、会報部会 5 名、法人部会 3 名、ＣＳＡ利用推進グループ 3 名(3)セミナー等の評価（参考になったと答えた人数）：
・セミナー１ 69 名
・セミナー２ 67 名
・セミナー３ 68 名
(4)全体の感想・ご意見：

今年 SAAJ に入会させていただき、初めて参加させていただきました。企画・運営のご苦労を察します。本当にありがとうございました。今後ともよろしくお願いします。



活動報告は関東の状況が分かり有意義でした。ミニセミナーはとても興味深い内容で勉強になりました。他の支部にも開放頂いたお陰で、参加することが出来て大変有難いと思います。



ミニセミナーはタイムリーな内容であり、とても参考になった。



内容盛りだくさんすぎて、少しきつかったです。



事務局並びにミニセミナー講演の方々ありがとうございました。大変に勉強になりました。DX 認証と監査は大変に参考になりました。

オンラインであれば、支部だけでなく本部の研究会、セミナー等に参加できるので大変勉強になります。今後もリアルとオンライン併用で開催していただければと思います。

6．運営事務局から一昨年までは貸会議室での開催で、参加者は 30 数名の規模でしたが、今回はオンライン開催ということで、従来の倍以上の方にご参加いただきました。昨年に続いてのオンライン開催でしたが、運営事務局としては不慣れなオンライン開催での苦労もありましたが、多数のご参加と、開催についても好評価をいただき、ありがたく思っております。また、セミナーは各講師にオンライン参加いただきましたが、スムーズな運用でかつ内容は大変分かりやすく、参考になったというご意見が多数ありました。各講師には改めて感謝申し上げます。
今回の開催をノウハウとして、改善を図り、協会活動の活性化につなげたいと考えております。今後も協会のイベント等へのご参加をよろしくお願い致します。
以上＜目次＞

日本システム監査人協会

会報

22

December 2021

日本システム監査人協会

会報2021.11
支部報告【 近畿支部 第１９１回定例研究会 】
会員番号

１．テーマ

Winny 事件について

２．講師

弁護士、Winny 事件事務局長
壇

俊光

0655

荒牧 裕一（近畿支部）

氏

３．開催日時2021 年 9 月 17 日（金）18:30~19:30

４．開催場所

Zoom によるオンライン開催

５．講演概要
講師の壇先生が弁護団の事務局長を務められた「Winny 事件」について、弁護人としての活動の苦労談や被告人の金子博士のエピソード等を中心に、法律面・技術面の双方の話題をからめてお話しいただいた。
なお、今回は新型コロナ感染予防の観点から、Zoom によるオンライン開催となった。

（１）Winny 事件の経緯
Winny とは、キャッシュ型 P2P ファイル共有ソフトの一つであり、2002 年 5 月に試験運用が始まり、同年 12 月に正式版がリリースされた。翌 2003 年、この Winny を使って違法行為を行ったユーザ２人が京都府警に逮捕され、2004 年には開発者の金子氏もその共犯（幇助犯）として逮捕・起訴された。
2006 年の一審（京都地裁）判決は罰金 150 万円の有罪だったが、2009 年の控訴審（大阪高裁）では無罪となり、2011 年に最高裁が上告棄却決定をして無罪が確定した。
壇先生は、当時４年目の若手弁護士だったが、正犯の弁護人の方から勧誘されて弁護団に入り、事務局長を務めることとなった。

（２）公判までのエピソード
最初の問題は金子氏の保釈金をはじめとする金銭の工面であった。幸い「２ちゃんねる（当時）」で寄付を募っていたため弁護人名義の銀行口座を作ったところ、最終的に 1,600 万円も集まったそうである。
また、日本の取調では警察・検察が独白風の調書を書き、取り調べを受けたものがそれに署名する。いったん署名すると本人が言ったものと扱われ、公判でそれは違うといっても裁判所はほとんど信じないのが現実である。ところが、プログラムのことしか考えない金子氏はその重大性を理解しておらず、捜査側に都合の良い「著作権侵害蔓延目的」を認める調書に簡単に署名していた。そのため壇先生は接見して説得し、ようやく以降は黙秘をするようになった。
保釈の際にも、検察側は「関係者と通謀して罪証隠滅する。」「自殺する可能性がある。」等現実離れとも思える理由を出して反対したが、最終的には保釈が認められた。

