May 2023!

日本システム監査人協会 会報

認定 NPO 法人

2023 年 5 月号

日本システム監査人協会報

266

No

No.266（2023 年 5 月号）＜4 月 25 日発行＞ ━━━━━━━━━━━━━━━━━━

５月８日から新型コロナウイルス感染症は五類に！

ああ今月の注目記事は「DX の前に取組むべきコロナ後の内部統制」

巻頭言『システム監査人の育成について（その２）』
会員番号：1816 野田正勝（副会長 システム監査事例研究会主査）

システム監査事例研究会では、システム監査実務セミナーを開催していますが、近年の受講者の受講動機や業務上の悩みとして挙げられるのが、監査部門における情報システムに関するスキルを保持する人材（以下、「IT 人材」と表記）の不足です。
システム監査基準では、「システム監査は、情報システムにまつわるリスクに適切に対処しているかどうかを、点検・評価・検証する」としています。情報システムにまつわるリスクは、その脅威とコントロールの脆弱性を分析するのが基本です。それが出来なければ、リスクに適切に対処しているかどうかを点検・評価・検証することも出来ないことになります。したがって、システム監査を実施するチームにおいては、全員が IT
人材でなくても、そうした人材が含まれていないと対応ができず、現実問題として難しいところがあります。
また、システム監査基準では、システム監査の中長期計画のなかにシステム監査を担う人材の育成を含める
こととしています。これは、システム監査実施体制の整備における人材育成の重要性を示している訳ですが、企業の実情としては、監査部門に必要なスキルをもった人材を配属することはなかなかできていないようです。IT 部門でさえ人材が不足しているなか、監査部門にまで配属はできないといったところです。さらに情報システムに関するスキルを習得させようにも、昨今はシステム開発や運用はアウトソーシングしている企業が多く、そうした経験を社内で積ませることも難しくなっています。
一方、情報セキュリティ関連のみならず、先日の ANA のシステム障害など、大規模システム障害は相変わらず発生しており、システム監査の重要性が高まるなか、システム監査を担える人材の育成は、国家レベルの課題として取り組む必要性が出てきているのではないでしょうか。
以上
日本システム監査人協会 会報1

May 2023

日本システム監査人協会 会報

各行から Ctrl キー+クリックで＜目次＞

該当記事にジャンプできます。

○

巻頭言....................................................................................................... 1【 システム監査人の育成について（その２） 】

１．めだか...................................................................................................... 3【 この変化の時代にシステム監査が目指すもの ‐ サブスク ‐ 】

２．投稿......................................................................................................... 4【 投稿 】DX の前に取組むべきコロナ後の内部統制【 コラム 】システム監査のための数学・教育課程・法律・会計再入門（5）3．本部報告.................................................................................................... 12【 第 275 回月例研究会 講演録 】

4．支部報告.................................................................................................... 16【 近畿支部 第 199 回定例研究会 】

5. 注目記事..................................................................................................... 20【 「政府機関等のサイバーセキュリティ対策のための統一基準群」の改定（案）に関する意見の募集 】

6．セミナー開催案内......................................................................................... 21【 協会主催イベント・セミナーのご案内 】

7．協会からのお知らせ...................................................................................... 22【 新たに会員になられた方々へ 】【 協会行事一覧 】

8．会報編集部からのお知らせ

日本システム監査人協会 会報............................................................................. 24

2

May 2023

日本システム監査人協会 会報
2023.4

めだか 【 この変化の時代にシステム監査が目指すもの ‐ サブスク ‐ 】

この変化の時代にシステム監査が目指すものを考える。この変化の時代とは、大きくは気候
変動やコロナウイルスのパンデミック等であり、システム監査が目指すものとは、正しさである。現代において私たちは常に変化と共にあることを知りシステム監査を考える。
資料 1 の「世界のエンタメ最新事情」によると、“コロナ禍のさなかに最も話題になったことは、多くの人々がインターネットによる定額料金で動画や音楽などを楽しめる「サブスク」（サブスクリプションサー
ビス）に加入したことだという。イギリスでは「Barclaycard」の調査によると、2021 年には 80％の家庭がなんらかのサブスクサービスを契約したことが判明している。”ところが一方で、“「Netflix」は、2022
年の第一四半期には 97 万人もの視聴者を失い、株価は 40％も低下した。その後、株価は盛り返すが、急激なインフレと光熱費の高騰に悩む消費者は次々に解約している。”とある。つまり、“もはや「Netflix」
は目新しいものではなく、他のストリーミングサービスとの違いがあまりなく、今では、「コモディティ化」
された商品になってしまった。”という話である。
また、資料２の「おもしろすぎる地理」でみると、まず、“国際連合が定義する「北ヨーロッパ諸国」とは、アイスランド、ノルウェー、スウェーデン、フィンランド、デンマークの５カ国に、エストニア、ラト
ビア、リトアニアの 3 カ国を加えた 8 か国を指す。”とある。“人口（2021 年、世界銀行統計）によると、
例えば、アイスランドは 37.2 万人、ノルウェーは 540.8 万人、スウェーデンは 1041.6 万人、フィンラ
ンドは 554.2 万人、等々となっており、決して人口大国と呼べる国は存在しない。”そこで、“人口が少な
い国が GDP（国内総生産）を増やしていくためには、1 人あたりの GDP を高める傾向がある。つまり「医薬品」など高付加価値製品に注力しているし、また IT 産業の成長、それを支える、いわゆる「高度人材」と呼ばれる人材の育成もまた、GDP を増やしていくために重要なことである。”という。
さて、“ノキア社といえばフィンランドを代表する通信インフラや無線技術を開発する企業で、設立されたのは 1865 年のこと、設立当初は製紙会社だった。”そして、“IT 産業が興った背景として 1991 年 12 月のソビエト連邦崩壊が大きく関わっている。”という。“2022 年 5 月 18 日、スウェーデンとフィンランド
の両国は NATO（北大西洋条約機構）に加盟を申請。” フィンランドは加盟決定という話である。
この時々刻々と変化する時代に、システム監査が目指すもの、すなわち正しさを考え、さまざまな出来事と自らの役割に対してあらためて考えてみる必要がある。
（空心菜）
資料：1.「世界のニュースを日本人は何も知らない 4」谷本真由美 著 ワニブックス 370
2.「ニュースがわかる！ 世界が見える！ おもしろすぎる地理」宮路秀作 著 大和書房
（このコラム文書は、投稿者の個人的な意見表明であり、SAAJ の見解ではありません。）＜目次＞

日本システム監査人協会 会報3

May 2023

日本システム監査人協会 会報
2023.4【投稿】DX の前に取組むべきコロナ後の内部統制
会員番号 0436 大石正人

2023 年２月の「新型コロナウイルス感染症対策の基本的対処方針」見直しにより、３月のマスク着用の考え方見直しに続き、５月８日から新型コロナウイルス感染症（COVID‐19）について、感染症法上の新型インフルエンザ等感染症に該当しない五類の扱い、となります。

あしかけ３年にわたる感染症対策は、季節性インフルエンザなどと同じ扱いに変更され、通常モードに近づきます。この間リモートワークの広がりなど執務環境や人的交流など、内部統制を巡る環境変化がありました。コロナ後の新たな新常態がどうなるか、帰趨を見極めていく段階に移ります。

出社を極力抑制する、という執務対応は、勤務の自由度を広げるプラスの面が再認識された一方、職員の執務・行動管理とのバランスをどうとるのか、心身のケアを含め課題は持ち越されています。

こうしたなかでここ数年目立つのは、生命保険会社の営業員による不正行為の続発です。すべての生保会社
がウェブサイトで公表しているわけではありませんが、日本を代表する大手生保や損保系の生保で、顧客からの金銭詐取事案が半端でない金額で明らかになっています。ウェブサイトで確認できただけでも以下のような事案がありました。

・Ａ生保（勤続 55 年の元社員＜勤務地、所属不変で、特別な役職名を付与＞が 24 名から 19 億円余り、他の職員でも５千万円を超える事案など）
・Ｂ生保（70 代の営業職員、３世帯から２千万円詐取）
・Ｃ生保（40 代の営業職員、個人 7 名、法人 13 社から４億円弱を詐取）
・Ｄ生保（2017 年から 2021 年度に、15 名の職員が関与する金銭詐取事案が 16 件、１億 5800 万円発
生。2022 年 10 月に元職員の逮捕、2023 年３月に 1500 万円の金銭詐取を追加公表）

金銭詐取の「手口」は様々です。Ａ生保の多額事案では架空の金融取引を装っていました。Ｂ生保では契約にかかる無断手続きや顧客から預かった保険料の着服がありました。Ｃ生保では生命保険料の振込先を会社名義でなく行為者本人の口座として着服するなどしていました。

