May. 2011

日本システム監査人協会 会報2011 年 5 月発行
No━━━

No.123（2011 年 5 月

発行）

123

━━━━━━━━━━━━━━━━━━━━━━━━

会報電子版の記事 目次

１．めだか（システム監査人のコラム）

２【 セキュリティソフトの更新騒動 】

２．セミナー開催報告、支部報告(支部報告)

４【西日本支部合同研究会報告】【近畿支部 第１２５回定例研究会報告】(会員投稿)【保証業務に係る公表文書の調査研究と保証型システム監査の一考察】

３．注目情報（5/1～5/31）

１５

４．全国のイベント・セミナー情報

１６(東京・月例研究会) 【５月の月例研究会】【６月の月例研究会】【７月の月例研究会】【８月の月例研究会】（東京）【第 18 回システム監査実務セミナー 於・東京】(支部研究会)【近畿支部】
・ 第 126 回定例研究会
・ システム監査課題解決セミナー
・ システム監査実践セミナー2 日間コース

日本システム監査人協会 会報1

May. 2011

日本システム監査人協会 会報

めだか 【 セキュリティソフトの更新騒動 】

投稿

自宅のＰＣに、セキュリティソフトを入れている。ベンダーは当方ＰＣ内のソフトと交信しているらしく、ＰＣ立ち上げ時に、「今入っているソフトの版が古くなっているので、更新の操作をせよ」という画面が表示される。
画面の誘導に従い、操作していると、「今入っているソフトをアンインストールせよ」となる。そして、「アンインストールには、削除専用のソフトがあるから、それをダウンロードして使え」という。ＰＣ内のプログラム追加削除の方が簡単かと思うが、逆らわずに、先方のソフトをダウンロードして走らせた。アンインストールは終わったが、自動系の画面の最後に、新しい版のインストールの案内が出てくるかと期待したが、そこまでの設計にはなっていない。
仕方がないから、ベンダーのＨＰを出し、いろいろメニューがあるが、どうにかそれらしいものをダウンロードしようとした。
ところが、「そちらのＰＣには、当方のソフトが入ってない」という無常な返事が返ってくる。それはないだろうと思うが、こうなれば、人間系に頼らざるを得ず、問合せ電話を探し出して電話した。
音声ガイドが指示する番号は、どれが当方のケースに該当するのかわかりにくいが、とにかく、人間系にたどりついた。状況を説明すると、違う電話にかけろという。その違う電話に出てきた担当者は、さらに別のところにかけろ、という。指定された番号は、一番初めにかけた番号と２、３番しか違っていない。いい加減にしろといいたくなるが、我慢して３回目のところにかける。
操作の手順は、さすがに口頭でというわけにはいかず、「２、３分後にメールを送る」という。
こちらのアドレスを確認しようとしたが、初めの数文字を先方がいうので、すでに取引していることでもあり、「それです」としてしまったが、２、3分後に、メールは来ず、電話がきた。
「送ったメールがエラーで返ってきたので、アドレスを確認したい」というのである。もちろん、怒りもせず、アドレ
スのすべてを伝える。ようやく操作手順を記したメールが着く。
メールのいう通りに操作する。ダウンロードも終り、アクティブ化も済み、終了画面になる。８個ある機能のうち、有効が半分、無効が半分と表示される。ちょっとまずいかなと思ったが、あるいは値段に応じた対応かもしれず、
とりあえず、他の作業にかかった。
そこに、当方ＰＣ内ソフトと交信し始めたベンダーの自動系から、「エラー状態になっている」という画面が出て、エラー番号を表示して来た。さすがに後続画面には、問合せ文を入れられるようになっている。エラー番号を入れて、問い合わせる。
担当者署名入りの人間系のメールが返ってくる。その内容では、やばいエラーらしく、「再度操作をやり直せ」とある。わかりにくいメールの指示に従い、操作する。途中で、「わからなくなったら、チャットで交信する」などという画面も出てくるが、画面の遷移は、チャットをやるような事態には至らず、進む。終了画面から、インストールしたソ
フトの状態を表示する画面にいく。今度は８個の機能全部が有効になっている。
自動系の画面で、うまくいったか否かを聞いてくるから、「うまくいった」に印しをつける。途中経過はどうであ
れ、結果がよければいいやと思っていると、まだ一段落しておらず、人間系からのメールが来る。「うまくいったか」というのである。自動系からの情報が直ちに人間系には伝わらないことも、あり得るのであるが、まあ振り回わされた。頭にきたから、導入ソフトを代えたいのであるが、料金は有効期限ごとに自動振替で払っている。
これを解約しようとしたら、どうなるか。恐ろしくて、とても、解約をいい出す気分になれない。
まさかユーザの囲い込みのために、これだけの仕掛けをしているわけではないだろうが、気の弱いもの
は、ベンダーとの交信はできるだけ避けたくなってしまうのである。

（太郎冠者）（このコラム文書は、投稿者の個人的な意見表明であり、ＳＡＡＪの見解ではありません。）

日本システム監査人協会 会報2

May. 2011

日本システム監査人協会 会報

セミナー開催報告、支部報告■

西日本支部合同研究会報告：2010 年 11 月 6 日～7 日

１．はじめに北信越支部、中部支部、近畿支部、中四国支部、九州支部の西日本 5 支部合同で、日本システム監査人協会
西日本支部合同研究会を 2010 年 11 月 6 日～7 日の 2 日間に渡り開催しました。鈴木会長をはじめ 80 名の参加があり、盛況でした。11 月 6 日の研究会の講演とパネルディスカッションを中心に報告します。

(田中 中部支部長)(鈴木会長)(開会時の会場の風景)(1) 名称 日本システム監査人協会 西日本支部合同研究会 in NAGOYA
後援団体 NPO IT コーディネータ協会、NPO ITC 中部、ISACA 名古屋支部、日本 IT ストラテジスト協会(2)テーマ：社会システムとシステム監査(3)日程：研究会：11 月 6 日（土）11 時～18 時
施設見学：11 月 7 日（日）9 時半～午前中(4)１日目研究会会場：ウインクあいち(愛知県産業労働センター) 11 階 1104 会議室
２日目見学場所 ：;トヨタテクノミュージア

