February 2016

日本システム監査人協会 会報

認定 NPO 法人

2016 年 2 月号

日本システム監査人協会報
━━

No

179

No.179（2016 年 2 月号）＜1 月 25 日発行＞ ━━━━━━━━━━━━━━━━━━

システム開発・運用、ITガバナンス等、
システム監査の対象は、益々拡大しています。
システム監査人の力で、明るい未来の花を咲かせましょう！
写真提供：仲会長「山茶花」

巻頭言『システム監査人倫理規定について』
会員番号

1750

舘岡均

（副会長）

社会的責任を担う高度な専門職業人は、社会に大きな影響を及ぼすことから高い倫理的な責任が求められており、それぞれの倫理規定が定められています。しかし、ニュースなどで報じられているように、法曹、会計監査、医療、等々の専門職業人の不正・不祥事の中には、職業倫理が欠如と思われるものがあります。
皆様がご存じのように、当協会においても、システム監査人が最低限遵守すべき職業倫理の規範を定めている倫理規定があります。具体的には、「目的」からはじまり、「使命」、「責務」、「監査基準・手続き」、「監査報告」、「守秘義務」、「独立性」、「公正不偏」、「社会的信頼の保持」、「名誉と信義」、「システム監査人間の規律」、「自己研鑚」、「規定の改廃」の各項から成っています。まさしくシステム監査人としての活動において、常に心得ておくべきことが記述されており、システム監査が業としてさらに社会に認められて普及するためにも、常日頃からこの倫理規定を根底においた活動が望まれます。ちなみに、公認システム監査人（CSA）認定の面接試験におい＜目次＞ても重要項目の一つにもなっています。
折にふれて読む度に「システム監査人倫理規定」は実に奥深いものであると思っています。皆様におかれましても、今一度目通しをされることで、新たな気づきがあるかもしれません。
以上[参考]
日本システム監査人協会 「システム監査人倫理規定」 URL： http://www.saaj.or.jp/gaiyo/rinri.html