こうした事案の続発を踏まえ、さすがに各社とも再発防止策を講じては来ていますが、特に悪質だったＡ生保の場合、他に伏在していないかの点検で追加的に別の不正事案が発覚しています。また長年コンプライアン
ス体制の強化を図ってきたにもかかわらず、顧客と営業職員との金銭授受など、他の金融業界にはみられない
危険な取扱いが禁止事項にされず放置されていたことには驚きを禁じえません。

日本システム監査人協会 会報4

May 2023

日本システム監査人協会 会報

業界団体の一般社団法人生命保険協会も、たまりかねてか、監督当局の示唆もあってか、「営業職員チャネルのコンプライアンス・リスク管理態勢の更なる高度化にかかる着眼点」を 2023 年２月に策定・公表しています。

「各社の取組み促進を目的に、実効的なコンプライアンス・リスク管理態勢の整備を進めるにあたっての対応や留意点について、原理・原則と参考となる取組例とを取りまとめたもの」との位置づけですが、残念ながらその内容は「こんなことを改めて周知しなければならないのか」という印象を抱かせ、今さら感が拭われません。
（注）「営業職員チャネルのコンプライアンス・リスク管理態勢の更なる高度化にかかる着眼点の取りまとめについて」生命保険協会 2023 年 2 月 17 日
https://www.seiho.or.jp/info/news/2023/20230217_1.html

生保業界において、営業職員こそが長年の営業力の源泉であり強みであった一方、顧客との接触が長期固定になりがちな特性を有していました。他の金融業のように、担当交代を前提とした営業体制に必ずしもなっておらず、牽制が働きにくい特性を有していました。もちろん取引状況の顧客への郵送確認などの工夫はありましたが、上述のような事案が最近でも跡を絶たず、長期にわたり不正が伏在していたことに鑑みると、既存の不正防止策の有効性に疑問が生じることは避けられない状況です。

こうした一方で、一連の金銭詐取事案を公表した生命保険の中には、経済産業省が進める「DX 認定事業者」の認定を受けたり、コンピュータ専門誌などで「基幹系システムの更新で金融庁の「基幹系システム・フロン
トランナー・サポートハブ」に選ばれ（注）、AI（人工知能）などを駆使したデジタル変革（DX）をコロナ禍で加速させている」事例として紹介されています。
（注）「基幹系システム・フロントランナー・サポートハブ」支援決定案件について（令和２年６月 30 日
金融庁）
https://www.fsa.go.jp/news/r1/20200630_2.html

データ活用や IT 技術を駆使した業務刷新への先進的な取組みと、旧態依然たる営業現場におけるコンプライ
アンス体制の脆弱性とが同居しているようにも見受けられるのです。

ちなみに生命保険会社は株式会社化した事例もありますが、業歴の古い会社は、相互会社のままの先も多く、株主が存在せず、保険契約者が「社員」として会社の構成員になる「相互扶助」の考えに基づいているため、一般事業会社とは異なるガバナンス体制にあります。後者の場合、株主総会に近い組織体として総代会がありますが、総代は社員からの選考に基づいており（会社に意向に沿わない方は選ばれないでしょう）、総会に直接参加の道が限定されているため、少なくとも社員である契約者の直接監視が十分な仕組みとは言えないかもしれません。

日本システム監査人協会 会報5

May 2023

日本システム監査人協会 会報

生命保険会社が取り扱う商品やサービスも他の金融商品取扱機関と同様、その取扱いに当たっては、より自己規律が行き届いた、内部統制システムの構築が強く求められているといえます。従来型の店頭での商品・サービスの取扱いの場合は、窓口で対応する職員に対し、上席者などからの牽制が常に働きますが、顧客のもとに出向いての対面営業の場合、営業員の自己規律は当然の前提として、何らかの牽制の仕組みがないと、有効な不正防止の効果は期待できません。

感染症蔓延下で、営業拠点にほとんど出社しないリモート営業が常態化した営業体制のもとでは、営業職員に対するサポートの一環として、併せて牽制を利かせる仕組みも必要だったはずです。出社不要化の効率性等の面での業務改革（DX）にばかり目が向き、ともすると効率化と両輪になるべきこうした内部統制的な措置の強化がおろそかになっていた面がないでしょうか。

これまで強みだった生保営業職員と顧客との親密な間柄（リレーションシップ）への信頼は、同一顧客についての長期担当が可能な仕組みにも支えられていたように感じます。しかし残念ながら、こうした信頼は、一連の不正、金銭詐取の多発により、生命保険協会の公表文書に盛られたような、ある意味で当たり前の体制だ
けでは維持、持続可能でないことを物語っているのではないでしょうか。

感染症蔓延下で進めたリモート営業などの措置の適否についての検証を実施したうえで、コロナ後の営業体制のあり方を、デジタルツールの活用法と併せて見直して、初めて生命保険会社としてのあるべき姿を踏まえた DX が可能になるのでは、と考えます。

こうした観点から、コンプライアンスを含むリスク管理を統括する部署や、システム監査を含む監査部署への役割期待として、コロナ後の営業・執務体制について、内部統制システム面からの有効性、適切性を、きちんと検証することが求められているといえるでしょう。

今回は生命保険会社を取り上げましたが、264 号で取り上げた電力業界の事例も含め、おそらく他の業種にも共通する課題ではないかと思います。DX で自社を PR する前に、事業展開の前提となる法制面やビジネスモ
デルに沿った内部統制システムの構築・確保に向け、関係者の取り組み強化を期待しています。
＜目次＞

日本システム監査人協会 会報6

May 2023

日本システム監査人協会 会報
2023.4【コラム】システム監査のための数学・教育課程・法律・会計再入門（5）会員番号 1644 田淵隆明 （近畿支部 システム監査法制化推進プロジェクト）§1.はじめに先月号では H3 ロケットの失敗の話題を取り上げたが原因が判明したようである(→文献[1‐6])。このことは、シス
テム設計上非常に重要な「フェール・セーフ」の観点から、システム監査の観点からも非常に重要である。

2023 年に入り、我が国の核融合発電の技術の進展が著しい(→文献[9,10])。特に、中性子が発生しない核融合に成功したことは特筆に値する。反応式は以下の通りである。右辺に中性子が発生しないことは注目に値する。まさに「クリーン」な核融合と言えるだろう。
1

H＋11B→34He(1.1)

一方、中国リニアが初の「浮上運行」に成功するなど、我が国の技術の優位性の屋台骨を揺るがすような事象も発生している(→文献[8])。また、素数の一般式が発見されたことは、近い将来、セキュリティ・システムが脅かされる事態に直結することが危惧される(→文献[11])。現時点では計算に時間が掛かるが、量子コンピュータの実用化などもあり、早晩、セキュリティ・システムの見直しが必要となるだろう。このように技術革新が進む
中、我が国の産業競争力の阻害要因である「研究開発費の一律費用処理」は直ちに是正する必要がある。また、IFRS(国際会計基準)の個別財務諸表への適用、及び、非上場企業への開放も直ちに実施する必要がある§2. H3 ロケットの失敗の原因～2 段目ロケット点火せず[1]JAXA(宇宙航空研究開発機構)の見解と文部科学省への報告
先月号では H3 ロケットの失敗の話題を取り上げたが、(先月号の記事の締め切りを過ぎた)3 月 16 日に、文部科学省の有識者会合で JAXA による報告が行われたことが、3 月 17 日に一部の報道機関が一斉に報じた。文献[1](有料記事部分を除く)には、重要な記載があるので、2 点引用する。
《引用》第 2 段エンジンの内部で過電流が発生したため、電源供給を遮断して着火しなかったとみられると文部科学省の有識者会合で報告した。
《/引用》《引用》異常を検知した機器は H3 で新たに搭載されたものだが、エンジンを駆動させる機器は H2A と共通しているという。H2A は、2024 年度の 50 号機の打ち上げまで予定されている。
《/引用》[2] ロケット全体から見た「安全側への動作」(fail safe)の観点 【システム監査の専門家の出番】
実は、新しく取りつけられた装置は作動することにより、「安全側への動作」(fail safe)にはなっていないことに気付かれた読者の方々も多いと思われる。まず、次の表を見て頂きたい。

Wikipedia によれば、「フェール・セーフ」とは、「なんらかの装置・システムにおいて、誤操作・誤動作による障害が発生した場合、常に設計時に想定した安全側に動作するようにすること。またはそう仕向けるような設計手法で信頼性設計のひとつ。
」とされている。
日本システム監査人協会 会報7