２．基調講演「富士通の社会システム安定稼働への取組み」

講師：(株)富士通

大高

敏孝氏

久保田 秀男（No.1112）
社会システム点検と安定稼働推進① 取り組みの経緯
２００５年１１月１日東証の前場がすべてストップしたが、人間系のミスが致命的な障害を生み出していた。運用支援、保守の手が薄かったと感じ、そういった部分をしっかり管理し、運用保証のプロセスを
組織プロセスの中で整備していく必要性から「安定稼働推進プロジェクト」をスタートさせた。

日本システム監査人協会 会報（講師：大高氏）

3

May. 2011

日本システム監査人協会 会報② 社会システム点検活動の変遷
組織プロセスとして進めるには意識を合わせの問題が大きい。プロジェクトは、常務クラスの執行役員を委員とし、月１回集まって抱えている問題を共有、半年に１度、担当者クラスを含めた５００名位が集
まり「見たこと。感じたこと」の事例を紹介、共有する体制を構築した。
③ 社会システムの定義
経済産業省、ＩＰＡの基準等を参考に社会システムの定義づけを行なった。
④ 点検ツール等
a.問題を分析し、リスクの分類と影響を整理して障害防止を策定した。それを分かりやすくするためのツールとして「特別に抽出した１０の教訓（チェックポイント）」を作成
b.プロジェクト委員・部員による現場確認
c.プロジェクト部員が現場に出向いて実施する「出前形式の研修」を提供
d.失敗事例を調査し、その上位概念を抽出し形式知化したデータベースを作成。また、読み物としても「失敗から学ぶシリーズ」として提供。
(２)

次世代株式売買システム「arrowhead」安定稼働に向けた取り組み

２０１０年１月４日に稼働した東証のシステムのプロジェクトは、２００７年度に高速化・信頼性・拡張性をテーマにスタートした。要件の網羅性のチェックはかなり行った。
新機能・要件に対するＰＤＣA 推進、メインルートの徹底したレビュー、ユーザ主体のテスト等を積み重ねた。カットオーバー後も新機能等の追加作業は実施しているが、リリース回数はリスクを軽減するため月１回ないし２回としている。
稼働機器が多く（サーバーだけでも約２５０）稼働後は、毎回どこかで障害が発生する前提で対応をしている。
(３)所感
結びに大高氏が「プロジェクトの問題を現場まかせにしない、組織プロセスまたはマネジメントとして見直すことが大事」と痛感したと述べられたが、実績の裏付けから出た言葉であり印象に残った。

３． 講演 1
「社会システムの品質確保のための『システム監査の法制化』の展望」
講師：近畿支部 システム監査法制化研究会 田淵 隆明氏
中村 博 (№877)(１) 概要①

システム監査の法制化の必要性
情報システムを中心とするシステム監査制度の定着と実効性の確保が必要である。
そのために教育の充実・啓蒙活動・認証以外に、「法制化」による義務づけも有効な手段である。

②

情報システムの実情
我が国ではソフトウェアは製造物責任法の適用を受けないが、ドイツ／フランスではソフトウェアは「動産」と見なされ、製造物責任法の対象である。

日本システム監査人協会 会報（講師：田淵氏）

4

May. 2011

日本システム監査人協会 会報

日本も改正すべきではないか。
③

日本公認会計士協会の最近の動向
退職給付システム、連結会計システムのように監査権限の強化、実効性の強化などが行われている分野が存在する。

④

システム監査法制化を含めた具体的施策と提言
一定規模以上のシステム事業者に対するシステム監査の義務化。会社法を改正し、規制を受ける会社は会
計監査人とパラレルな立場でシステム監査人の設置の義務化。

(２) 所感システム監査の義務化、法制化が議論されるようになってから久しいが、残念ながら我が国では法制化に関わる動きがほとんど見られない。
システム監査が社会に広く認知されるようになるためには、我々がシステム監査法制化の必要性を研究結果として世に発信していく、政界、財界への働きかけをしていくことはもちろん大切ではある。
だが、身近なところで企業経営者に監査の成果をどれだけアピールできるかを意識しながら我々監査人は行動することにより、その積み重ねが経営者をつき動かし、やがて大きなうねりとなって法制化に至るのではな
いか。
「先ず隗より始めよ」である。
(以上)

４．講演 2「スマート・グリッド(社会システムの品質確保に向けて)」
講師：北信越支部 森広志氏
澤田 裕也(No.1711)(1)概要○スマートグリッドが注目されるようになった背景○スマートグリッドの全体像○スマートグリッドによる企業および顧客価値向上
企業価値：検針業務・配電業務の効率化、需要対応など
顧客価値：太陽光・風力による光熱費低減・売電収入など
さらに、電力以外の多様な業種を介して社会生活に恩恵をもたらす、新種のサービス事業の創出などが期待される。

(講師:森 氏)

○実証実験における具体例
豊田市低炭素都市実証プロジェクト○スマートグリッドとシステム監査
スマートグリッドを対象にシステム監査を行なうとすると対象範囲が情報システムだけではなく制御シス
テムも含むことになる。全体を監査するためには専門家の支援や創意工夫が必要。個別のシステム監査は従
来技術を活用することにより可能ではないか。
社会システムの監査ができるようになれば、システム監査は安定した業になりうると考える。
(2)所感
スマートグリッドおよびそのシステム監査について、とてもわかりやすく説明いただきました。エネルギー業
界かつ IT 業界に身をおいている私にとって非常に勉強になり、今後の社会情勢も踏まえて社会システムの安定稼動に寄与できる監査人でありたいとより強く考えた講演でした。
日本システム監査人協会 会報5