日本システム監査人協会 会報1February 2016

日本システム監査人協会 会報

各行から Ctrl キー+クリックで該当記事にジャンプできます。
（各記事末尾には目次へ戻るリンク有）

○

＜目次＞

巻頭言
『システム監査人倫理規定について』

１．めだか【 システム監査の課題

1

3

】

２．投稿
【 システム監査の活性化 】

4【コラム】システム監査から見たマイナンバー汚職事件
３．本部報告8

第２０９回 月例研究会講演録【IT ガバナンスの JIS 化（JIS Q 38500:2015）について】
講師：日本ＩＴガバナンス協会（ITGI Japan）

副理事長 梶本 政利 氏

特定非営利活動法人 日本システム監査人協会（SAAJ） 副会長
４．支部報告近畿支部報告【 近畿支部 第１５６回定例研究会「ＤｅｖＯｐｓの基礎」

力 利則 氏17（ISACA 大阪支部合同）】

５．注目情報20■プレス発表「攻殻機動隊 STAND ALONE COMPLEX」と新国家試験「情報セキュリティマネジメント試験」がコラボ！

６．セミナー開催案内【協会主催イベント・セミナーのご案内】

21

７．協会からのお知らせ【第 15 期通常総会のご案内】【新たに会員になられた方々へ】【ＳＡＡＪ協会行事一覧】

22

８．会報編集部からのお知らせ

25

日本システム監査人協会 会報2February 2016

日本システム監査人協会 会報
2016.1

めだか 【システム監査の課題】

会報の年間テーマは「システム監査の活性化」に決まり、四半期テーマは「システム監査の課題」となった。「システム監査の活性化」への方向性や取組み方針は、個々のシステム監査の課題を挙げて課題解決を論じ、それらを単に合わせても決まるわけではない。しかし、大きな課題を取り上げて論じることは、意味があると思う。
大きな課題でいえば、「IT ガバナンスの JIS 化 （JIS Q 38500:2015）について」は、2015 年 12 月 14 日の第 209回月例研究会で取り上げたテーマである。JIS Q 38500:2015 規格によれば、「ガバナンス（組織を指示し、管理するシステム）」は、代表者が事業経営の先頭に立って取り組むべき大きな課題であり、「IT ガバナンス」は、そのうち、“組織の IT の現在及び将来の利用を指示し、管理するシステム”であるとある。
JIS Q 38500:2015 規格を適用する「目的」は、“全ての組織で IT の効果的、効率的及び受容可能な利用を促進することである。”とあり、それは、次に挙げる事項に依るとしている。
‐ この規格に従えば、組織の IT ガバナンスで信頼を獲得できることを（消費者、株主及び従業員を含む。）ス
テークホルダーに保証する。
‐ 組織の IT ガバナンスの利用について経営者に対する情報提供及び指針を与える。
‐ IT ガバナンスの客観的評価の基盤を提供する。
システム監査の役割は、「IT ガバナンス」において「事業プロセス」のパフォーマンスと適合性をモニターする場面にあり、また、「事業プロセス」において情報システムにまつわるリスクに対するコントロールが適切かチェックする場面にあると言える。JIS Q 38500:2015 規格のもとになる ISO においては、シリーズ化、具体化が進められている。
システム監査学会主催 第 28 回公開シンポジウム「（統一論題）マイナンバー制度とシステム監査の役割」では、<基調講演>「システム監査対象としての『情報システム』の再検討」 （講師：中央大学商学部教授 遠山暁 氏）が行われ、これもシステム監査の大きな課題を取り扱っている。基調講演の総括・課題では、システム監査が、「開発プロジェクト監査」から真の「情報システム監査」へ変化していくように、
・「開発して利用する」ではなく「利用しながら開発する」の枠組みのもとでシステム管理基準をいかに策定するか。
・ビジネス改革・組織変革の推進方法・管理基準といかに融合させるか。
・ステークホルダー単位でのシステム目的の識別・特定化という論理の導入。
・「意図せざる創発的効果」の評価。
などを挙げて、講演を締め括くっている。
（空心菜）「システム監査の活性化」への方向性や取組み方針を考えるうえで、「システム監査の課題」は、上記のような大きな課題を理解することから取り組み始めたいと思う。

（このコラム文書は、投稿者の個人的な意見表明であり、ＳＡＡＪの見解ではありません。 ）＜目次＞
日本システム監査人協会 会報3February 2016

日本システム監査人協会 会報
2016.1

投稿【 システム監査の活性化】
会員番号 0557 仲 厚吉 （会長）

IT の利活用が日常化するなか、当協会は、システム監査をはじめ、IT ガバナンス、情報セキュリティ、個人情報保護、事業継続など、次々と IT に関わって現れる課題に取り組み、「システム監査の活性化」を進めています。2016 年度は、事業計画（案）を、次のように立案しています。
１.本部・計画
１．１．全般概要2016 年度の協会運営の方向性として、システム監査の普及・促進活動の一層の推進を目的とした協会活動を行う。
会員各位からご寄附を頂いた実績により東京都「認定 NPO 法人」に認定されたことをもとに、協会の信頼性、システム
監査人の社会的評価の向上を図る。システム監査の活性化のため、協会ビジョンを掲げるとともに、｢Assessment of
the governance of IT｣の ISO 化、システム監査に関連する他団体との交流、会員とのコミュニケーション向上のため

ホームページの活用、及び会員ポータルサイトの導入を進める。IT ガバナンス、情報セキュリティ、個人情報保護、及びプロジェクトマネジメント等をテーマに、システム監査の活性化、システム監査人の活用を図る。
（１）2016 年度の協会事業について協会事業の方向性は次の３点とする。

１）システム監査人の社会的評価の向上「公認システム監査人」資格を「認定 NPO 法人」の認定資格として評価を向上させる。
２）システム監査の活性化
システム監査活性化委員会を中心に協会ビジョンを明確化しシステム監査を活性化させる。
３）協会組織の充実
協会組織を整備し体制を充実させ世代交代に取り組む。
２．システム監査の活性化の一環として次の活動を行う。
１）｢Assessment of the governance of IT｣の ISO 化を推進する。
２）システム監査に関連する他団体との交流を進める。
３）コミュニケーション向上のため会員ポータルサイトの導入を進める。
（２）2016 年度の予算編成について事業活動についての考えに基づき予算を編成する。
１）編成方針予算編成方針は、収益性とともに活動性を重要とする。
２）事業活動
事業活動は、収支バランスを原則とする。収支は公認システム監査人等認定事業収支が隔年上下変動することを考え 2 年タームで取り組む。
３）事務局
事務局（斎藤由紀子事務局長）以下、事務局業務の効率化を図り、会員サービスの向上に取り組むとともに、会計（安部晃生主査、藤澤博理事）と協力して、協会の健全運営に努める。また、会員とのコミュニケーション向上のため会員ポータルサイトの導入に向け予算措置を講じる。
日本システム監査人協会 会報4February 2016