（３）一審について初公判は、64 の傍聴席に 246 人が傍聴券を求めるほど注目を集めた。冒頭陳述で検察側は、「Winny は
専ら著作権侵害のための技術である。」「被告人（金子氏）は著作権侵害まん延目的であった。
」と主張した。
これに対して弁護側は、「Winny は応用可能な基礎技術である。」「Winny を実証実験目的で作った。」「法律論として幇助は成立しない。」と反論した。また、技術面ではインターネットを日本に導いた村井純先生に
日本システム監査人協会

会報

23

December 2021

日本システム監査人協会

会報

証人になっていただいたり、法律面でも刑法の大谷實先生や著作権法の田村善之先生、大友信秀先生に意見書を書いていただいた。
また、弁護人から捜査官への尋問で「自分が見本を書きました」との証言を引き出したり、JASRAC 京都
支店で行われた Winny の技術立証の際には、ダウンロードされたソフトのほとんどが合法のものだったと
いった、弁護側に有利な出来事も多かった。
検察側は懲役１年を求刑し、弁護側は無罪を主張したが、残念ながら一審判決は「被告人を罰金 150 万円に処する。」であった。検察との戦いには勝ったという手ごたえがあったものの、ACCS（コンピュータソフ
トウェア著作権協会）の担当者が「ファイル共有利用実態調査でファイル共有ソフトでダウンロードしたファイルの 92％が著作権侵害であった」旨証言したことが原審裁判官を誤らせたと考えている。

（４）控訴審について
控訴審では、この事件の全ての責任を自分が負うべきという判断の下、弁護活動の全部の主担当をした。
また、統計の専門家である田中准先生に証人になっていただき、ACCS の調査について「人の記憶を介して母集団を判断することは、統計上誤り。」「Winny の利用実態は、著作権侵害の可能性が高いファイルは、せいぜい、全体の３～４割程度。」等を明らかにした。
その結果、控訴審では「原判決を破棄する。被告人は無罪」との判決を得ることができた。この高裁判決
では、幇助犯の成立について「ソフトの提供者が不特定多数の者のうちには違法行為をする者が出る可能性・蓋然（がいぜん）性があると認識し、認容しているだけでは足りず、それ以上にソフトを違法行為の用途のみに、又はこれを主要な用途として使用させるようにインターネット上で勧めて提供した場合にほう助犯が成立すると解すべきである。」という判断基準が示された。

（５）上告について
控訴審判決に対し、検察側は「判例違背」「法令の重大な解釈の誤り」を理由に上告した。しかし 2011年 12 月 20 日に上告は棄却されて無罪が確定した。壇先生はこのニュースを東京行き新幹線の中で開いた
Twitter で知り、急遽東京で記者会見が開かれることになった。
ただし最高裁決定では、幇助犯の成立について高裁判決のように限定する見解はとらず「例外的とはいえない範囲の者が同ソフトを著作権侵害に利用する蓋然性が高いと認められる場合」とした。この基準はとても曖昧で、二度と Winny を作ることはできなくなってしまうという問題は残る。
その後の実務では、幇助犯の代わりに正犯、間接正犯、共同正犯で起訴する事案が増えた。また、著作権法だけでなく、不正競争防止法や刑法についても酷い拡大解釈が行われているのは残念である。

６．所感
講師の壇先生は、情報処理技術者（応用情報技術者、情報セキュリティスペシャリスト、プロジェクトマ
ネージャ、IT ストラテジスト）にも合格されており、法律、IT の両面に精通している専門家である。また非
常に気さくな性格で講演の口調も親しみやすく、２時間の講演時間があっという間に過ぎた。Winny 事件については少しずつ私たちの記憶から遠ざかりつつあったが、今回事件の最前線で苦労された関係者のお話を聞くことができ、改めて有能な頭脳が逮捕という形で封印されてしまった事実を残念に感じた。
以上＜目次＞
日本システム監査人協会

会報24

December 2021

日本システム監査人協会

会報2021.11
支部報告

【

近畿支部

システム監査基本学習セミナー

】
会員番号

1709

１．テーマ

「システム監査の基本、および、監査プロセスの概要について」

２．講師【講義の部】三橋 潤【演習の部】浦上荒町 弘（近畿支部）

氏（近畿支部）豊蔵 氏（近畿支部）

３．開催日時2021 年 7 月 19 日 (月)４．開催場所

福井県越前市役所

13:00～17:00

会議室

５．講座概要
越前市において内部監査として実施している「情報セキュリティ監査」実施にあたり、市の IT 部門である
情報政策課職員の監査スキル向上を目的として「システム監査の基本」及び「課題演習」の二部構成のセミナーを開催しました。
【講義の部】