May. 2011

日本システム監査人協会 会報

５．パネルディスカッション「社会システムの品質確保に向けて」－システム監査人の立場から－
大野淳一(No.6037)(パネラー4 氏)(司会の石井氏)(1)概要
公共性が高く社会生活に影響が大きいシステムを「社会システム」と定義、その品質確保をテーマとしたパネルディス
カッションが行われた。
社会システムの品質確保のためにシステム監査等の有資格者がどのようにかかわるか、システム監査の有効性を社会に認めさせシステム監査人の地位向上を図るには、といった点を中心に議論された。
議論の要旨は以下のとおり。プロジェクトマネージャやシステム監査等の有資格者が個々のプロジェクトに参画することが、システムの品質確保に有効である。さらに、有資格者をプロフェッショナルとして社内で認定し活用している例もある。ただし、経営者や上司の資格に対する考え方によっては、有資格者が十分に生かされないこともありうる。有資格者を生かすには、有資格者が優遇される社会にすべきである。システム監査についていえば、会計監査のように法制化しシステム監査人の地位を向上させる必要がある。しかしながら、規制緩和の流れの中で新しい規制をつくることは難しい。
そもそも IT 業界とのかかわりの薄い国会議員、企業経営者等にシステム監査が理解されているか、議論にもあがらな
いのではないか。
まずは、国会議員、世の中に理解してもらうことが必要であり、そのためのロジックの組み立てが課題である。当協会から外部に向けてどのように働きかけるか、具体的に検討している支部もある。
(2)所感
パネラーやコーディネータ以外の参加者からも活発に意見が出された。会員のシステム監査に対する思い入れが感じられるパネルディスカッションであった。なお、今回は会員以外の方にも参加していただいた。システム監査人協会
内の議論を聞いてどのように感じただろうか。

日本システム監査人協会 会報6

May. 2011

日本システム監査人協会 会報

６．特別講演「ジョン万次郎」-システム監査との関わりについても説明- 講師:

中濱

京

氏
浦田 学(No 1575)(1)概要
本交流会の最後のプログラムでは、ジョン・万次郎の直系
5 代目にあたる中濱 京様による特別講演が行われました。
中濱様と、中部支部の栗山副支部長とが知り合いであったことから、今回の特別講演が実現しました。
まず最初に、中濱様とシステム監査との関わりについてのお話を頂きました。
中濱様が普段行われている業務にはシステム監査のチェックやリスク管理があるという説明を伺い、不思議な縁を感じました。

(講師: 中濱 氏)

その後、本題となる「ジョン万次郎」について、プレゼンテーション
資料を用いてわかりやすく、かつ、親しみやすく説明を頂きました。
中濱家所蔵の貴重な写真や資料などもふんだんに織り込まれ、「ジョン万次郎」という偉人を身近に感じることができました。 ホイットフィールド船長との奇跡的かつ運命的な出会い、渡米、帰国など、話のひとつひとつに引き込まれました。
(2)所感
もっとも興味深かったのは、中濱家とホイットフィールド家との交流が、5 代以上にわたって、今もなお続けられていることでした。中濱様の「私の祖先、ジョン・万次郎を身近に感じて頂ければ」という願いや思い
は、参加者の方々にきっと届いたと思います。
「システム監査」と「歴史上の偉人」を結びつけた、この「特別講演」は、とても印象に残るものとなりました。
以上(懇親会の一コマ)(2 日目の見学会の集合写真⇒

トヨタテクノミュージアムにて)

日本システム監査人協会 会報

7

May. 2011

■

近畿支部

日本システム監査人協会 会報

第１２５回定例研究会報告：2011 年 3 月 18 日

報告者：No.0645 是松

徹

テーマ：「このままでいいのか！ 情報セキュリティ」
講師：株式会社オオコシセキュリティコンサルタンツ

シニアコンサルタント

安 尾

勝 彦

氏

日時：2011 年 3 月 18 日 18:30～20:30 場所：大阪大学中之島センター ２階講義室１ 出席者：51 名
１．講演概要情報セキュリティ管理活動を進める中で形骸化や実効性の低下をもたらす問題の提起とその対応方針等について、以下の点を中心に講師の豊富な実体験に基づいて講演いただきました。
① 情報セキュリティの現場② Y！社の取り組み③ 機密情報の管理④ 情報セキュリティ対策

まず、情報漏洩の一般動向として、原因では管理ミス、媒体では紙媒体を通したものが多く、発生件数と発生時における企業の想定損害賠償額も 2007 年以降年々増加しており、そのリスクが依然高い状況にあるとの説明がありました。
このような背景の下、現場での情報セキュリティ管理状況を振り返るにあたってのポイントが示されました。
次に、Y!社事例を踏まえ、その考え方と取り組みについて、幅広い紹介がありました。そこでの基本的な考え方は、
情報セキュリティは経営課題として全社的な枠組みで取り組むべきものであり、悪意をもってしても機密情報を持ち出せない対策を講じ、顧客への安心・安全なサービスの提供、企業価値の向上、および業界のセキュリティレベルの向上を図っていくものであるということです。また、お客様個人情報保護をすべてに優先させる考え方に立ち、従業者行
動は性悪説が基本との厳しい視点を掲げ、完璧な対策より素早い対応を心掛けるとともに重要情報の絞り込みや過不足のない対策実現のために常時対策の見直しを行っていることが示されました。
機密情報の管理では、特に管理対象の絞り込みが重要であることが強調されました。機密レベルを「厳秘」「秘」等に指定されたいわゆる機密情報が多くなると、機密レベルの定義や運用が不徹底な状況も往々にして加わり、業務効率の低下をも招くことになります。そこで、「真に護りたい機密情報」を明確にして管理を徹底するとともに、過剰な管理レベルにあるものはその適正化を行うという情報セキュリティ管理策の強化と緩和を組み合わせて実施すべきであることが示されました。
情報セキュリティ対策では、画一的な基準やチェックリストへの依存体質から脱却するとともに、自部門で真に必要な対策レベルに絞る勇気をもつことの重要性が示されました。最後に、情報セキュリティは情報管理が土台であり、情報管理では情報の保護だけでなく活用までを考えてはじめて意味があり、そのためには経営的な判断が重要であると結ばれました。
２．所感
講師ご自身が携わってこられた情報セキュリティ管理体制や組織等の構築・運営経験を踏まえた説得力のある貴重なお話を伺うことができました。
なかでも、対策は性悪説が基本であるという内容にドキリとさせられるとともに、性悪説の対象を従業者そのものではなく従業者行動としていることに、従業者の協力を得るための運用上での苦心を感じました。
また、講演後のＱ＆Ａの中で、現場での自己チェックリストの運用は気休めに過ぎず実効性に乏しいとの見解を示された点が、私も実務を通して日頃から自己チェックリスト方式の形骸化を感じていることもあり印象に残りました。
組織体のリスク全体から見れば、情報セキュリティはそのワンオブゼムに過ぎない一方、万一の情報漏洩発生時には組織体の被るダメージも大きいという状況の中で、組織体としてメリハリをつけ過不足のない情報セキュリティ対策をいかに講じていくか、他のリスク対策との優先付けをどのように判断していくか等が強く問われていることをあらためて考えさせられた講演であったと思います。
日本システム監査人協会 会報