日本システム監査人協会 会報

当協会では、2016 年度より、新たに「協会ビジョン」を掲げ、「システム監査の活性化」に取り組みます。正式には、2016 年 2 月 22 日（月）の通常総会で発表しますが、現在、検討しているものは次のような要旨になります。
■ＳＡＡＪのビジョン（３年後に目指す姿）●社会の多様な要請に対応し、信頼性・安全性が高くかつ有効な IT 活用を実現することを目標として、IT サービスの提供者と利用者双方における適切な統制を維持・向上させる活動を、既存のシステム監査を核にした“IT アセスメント”としてとらえる。
そのうえで、SAAJ の活動を“IT アセスメント”の定着に焦点を当てて取り組む。
●これにより、会員を含むシステム監査人のビジネス機会の増大を図り、SAAJ の知名度向上、会員の拡大に繋げる。

■キャッチフレーズ
ＳＡ（System Audit）からＩＡ（IT Assessment）へ●IT アセスメントとは既存のシステム監査を核に、以下の内容も含めた活動を“IT アセスメント”と定義し、 IT サービスの提供者と利用者双方における適切な統制を維持・向上させる活動として、今後の SAAJ の活動対象とし、その周知・定着を図る。
・IT 構築、運用および利活用などに関する評価、助言、コンサルティング
・IT ガバナンス、内部統制などに関する経営者や管理者への評価、助言
・IT に関する各種監査；システム監査、情報セキュリティ監査、法律や各種制度に基づく監査、ISO マネ
ジメントシステムの監査 など「システム監査の活性化」は、IT の利活用が日常化する社会に必要な課題に取り組み、健全な IT 社会の発展に資する活動のうちになされていくと思います。
以上＜目次＞
日本システム監査人協会 会報5February 2016

日本システム監査人協会 会報
2016.1【コラム】システム監査から見たマイナンバー汚職事件
会員番号 1428 中田和男
1.はじめに、システム監査関連団体の一員として2015 年 10 月に発覚し、世情を賑わしたニュースの、マイナンバー汚職事件について取り上げたい。この事件につき、我々IT 関連、特にシステム監査を名乗る団体の一員として考えるべき事が数多くあるのではないか。システム監査
人は、マイナンバー制度を個人情報保護やセキュリティといった個別の視点のみではなく、こうした同制度にまつわる諸問題を、全体的・総合的に点検する能力が求められているはずである。
2.事件の概要
厚生労働省の情報政策担当参事官室・室長補佐が、医療情報分野の専門性を買われて長年の同室在勤の挙句、関連の IT 業者と親しい関係を築き、厚労省の事業について、その業者に受注の便宜を図ったことが収賄事件に発展した。この担当官と IT 業者は、2005 年頃から親しい関係となり、持ちつ持たれつの付き合いを続けた結果、この業者
は、担当官の支援により、同省の IT 関連事業において有利な立場を得て、2007 年から 2015 年までの間に約 15 億円の受注実績を挙げている。このような関係の下、継続した金銭授受が行われ、このうち 2011 年秋の事案が贈収賄として摘発された。尚、贈賄側については、時効が成立している。
この事案は、マイナンバー制度導入の可否そのものに関するものでなく、社会保障分野でのマイナンバー制度の実現に向けた厚労省の調査・検討の業務に際してのものである。本件は、同省の IT 担当官と関連事業者の長年の親密な関係から生じた癒着が背景にあり、本来、同省が自己で行うべき調査・検討業務を当該業者に外注するという特異なケースで、厚労省の体質に根ざす案件であり、同省の IT 行政の特質に関わるものだといえる。
尚、この IT 事業者は、複数の他省庁からも約 15 億円の受注を得ており、これについては、採用の際に、厚労省の受注実績が考慮されたとの報道が行われている。
3.問題点の整理
この事件の本質は、下記の通り厚労省の IT プロジェクトの遂行体制の問題と考えられる。
（1）長年の同一部署在勤：この担当官の経歴を見ると、国立病院の医療業務担当として採用した事務官をその IT 技
能を買って、本省 IT 担当として抜擢したもので、その後長く同一業務に携わっており、この間、医療分野の IT のプロとして省内で高い評価を得て来ていた。
（2）IT 部門担当の聖域化：このような IT 担当官は、厚労省としては、専門分野担当として、本来の省務とは切り離された形の、言わばアンタッチャブルと化していた。即ち、IT 分野については任せるが、厚労省の省務からは切り離された聖域の扱いとなっていた。
（3）予算管理のルーズさ：厚労省は、巨大な事業執行省であり、一般の事業は予算数十億円以上であり、数億円以下の IT 分野事業は、おまけの事業として担当官に任せきりとなっていた。このため、IT 事業予算は、担当官に丸投げ状態と化していた。そこで、この有能な IT 担当官が、医療 IT 分野で幅広く人脈を築き、省内においても、こと IT に関する限り、全面的に任される体制にあり、事業予算も担当官の自由裁量にまかされていた形である。
（4）業者との癒着：このような状況下で、担当官と贈賄側の事業者とは長年の付き合いの下、指導・協力の関係が続き、その中から、省が纏めるべき仕様書まで業者に作成させるなどの特殊な関係が築き上げられ、それが指導・顧問料の金銭授受に繋がり、やがて倫理感が希薄となった結果、汚職に発展したといえる。
日本システム監査人協会 会報6February 2016