システム監査の手順と技法概説【演習の部】

情報処理技術者試験（過去問題）を題材としたシステム監査の演習

本セミナーでは、システム監査の理論だけでなく、講師の実務ノウハウを含めた「システム監査の基本」について解説しました。
【講義の部】システム監査の手順と技法概説
・システム監査とは「監査」および「システム監査」とは何かについて述べた後、2018 年に改定されたシステム管理基準・監査基準では、経営陣及び IT マネジメントを担当部門を含めた IT マネジメントの考え方が示されたこと等について解説。
また、「システム監査」と「情報セキュリティ監査」の対象範囲は重複する部分があるものの、システム
監査の方が広く、情報システムそのものだけでなく、情報システムに関係する業務すべてを対象としていることについて解説。
・システム監査実施手順について
システム監査は、①監査計画→②予備調査→③本調査→④評価・結論→⑤監査報告の順で実施し、各工程ごとに残すべきアウトプットが存在する。これらの手順について説明。
①

監査計画においては、監査の依頼内容に基づき実施計画を策定する。監査目的を正確に把握するために、
トップインタビューや現状調査等を行い、具体的な監査テーマの設定や監査計画（個別計画）を作成する。

②

予備調査では、被監査部門からのインタビュー、アンケートやマニュアル類等の情報収集により監査対象の業務概要を把握し、「監査手続」の内容を整理するとともにチェック項目を整備する。

③

本調査では、「監査手続」に従って、監査対象のコントロールを検証し、客観的な監査証拠に基づいて問題

日本システム監査人協会

会報25

December 2021

日本システム監査人協会

会報

点を抽出し、問題がＨＷ、ＳＷ、要員、手続等のどこに起因するのかを明確にする。本調査における確認
結果は「監査調書」としてまとめるが、監査チェックリストに調書欄を追記して記載する方法もある。
④

評価・結論では、予備調査・本調査で収集した監査証拠を整理分析し、監査対象のコントロール状況を評価する。監査項目の評価においては、予め準備しておいた評価基準や項目ごとの重み付けを設定しておき、監査結果を定量化して示すことが有効である。評価結果として、問題点・指摘事項評価点等を記録する。

⑤

監査報告では、監査手続で入手した監査証拠や監査人が発見した事実に基づいて行った評価・結論をまとめ監査報告書原案を作成する。作成した原案に基づいて、関係部署に事実誤認の有無や改善勧告レベル等について意見交換を行い、それらを踏まえてシステム監査報告書を完成させる。
システム管理基準等を Excel 化して、予備調査や本調査の調査内容を記入できる様式の監査チェックリストを作成しておくと有効なツールとなる。このツールを活用すれば、予備調査の結果から本調査へ進む管理項目
が簡単にわかるなど、監査作業を効率できる以外に、分析や成熟度評価にも利用可能となるといったメリットがある。
・システム監査の手法・技法
監査技法には多くの技法があるが、主に活用する技法としては、チェックリスト法、ドキュメントレビュー
法、突合・照合法、現地調査法、インタビュー法などがある。
・効果のあるシステム監査
企業経営に役立つシステム監査において重要となるポイントおよびシステム監査とコンサルティングの違いとは何か、について説明し講義の部を締めくくった。
【演習の部】情報処理技術者試験（過去問題）を題材としたシステム監査の演習（１）午前Ⅱ 選択式問題を例に演習と解説
システム監査手順、監査証拠、改善勧告、ITAC と ITGC、試査・サンプリングに関する過去問題を受講者に出題。実際の試験における制限時間を体感できるように、時間計測し、時間内で問題を解く形式で実施した。
問題の解説だけで無く、講師から内部統制に係わるシステム管理基準（追補版）および運用評価のサンプリングについて、補足資料による解説が行われた。
（２）

午後 I 記述式問題を例に演習と解説

直近４年の出題テーマについての説明後、そのうちの１問、「基幹システムのオープン化の監査」に関する問題を受講者に出題。まず、講師から「問題文の読み方」についての説明があり、各自で問題の読込を行った。その後、２つのグループに分かれ、問題を解く過程の理解を深められるように、討議を行い、グループごとに解答をまとめ、提出していただいた。
最後に講師から、グループごとの答案の紹介および解答の解説が行われた。