以上
8

May. 2011

日本システム監査人協会 会報

投稿
この投稿は、2010.07.29 時点で会員が作成したレポートの一部です。これから、分割して紹介します。

『保証業務に係る公表文書の調査研究と保証型システム監査の一考察』
報告者 榎本●目

吉伸

次

1．保証型システム監査考察の背景
2．「財務情報等に係る保証業務の概念的枠組みに関する意見書」（金融庁企業会計審議会）
における保証業務の概要
3．監査・保証実務委員会報告第 20 号「公認会計士が行う保証業務等に関する研究報告」（日本公認会計士協会）における保証業務の定義
4．IT 委員会報告第５号「IT に係る保証業務の実務指針」（日本公認会計士協会）に見る IT に係る保証業務の考え方
5．関連公表文書における保証業務に係る意見等の調査・研究
6．保証型システム監査のフレームワーク（「システム監査基準」準拠）
7．保証型システム監査に係るシステム管理基準
1．保証型システム監査考察の背景
1.1 保証業務に係るシステム監査が議論される背景①経営における情報システムの役割
経営における情報システムの役割については、近年では情報システムなくして経営が成り立たないことや、経営革新や業務改革においても IT 活用なくしては実施できないことを考えると、もはやその必要性や役割の重要性を言及する必要はないであろう。
②情報システムトラブルの発生とその影響一方で、情報システムのトラブルや障害の発生については、情報遺漏を含めて頻繁に大規模な事故が発生し、社会に大きな影響を与えているにも係らず、多くの企業では、ほとんどなんらの対策も採られていない。無論、内部統制や個人情報保護等の一部を除き、法制度による規制も確立されていない。
最近発生した著名な自動車メーカーにおける組込みソフトの問題は、障害かどうかは判断が難しいが、ソフトウェアに課された人命に係る課題であることは間違いない。システム監査の対象範囲に組込みソフトまで含め
るか否かは十分な議論が必要だが、もはや情報システムのトラブルは社会的問題として、責任を負うべき当該企業のみに判断を委ねて放置しておくことは許されなくなってきている。ここにシステム監査法制度化の必要性が議論される所以である。
③「保証業務に係るシステム監査のフレームワーク」の必要性
上記の理由から、システム監査の法制度化を検討するに当たっては、「保証業務に係るシステム監査のフレームワーク」が必須条件となる。システム監査が第三者により実施され、その適正性を保証することが重要と
日本システム監査人協会 会報

9May. 2011

日本システム監査人協会 会報なり、その保証を担保する要件を明確にすることが望まれる。ここに保証業務に係るシステム監査（以下、「保
証型システム監査」という。）のフレームワーク（基本的枠組み）が必要となっている。
・助言型システム監査および保証型システム監査
監査には助言型と保証型があることは周知の事実であるが、助言型システム監査は、監査の依頼者と業務実施者の二者間で合意しておれば良い。しかし保証型システム監査においては第三者への保証であるが故に、そのフレームワーク（基本的枠組み）については、まだ議論が尽くされておらず、定義が明確に確立されているとは言い難い。ここに既に発表された「保証業務に係る概念的枠組み（金融庁）」等の公表文書を調査研究し、最終的には法制度化を目標とした「保証型システム監査のフレームワーク」について考察する。
・保証型システム監査に必要な要件の明確化
本レポートでは、保証型システム監査のフレームワークとして、従来のシステム監査基準やシステム管理基準との比較により「保証型システム監査に必要な要件」を明確にし、今後の制度化・法令化に向けた準備を促進することが目的である。
1.2 金融庁、日本公認会計士協会等からの保証業務に係る意見書等
本レポートでは、「保証型システム監査のフレームワーク」を考察する前に、まず金融庁や日本公認会計士
協会等から公表された保証業務に係る意見書や研究報告を調査する。
その上で、それらの基本的考えを参考にして保証型システム監査のフレームワークを組み立てたい。
①内部統制監査における IT 統制監査
ここで、保証業務に係る意見書や研究報告を研究する前に、先に会社法や金融商品取引法により法制化された「内部統制監査における IT 統制監査」における“保証”の概念を明確にしてみよう。
・内部統制監査は内部統制の有効性に係る保証業務
内部統制監査は、内部統制という組織における適正な業務を遂行できる「組織体制／仕組み」の有効性評価である。旧来、財務諸表監査は内部統制の適正な実施を前提として行われていた。会社法・金融商品取引法では、IT 統制監査を含む内部統制監査そのものを法令化し、「業務の適正を確保するための体制」を以下のように定めている。
「会社法」では、第三百六十二条４の六で「取締役の職務の執行が法令及び定款に適合することを確保するための体制その他株式会社の業務の適正を確保するために必要なものとして法務省令で定める体制の整備」と定めている。さらに会社法施行規則第百条において「業務の適正を確保するための体制」について定めているが本題ではないので省略する。
「金融商品取引法」第二十四条の四の四は、内部統制の体制として「第二十四条第一項の規定による有価証券取引法を提出しなければならない会社（省略）のうち、第二十四条第一項第一号に掲げる有価証券の発行者である会社その他の政令で定めるものは、事業年度ごとに、当該会社の属する企業集団及び当該会社に係る財務計算に関する書類その他の情報の適正性を確保するために必要なものとして内閣府令で定める体制について、内閣府令で定めるところにより評価した報告書（以下「内部統制報告書」という。
）を有価証券報告書（省略）と併せて内閣総理大臣に提出しなければならない」と定義する。この法では、「財務計算に関する書類その他の情報の適正性を確保する」と、法の目的に対応して「財務報告の信頼性」についての適正性を確保するための体制としている。
・内閣府令 62 号における基準（実施基準）の記載
ここで言う「内閣府令で定める体制」の内閣府令 62 号には、「第二章 財務報告に係る内部統制の評価」の日本システム監査人協会 会報