May 2023

日本システム監査人協会 会報

つまり、第 2 段目の着火装置については、新しく設置された「過電流を検知した場合に電源を遮断する装置」
を取り付けることは、地上でのテスト及び本番の第 1 段の場合は「安全側への動作」であるが、本番の第 2 段の場合は「安全側への動作」にはならないのである。これは、まさに「部分最適」を目指した結果、「全体最適」が犠牲になったケースに該当するのではないか？ 「全体最適」の観点では、この新たな「異常検知装置」は”蛇足”だったと思われる。根本的に設計思想を改め、第 2 号機以降は、この新「異常検知装置」を外すべきであると筆者は考えているが、皆様のご意見をお待ちしている。メール：naboo_wisdom@gakushikai.jp※自動車や電車の場合、誤操作・誤動作による障害が発生した場合には、可及的速やかに停車することが「安全側への動作」であることが大半である(それでも、北陸トンネルの列車火災事故など、例外もある)。しかし、航空機の場合、空中で停止することは墜落を意味する訳であり、「可及的速やかに停止」する装置の設置は「危険側への動作」であることは明白である。
本件ついてはネット上では、様々な興味深い意見が出ているが(→文献[2‐6])、フェール・セーフの観点からは、この「新異常検知装置」は「取り外す」か「異常の検知・送信機能」に限定すべきであったと考えられる。
【システム監査の専門家の出番】§3.製造物責任法の改正の必要性【システム監査の専門家の出番】[1]不備のある業務用ソフトウェアと製造物責任法
近畿支部の「システム監査法制化プロジェクト」は 2010 年度に発足し今年で 14 年目になる。この研究会では 2006 年の会計基準の改悪＝「研究開発費の一律費用処理問題」とともに、民法の特別法である「製造物責任法」の改正問題も取り上げて来た。当時の法令では「業務用ソフトウェアのバグや法改正対応の遅れの結果、当該システムのユーザ企業がその欠陥に気付かずに(そのソフトウェアの初期設定や計算ロジックを信用して)、有価証券報告書等の虚偽記載や、納税額の過少申告(＝いわゆる脱税)に至った場合」に、罰せられるのはユーザ企業であり、業務用ソフトウェアのメーカーの責任を問うことは困難であった。実は、現在でも、「製造物責任法」は「ソフトウェア」には適用されないため、個別開発のソフトウェアでなく、パッケージ・ソフトウェアの場合は、メーカーの責任を問うことは非常に困難である。しかし、2017 年の金融商品取引法の改正により、シ
ステムの設定等のコンサルティングを行った会社に対する責任追及はできるようになった。
※個別開発のソフトウェアの場合は「瑕疵担保責任」等を問うことも可能であるが、立証責任は原告側にある。
また、21 世紀に入り、ソフトウェアの個別開発は非常に稀であり、特に、会計や人事給与分野は、プロトタイ
プ開発＋アドオン開発が大半を占めている。よって、現行法によるユーザの救済は容易ではない場合が大半である。このことは「そろばん」のように内部ロジックが見えるものの時代の発想で法律が作られている証左であり、まさに、「法律が時代に追い付いていないこと」と言わざるを得ない。
[2]製造物責任法における「製造物」と「欠陥」の定義
まず、下記の製造物責任法の条文を御覧いただきたい。
(定義)第二条 この法律において「製造物」とは、製造又は加工された動産をいう。
２ この法律において「欠陥」とは、当該製造物の特性、その通常予見される使用形態、その製造業者等が当該製造物を引き渡した時期その他の当該製造物に係る事情を考慮して、当該製造物が通常有すべき安全性を欠いていることをいう。
(製造物責任)第三条 製造業者等は、その製造、加工、輸入又は前条第三項第二号若しくは第三号の氏名等の表示をした製造物であって、その引き渡したものの欠陥により他人の生命、身体又は財産を侵害したときは、これによって生じた損害を賠償する責めに任ずる。ただし、その損害が当該製造物についてのみ生じた
ときは、この限りでない。
「製造物」の定義は「製造又は加工された動産」とある。民法において「物」とは「有体物」と「無体物」に分かれ、「有体物」は「動産」と「不動産」(土地・建物など)に分かれる。よって、「無体物」であるソフトウェアは製造物責任法が適用されないことになる。ソフトウェアを組み込んだ機械の欠陥により、被害が発生した場合はハードウェアのメーカーの責任が問われることになる。
また、「欠陥」の定義は「当該製造物が通常有すべき安全性を欠いていること」とされているため、いわゆる「安全側故障」は欠陥ではないことになる。従って、安全側故障に起因する経済的損失については救済されないことになる。
日本システム監査人協会 会報8

May 2023

日本システム監査人協会 会報

筆者の改正案は次のとおりである。(第三条は条文の変更は不要)(定義)第二条 この法律において「製造物」とは、製造又は加工された動産及びソフトウェアをいう。
２ この法律において「欠陥」とは、当該製造物の特性、その通常予見される使用形態、その製造業者等が当該製造物を引き渡した時期その他の当該製造物に係る事情を考慮して、当該製造物が通常有すべき安全性または機能もしくは性能を欠いていることをいう。

§4.不動産登記の物権変動の登記の義務化 【システム監査の専門の出番】
来年(2024 年)4 月 1 日には、不動産の物権変動の登記の義務化が施行される。これは罰則付きであることに留意が必要である。通常、不動産の売買には仲介業者が介在し、仲介業者は提携している司法書士事務所があるため登記を懈怠することは事実上あり得ない。多発しているのは、相続(含遺贈)及び生前贈与の場合である。これについては、以下の点に特に注意が必要である(→文献[7])。
1.施行日以前の物権変動についても遡及して適用される。つまり、現時点で既に相続した不動産で所有権移転等が未登記である場合も適用される。
⇒通常、法令の遡及適用は行われないので、かなり稀なケースと思われる。
2.(相続の開始からではなく)相続人が「相続の開始及び所有権の取得を知った時から 3 年以内」に登記が必要。

⇒相続の開始及び所有権の取得を知った時が 2024 年 3 月 31 日以前の場合は、2027 年 3 月 31 日まで。
3.正当な理由なく登記を懈怠した場合は、10 万円以下の過料※会社・団体等の合併により、財産を承継した場合も、不動産登記法上は相続に準ずる扱いとなるため、注意が必要である。

§5.癌治療を巡る Made in Japan の技術の組合せの検証
現在の日本では、癌(悪性新生物)が死因の第一位となっており、癌の克服は我が国の医療における喫緊の課題である(→文献[13‐19])。
[1]標準治療と代替補完治療の併用
現在の日本の癌治療の原状を鑑みると、標準治療(手術、放射線、化学療法)と代替補完治療は対立するものと捉えられがちである。特に、標準治療のサイドから見れば、「民間療法」に見えることも少なくない。しかし、以前は忌避されていた漢方薬も、21 世紀に入り、大学病院でも処方されることが一般化していることを考えると、検証を進める価値はあると考えられる。
漢方薬の処方には中国語の知識は重要である。現在、一部の大学では、第三外国語も卒業単位認定する大学もあるが、医学部では英・独・中が必須とするべきであろう。
※米国では、90%以上の癌患者が、標準治療と代替補完治療を併用しているとの統計もあるそうである。
[2]オプジーポ(ニボルマブ)とハイパー・サーミア療法(温熱療法)の併用効果の検証
小野薬品と京都大学医学部の本庶祐(たすく)教授が開発した免疫チェックポイント阻害剤については、「効く患者」と「効かない患者」の見分けが大きな課題とされている。1985 年に同じく京都大学医学部の菅原努教授(元京都大学医学部長・元国立京都病院長)が、既に欧州大陸で一般化していた「ハイパー・サーミア療法」を輸入し、国内メーカーとともに装置を開発した。この治療法は注目を集め、1990 年に一部保険適用となった(→文献[15,16])。しかし、ハイパー・サーミア療法については、現在でも賛否両論である。
しかし、最も大切なものは学者の名誉ではなく、「患者の生命」である。オプジーポとの併用の有効性の確認
は、Made in Japan の技術の組合せによる画期的な治療法の可能性があるので、政府は政治主導で予算を付けるべきである。