日本システム監査人協会

会報26

December 2021

日本システム監査人協会

会報

６．受講者アンケート内容（抜粋）・テーマの設定はいかがでしたか

・参加されたご感想をお聞かせ下さい。
期待通り

ほぼ期待通り多少期待外れ

期待外れ

良かった

まあ良かった

あまり良くなかった

良くなかった

2

4

0

0

5

1

0

0

(1) 「システム監査の手順と技法概説」・・・内容の理解度
理解できた

ほぼ理解できた

やや難しかった

難しかった

1

1

3

1

(2)-1 「情報処理技術者試験 選択式問題による演習」：内容の理解度(2)-2 「情報処理技術者試験 記述式問題による演習」：内容の理解度

理解できた

ほぼ理解できた

やや難しかった

難しかった

理解できた

ほぼ理解できた

やや難しかった

難しかった

2

2

1

1

1

1

1

3

（受講者からの主なコメント）
セミナー全般について・演習が具体的で理解しやすかった。監査、システム監査について詳しく知ることができた。
・監査の構成や手順・技法などの講義と実際の監査を想定したワークショップで構成されていて分かりやすかった。
当セミナー受講の目的
・内部監査のスキルアップ。

内部監査を実際に実施するにあたっての監査技術の向上のため。

・システム監査の基礎を学ぶこと。セキュリティ監査の事務を実施しているが、監査についての教育を受ける機会が無かったため。
・セキュリティ監査に係る課に所属しているため、理解を深めるため。
・システム監査について理解すること。
今後セミナーで取り上げてほしいテーマ、または、セミナー形態について
・より実践的な事例を取り扱っていただきたい。
・ワークショップについてシステム更新に係る監査の内容となっていたが、実際の事務では各課のセキュリティ監査となるため、そのテーマの方がよりイメージがしやすかったのではないかと感じた。

７．所感
越前市では、これまでも情報セキュリティ監査を実施してきており、今年度は職員の監査スキル向上を目指して本セミナーを受講いただきました。受講者は今年入庁された方からベテランの方まで幅広い
年齢層の方がおられたため、セミナー内容の理解度や教材の難易度評価については幾分ばらつきはあり
ますが、システム監査を理解し、監査を行うにあたっての考え方や着眼点を学んでいただくという点では一定の評価を得ることができたと考えます。また、「情報セキュリティ監査を行う」という今年度の監査テーマを設けている状況を考えると、情報セキュリティ監査事例を盛り込んだ演習課題を設けることで、より実践的なセミナーとすることが出来るという理解にも至りました。本セミナーは準備期間を設けることが出来なかったため、近畿支部主催の過去のセミナー教材を元に実施しましたが、個別セミナーに向けた分野別教材の準備についてセミナーグループとしても本経験を参考にしたいと思います。
地方公共団体の情報セキュリティについては、令和 2 年 12 月 28 日に総務省より「地方公共団体における情報セキュリティポリシーに関するガイドライン（令和 2 年 12 月版）」が公表されており、これとあわせて「地方公共団体における情報セキュリティ監査に関するガイドライン」も公表されました。政府がビジョンを示す「デジタル社会の実現」に向け、地方公共団体においては更なる行政サービスや事務のデジタル化とデジタルトランスフォーメーションが必要となっており、これらを実現するために「情報セキュリティの確保」は不可避の取組みであります。
越前市における情報セキュリティ監査への取り組みは、全国の地方公共団体の中において先進的であると考えます。今後、他の地方公共団体にとってもこのような取り組みが活性化するよう当協会においても、積極的に情報の発信や地方公共団体への働きかけを行っていく必要があると感じた次第です。
以上＜目次＞
日本システム監査人協会

会報27

December 2021

日本システム監査人協会

会報2021.11
注目情報（2021.10～2021.11）【「Emotet（エモテット）」と呼ばれるウイルスへの感染を狙うメールについて注意喚起】■IPA

2021年11月16日
IPA（独立行政法人情報処理推進機構、理事長：富田達夫）は、「Emotet」（エモテット）と呼ばれるウイ
ルスの攻撃活動再開の兆候について注意喚起を行いました。
URL：https://www.ipa.go.jp/security/announce/20191202.html（2019 年 12 月 2 日）
（エモテット）と呼ばれるウイルスへの感染を狙う攻撃メールが、国内の組織へ広く着信「Emotet」
しています。特に、攻撃メールの受信者が過去にメールのやり取りをしたことのある、実在の相手の氏名、メールアドレス、メールの内容等の一部が、攻撃メールに流用され、「正規のメールへの返信を装う」内容となっている場合や、業務上開封してしまいそうな巧妙な文面となっている場合があり、注意が必要です。今後も同様の手口による攻撃メールが出回り続ける可能性があるため、事例と手口を解説するとともに、対策や関連情報を紹介します。
（2021 年 11 月 16 日）
Emotet の攻撃活動再開の兆候が確認されたという情報があります。
詳しくは「Emotet の攻撃活動再開について」を参照してください。