10

May. 2011

日本システム監査人協会 会報

４－２において基準に関して言及されている。これらの関連は、法令化を検討する際の参考となるので引用して紹介する。
「４－２ 内部統制府令第１号様式記載上の注意(６)のｂ又は第２号様式記載上の注意（７）のｂに規定する「財務報告に係る内部統制を整備及び運用する際に準拠した基準の名称」には、「財務報告に係る内部統制の評価及び監査に関する基準」その他の準拠した基準の具体的な名称を記載する。」と、内部統制に係る基準を明確にしている。
・実施基準 「Ⅲ．財務報告に係る内部統制の監査

１．内部統制監査の目的」

実施基準「Ⅲ．財務報告に係る内部統制の監査」には、内部統制監査の目的について次のよう記載されている。
「本基準に基づく内部統制監査の目的は、経営者の作成した内部統制報告書が、一般に公正妥当と認められる内部統制の評価の基準に準拠して、適正に作成されているかについて、監査人が意見表明することにある。」。
この内部統制の評価基準として「実施基準」が定められている。
「組織体制／仕組み」である内部統制の有効性に係る保証業務に対する基準が定められた。
“有効性”に対する基準として参考となる。
②「財務情報等に係る保証業務の概念的枠組みに関する意見書」（金融庁）「財務情報等に係る保証業務の概念的枠組みに関する意見書」は、2004 年 11 月 29 日に金融庁企業会計審
議会により公表された。前項の「内部統制」の法令化が影響したものと思われる。２章で詳しく見る。
③「公認会計士が行う保証業務等に関する研究報告」（日本公認会計士協会）
意見書に基づき、2009 年 7 月 1 日、日本公認会計士協会により保証業務の実務指針として「公認会計士が行う保証業務等に関する研究報告」が発表された。３章で詳しく見る。
④「IT に係る保証業務の実務指針」（日本公認会計士協会）
上記に引続き、2009年9月1日、日本公認会計士協会よりITに係る保証業務の考え方として「ITに係る保証業務の実務指針」が公表された。
⑤保証業務に係るシステム監査のその他公表文書
本レポートでは、上記以外に以下の関連する基準やガイドラインについて「保証業務」に関する考えを調査した。詳しくは５章を参照のこと。
・「情報セキュリティ監査研究会報告書」（経済産業省：2003.03.26）
・「情報セキュリティ監査基準（Ver1.0）」（経済産業省：上記の別添資料 4）
・「情報セキュリティ監査基準 実施基準ガイドライン（Ver1.0）」（上記の別添資料 5）・「情報セキュリティ監査基準 報告基準ガイドライン（Ver1.0）」（上記の別添資料 6）・「システム監査基準（経済産業省：2004.01.08 改訂）
・情報セキュリティ監査制度利用促進事業実施報告書（日本セキュリティ監査協会：2009.03.31）
・「情報セキュリティ監査手続ガイドライン」（経済産業省：2009 年 7 月）
・「金融機関等のシステム監査指針（第 3 版）」（財団法人金融情報システムセンター）
・「金融検査に関する基本指針」（金融庁：2005.07.01）
・「金融検査マニュアル（預金等受入金融機関に係る検査マニュアル）」（金融庁：2009.05）

日本システム監査人協会 会報

11May. 2011

日本システム監査人協会 会報

1.3 日本システム監査人協会「システム監査これからの 10 年」議論における法制化問題（当協会第８期総会資料および協会ホームページダウンロード資料より）
1.3.1 「システム監査のこれからの 10 年」の 10 の提言
日本システム監査人協会では、長年わが国におけるシステム監査の普及・向上に努力をしてきたが、創立20 周年を記念して発表された「システム監査のこれからの 10 年」で、協会が取り組むべき 10 の提言が公表された。
その４項目では、「システム監査の制度化、法制化」および５項目で「保証型監査についての見解の明確化と公表」が検討された。以下に紹介する。
1.3.2 「４．システム監査の法制化、制度化のあり方の検討」①取組み状況
・システム監査の、今後の機能とあり方を検討した。
・上記に基づき、現状制度としてどのようなものがあるかを想定した。
・上記の２項目の阻害要因等が何かを分析した。
・上記の３項目を排除する方策を検討し、制度化推進策を「提言」案としてまとめた。
②今後の取組み計画
・「提言」を協会内に発表する。
・「提言」を協会外に公表する。
・他の提言と合わせて、所管当局へ説明する。
制度化推進策「提言」の公表を待ちたい。
1.3.3 「５．保証型監査についての見解の明確化と公表」①アンケート調査結果「システム監査のこれからの 10 年」の 10 の提言に当たって、保証型監査について調査したアンケート結果（質問＆回答）は、以下の通り。
ⅰ）質問
助言型監査（問題点の指摘と改善に向けた助言を行うことが目的）とは別に、保証型（監査結果に基づいて問題の有無について表明することが目的）が導入されましたが、保証型監査についてどう思いますか。
ａ．監査の形態として望ましいものであり、システム監査は助言型から保証型にシフトしていく。
ｂ．それぞれの狙いが明確であり、監査目的によって使い分けていくべきである。
ｃ．システム監査は保証型には適さない。
ｄ．その他
ｅ．わからない。
ⅱ）回答
ｂ．の回答が 70%で大半であった。また、ｄ．と回答した方の意見のうち主なものは次の通りである。
・保証型の定義がわかりにくく、助言型との区別が明確でない。
・保証型の基準が明確でないため監査結果に個人差が出る。
・保証型監査を実施するにはリスクが大きい、監査コストが増大する。
これらの調査の後、協会で検討した結果の取組み状況および今後の取組み計画は次の通り。
②取組み状況
保証型監査については、システム監査・情報セキュリティ監査に関連する各団体で議論が進められているが、日本システム監査人協会 会報