日本システム監査人協会 会報9May 2023

日本システム監査人協会 会報※近年は、ハイパー・サーミア療法は単独ではなく、放射線療法または免疫療法や化学療法との併用を勧められることが多い。現在、一部保険適用(京都府の場合は 8 回分保険適用し、1 カ月自費期間があり、再び保険適用となる)となっているが、1990 年当初は、まず、放射線療法との併用において保険適用が認められた。なお、
近年注目を集めている医学部と工学部の連携による新しい技術も注目されている(→文献[16])。
なお、ドイツ等では、放射線治療とハイパー・サーミア療法は併用するのが標準である。
[3] オプジーポ(ニボルマブ)と、2019 年に作用機序が解明された丸山ワクチンの併用効果の検証
オプジーポは「免疫チェックポイント阻害剤」は「化学療法」に分類されることもあるが、免疫療法の一種でもある。丸山ワクチンは 1964 年から「治験」の名目で半世紀以上に亘り、元々皮膚結核やハンセン病の治療薬であったこともあり、現在もなお賛否両論があり、厚生労働省の認可には至っていない。しかし、日本医大が中心となり、41 万人以上の患者に投与されてきたことも事実である(→文献[12‐14])。
最近、丸山ワクチンに関して、興味深い記事を発見した(→文献[14])。長年、丸山ワクチンの作用機序は不明であったが、日本医科大学ワクチン療法研究施設顧問である高橋秀実教授(京都大学ウイルス研究所エイズ研究施設
感染制御領域客員教授でもある)の論文が 2019 年に免疫専門誌 Cancer Immunology Immunotherapy に掲載され、「丸山ワクチンが樹状細胞活性化剤であること」が明らかにされた。すなわち、丸山ワクチンの作用機序は「がん細胞が CD1 に作用することによって『免疫抑制型』に変質された樹状細胞を『免疫活性型』に変換すること」であり、この活性化は、丸山ワクチンの有効成分である、結核菌由来の「ミコール酸」と「リボアラビノマン
ナン」（LAM）という 2 種類の糖脂質によって引き起こされるとのことである。樹状細胞が『免疫活性型』に変換されると、結果として、キラーＴ細胞が強化されてがん細胞が攻撃されることになる。重要な一文を引用する。
《引用》樹状細胞の表面にある CD1b 脂質提示分子にミコール酸が結合し、Dectin–2 と DC–SIGN にリボアラビ
ノマンナンが結合する。ミコール酸とリボアラビノマンナンが樹状細胞上で作用することで樹状細胞を活性化できる《/引用》
ここまで読まれるとお気づきの方も多いと思うが、丸山ワクチンの作用機序は、オプジーポやヤ―ポイやキート
ルーダのような免疫チェックポイント阻害剤(免疫細胞のブレーキを無力化する)と補完的な作用機序である。オプ
ジーポは間質性肺炎や I 型糖尿病などの重篤な副作用も報告されているが、高橋教授によれば、動物実験の結果、オプジーポ投与量を低減化することにより、副作用を抑制できるとのことである。重要な一文を引用する。
《引用》丸山ワクチンは樹状細胞の機能の落ちたものを活性化させて機能アップを図るので、どの細胞を今やっつければいいのか標的を教えてくれます。その過程でオプジーボを利用すれば、自分の身体の中で活性化させるキ
ラーＴ細胞はどれであるか、樹状細胞が教えてくれます。そこでオプジーボを併用すればよいと考えているわけです。
《/引用》
これまでは、一部の医師からは「ただの水」とまで酷評されることもあった丸山ワクチンであるが、その本質が「樹状細胞活性化剤」であり、その作用機序が解明された以上、厚生労働省は再度審査を行うべきであると思われる。また、オプジーポとの併用の有効性の確認は、Made in Japan の技術の組合せによる画期的な治療法の可能性があるので、政府は政治主導で予算を付けるべきである。
[4]海外の富裕層が関空に押し掛ける動脈塞栓術の保険適用化
関空の対岸の大阪府泉佐野市には海外の富裕層が押し掛ける動脈塞栓術のクリニックが存在する。既に治療例は 1 万を超えており、SNS では非常に注目されているが、我が国の医学界での認知度は高くない。しかし、これも Made inJapan の技術による画期的な治療法であるので、保険適用化するべきである(→文献[18,19])。

[5]腫瘍内科の全国への普及と機能強化の必要性
癌の特徴として他の臓器への「転移」という問題がある。例えば、「原発巣が胃癌であった場合、その胃を全摘出し、その後に肺に転移が見られた場合」を考えよう。現在の我が国の多くの病院では、伝統的に原発巣の臓器を担当する科が主治医となることが原則である。これは細胞組織学によるものと思われるが、この患者の場合、主戦場は転移巣の肺である。患者の生命と QOL を第一に考えるならば、病院内のカルテの共有化の推進は勿論のこと、一部の大学病院で実現している、腫瘍全体を一元的に診察できる「腫瘍内科」の全国への普及と機能強化が喫

日本システム監査人協会 会報10

May 2023

日本システム監査人協会 会報

緊の課題であると思われる。特に CT などの診断にも限界があり、再発の見落としを防ぐためにも腫瘍内科の機能は重要であると考えられる。
以前から指摘しているように、1958 年以降、一部の大学では数学者と物理学者の意思疎通が困難になっている。これは多くの学生に不利益をもたらすだけでなく、我が国の産業競争力にとってダメージを与えている。医学の世界においても”縦割り行政”の弊害が指摘されることも少なくない。がん治療に限らず、救命率、QOL、治癒率・寛解率の向上のためにも、集学的治療の進展のためにも、大規模病院における「横の連携」はますます重要度を増している。
※以上述べたことは筆者の私見であり、いかなる団体をも代表するものではありません。また、法令の適用・会計基準の適用、及び、医学的所見については、必ず、御自身で顧問会計士、弁護士、司法書士、医師・薬剤師、その他の専門家の方々への御確認・照会をお願いします。

<参考文献>[1] H3 ロケットの原因は過電流か H2A との共通機器に異常の可能性も
https://www.asahi.com/articles/ASR3J6J2SR3JULBH00J.html[2] 【H3 ロケット 原因が判明!?】第 2 段エンジンに過電流が発生し、新たに取り付けた異常検知機能が電源停止？
https://youtu.be/ODT2tQ4HIU4[3] 【新技術】H3 試験機の失敗はエンジン駆動用の電源喪失が原因と発表【中間報告】
https://youtu.be/jUW7dpFWt5c[4] H3 ロケットに何が起こったのか？ https://youtube.com/shorts/NptARHbxfvk[5]【ゆっくり解説】H3 ロケット打ち上げ失敗 なにが起きたのか解説します 前編
https://youtu.be/dPWMNpWFWOE[6]【ゆっくり解説】H3 ロケット打ち上げ失敗 なにが起きたのか解説します 後編
https://youtu.be/aI9XwIC4YdQ[7] 相続登記が義務化されます（令和６年４月１日制度開始）～なくそう 所有者不明土地 ！～https://houmukyoku.moj.go.jp/tokyo/content/001366815.pdf[8] 中国リニアが初の「浮上運行」成功、日本は「2027 年開業」困難で「日本人の夢をドブに捨てる気か」SNS で集まる危惧の声 https://news.yahoo.co.jp/articles/71f8b327158b6b3b71238ca6ec4ff6dd9e242a4a[9] 核融合炉開発で日本にチャンス 京大発ベンチャーに世界が注目
https://xtech.nikkei.com/atcl/nxt/column/18/00001/06692/[10] 核融合研、放射線出さない核融合反応に世界初成功
https://pc.watch.impress.co.jp/docs/news/yajiuma/1484911.html[11] 素数の法則が見つかりました 【ゆっくり解説】https://youtu.be/vqrG83yUhCY[12]日本医科大学付属病院ワクチン療法研究施設 https://www.nms.ac.jp/sh/vaccine/[13]丸山ワクチンとは https://www.nms.ac.jp/sh/vaccine/vaccine/index.html[14] 山田邦子のがんとのやさしい付き合方～そこが知りたい 古くて新しい最先端のがん免疫治療薬『丸山ワクチン』 https://gan‐senshiniryo.jp/live_long/post_4885[15] 山田邦子のがんとのやさしい付き合方～がん温熱療法 ハイパー・サーミア「サーモトロン RF−8」https://gan‐senshiniryo.jp/live_long/post_2756[16]研究動画「温熱でがんをやっつける！医工連携による薄膜デバイス開発」を公開
https://www.titech.ac.jp/news/2021/062030[17] [サイエンス ZERO] がんと免疫の闘い最前線 | CG で徹底解説 | “CAR‐T 細胞療法”臓器がんへの応用研究
https://youtu.be/VUVQIqeW8Ps[18]動脈塞栓療法で某 TV 局 4 月 8 日全国放送→
https://www.youtube.com/channel/UC11Xvc92mFy2ULRbf3ctrDQ[19]海外の富裕層が押しかける「診療所」をほとんどの日本人が知らない理由～関空に世界中からがん患者が集まる
https://www.itmedia.co.jp/business/articles/1705/23/news047.html<目次>
日本システム監査人協会 会報11

May 2023

日本システム監査人協会 会報
2023.4

第 275 回月例研究会 講演録【テーマ】テキストマイニングによる内部監査高度化の可能性
会員番号 2581 斉藤茂雄（事務局）【講師】 ニッセイアセットマネジメント株式会社 業務監査部課長 雲井 春樹（くもいはるき）氏【日時・場所】2023 年 3 月 10 日（金）18：30～20：30、オンライン（Zoom ウェビナー）【テーマ】テキストマイニングによる内部監査高度化の可能性【要旨】
ビッグデータの分析・活用に注目が集まっています。非構造化データの一つ、テキストデータを取り上げて、テキストマイニング・ツール使用のデモンストレーションを交えてご説明すると共に、内部監査高度化の可能性を提起します。