■ IPA【DX未着手・途上企業の担当者向け「DX実践手引書

ITシステム構築編」を公開】
2021年11月16日

IPAは、DXを実現するためのあるべきITシステム「スサノオ・フレームワーク」を紹介する、DX未着手・途上企業の担当者向け「DX実践手引書

ITシステム構築編」を公開しました。

URL：https://www.ipa.go.jp/ikc/our_activities/dx.html#section7
IPA（独立行政法人情報処理推進機構、理事長：富田達夫）は、これから DX に取り組み始める、もしくは取り組みの途中にある担当者向けに「DX 実践手引書

IT システム構築編」を公開しました。本書は、DX 実現に向けた IT システムのあるべき姿と、その技術要素を紹介することで、DX 推進担当者
が自社の IT システムをどのように変えるべきかについての検討を支援します。

＜目次＞
日本システム監査人協会

会報28

December 2021

日本システム監査人協会

会報2021.11【 協会主催イベント・セミナーのご案内 】■SAAJ 月例研究会（東京）
日時

2021 年 12 月 2 日(木) 18:30～20:30

場所

オンライン（Zoom ウェビナー）テーマ「コロナで対応が変化した BCP・BCM」

第２６３回

講師

講演骨子

参加費
お申込み

東京海上ディーアール株式会社
ソリューション創造本部 主幹研究員 指田朝久（さしだともひさ）氏
新型コロナウイルスのパンデミックにより企業経営も影響を受けている。それに伴い
BCP/BCM も変化している。企業が直面する課題は感染症対策、操業停止，人権・風評対策、そして需要蒸発である。操業停止の主要因はクラスターの発生、部品調達不能の 2 点である。感染症対策 BCP として企業は多能工化、チーム分け、応援受援、そしてサプライチェーンの見直しを行った。また、感染症対策もかねてテレワークが促進された。テレワークは今の BCP の主流である地震からはじめる BCP の初動の参集
体制も変化させ自在性を確保する一方、情報セキュリティの脆弱性を増加させた。こ
こではこれらの一連の企業の取り組みを概括し、今後の BCP の在り方を考える。
SAAJ 会員 1,000 円 非会員 3,000 円
https://www.saaj.or.jp/kenkyu/kenkyu/263.html263.html

日時2022 年 1 月 19 日(水) 18:30～20:30

場所

オンライン（Zoom ウェビナー）テーマ「アジャイル開発のモデル契約書のご紹介」

第２６４回

講師

講演骨子

参加費
お申込み

株式会社東京証券取引所 IT 開発部・情報システム部長
IPA DX 対応モデル契約見直し検討 WG 委員
山森 一頼（やまもり かずより）氏
経産省の DX レポートでもアジャイル開発が有効であると謳われる等、システム開発において日本でもアジャイル開発が普及しつつある。一方、アジャイル開発の契約に関するリスクも挙げられている。それは、アジャイル開発の難しさから、システム開発が成功しなかった際のトラブルが懸念されるからである。そこで、IPA ではアジャ
イル開発のひな形となるモデル契約書を公開した。トラブルの防止に一定の効果があると考える。モデル契約書の検討メンバーにユーザサイドとして参加した経験から、モデル契約書のポイントと、アジャイル開発の現場の実情を語る。
SAAJ 会員 1,000 円 非会員 3,000 円
https://www.saaj.or.jp/kenkyu/kenkyu/264.html＜目次＞
日本システム監査人協会

会報29

December 2021

日本システム監査人協会

会報2020.11
協会からのお知らせ【 年会費請求書を発送 】
会員番号 2581 斉藤茂雄（事務局長）

会員各位
日頃は協会活動へのご協力を賜りありがとうございます。
早速ですが、会員規程に従い、2022 年度年会費の請求書を、2021 年 12 月 1 日付で発送いたしますので、ご準備のほどよろしくお願い致します。
【会員規程】 https://www.saaj.or.jp/gaiyo/kaiin_kitei.pdf
第３条（会費）：会員は、当該年度（１月～１２月）の年会費を、請求書に記載された期日までに支払わなけ
ればならない。いったん支払われた会費は返却しない。
【2020 年度会費請求の内容】＜金額＞ 正会員個人：￥10,000.-（非課税）