12

May. 2011

日本システム監査人協会 会報

まだ確立されるに至っていない。システム監査の法制化・制度化を展望し、保証型システム監査のあり方を明確にしておく必要がある。
③今後の取組み計画
今後の取組み計画としては、以下の通り予定されている。
・システム監査の普及を使命とする当協会として、他団体の先行研究の成果も確認しながら、保証型システム
監査の定義、基準、実施方法、報告のあり方などについて見解をまとめ、公表する。
・システム監査のこれからの 10 年を見据えたテーマであり、拙速な検討でなく、じっくり腰を据えて検討を進める（2、3 年の中期検討計画の繰り返しで、都度途中経過を公表しながら成果を積み上げていく。
）。
・保証型監査は助言型監査との対比で語られるので、システム監査における保証型監査、助言型監査の発生経
緯と今後の両者の普及を展望し、必要であればシステム監査全体像の再整理、システム監査の定義の見直しにも検討の範囲を広げる。
・会計監査の分野で蓄積された監査の知見を十分参考にするが、会計監査とシステム監査との違い（情報シス
テムの特性など）にも十分注意を払っていく。
1.4 制度化、法制化への課題①システム監査の制度化、法制化
上記 1.3.2 で紹介した「提言」での検討には至らないであろうが、本レポートでも保証型システム監査の制度化・法制化を目標とした場合の課題について考えたい。
システム監査の制度化・法制化は、内部統制制度のように一度に上場企業全体への普及は望めないであろう。
だがしかし、官公庁や地方自治体情報システム、さらには社会的公共性の高い銀行・保険、運輸・交通・航空、郵便、ガス、水道、電気、電話・通信業界等々の情報システムに対しては急務である。段階的な導入を望みた
い。
②制度化の要件定義
制度化の最終目標は法制化であろう。しかしながら法制化に至るためには、筆者は保証型システム監査の制度化を確立し、その要件としての保証型システム監査の基本的枠組み（本レポートで言う「フレームワーク」）
を構築しなければならないと考える。
制度化とは、そのような基本的枠組みの確立および社会への浸透を言うものと定義する。そのための制度化における要件は、以下の通りと考える。
・保証型システム監査基準、保証型システム管理基準の策定
経済産業省公表の「システム監査基準」、「システム管理基準」等によりシステム監査制度は既に確立していると考えられる。しかし、次項で述べるように、保証型システム監査に耐えうるようにブラッシュアップが必要であろう。本レポートがその一助になることを望みたい。
・システム監査実施企業および企業認定の明確化
システム監査実施企業の明確化では、システム監査を実施できる企業を容易に知ることができるよう、経済産業省により、平成 3 年 3 月に「システム監査企業台帳に関する規則」(通商産業省告示第 72 号)を定め、システム監査企業台帳の閲覧制度を平成 3 年から実施されている。ただし、この台帳は当該実施企業からの申告をベースとしており、本来はしかるべき機関による実施企業認定の条件を明確にした認定制度を確立する必要がある。
・システム監査人の認定制度および能力・倫理、業務上の義務
システム監査企業は組織／団体であり、組織は実質的には監査を実施するシステム監査人により構成される。
日本システム監査人協会 会報

13

May. 2011

日本システム監査人協会 会報

ここにシステム監査人の認定制度が必要であり、日本システム監査人協会等が実施している。
また、保証型システム監査では助言型システム監査に比べてはるかに重い責任を負うものである。ここではシステム監査人および監査組織における十分な能力・倫理および業務上の義務（独立性、守秘義務等）等が要求される。
・システム監査実施認証制度／認証審査機関
制度化の成果としては、実際にシステム監査をしかるべき実施企業により適切に実施されたことを認証する制度の確立が必要である。現在、この分野はシステム監査については未実施である。個人情報保護法ではプライバシーマークの認証制度、情報セキュリティ監査では、ISO27000 認証制度がこれを行っている。
・制度化推進機関
以上の制度化を円滑に進めるためには、制度化推進機関が必要である。既に日本システム監査人協会や情報
セキュリティ監査協会等が各々の分野で普及活動に邁進されている。各組織が一体となって協力し、制度化を推進することが肝要であろう。
・社会への認知／浸透および企業の理解保証型システム監査の制度化には、従来のシステム監査制度に増して、社会的にその役割の必要性および重要性が認識されなければならない。多くの企業や社会全般へ必要性の認知を図り、実施の浸透を促進する必要がある。
③法制化の前提要件
筆者は、システム監査の法制化には、関連法令は当然のこととして、その前提として「保証型システム監査のフレームワーク」の明確化が必須要件と考える。本レポートを書くに至った契機である。
参考までに、「財務情報等に係る保証業務の概念的枠組みに関する意見書」（金融庁）の「一 審議の経緯等 ４
現行制度との関係」より法制度化に対する考えを抜粋する。
・「意見書」における保証業務と法制度化
金融商品取引法、公認会計士法等の財務諸表の監査を巡る現行の法制度は、それ自体、保証業務という概念を前提としているものではない。本意見書は、財務情報等を対象とする保証業務を中心とした概念的枠組みの整理を行うことを目的としているが、現行の法制度との関係については、今後、それぞれの法目的に基づいて、保証業務が制度上位置付けられていくこととなると考えられる。なお、本意見書に示された保証業務の概念的枠組みに照らせば、例えば、公認会計士の行う保証業務は、公認会計士法における「監査又は証明」業務を包含するものと捉えることができる。
以下、主要な公表文書を調査研究する。
・・（続く）