日本システム監査人協会 会報

なお、このような事案は、必ずしも厚生労働省に特有のものと言い切れず他省庁においても起こりうる との報道もなされている。
4.対策の考察（1）IT 担当官のローテーション確立：IT 担当官の長年の同一分野在籍が事件につながったことから、担当官のローテーションは必須といえる。このためには、優秀な IT 担当官の拡充が必要で、ここに、我々IT 関連団体からも人材供給が求められる事になる。我々は、他団体とも連携して、行政への人材供給の充実を図る必要がある。
（2）厚労省の予算統制の拡充：これについては、あくまで省務に関わることであり、我々省外から云々するべきものでもないが、今回のような事案を防止するためにも予算統制の充実を大いに期待したい。また。この観点から、日本システム監査人協会としても、人材供給等協力することができるのではないか。
（3）業者との癒着防止：担当官の意識の問題とも考えられるが、事件防止のためには、IT 担当を含む業務統制の拡充を省に期待したい。また、関連業者との指導・顧問関係の禁止等も、本来機能している筈のもので、IT 担当の聖域化が打破されれば問題解消となるものと期待される。
（4）システム監査の実施：官公庁の巨大プロジェクトやシステム運用業務には、その開発、運用の公正確保の観点から、システム監査を義務化すべきと考える。今回の事案に即して監査のポイントを考察すると、省庁の組織編成、業務執行体制、業者との特殊な関係の有無等が挙げられる。なお当然ながら監査人は、次項の評価制度により選定された優良な事業者に属する等、有資格者であることを条件とすべきである。
5.IT 事業者評価制度導入の提言
IT 事業入札の公正を確保するためには、優良な事業者の選定が必要である。
我々、近畿支部システム監査法制化推進プロジェクトが、数年前から提言してきた IT 事業者評価制度は、客観性の高いものであると自負している。まず IT 事業者の財務状況等を計数化して、各事業者の水準を評価し、ランク付
けすることにより、評価点の低い不良業者の排除を目指している。
更に、IT 技術者（国家資格保有者等）の人数も評価に加えており、各省庁からの人材募集に際して我々各団体
が人材を推薦する場合においても、人材推薦に有意義なものと期待できる。
こうした客観的な IT 事業者の評価制度により入札業者を絞ることは、恣意的な不良業者への発注抑止について、一定以上の効果が見込まれる。
6.終わりに、再びシステム監査関連団体員として以上、いわゆるマイナンバー汚職事件の報道に接して感じたことを申し述べたが、我々IT 人材を省庁に供給する業界としても、有能な IT 人材がこのような倫理に反する失態を招いたことについて自己反省の必要があると同時に、当事者や社会に警告や対策案を発信していくことが重要と考える。
なお、このコラムの執筆に際し、システム監査法制化推進プロジェクトの田淵隆明主査、神尾博副主査より、懇切なるアドバイスを頂いたことに、この場にて感謝申し上げる。
＊報道記事の出典：朝日新聞
10 月 13 日 21:20 参事官逮捕報道（デジタル版）
日本経済新聞 10 月 13 日 15:21 逮捕報道（デジタル版）
毎日新聞
10 月 14 日 02:30 続報 厚労省会見報道（デジタル版）
産経新聞
10 月 13 日 20:24 解説記事 マイナンバー特需（デジタル版）