正会員団体：￥10,000.- ～ ￥100,000.- （非課税）＜払込期限＞2022 年 2 月末日
なお、正会員団体に限り、「納付期限延長願い」をご提出いただくことで、納入期限の延長が可能です。
（原則 2022 年 4 月末期限。ただし時期についてはご相談ください。
）
お申し出先： https://www.saaj.or.jp/toiawase/index.html （事務局）＜振込先＞ 郵便振替口座：00110-5-352357 （〇一九店

019-0352357）（請求書発送時に振込依頼書を同封します）
加入者名：日本システム監査人協会事務局トクヒ）ニホンシステムカンサニンキヨウカイ

銀行振込口座：みずほ銀行八重洲口支店（普通）2258882
口座人名：特定非営利活動法人日本システム監査人協会トクヒ）ニホンシステムカンサニンキヨウカイ※銀行振込の際は、≪会員№≫４桁の数字を氏名の前に付けて下さいますようお願い致します。
（会員番号が付けられない場合は、メールで振込内容をお知らせください。）※振込手数料はご負担願います。
【重要事項：2021 年度会費未納の場合】
一部の会員の方について、2021 年度会費のお支払が確認できません。2021 年 12 月 31 日までに納付が確認できない場合は、除名処分となりますので、至急お手続きいただきますようお願い致します。
なお、https://www.saaj.or.jp/kenkyu/index.html の「会員ログイン画面へ」から、会員ページにアクセスしていただきますと、会費のお支払状況をご確認いただくことができます。
【ご寄附のお願い】協会では、運営基盤のより一層の改善を図りたく、一口 3,000 円のご寄附をお願い申し上げます。
2021 年 10 月末現在、認定 NPO 法人の継続基準である、年間 100 人以上のご寄附の人数に達しておりません。12 月中のご寄附へのご協力をよろしくお願いいたします。
＜寄附金額＞ ￥3,000/一口 ご寄附は、何口でも承ります。
＜振込先＞ ご寄附は、協会会費に合算して、会費振込先にお振込みください。
＜東京都への個人情報の提供＞法令に基づき、寄附者名簿（氏名、ご住所）を、認定 NPO 法人所轄庁の東京都へ報告致します。何卒ご了承賜りますようお願い致します。
【会費、ご寄附等に関するお問い合わせ先】： https://www.saaj.or.jp/toiawase/index.html （事務局）
以上＜目次＞
日本システム監査人協会

会報30

December 2021

日本システム監査人協会

会報2021.11【 新たに会員になられた方々へ 】

新しく会員になられたみなさま、当協会はみなさまを熱烈歓迎しております。
協会の活用方法や各種活動に参加される方法などの一端をご案内します。
ご確認
ください

特典

・ホームページでは協会活動全般をご案内
https://www.saaj.or.jp/index.html
・会員規程
https://www.saaj.or.jp/gaiyo/kaiin_kitei.pdf
・会員情報の変更方法
https://www.saaj.or.jp/members/henkou.html

・セミナーやイベント等の会員割引や優遇
https://www.saaj.or.jp/nyukai/index.html
公認システム監査人制度における、会員割引制度など。

ぜひ
ご参加を

・各支部・各部会・各研究会等の活動。
https://www.saaj.or.jp/shibu/index.html
皆様の積極的なご参加をお待ちしております。門戸は広く、見学も大歓迎です。

ご意見
募集中

・皆様からのご意見などの投稿を募集。
ペンネームによる「めだか」や実名投稿には多くの方から投稿いただいております。
この会報の「会報編集部からのお知らせ」をご覧ください。

出版物

・「発注者のプロジェクトマネジメントと監査」「６か月で構築する個人情報保護マネジメントシステム」「情報システム監査実践マニュアル」などの協会出版物が会員割引価格で購入できます。
https://www.saaj.or.jp/shuppan/index.html

セミナー

・月例研究会など、セミナー等のお知らせ
https://www.saaj.or.jp/kenkyu/index.html
月例研究会は毎月100名以上参加の活況です。過去履歴もご覧になれます。