【講演録】
1．はじめにご講演冒頭『データは 21 世紀の石油である』というフレーズの紹介を頂いた。これは、原油を精製することにより様々な製品に生まれ変わることにたとえ、データもまたそのままの形ではなく、加工・分析することによってより価値が高められ、その活用は企業や国家の競争力をも左右する資源であるとの考え方である。また、様々な説明に、言葉だけではなくデータを添えることで説明内容が具体的になり、説得力が増すことになる。ベストセラーの「FACTFULNESS」の日本語訳の副題にある『データを基に世界を正しく見る』など、データが語る真実は多く、データとデータ分析の重要性を示唆しているとのことである。
続いて講演では、テキストデータに着目した、データの特性、内部監査に於けるテキストデータの分析と活用、そして実際のテキストマイニング・ツールの活用方法を、デモンストレーションを交えながら解説頂いた。

2．ビッグデータの特質とデータの分類
ビッグデータの特質として、当初は Volume（データ量、サイズ）、Variety（多様性）、Velocity（データの更新頻度）が提唱された。その後 Veracity（正確性）、Variability（変動性、性質の変化）、Visualization（可視化）、Value（価値）が加わっている。これらビッグデータは、狭義には「構造化データ」、「非構造化デー
タ」に分類され、広義には「データ処理・蓄積・分析技術」、「人材・組織」などがその範疇になる。ここで、「構造化データ」は二次元の表形式（列・行の２要素を持つ）になっているか、あるいは表形式への変換が容易なデータで、顧客データや売上データなどがある。「非構造化データ」はデータ内に規則性に関する区切りがない、多種多様なデータで、古くからの媒体として、音声、ラジオや TV、新聞、書籍などのデータが相当
し、新しくはブログや SNS、映像、電子書籍、GPS などのデータがある。

3．データサイエンティストに求められるスキルセット
データサイエンティスト協会によると、データサイエンティストに求められるスキルとして「ビジネス力」「データサイエンス 力」「データエンジニアリング 力」が求められるとされる。
「ビジネス 力」は『課題背日本システム監査人協会 会報12

May 2023

日本システム監査人協会 会報

景を理解した上で、ビジネス課題を整理し、解決する力』で、「データサイエンス 力」は『情報処理、人工知
能、統計学などの情報科学系の知恵を理解し、使う力』、「データエンジニアリング 力」は『データサイエン
スを意味のある形に使えるようにし、実装、運用できるようにする力』である。なかでも注目すべきは、「ビ
ジネス 力」であり、データサイエンティストは単にデータを加工・分析するだけに留まらず、ビジネス課題を整理し、解決する力が重要であるという点である。

4．自然言語処理
文章をテキストデータとしてコンピュータが処理できるようにするための基礎技術に、文の構造や意味などを解析する処理がある。日本語の場合は形態素解析という処理も必要になる。これは、文を名詞や動詞、形容詞など単語に分けるというもので、こういった様々な要素技術の上に今日のインターネット検索、チャット
ボット、音声対話システムなど便利なシステムが実用化されている。
日本語を処理するに欠かせない形態素解析は、簡単に言うと文を単語に区切るという解析で、辞書データと解析モデルを組み合わせたもので、ツール例としてオープンソースの形態素解析エンジン「MeCab」がある。
「MeCab」は文を単語ごとに分割し、それぞれの単語に品詞や読み、活用形などの情報を付与することを高速に行うツールである。
（ここで「MeCab」を実演頂いた。
）

5．テキストマイニングの処理フロー
テキストマイニングの基本的な処理フローは、『テキストデータの用意（インプット）』、『形態素解析＋演
算・分析（プロセス）』、『分析結果出力（アウトプット）』からなる。（インプット）の『テキストデータの用意』は簡単そうで、実は実際の文書データからテキストデータを抽出するには種々工夫を要し、大変な作業でもある。次の（プロセス）では前処理として、形態素解析を行う。形態素解析にどのツールを使うか、どのような辞書を使うか、どのような演算方法、例えば異なる文章に含まれる語句の類似度合いをどのようなロジッ
クで判定するかによって、分析結果が変わることがある。これら一連の動作をコンピュータに実施させるのが、テキストマイニング・ツールである。

6．テキストマイニング・ツール
テキストマイニングには以前は大掛かりなシステム構築が必要だったが、今では、個人がパソコンやイン
ターネットで利用可能なフリーソフトウェア等の選択肢も増えてきた。例として KH Coder、ユーザーローカ
ル AI テキストマイニング、TinyTextMiner、GiNZA、統計ソフト R、Python などがある。
（本講演では「KH Coder」によるテキストマイニングを実演頂いた。
）

7．内部監査の分析・評価に適用できるテキストデータ（例）内部監査に適用できるテキストデータを以下に例示する。
（社外のテキストデータ）（社内のテキストデータ）

・有価証券報告書の記述情報

・コールセンターにおける顧客とオペレータの通話録音

・経営者による経営成績等の分析（MD＆A）

・企業の Web サイトや SNS への書き込み

・監査上の主要な検討事項（KAM）

・営業日報

・第三者委員会の調査報告書

・従業員満足度調査結果

・官公庁等が発出する文書

その他

その他

社外データは外部環境を把握するのに有効である。例えば同業他社の有価証券報告書に記載されたリスクを日本システム監査人協会 会報13

May 2023

日本システム監査人協会 会報

テキストマイニング・ツールにより分析し、監査計画のリスク認識に用いることができる。あるいは、不祥事を起こした企業の第三者委員会の調査報告書は一般にボリュームが多いが、これをツールで分析し、気になる
キーワードがどのような文脈で出現するかを探し出して、その部分を丁寧に読み込むといった使い方ができる。
（ここで、有価証券報告書を例題にテキストマイニングの実演を頂いた。
）

8．テキストマイニング実施に際しての課題
テキストマイニングを実業務に利用する際は以下のような課題が挙げられる。しかしツールの処理スピードは向上しており、課題を前に難しく考えて尻込みするのではなく、試行錯誤することによりノウハウや勘所をつかみ、実際に活用してみることが大事である。
✓

データ分析の目的が先か。分析作業が先か✓整形されたテキストデータの入手が困難✓

分析手法（適用する辞書、文書類似度の評価等）の選択やクレンジング等の前処理に試行錯誤の余地がある✓

日本語の難しさ、曖昧さ等✓

特殊な用語の存在（業界/社内用語、短縮化、隠語、等）

9．データ分析の枠組みと内部監査への活用
データ分析の種類は調査目的によって、最初に分析を行いその結果を得る「仮説探索型」と、仮説を立てて検証し、収集データと仮説の因果関係を明らかにする「仮説検証型」の２種類に分類される。一般論としては、仮説を立てそれを検証するという考え方が多い。しかし現実は課題がはっきりしていることばかりではな
く、試行錯誤や寄り道の過程で思いがけない発見をすることもあるので、「仮説探索型」の利点も否定できない。内部監査業務の場合、個別監査の検証手続きは、「仮説検証型」で進められることが多い。一方で、例えば年度計画を策定する前のリスクアセスメント等においては、組織体を取り巻く内外環境について、様々な角度からデータ分析を繰り返し、次第にリスク認識を明らかにする、「仮説探索型」を試すことにも一考の価値がある。
データ分析の種類にかかわらず重要なことは、データ分析の目的を明確にし、手順を踏んで実施することである。これには「問題設定（Problem）」⇒「計画（Plan）」⇒「データ収集（Data）」⇒「分析（Analysis）」⇒「結論（Conclusion）」の手順の枠組みである「PPDAC サイクル」を活用すると良い。また、企業目的を戦略に落とし込む「PESTLE 分析」というフレームワークがある。これは企業の外部環境やリスク分析を通じて、例えば自社に対する重要な影響を漏れなく明らかにする、自社に対する脅威を特定する、あるいは成長の機会を見つけるといったことに有効で、こういったフレームワークを内部監査計画などに活かすと良い。これらの実施には大量の文書情報を読み込む必要があり、テキストマイニングの活用が有効になる。

１０．信頼されるアドバイザーを目指して「金融機関の内部監査の高度化に向けた現状と課題（2019 年、金融庁）」では、内部監査の水準として４段階（1.「事務不備監査」、2.「リスク・ベース監査」、3.「経営監査」、4.「信頼されるアドバイザー」）を提唱している。第 4 段階の「信頼されるアドバイザー」の目指すところは『機動的な監査手法、内部監査における IT の活用、データ分析等、企業文化に対する監査手法、経営環境の変化等に対応した予測とそれに基づ
日本システム監査人協会 会報14