他（このコラム文書は、個人的な意見表明であり、ＳＡＡＪの見解ではありません。）＜目次＞
日本システム監査人協会 会報7February 2016

日本システム監査人協会 会報
2016.1

第２０９回

月例研究会 （２０１５年１２月１４日開催）
会員番号 0056 藤野明夫

【講演テーマ】 「IT ガバナンスの JIS 化（JIS Q 38500:2015）について」
講師：日本ＩＴガバナンス協会（ITGI Japan）

副理事長 梶本 政利 氏

特定非営利活動法人 日本システム監査人協会（SAAJ） 副会長

力 利則 氏

日時：2015 年１２月１４日（月曜日） 18:30～20:30
場所：機械振興会館 地下 2 階ホール
【講演骨子】
本年７月に「IT ガバナンス」が JIS Q 38500 として制定された。
この原案策定に関わったメンバーとして、JIS Q 38500 成立の経緯から、その内容について解説を行う。さらにどのように解釈することができるか、IT ガバナンスの強化を訴えている日本政府の実情、JIS Q 38500 のベースとなった
ISO/IEC 38500 の適用事例等についてお話ししたいと考えている。
官民問わず、大小問わず、いかなる組織においても IT を活用し IT に依存している現在では、IT ガバナンスの重要性は益々高まっているといえる。そのための国際的な動向や知識について、ご出席される方々にご提供できれば幸いである。
【講演概要】
はじめに（力講師）
本日は、以下のお話しをする。
本年７月に「IT ガバナンス」が JIS Q 38500 として制定された。この原案策定に関わったメンバーとして、JIS Q 38500
成立の経緯から、その内容について解説を行う（主に力講師担当）。さらに、どのように解釈することができるか、IT ガ
バナンスの強化を訴えている日本政府の実情、JIS Q 38500 のベースとなった ISO/IEC 38500 の適用事例等についてお話しする（主に梶本講師担当）。
Ⅰ．IT ガバナンス JIS 化の経緯とその内容について（力講師）2015 年 7 月 21 日に新しく制定された「JIS Q 38500 情報技術 IT ガバナンス（以下、「規格」又は「本規格」という）」について、制定に至る経緯や ISO/IEC38500（注 1）の翻訳話等も含め、IT ガバナンスの枠組みと原則、その内容について説明する。
１．「ISO/IEC38500 IT Governance」の JIS 化の経緯
近年、企業の信頼を損ねるような不祥事が散見されており、また、IT の運用でも、経営者のモニタが十分でなく、問題を深刻化される事例が発生している。そのため、企業統治（コーポレートガバナンス）の一層の強化が叫ばれている状況にある。同時に、ここ 10 年の IT の企業運営への浸透を考えると、企業のガバナンスにとって、IT の利用又は ITそのものを管理することは、非常に重要なものとなっている。
一方、ISO/IEC JTC 1（注 1）において、IT のガバナンスの標準は「ISO/IEC38500：2008

International Standard

for Corporate Governance of Information Technology（IT Governance）」として 2008 年に発行されており、その知名度も高くなってきている（注 2）。
このような背景の下に、ISO/IEC 規格を翻訳して、企業の経営層へその原則を周知し、経営者としてやるべきことについて知らしめていくことがガバナンスの向上に役に立つと考え、ISO/IEC 規格の JIS 化が行われた。JIS 化に当たっては、最初の国際規格は 2008 年に発行されたが早期改正の検討に入ったため、それを待つつもりでいた。しかし、そ日本システム監査人協会 会報8February 2016