CSA
・
ASA

・公認システム監査人へのSTEP-UPを支援します。
「公認システム監査人」 と「システム監査人補」で構成されています。
監査実務の習得支援や継続教育メニューも豊富です。
CSAサイトで詳細確認ができます。
https://www.saaj.or.jp/csa/index.html

会報

・過去の会報を公開
https://www.saaj.jp/03Kaiho/0305kaihoIndex.html
会報に対するご意見は、下記のお問合せページをご利用ください。

お問い
合わせ

・お問い合わせページをご利用ください。 https://www.saaj.or.jp/toiawase/index.html
各サイトに連絡先がある場合はそちらでも問い合わせができます。

＜目次＞
日本システム監査人協会

会報

31

December 2021【

ＳＡＡＪ協会行事一覧

11 月

12 月

1月

2月

3月

4月

5月

6月

7月

8月
9月

10 月

日本システム監査人協会】

赤字：前回から変更された予定

理事会・事務局・会計
9： 予算申請提出依頼（11/27〆切）
支部会計報告依頼（1/7〆切)11：理事会
16：2022 年度年会費請求書発送準備
26：会費未納者除名予告通知発送
27：本部・支部予算提出期限
1： 2022 年度年会費請求書発送
1： 個人番号関係事務教育
9： 理事会：2022 年度予算案
会費未納者除名承認
第 21 期総会審議事項確認
11：総会資料提出依頼（1/11〆切)
14：総会開催予告掲示
20：2021 年度経費提出期限
11：総会資料提出期限 16:00
11：役員改選公示(1/24 立候補締切)
13：理事会：総会資料原案審議
24：17:00 役員立候補締切
29：2021 年度会計監査
31：償却資産税・消費税申告
31：総会申込受付開始（資料公表）
10：理事会：通常総会議案承認

認定委員会・部会・研究会

会報2021.11

支部・特別催事

9：第 262 回月例研究会
中旬：秋期 CSA 面接
下旬：CSA・ASA 更新手続案内〔申請期間 1/1～1/31〕
下旬：CSA 面接結果通知
2：第 263 回月例研究会
16： CSA/ASA 更新手続案内メール〔申請期間 1/1～1/31〕

12：協会創立記念日

24：秋期 CSA 認定証発送
1-31：CSA・ASA 更新申請受付
19:第 264 回月例研究会
21：春期 CSA・ASA 募集案内
〔申請期間 2/1～3/31〕

2/1-3/31：CSA・ASA 春期募集

28：2022 年度年会費納入期限
下旬：CSA・ASA 更新認定証発送
4：年会費未納者宛督促メール発信
1-31: 春期 CSA・ASA 書類審査
10：理事会
4:第 265 回月例研究会
28：法務局：資産登記、活動報告書提出、
東京都：NPO 事業報告書提出
14：理事会初旬：春期 CSA・ASA 書類審査
中旬：春期 ASA 認定証発行
前年度に実施した行事一覧
13：理事会
19: 第 257 回月例研究会
中旬・下旬土曜：春期 CSA 面接
29-30：第 37 回システム監査実務セミナー(日帰り 4 日間コース)前半
1：年会費未納者宛督促メール発信
19-20：第 37 回システム監査実務セミナー
10：理事会(日帰り 4 日間コース)後半
21：年会費未納者督促状発送
21: 第 258 回月例研究会
22～：会費督促電話作業（役員）
上旬： 春期 CSA 面接
28：支部会計報告依頼（〆切 7/12） 中旬： 春期 CSA 面接結果通知30：助成金配賦決定（支部別会員数） 中旬・下旬： 春期 CSA 認定証発送
5：支部助成金支給
8：理事会
15：第 259 回月例研究会
中旬：秋期 CSA・ASA 募集案内
（理事会休会）
1：秋期 CSA・ASA 募集開始～9/30
28：中間期会計監査
9：理事会
11-12：第 38 回システム監査実務セミナー(日帰り 4 日間コース)前半
17：第 260 回月例研究会
25-26：第 38 回システム監査実務セミナー(日帰り 4 日間コース)後半
30:秋期 CSA・ASA 募集締切
14：理事会
7：第 261 回月例研究会