May 2023

日本システム監査人協会 会報

く助言』と言える。この「信頼されるアドバイザー」は次図のようなプロセスで醸成されると考えられる。
内部監査人の・継続教育
・啓発

内部監査の各段階でデータ分析を実施

リスクを明示した、
より付加価値値の高い
内部監査の実施

内部監査（人）に対する認知や信頼の向上「信頼されるアドバイザー」を目指す起点はやはり「内部監査人の育成」で、内部監査人は継続教育を通じて、日々進化していく IT への関心を持ち続け、その上で内部監査の各段階でデータ分析を行う。データは説得力を増し、リスクや監査対象業務の実態の姿を描き出す。この際に監査人が目にするのが大量の文章情報
で、これにテキストマイニングが適用できる。こういった取り組みによって内部監査や内部監査人に対する認知や信頼が向上するという好循環が生まれる。
【所感】
本講演ではテキストマイニングに係わる動向や実際的な活用方法を、ツールの操作を交えながら、解説頂いた。講演冒頭では、世界の人口爆発のグラフや、“国別エコロジカルフットプリント”と“人間開発指数（HDI）”を基に、SDGｓが目指す“持続可能な開発のボックス”との関係を、動的なグラフで紹介頂いた。
言葉だけでなくデータによる説明事例として、非常に分かり易く説得力のある内容だった。また、自然言語処理の動向として、ここにきて世界中を賑わしている“ChatGPT”を取り上げ、実演頂いた。“ChatGPT”については様々な評価があるが、自然言語を生成することができるため、ユーザーとの自然な対話インターフェースの実現など多岐にわたる分野での利用が期待されると感じた。
本題のテキストマイニングについては、分析の元となる整形されたテキストデータの入手の困難さや、テキストデータをコンピュータ処理する際の諸問題（一例として、ある言語で書かれた文を機械翻訳すると、どの言語に翻訳するかによって出力結果が異なる）といった課題はあるものの、文書類の電子化が社会に浸透する
につれ、課題の解消も期待でき、大いに活用すべきものと知ることができた。
最後に、本講演には実演を多く盛り込んで頂き、ツールの利用方法も含めテキストマイニングの実践方法を知る好機になった。私も含め、早速実務にテキストマイニングを活用しようと考える受講者は多いものと思わ
れる。
以上

＜目次＞

2023.4
日本システム監査人協会 会報15

May 2023

日本システム監査人協会 会報

支部報告 【 近畿支部 第 199 回定例研究会 】
会員番号 1709 荒町弘（近畿支部）

１．テーマ「自治体における「システム所管」の違いとネットワーク・セキュリティにおける現状と今後について」

２．講師

一般社団法人日本管理者支援機構

代表理事

藪上 憲二氏
３．開催日時2023 年 3 月 17 日（金）18:30~20:30

４．開催場所

ドーンセンター（大阪府立男女共同参画・青少年センター）５階セミナー室 2

５．講演概要講師の過去の勤務経験なども参考としつつ、官公庁や県・市町村における組織の概要とそれぞれの組織における情報システムの所管や運用管理における実情などを詳しく解説頂いた。
自治体におけるネットワーク分離の方法によっては外部監査が必須となることや、教育分野においては教育情報セキュリティポリシー未策定の団体も存在することなどから、我々システム監査人の活躍の場が増える可能性が高いことを示唆いただいた。

（１）官公庁の組織について・国、県（都道府県）、市町村の組織と特徴について解説。
・国のシステムは統一されておらず殆どは省庁の数だけシステムが存在し、個別に運用されている。
・都道府県や市町村は知事部局と行政委員会（教育・（警察））毎にシステムを調達している。
・DX という名称を冠した部署が増えつつあるものの、内容はともなっているケースは少なく、従来からシス
テム運用管理してきた部門は情報インフラを支えているのが実情。
・教育委員会はシステム管理部門が無いケースが多く人事異動も考えると。首庁部局の情報システム部門と比べて人的な質・量ともに課題を抱えるのが実情である。

（２）首長部局における情報システム部門とネットワーク、セキュリティについて
自治体の業務は大きく「基幹系業務」「情報系業務」「その他業務」に分けて考えることができ、基幹系
は「個人番号利用事務系」に属する業務であり、情報系は LGWAN 接続系・インターネット接続系に属する業務である。その他業務は、主に情報セキュリティや自治体 DX・統計関連業務ということで団体毎に温度差がある。
2015(平成 27)年度のネットワーク強靭化が行われる以前は情報系業務ネットワークにてインターネッ

日本システム監査人協会 会報16

May 2023

日本システム監査人協会 会報

ト接続利用が可能な団体が多かった。端末を LGWAN 接続系に配置し、インターネット接続を分離するモ
デル（αモデル）を採用したネットワーク強靭化は、インターネット利用業務に大きな影響を与え、業務効率の低下を招くこととなった。
業務効率の低下となった代表的な利用形態として、メールの添付ファイルが分離され、メール本文とは別にインターネット系から無害化して取り込むこととなったのが挙げられる。また、インターネットを閲覧するためには仮想デスクトップ経由での接続となり、アクセス集中時にはサーバーの負荷高騰によりレスポンスが低下するという事象があった団体も多いと考える。最近は、コンテナ型仮想デスクトップ環境の採用も増えてきておりレスポンスの面では改善されてきている。
自治体のインターネット接続は、都道府県が運用する自治体情報セキュリティクラウド経由となっている。自治体情報セキュリティクラウドでは、ネットワークの監視やセキュリティ専門人材によるプロキ
シーログの解析等、自治体独自では対応が困難な技術的サポートを担う機能が県により実装されているため、自治体はインシデント対応等における技術的支援が県から受けられるようになった。
ネットワーク強靭化後は、コロナ禍での業務運用を余儀なくされるようになるなど、自治体ではテレワーク等を併用した業務遂行が必要となった。総務省もユーザービリティへの配慮や新たな時代の要請への対応を踏まえて、自治体情報セキュリティポリシーガイドラインの改訂を進めてきている。
このような環境変化への対応を柔軟に行うために、端末がインターネットに容易に接続可能なβモデル、
β´モデルという運用形態への移行を検討する自治体も増えつつある。βやβ´モデルを採用する場合は外部監査が必要となる（自治体情報セキュリティポリシーガイドライン）。
自治体のシステム監査について現状を参照すると、都道府県はほぼ半々で内部監査のみと内部及び外部監査の併用を行っており、市町村（1,718）では内部監査のみが 735（42.8％）、外部監査のみが 87（5.1％）、内部及び外部監査が 141（8.2％）であり、残る 755 団体（43.9％）は自己点検のみか、自己点検すら実施していない。

（３）教育委員会事務局の情報化部門とネットワーク、セキュリティについて
教育委員会はそれ自体が独立しており、予算編成の最終的な権限は首長にあるが、人事は自身で行う等、「ミニ市役所」というイメージがある。しかし、首長部局と異なり、情報システム部門を持たないケー
スはが殆どである。教育委員会として、扱うシステムの数自体は首長部局と比べて少ない（教育に特化しているため）が、扱う端末の台数やアカウントは圧倒的に多く職員数こそ首長部局とあまり変わらない部
分もあるが、職員の 10 倍以上の児童生徒がおり、その端末とアカウントの管理もあるため、マンパワーでが足りていない（GIGA スクール構想以降）。
教育委員会のネットワーク形態について少し触れると、個人情報を取り扱う「校務系」と「学習系」の2 つのネットワークで構成される。更に、校務系からインターネット接続系を分離した「校務外部接続系」というネットワークもあるが普及率は多くないようである。
そもそも首長部局と教育委員会のネットワークにおける大きな違いは、自治体情報セキュリティクラウ
ドを介したインターネット接続ができるのは首長部局だけであるということである。
教育分野では GIGA スクール構想以降､一人 1 台のタブレット利用、在宅学習対応、デジタル教材の利用
日本システム監査人協会 会報17

May 2023

日本システム監査人協会 会報など、クラウドバイデフォルトの状態になりつつある中、ネットワークを分離する部分もあるが、基本的にゼロトラストの考え方を取り入れ認証の強化へ舵を切った。文部科学省は 2022(令和 4)年 3 月に「教育情報セキュリティポリシーに関するガイドラインハンドブック」を示した。2024(令和 6)年度にはデジタ
ル教科書の本格導入も検討されており、SINET（学術情報ネットワーク）への接続も視野に入っている。
教育委員会側のセキュリティポリシーは、首長部局と文部科学省のガイドラインに準じる。実際には、対策基準部分が文部科学省のガイドラインに準拠する。
「教育情報セキュリティポリシー」の策定状況については、「独自に作成」が 2/3、「自治体のセキュリティポリシーをそのまま利用」が 1/4、
「未策定または検討中」が 7%あるのが実情である。インシデント対応においては、基本的な対応は首長部局と同様となるが、そもそも情報システム部門を持たない団体が多い教育委員会としては、このあたりの運用は課題を抱えていると考えられる。
教育委員会の監査については、毎年、学校を指導する担当の課による「学校訪問」という形で行わるのが多い。内容は会計処理、事務処理、教育内容について等である。個別の校務支援システム等について
は、首長部局の情報システム部門の内部監査を受けることがある。
監査の実施率などは公表（というよりも集計自体）しておらず、ガイドラインに監査の項目はあるものの、情報セキュリティ監査を実施しているところは圧倒的に少ないと見込まれる。