日本システム監査人協会 会報の改正が順調に進まず、更に 2 年程度かかること、また、内容が二つの規格に分割される方向にあり、まとまりが悪くなる可能性があることなどから、ISO/IEC 規格の JIS 化に踏み切ることにし、情報処理学会は、JIS 原案作成委員会を組織して、JIS 原案を作成した。
この規格の JIS 化によって、IT のガバナンスのあり方が周知されることが期待される。また、この規格は企業統治のために経営者が IT に対して何をすることが望ましいかを記載しており、IT ガバナンスの実現に有効であると考える。
なお、本規格の詳細は、文末の参考文献欄のＪＩＳ「情報技術－IT ガバナンス ＪＩＳ Ｑ ３８５００」を参照されたい（以下、適宜、本参考文献を引用、参照する）。
（注 1）ISO/IEC JTC 1：ISO/IEC JTC 1 は、ISO と IEC の第１合同技術委員会 (Joint Technical Committee 1) のことであり、情報技術 (IT) 分野の標準化を行うために 1987 年に設立された組織である。なお、ＩＳＯ（International
Organization for Standardization）は国際標準化機構であり、ＩＥＣ（International Electrotechnical Commission）は国際電気標準会議である。この両組織が一体となって活動する委員会であるので “Joint”が付いている。
（注 2）「ISO/IEC38500：2008」は、2015 年に改定され「ISO/IEC38500：2015」となった。JIS 化を行ったばかりであるが、JIS も早急に 2015 年版に対応した改定を行うべきであると考えている。
２．規格の概要
２－１．全体像
この規格は、組織のディレクタ（経営者）が考えるべき IT のコーポレートガバナンスの原則及びディレクタ（経営者）がその原則に沿ってやるべきことを示している。言い方を変えると、組織のディレクタ（経営者）に対して、その組織内で ITの効果的、効率的で受容可能な使用に関するガイドとなる原則を提供している。適用の対象は、規模の大小を問わず、
また、公的、私的の区別もなく、ＮＧＯも含めたあらゆる組織としている。本規格を適用する組織のディレクタ（経営者）
は、Ｅ（evaluate）-Ｄ（direct）-Ｍ（monitor）という３つのステップに分けて、６つの原則（責任、戦略、取得、パフォーマン
ス、適合、人間行動）に沿って取り組んでいくべきであることが示されている。
この規格を使う目的は、あらゆる組織において次の三つのことによって IT の効果的、効率的かつ受容可能な利用を推進することである。
・本規格を遵守しているのであれば、この組織の IT ガバナンスが信用に足るものであることを利害関係者へ示すこと
・組織の IT 利用を統制することにおいてディレクタに情報提供し、ディレクタを導くこと
・IT ガバナンスの客観的な評価のための基礎を提供すること
ただし、この規格では一般的な原則を記載しているだけなので、組織で実際に運用するとなると COBIT、COSO といった具体的な管理策を記載したものを組織内で実施することが必要となる。
この原則に従っている組織にとって、この規格を使う利点は以下のとおりである。
・不十分な IT システムによって生じる法令に準拠していないリスクがディレクタに明らかになる。
・IT を扱かっている手続によって、適切に対処されなければならない特定のリスクが関連付けられる。
・ディレクタが、適切な IT ガバナンスによって、IT の利用によって組織の活動状況に積極的に貢献することを確認できるようになる。
２－２．IT ガバナンスのモデルについて
この規格のコンセプトを図示したものが、図１．である。ここでは、前述の、Ｅ（evaluate、評価）-Ｄ（direct、指示）-Ｍ（monitor、モニタ）という三つのステップに分けて、組織のディレクタ（経営者）がやるべきことをモデル化している。このモデルをそれぞれのステップの頭文字をとって「EDM モデル」と呼んでいる。それぞれのステップの内容は、以下のとおりである。
日本システム監査人協会 会報9February 2016

日本システム監査人協会 会報

・Ｅ（evaluate、評価）：現在と将来の IT の利用について評価する。
・Ｄ（direct、指示）：IT の利用が組織のビジネス目標に合致するように計画とポリシを策定し、実施する。
・Ｍ（monitor、モニタ）：ポリシへの準拠と計画に対する達成度をモニタする。

ＩＴガバナンス
評価
指示

モニタ

図 1. IT ガバナンスのモデル
なお、このモデルは、2015 年の ISO/IEC38500 で若干改定された。JIS でも、いずれ改定することになると考える。
２－３．IT ガバナンスを実現するための 6 つの原則について
本規格では、責任、戦略、取得、パフォーマンス、適合、人間行動の６つの原則に沿って、IT ガバナンスを実現しようとしている。この原則の概要は以下のとおりである。
・Responsibility （責任）： IT に対する責任を明確にする原則
・Strategy （戦略）：IT は組織の目的を最大限に支援する原則
・Acquisition （調達・取得）：IT の有効性を高める適用原則
・Performance （パフォーマンス）：IT の可用性を高める性能原則
・Conformance （適合・準拠）：IT が法令や企業内部の取決めに準拠する準拠原則
・Human behavior （人的行動）：IT は人的要素を考慮する人的行動原則
本規格では、この 6 つの原則個々に対する前述のＥ（evaluate、評価）、Ｄ（direct、指示）、Ｍ（monitor、モニタ）の三つのステップの望ましい実施内容を、やや詳しく提示している。
２－４．本規格の利用者について本規格の利用者について述べる。
第一は、当然のことながらガバナンスの主体である経営陣である。
日本システム監査人協会 会報10February 2016