日本システム監査人協会 会報

14

May. 2011

日本システム監査人協会 会報

注目情報（5/1～5/31）■ 第 15 回サイバー犯罪に関する白浜シンポジウム～

テーマ「クラウド時代のセキュリティ対策」～

主催：サイバー犯罪に関する白浜シンポジウム実行委員会
日程：5 月 26 日（木）～5 月 28 日（土）会場：和歌山県立情報交流センターBig・U
詳細は http://www.sccs-jp.org/SCCS2011/ をご参照ください。

■ 独立行政法人情報処理推進機構
中小企業におけるクラウドサービスの安全利用に向けた文書の公開～「クラウドサービス安全利用の手引き」と「情報開示の参照ガイド」を作成提供
IPA（独立行政法人情報処理推進機構、理事長：藤江一正）は、中小企業によるクラウドサービスの安全利用と、そのために必要なクラウド事業者からの情報開示に参考となる文書を作成し、2011 年 4 月 25 日（月）から、IPA のウェブサイトで公開しました。
URL： http://www.ipa.go.jp/security/cloud/tebiki_guide.html■ システム監査学会主催

第 25 回研究大会（2011/6/10（金）10：00-16：40）【テーマ】 「リスクマネジメントとシステム監査－東日本大震災からの考察－」【開催趣旨】 このたびの東日本大震災で災害に遭われた方々に対しお見舞い申し上げますと共に、一日も早い復興を心よりお祈り申しあげます。
今般の東日本を襲った大震災および原発事故は、かつて経験したことのない未曾有の状況となっております。行政機関において公文書であります「戸籍原本」、「住民基本台帳」などの紛失や個人情報の流失の被害が発生しています。そのため、東日本大震災に伴い、統一論題「リスクマネジメントとシステム監査－東日本大震災からの考察－」の基に、基調講演やシステム管理基準の意義等についてパネルディスカッションを行います。
また、研究大会として、例年同様に各専門監査人部会活動報告および研究プロジェクト成果報
告を行い、システム監査の役割および必要性に応えるよう議論します。
本学会会員ならびシステム監査、情報システム、リスクマネジメント、ＢＣＰ/ＢＣＭＳなどに携わっている関係各方面の方々のご参加をお待ちしております。
【日 時】2011 年 6 月 10 日（金）10：00-16：40 （開場 9：30-）【会 場】機械振興会館ホール（地下 2 階） 東京都港区芝公園 3-5-8
http://www.jspmi.or.jp/kaikan.htm【主 催】システム監査学会（JSSA） 【定 員】200 名【参加費】
・システム監査学会会員、後援団体会員 5,000 円（日本システム監査人協会会員の方は「会員」価格でご参加いただけます）
・一般：8,000 円【申込・詳細】http://www.sysaudit.gr.jp/taikai/2011taikai.html
日本システム監査人協会 会報

15

May. 2011

日本システム監査人協会 会報

全国のイベント・セミナー情報■ 【東京・月例研究会の案内】【5 月の月例研究会】
開催日時 ：5 月 31 日（火） 午後 6 時半から 8 時半場

所 ：御茶ノ水 総評会館 2 階大会議室
千代田区神田駿河台 3-2-11 電話：03-3253-1771（代）（地下鉄千代田線 新御茶ノ水Ｂ３直結 または、ＪＲ御茶ノ水聖橋出口５分）

講演テーマ：「IFRS プロジェクトをシステム監査する～一般事業会社を中心として～」講

演 者：あずさ監査法人ＩＴ監査部パートナー

当協会理事 遠藤 誠

氏

【6 月の月例研究会】
開催日時 ：6 月 29 日（水） 午後 6 時半から 8 時半場

所：御茶ノ水 総評会館 2 階大会議室

講演テーマ：「りそなグループにおけるシステム監査（監査実務を中心に）」
概要：１．システム監査の体制
２．監査の実施手順
３．内部評価４．過去に実施した主なシステム監査の概要

講演 者：りそなホールディングス 内部監査部

田原公正 様【7 月の月例研究会】
開催日：7 月 20 日（水） 午後 6 時半から 8 時半

場所

：御茶ノ水 総評会館 2 階大会議室

講演テーマ：「クラウドサービス利用のための情報セキュリティマネジメントガイドラインについて」
講演者：経済産業省 商務情報政策局情報セキュリティ政策室課長補佐 佐藤 氏【8 月の月例研究会】
開催日：8 月 24 日（水） 午後 6 時半から 8 時半

場所

：御茶ノ水 総評会館 2 階大会議室

講演テーマ：「医療の情報化と医療情報システム監査人制度について（仮題）」
講演者：財団法人医療情報システム開発センター 医療情報安全管理推進部
部長 相澤直行 氏（予定）会

費 ：SAAJ 会員 2,000 円 非会員 3,000 円

参加申込：当協会のＨＰ（http://www.saaj.or.jp/）からお申込ください。

日本システム監査人協会 会報

16

May. 2011

日本システム監査人協会 会報■ 第 18 回システム監査実務セミナー

於・東京

日本システム監査人協会では、設立目的のひとつである「システム監査人の実務能力の維持・向上」のため、毎年数回、実践的なセミナーを開催しています。
今回のセミナーは、当協会が既に多くの開催実績を重ねる、「システム監査実務セミナー」（4 日間コース
1 泊 2 日×2 回）です。
このセミナーは、当協会の事例研究会で実施したシステム監査普及サービスの事例を教材として、実践で得たノウハウを皆様と共有することを目標にしています。
また、システム監査を通して、経営に役立つシステムの提言についてもノウハウをご提供していきます。
システム監査の実際を体験してみたい方や、システム監査技術者試験には合格したもののシステム監査参加機会のない方、社内でのシステム監査に取り組むことをお考えの方は、この機会を利用してシステム監査の実際を経験し、システム監査能力の向上を図りましょう。
なお、このセミナーを受講し、事後課題を提出頂きその内容が適切と判断された場合には、当協会が認定する公認システム監査人の必要なシステム監査実務を１年間経験したものとみなされます。
1．日程及び会場
平成 23 年 8 月 27 日(土)～28 日(日)平成 22 年 9 月 10 日(土)～11 日(日) ＜1 泊２日×２＞ どちらか一方のみの参加は不可
時間：土曜は 10:00～21:00、日曜は 09:00～16:00（進行状況により若干の変更が生じる場合があります。）〒104-0053 東京都中央区晴海 3-8-1 電話番号： 03-3533-7111