（４）まとめ
自治体、教育委員会の情報システム部門についてお伝えしてきたがこれは氷山の一角でしかない。
水面下では、以下のような状況がある。
・そもそもセキュリティポリシーが未策定
・ポリシーがあっても適切な改訂がなされていない、適切な運用がされていない
・調達についても、知識不足から適切な調達がされていない
・ネットワークやシステムの運用について、不十分な点が多々ある・システムの自己点検すら行われていないこともあり、外部監査を受けているのはごくわずか
・・・などなど、まだまだ未対応な問題が多く、我々システム監査人にとって活躍できるフィールドは埋もれている。
今後のトレンドとして以下のようなことが想定されている。
◎個人情報保護法の施行（地方自治体では 2023(令和 5)年４月１日）◎今後、特定個人情報等利用システムにおける外部監査が増える可能性◎自治体のネットワーク分離手法の変化による外部監査の義務化◎βモデル、 β´モデルは外部監査が必須となり、外部監査に係る入札の実施も増えてきている。
◎DX が叫ばれる中、導入するシステム等本来の目的に合ったものなのか、今後真価が問われる。
◎適切な評価を実施するため、監査人が必要とされる部分も。
◎自治体は主に監査部門では事務監査のみ実施されてきたが、民間企業においてもシステム監査が増える
中、監査部門から外部監査の依頼が増加する見込みも。
◎外部監査人の会計士がシステム監査の必要性を助言する場合も。
日本システム監査人協会 会報18

May 2023

日本システム監査人協会 会報

最後に、「本来の目的に沿ったシステム」が「効率よく、安全に利用され」「結果的に市民サービスの向上につながる」ように今後もシステム監査の普及・啓発とサービスの実施・向上に努めていきましょう、とエー
ルを送って頂いた。

６．所感
講師自身が経験してきた実務も含めて幅広いお話をいただき大変参考になりました。
特に国や都道府県、市町村といった組織の体系や、そこで運用されている情報システムについて整理して考える機会が無かったため、非常に理解が深まりました。情報システム部門が組織の全てを跨って統括しているケースが少ないという実情から考えて、講演の中でも触れられた「システム監査人の活躍の場」多くあるものと考えます。
基礎自治体の多くの団体は、2015(平成 27)年度より導入されたネットワーク強靭化により三層分離のネットワーク構成において端末の運用形態をαモデルで運用している団体が多くあり、このシステムも更新の時期を迎えています。通常の業務実施におけるテレワーク併用も定着してきていることもあり、更なる業務効率化に向け端末の運用形態をβモデル、β’モデルへと変更していく考えの団体も増えつつあります。総務省の示すネットワークセキュリティガイドラインに記載のある「外部監査の実施」についても増えることとなることが想定される中、システム監査人の活躍が期待されます。
以上＜目次＞

日本システム監査人協会 会報19

May 2023

日本システム監査人協会 会報
2023.4

注目情報（2023.3～2023.4）■「政府機関等のサイバーセキュリティ対策のための統一基準群」の改定（案）に関する意見の募集
サイバーセキュリティ戦略本部は、サイバーセキュリティ基本法（平成 26 年法律第 104 号）第 26 条第１項第２号において、国の行政機関等のサイバーセキュリティに関する対策の基準を作成することとされています。つきましては、「政府機関等のサイバーセキュリティ対策のための統一基準群」の改定（案）を作成しましたので、本件について以下の要領で国民の皆様から広く意見を募集いたします。
１．意見募集対象「政府機関等のサイバーセキュリティ対策のための統一基準群」を構成する以下の文書について、意見を募
集いたします。
●政府機関等のサイバーセキュリティ対策のための統一規範（案）●政府機関等のサイバーセキュリティ対策のための統一基準（令和５年度版）（案）●政府機関等の対策基準策定のためのガイドライン（令和５年度版）（案）《参考資料（以下は意見募集対象ではありません）》●政府機関等のサイバーセキュリティ対策のための統一基準群の改定案について
２．説明会について「政府機関等のサイバーセキュリティ対策のための統一基準群」の改定（案）に関する意見募集に係る説明会を実施いたします。
●実施日時：2023(令和 5)年４月 28 日（金）15:00～16:00●開催形態：オンライン開催
https://www.nisc.go.jp/policy/group/general/kijun2023.html＜目次＞

日本システム監査人協会 会報20

May 2023

日本システム監査人協会 会報
2023.4【 協会主催イベント・セミナーのご案内 】■SAAJ 月例研究会（東京）日時2023 年 5 月 18 日(木) 18:30～20:30

場所

オンライン（Zoom ウェビナー）テーマ

自工会／部工会

講師

第
２
７
７
回

講演骨子

参加費
お申込み

サイバーセキュリティガイドライン Ver.2 について

一般社団法人 日本自動車工業会 サイバーセキュリティ分科会
サプライチェーンガイドライン検討タスク リーダー
坂季也（ばん としや）氏
日本自動車工業会及び日本自動車部品工業会は共同で自動車産業サプライチェーン向けのサイバーセキュリティガイドラインを策定し、2020 年 12 月に第 1 版、2022
年 4 月に第 2 版を公表しました。
策定・公表に至った背景・経緯を説明すると共に、本ガイドラインの考え方及び内容についてご説明いたします。
また、このガイドラインを使ってどのように自動車産業サプライチェーン全体のサイ
バーセキュリティレベルアップにつなげていくか、自工会・部工会の取り組み内容についてもご説明いたします。
SAAJ 会員 1,000 円 非会員 3,000 円
https://www.saaj.or.jp/kenkyu/kenkyu/277.html■SAAJ 月例研究会（東京）

第
２
７
８
回

日時

2023 年 6 月 15 日（木) 18:30～20:30

場所

オンライン（Zoom ウェビナー）テーマ

JUAS「企業 IT 動向調査 2023」の結果からみる、VUCA 時代の IT 部門の役割

講師

講演骨子
参加費
お申込み

一般社団法人 日本情報システム・ユーザー協会（JUAS）
企業 IT 動向調査 調査部会 リサーチフェロー
志村 近史（しむら ちかし）氏
29 回目となる企業 IT 動向調査、2022 年度調査は「予測困難な VUCA 時代を乗り越える IT 部門の役割」を重点テーマに掲げ実施しました。DX 推進、情報セキュリ
ティ、IT 投資の動向など、調査からみえてきた現状と今後の見通しを解説します。
SAAJ 会員 1,000 円 非会員 3,000 円
https://www.saaj.or.jp/kenkyu/kenkyu/278.html＜目次＞

日本システム監査人協会 会報21

May 2023

日本システム監査人協会 会報
2023.4【 新たに会員になられた方々へ 】

新しく会員になられたみなさま、当協会はみなさまを熱烈歓迎しております。
協会の活用方法や各種活動に参加される方法などの一端をご案内します。
ご確認
ください

特典

ぜひ
ご参加を

ご意見
募集中

・ホームページでは協会活動全般をご案内
・会員規程

https://www.saaj.or.jp/index.html
https://www.saaj.or.jp/gaiyo/kaiin_kitei.pdf

・会員情報の変更方法

https://www.saaj.or.jp/members/henkou.html

・セミナーやイベント等の会員割引や優遇

https://www.saaj.or.jp/nyukai/index.html

公認システム監査人制度における、会員割引制度など。

・各支部・各部会・各研究会等の活動。

https://www.saaj.or.jp/shibu/index.html

皆様の積極的なご参加をお待ちしております。門戸は広く、見学も大歓迎です。

・皆様からのご意見などの投稿を募集。
ペンネームによる「めだか」や実名投稿には多くの方から投稿いただいております。
この会報の「会報編集部からのお知らせ」をご覧ください。
・「発注者のプロジェクトマネジメントと監査」

出版物

・「６か月で構築する個人情報保護マネジメントシステム」
・「情報システム監査実践マニュアル」などの協会出版物が会員割引価格で購入できます。
https://www.saaj.or.jp/shuppan/index.html