7：支部会計報告提出期限

18：第 21 期通常総会

17:春期情報技術者試験・情報処
理安全確保支援士試験

認定 NPO 法人東京都認定日（初回：2015/6/3）

12：支部会計報告〆切
29：CSA フォーラム

9/末：本部事務所移転
23：13:30 活動説明会＜目次＞
2021.11

日本システム監査人協会

会報32

December 2021

日本システム監査人協会

会報【 会報編集部からのお知らせ 】
１．会報テーマについて
２．会報バックナンバーについて
３．会員の皆様からの投稿を募集しております□■ １． 会報テーマについて
2021 年の会報年間テーマは「時代の変化とシステム監査」です。

「ニューノーマル」「IoT、AI、デジタル化」「DX」「SDGｓ」「ESG」「コーポレートガバナンスコード」など、システム監査が置かれた環境が音を立てて動いている。また、システム監査の領域が広がる中、進化の階段の一つ上の段に上がった、次の時代になった、という意味も踏まえて本テーマとして設定しております。

会報テーマ以外の皆様任意のテーマももちろん大歓迎です。皆様のご意見を是非お寄せ下さい。

□■ ２． 会報のバックナンバーについて協会設立からの会報第１号からのバックナンバーをダウンロードできます。
https://www.saaj.jp/03Kaiho/0305kaihoIndex.html

日本システム監査人協会

会報33

December 2021

日本システム監査人協会

会報□■ ３．会員の皆様からの投稿を募集しております。
募集記事は次の通りです。
□■ 募集記事1.

めだか

匿名（ペンネーム）による投稿
原則１ページ

下記より投稿フォームをダウンロードください。

https://www.saaj.jp/03Kaiho/670502KaihoTokoForm2.docx
記名投稿

2.

原則４ページ以内

下記より投稿フォームをダウンロードください。

https://www.saaj.jp/03Kaiho/670502KaihoTokoForm2.docx
会報掲載論文

3.

現在「論文」の募集は行っておりません。

（投稿は会員限定）■投稿について「会報投稿要項」

・投稿締切：15 日 (発行日：25 日）
・投稿用フォーマット
・投稿先：※毎月メール配信を利用してください。

saajeditor@saaj.jp 宛メール添付ファイル

・投稿メールには、以下を記載してください。


会員番号



氏名



メールアドレス

連絡が取れる電話番号

・めだか、記名投稿には、会員のほか、非会員 CSA/ASA、および SAAJ 関連団体の会員の方も投稿できます。


会員以外の方は、会員番号に代えて、CSA/ASA 番号、もしくは団体名を表記ください。

■注意事項
・原稿の主題は、定款に記載された協会活動の目的に沿った内容にして下さい。
・特定非営利活動促進法第２条第２項の規定に反する内容（宗教の教義を広める、政治上の主義を推進・支持、又は反対する、公職にある者又は政党を推薦・支持、又は反対するなど）は、ご遠慮下さい。
・原稿の掲載、不掲載については会報部会が総合的に判断します。
・なお会報部会より、表現の訂正を求め、見直しを依頼することがあります。また内容の趣旨を変えずに、字体やレイアウトなどの変更をさせていただくことがあります。
お問い合わせ先：

saajeditor@saaj.jp＜目次＞

日本システム監査人協会

会報34

December 2021

日本システム監査人協会

会報2021.11
会員限定記事【本部・理事会議事録】（会員サイトから閲覧ください。会員パスワードが必要です）
https://www.saaj.or.jp/members_site/KaiinStart
ログイン ID（8 桁）は、年会費請求書に記載しています。

＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝■発行：認定 NPO 法人 日本システム監査人協会

会報編集部〒103-0025 東京都中央区日本橋茅場町 2 丁目 16 番 7 号 本間ビル 201 号室■ご質問は、下記のお問い合わせフォームよりお願いします。
【お問い合わせ】 http://www.saaj.or.jp/toiawase/■会報は、会員宛の連絡事項を記載し登録メールアドレス宛に配信します。登録メールアドレス等を変更された場合は、会員サイトより訂正してください。
https://www.saaj.or.jp/members_site/KaiinStart
掲載記事の転載は自由ですが、内容は改変せず、出典を明記していただくようお願いします。

■□■ＳＡＡＪ会報担当
編集委員：竹原豊和、安部晃生、越野雅晴、坂本誠、豊田諭、福田敏博、柳田正、山口達也
編集支援：会長、各副会長、各支部長
投稿用アドレス： saajeditor ☆ saaj.jp （☆は投稿時には＠に変換してください）
Copyright(C)1997-2021、認定 NPO 法人 日本システム監査人協会＜目次＞
日本システム監査人協会

会報35