晴海グランドホテル（最寄り駅 都営地下鉄大江戸線勝どき駅下車徒歩８分）
2．費用 168,000 円（日本システム監査人協会会員）
189,000 円（一般）（費用には、教材費・宿泊費・食事代・消費税が含まれます。）
原則として、宿泊必須となりますが、事情により宿泊が難しい場合は、ご相談ください。
3． 副教材
情報システム監査実践マニュアル(第 2 版) 森北出版社 5,460 円
お近くの書店等にてご購入ください。
工業調査会版の同名書をお持ちの場合は、内容は変わりませんので、新たに購入する必要はありません。
4． 受講の前提条件
情報処理技術者(システム監査)資格保有者もしくは同等の知識を有する方、または内部監査、システ
ム監査の経験がある方(上記条件に当てはまらない方は、お問合せください)
5．受講していただきたい方
システム監査の実際を体験してみたい方
システム監査技術者試験には合格したもののシステム監査参加機会のない方
内部監査部門で、システム監査にも取り組まれようとしている方
公認システム監査人の資格認定を目指している方
日本システム監査人協会 会報

17

May. 2011

日本システム監査人協会 会報

6．募集人員

定員 20 名

7．受講申し込み方法 以下の URL からお申し込みください。
http://www.saaj.or.jp/kenkyu/jitsumuseminar18.html■ 近畿支部

第 126 回定例研究会

開催日：5 月 20 日（金）午後 6 時半から 8 時半

場所 ：大阪大学 中之島センター２Ｆ講義室１（http://www.onc.osaka-u.ac.jp/others/map/index.php）
テーマ：「国際会計基準（IFRS）のシステム対応の落し穴－あなたの知らない意外な盲点－」
講師 ：株式会社アロウズコンサルティング社 マネージャー
田淵隆明 氏（当支部会員）
詳細・参加申込は当協会ＨＰ（http://www.saaj.or.jp/shibu/kinki/kenkyukai126.html）をご参照ください。

■ システム監査課題解決セミナー（近畿支部主催）
開催日：7 月 23 日（土）午後 1 時から 5 時

場所 ：常翔学園大阪センター （http://www.josho.ac.jp/osakacenter/）
費用 ：5,000 円
内容 ：一つの事例を講義中心（受講者も一部参加）で行います
STEP１ 事故・障害事例

STEP２ 事例のリスク

STEP３ リスクコントロール

STEP４

システム監査による評価

詳細・参加申込は当協会 HP（http://www.saaj.or.jp/shibu/kinki/kaiketsu20110723.html）
をご参照ください。

■ システム監査実践セミナー2 日間コース（近畿支部主催）
開催日：9 月 23 日（金・祝） 午後 1 時から 9 時
9 月 24 日（土）＜一泊 2 日＞

午前 9 時から午後 4 時半

場所 ：第 1 サニーストンホテル（予定）（http://www.sunnystonehotel.co.jp/pc/sunny_1/index.html）
費用 ：会員84,000 円

その他 105,000 円(早期割引制度有)

内容 ：事例研究会が実施したシステム監査サービスを基にしたケーススタディです。セミナー用にアレンジした「システム監査依頼書および企業情報」を教材として、4～5 名程度のグループにわかれて、
監査計画作成から予備調査、本調査、監査報告の実際を体験していただきます。
詳細・参加申込は当協会 HP をご参照ください。
（http://www.saaj.or.jp/kenkyu/jissenseminar-kinki20110923.html）

日本システム監査人協会 会報

18

May. 2011

日本システム監査人協会 会報

会員限定記事【本部・理事会議事録】（会員サイトから閲覧ください。パスワードが必要です）（今回は新しい記事はありません。
）

出版物リニューアルのおしらせ
公認システム監査人・システム監査人補の認定を受けている、あるいはシステム監査技術者試験に合格している日本
システム監査人協会の会員が、協会内の研究会でのシステム監査の実践や、業務活動におけるシステム監査の実務経験をもとに、実践マニュアルを執筆しています。
このうち次の３冊が、出版社を森北出版株式会社に変更して、リニューアルしておりますので、お知らせします。
「J-SOX 対応 ＩＴ統制監査実践マニュアル」「個人情報保護マネジメントシステム実践マニュアル」『情報システム監査実践マニュアル（第２版）』■発行： NPO 法人 日本システム監査人協会 会報編集部〒103-0025 東京都中央区日本橋茅場町２－８－８共同ビル６F■ご質問は、下記のお問い合わせフォームよりお願いします。
【お問い合わせ】 http://www.saaj.or.jp/toiawase/■送付停止は、購読申請・解除フォームに申し込んでください。
【送付停止】 http://www.skansanin.com/saaj/
Copyright(C)2011、NPO 法人 日本システム監査人協会
掲載記事の転載は自由ですが、内容は改変せず、出典を明記していただくようお願いします。
■□■ＳＡＡＪ会報担当━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
編集： 竹下和孝、仲 厚吉、安部晃生、成 楽秀、桜井由美子、清水恵子、山田 隆、片岡 学、
木村陽一、藤野明夫

投稿用アドレス：saaj-kaihoh☆yahoogroups.jp（☆は安全対策）━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
日本システム監査人協会 会報19