日本システム監査人協会 会報

次に、ＩＴに関する実務上のプロセスの遂行者である組織内の IT の専門家もしくは外部のサービス提供者、又は組織内の事業部門の人々である。
さらに、経営陣に助言したり情報提供したり支援したりする方々、すなわち、上級マネージャー、組織内で資源を監視するグループの構成員、法律又は会計等の外部の業務又は技術の専門家、小売り関係者又は専門家の団体、ハードウェア、ソフトウェア、通信及びその他ＩＴ製品の供給業者、内外のサービス提供者（コンサルタントを含む）、ＩＴ監
査人等の方々にも利用していただきたい。
以上が、本規格の概要であるが、これ以上は規格の内容そのものになるので、詳しく知りたい方は参考文献、「情報技術－IT ガバナンス ＪＩＳ Ｑ ３８５００」をご覧いただきたい。
《補足：用語の翻訳について》この規格では、ISO のマネジメントシステム規格関係の用語と異なるものが多くみられ、その翻訳に苦心したので、本規格の説明の最後に一言、触れておく。
・IT ガバナンス（corporate governance of IT）： 規格の名称でもあり、英語では corporate を残しているが、規格の中で述べている通り、企業だけでなく、その他の組織も含んでいること、及び JTC1 の WG 内の議論でも corporateの削除が検討されていることから、訳さず、IT ガバナンスとした。
・ガバナンス（corporate governance）： この用語は、組織内の統制といった訳し方をすることが多い。しかし、用語のもつニュアンスを十分表していないということで、この規格では片仮名ガバナンスをそのまま使うことにした。
・経営者（director）： 組織の多くの上層経営を担うメンバーを指し示しているので、経営者の用語を当てた。
・経営陣（governing body）：ISO/IEC 規格には、経営に関係する用語が多く使われていて、この言葉は上層の管理者層を示し、経営に関与するメンバーを示している。検討の結果、経営陣を当てることにした。
・評価（evaluate）：IT の現状及び将来の利用を評価する。
・指示（direct）； IT の利用を業務目的に確実に合うように計画及び方針の準備及び導入を指示する。
・モニタ（monitor）：計画に対するパフォーマンス及び方針に対する適合性をモニタする。monitor は監視と訳されるのが普通であるが、この規格ではもう少し広い意味で使われているので、その訳語を使わないこととした。
Ⅱ．IT ガバナンスに関する日本政府の実情（梶本講師）「政府情報システムの整備及び管理に関する標準ガイドライン」（以下、適宜、「ガイドライン」という）が 2014 年 12 月
3 日に、各府省情報化統括責任者（CIO）連絡会議で決定され、2015 年 4 月 1 日から施行された。このガイドラインは、
今後の政府機関のＩＴガバナンス及びＩＴマネジメントの規範となるもので、大きな意義を持つ。ガイドラインの策定に深く関わり、また、現在も総務省技術管理局技術顧問として、本ガイドラインの実施に関わる者として、このガイドラインの概要と日本政府における IT ガバナンスの実情について説明する。
１． 「政府情報システムの整備及び管理に関する標準ガイドライン」の概要「政府情報システムの整備及び管理に関する標準ガイドライン」（文末の参考文献参照）は、以下のように構成されている（図 2.参照）。
第 1 編 総論：ガイドライン策定の背景、目的、適用対象等を記載。なお、ここで本ガイドラインの制定の背景として、ＩＴガバナンスの強化の必要性がうたわれている。
第 2 編 ＩＴガバナンス：ＩＴガバナンスの全体像、組織体制、ＩＴガバナンスを実現する情報システム等を記載。
第 3 編 ＩＴマネジメント：ＩＴマネジメントの全体像、ＩＴマネジメントの各プロセスの詳細説明等を記載。
日本システム監査人協会 会報11February 2016

日本システム監査人協会 会報
政府の全体方針及び計画、
フォローアップ等

府省共通プロジェクト・
府省重点プロジェクトの指定(第２編第４章)

政府情報システム改革ロー
ドマップ、投資計画等との整合性(第２編第６章)【第２編 ＩＴガバナンス】

予算及び執行状
況(第２編第７章)