セミナー

・月例研究会など、セミナー等のお知らせ
https://www.saaj.or.jp/kenkyu/index.html
月例研究会は毎月100名以上参加の活況です。過去履歴もご覧になれます。
https://www.saaj.jp/04Kaiin/60SeminarRireki.html

CSA
・
ASA

・公認システム監査人へのSTEP-UPを支援します。
「CSA：公認システム監査人」 と「ASA：システム監査人補」で構成されています。
監査実務の習得支援や継続教育メニューも豊富です。
・CSAサイトで詳細確認ができます。

会報

お問い
合わせ

・過去の会報を公開

https://www.saaj.or.jp/csa/index.html

https://www.saaj.jp/03Kaiho/0305kaihoIndex.html

会報に対するご意見は、下記のお問合せページをご利用ください。

・お問い合わせページをご利用ください。

https://www.saaj.or.jp/toiawase/index.html

各サイトに連絡先がある場合はそちらでも問い合わせができます。

＜目次＞
日本システム監査人協会 会報22

May 2023【

ＳＡＡＪ協会行事一覧

日本システム監査人協会 会報】

赤字：前回から変更された予定

4月

理事会・事務局・会計
13：理事会

5月

11：理事会

6月

1：年会費未納者宛督促メール発信
8：理事会
19：年会費未納者督促状発送
21～：会費督促電話作業（役員）28：支部会計報告依頼（〆切 7/10）
30：助成金配賦決定（支部別会員数）
5：支部助成金支給
13：理事会（理事会休会）5：中間期会計監査
14：理事会

7月
8月
9月

10 月

13：理事会11 月

8： 予算申請提出依頼（11/26〆切）
支部会計報告依頼（1/7〆切)10：理事会
16：2023 年度年会費請求書発送準備
26：本部・支部予算提出期限
28：会費未納者除名予告通知発送
1： 2023 年度年会費請求書発送
1： 個人番号関係事務教育
8： 理事会：2023 年度予算案
会費未納者除名承認
第 22 期総会審議事項確認
10：総会資料提出依頼（1/9〆切)14：総会開催予告掲示
20：2022 年度経費提出期限
9：総会資料提出期限 16:00
12：理事会：総会資料原案審議
28：2022 年度会計監査
31：償却資産税・消費税申告
31：総会申込受付開始（資料公表）
2：理事会：通常総会議案承認

12 月

1月

2月

認定委員会・部会・研究会
初旬：春期 CSA・ASA 書類審査
8‐9：第 40 回システム監査実務セミナー(日帰り 4 日間コース前半)
17：第 276 回月例研究会
中旬：春期 ASA 認定証発行
22‐23：第 40 回システム監査実務セミナー(日帰り 4 日間コース後半)
10：CSA フォーラム
18：第 277 回月例研究会
中旬・下旬土曜：春期 CSA 面接
上旬： 春期 CSA 面接
15：第 278 回月例研究会
中旬： 春期 CSA 面接結果通知

2023.4
支部・特別催事

3:認定 NPO 法人東京都認定日（初回：2015/6/3）

中旬～下旬： 春期 CSA 認定証発送
20：第 279 回月例研究会
中旬：秋期 CSA・ASA 募集案内
1：秋期 CSA・ASA 募集開始～9/30

30:秋期 CSA・ASA 募集締切
前年度に実施した行事一覧
7:第 271 回月例研究会
8‐9：第 40 回システム監査実務セミナー(日帰り 4 日間コース後半)

11：支部会計報告〆切

9:秋季情報処理試験・情報処理
安全確保支援士試験
29:13:30 会員活動説明会

4：第 272 回月例研究会
中旬：秋期 CSA 面接
下旬：CSA・ASA 更新手続案内〔申請期間 1/1～1/31〕
下旬：CSA 面接結果通知
12：第 273 回月例研究会
12：協会創立記念日
16： CSA/ASA 更新手続案内メール〔申請期間 1/1～1/31〕
23：秋期 CSA 認定証発送
1‐31：CSA・ASA 更新申請受付
19：第 274 回月例研究会

7：支部会計報告提出期限

21：春期 CSA・ASA 募集案内
〔申請期間 2/1～3/31〕
2/1‐3/31：CSA・ASA 春期募集
17：第 22 期通常総会

3月28：2023 年度年会費納入期限
3：年会費未納者宛督促メール発信
9：理事会
28：法務局：活動報告書提出、
東京都：NPO 事業報告書提出

下旬：CSA・ASA 更新認定証発送
1‐31: 春期 CSA・ASA 書類審査
10：第 275 回月例研究会＜目次＞

日本システム監査人協会 会報23

May 2023

日本システム監査人協会 会報
2023.4【 会報編集部からのお知らせ 】
１．会報テーマについて
２．会報バックナンバーについて
３．会員の皆様からの投稿を募集しております□■ １． 会報テーマについて
2023 年の会報年間テーマは、昨年に引き続き「この変化の時代にシステム監査が目指すもの」
です。
様々なことが変化、進化していく時代の中で、システム監査人は何を目指す必要があるのか、システ
ム監査は何を目的として、実施すべきなのか、その対象範囲やシステム監査人に求められるスキルはどうなるのかという点について、整理・検討が必要なタイミングではないかと考え設定しています。

会報テーマ以外の皆様任意のテーマももちろん大歓迎です。皆様のご意見を是非お寄せ下さい。

□■ ２． 会報のバックナンバーについて協会設立からの会報第１号からのバックナンバーをダウンロードできます。
https://www.saaj.jp/03Kaiho/0305kaihoIndex.html

日本システム監査人協会 会報24

May 2023

日本システム監査人協会 会報□■ ３．会員の皆様からの投稿を募集しております。
募集記事は次の通りです。
■ 募集記事1.

めだか

匿名（ペンネーム）による投稿
原則１ページ

下記より投稿フォームをダウンロードしてください。

https://www.saaj.jp/03Kaiho/670502KaihoTokoForm2.docx
2.

記名投稿

原則４ページ以内
下記より投稿フォームをダウンロードしてください。
https://www.saaj.jp/03Kaiho/670502KaihoTokoForm2.docx

3.

会報掲載論文

現在「論文」の募集は行っておりません。

（投稿は会員限定）■投稿について「会報投稿要項」

・投稿締切：15 日 (発行日：25 日）
・投稿用フォーマット ※毎月メール配信を利用してください。
・投稿先：

saajeditor@saaj.jp

宛メール添付ファイル

・投稿メールには、以下を記載してください。
✓

会員番号

✓

氏名

✓

メールアドレス✓

連絡が取れる電話番号

・めだか、記名投稿には、会員のほか、非会員 CSA/ASA、および SAAJ 関連団体の会員の方も投稿できます。
✓

会員以外の方は、会員番号に代えて、CSA/ASA 番号、もしくは団体名を表記ください。

■注意事項
・原稿の主題は、定款に記載された協会活動の目的に沿った内容にして下さい。
・特定非営利活動促進法第２条第２項の規定に反する内容（宗教の教義を広める、政治上の主義を推進・支持、又は反対する、公職にある者又は政党を推薦・支持、又は反対するなど）は、ご遠慮下さい。
・原稿の掲載、不掲載については会報部会が総合的に判断します。
・なお会報部会より、表現の訂正を求め、見直しを依頼することがあります。また内容の趣旨を変えずに、字体やレイアウトなどの変更をさせていただくことがあります。
お問い合わせ先： saajeditor@saaj.jp＜目次＞

日本システム監査人協会 会報25

May 2023

日本システム監査人協会 会報
2023.3

会員限定記事【本部・理事会議事録】（会員サイトから閲覧ください。会員パスワードが必要です）
https://www.saaj.or.jp/members_site/KaiinStart
ログイン ID（8 桁）は、年会費請求書に記載しています。

＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝■発行：認定 NPO 法人 日本システム監査人協会 会報編集部〒103‐0025 東京都中央区日本橋茅場町 2 丁目 16 番 7 号 本間ビル 201 号室■ご質問は、下記のお問い合わせフォームよりお願いします。
【お問い合わせ】

https://www.saaj.or.jp/toiawase/■会報は、会員宛の連絡事項を記載し登録メールアドレス宛に配信します。登録メールアドレス等を変更された場合は、会員サイトより訂正してください。
https://www.saaj.or.jp/members_site/KaiinStart

掲載記事の転載は自由ですが、内容は改変せず、出典を明記していただくようお願いします。

■□■ＳＡＡＪ会報担当
編集委員：竹原豊和、安部晃生、金田雅子、越野雅晴、坂本誠、辻本要子、豊田諭、野嶽俊一、柳田正、
山口達也
編集支援：会長、各副会長、各支部長
投稿用アドレス： saajeditor ☆ saaj.jp （☆は投稿時には＠に変換してください）
Copyright(C)1997‐2023、認定 NPO 法人 日本システム監査人協会＜目次＞
日本システム監査人協会 会報26