システム監査の計画(第２編第８章)【第３編 ＩＴマネジメント】

工程レビュー

プロジェクトの計画又は改定

プロジェクトの遂行

プロジェク
トの完了

進捗管理／実績報告

情報システムの管理 (第２編第５章）

組織体制(第２編第２章)／

人材育成・確保(第２編第３章)【第２編 ＩＴガバナンス】

図 2. 「政府情報システムの整備及び管理に関する標準ガイドライン」の構成
以下、ガイドラインの主だった項目について説明する。
１－１．ＩＴガバナンスについて「第 2 編 ＩＴガバナンス」のなかから政府内の組織体制とプロジェクト管理及び “ＯＤＢ”（後述）について説明する。
１－１－１．組織体制
政府における情報システムの整備及び管理に関する組織体制は、次のとおりである。
（１） 政府全体管理
ＩＴ総合戦略本部

eガバメント閣僚会議

新戦略推進専門調査会

電子行政分科会等

ＣＩＯ連絡会議

政府ＣＩＯ
ＩＴ総合戦略本部員
ＣＩＯ連絡会議議長

ＣＩＯ連絡会議幹事会
政府ＣＩＯ補佐官

各種ワーキンググループ等

内閣官房

総務省

ＣＩＯ連絡会議事務局等

図 3.政府全体管理体制
政府全体管理の体制は、図 3.に示すとおり、ＩＴ総合戦略本部（本部長：内閣総理大臣）を頂点として、その下に eガバメント閣僚会議、新戦略推進専門調査会、各府省ＣＩＯ連絡会議等が開催される。
なお、図中の「内閣官房」は内閣官房情報通信技術総合戦略室を示し、「総務省」は総務省行政管理局を示す。
日本システム監査人協会 会報12February 2016

日本システム監査人協会 会報（２） 府省内全体管理
府省内全体管理の体制は、図 4.に示すとおり、府省 CIO、各府省の電子政府推進担当課長等をメンバーとして開催される情報化推進委員会と、府省ＣＩＯをトップとするＰＭＯ（府省内全体管理組織、Project Management Office）からなる。

ＰＭＯ
情報化推進委員会

府省ＣＩＯ

府省ＣＩＯ
電子政府推進担当課長
総務担当課長
人事担当課長
会計担当課長府省ＣＩＯ補佐官 等

府省ＣＩＯ補佐官

電子政府推進担当課長
その他構成員図 4. 府省内全体管理体制（３） プロジェクト管理
プロジェクトとは、特定の対象範囲に対し、特定の目的、目標を実現するために、特定の期間に実施する作業のまとまりをいう（「ガイドライン 第 1 編第 4 章 用語 1.ガバナンスに関する用語の定義 1）プロジェクト」の定義より）。プロジ
ェクト管理は、図 5．左側に示すとおり、ＰＪＭＯ（プロジェクト推進組織、Ｐｒｏｊｅｃｔ Ｍａｎｅｇｅｍｅｎｔ Ｏｆｆｉｃｅ、前述の府省内全体管理組織 PMO と区別して、ガイドラインでは PJMO という）が実施する。
なお、複数の府省において利用する情報システムのプロジェクトについては、図 5.の右側に示すプロジェクト推進会
議等を開催する。
プロジェクト推進組織
ＰＪＭＯ
プロジェクト推進責任者
府省ＣＩＯ補佐官
制度所管部門管理者
業務実施部門管理者
情報システム部門管理者
その他構成員

プロジェクト推進会議
プロジェクト推進会議
関係府省のプロジェクト推進責任者
関係府省の府省ＣＩＯ補佐官
その他構成員図 3. プロジェクト推進組織（PJMO）とプロジェクト推進会議
１－１－２．情報システムの管理政府における情報システムに関係する情報を一元的に管理するために、総務省において整備及び管理し、各府省の用に供するデータベース「ODB」（Official information system total management Database、政府情報システム管理
データベース）を設置する。
各府省は、その整備又は管理を行う情報システムについて、それぞれ情報システム ID を有する。この ID は ODBに登録することによって取得される。
日本システム監査人協会 会報13February 2016

日本システム監査人協会 会報

図 6.に示すとおり、ODB には、各府省の各情報システムの基本情報、担当組織、公開ドメイン、予算情報、調達情報、システム構成、取扱情報、運用・保守情報等が記載され、工程レビュー、各種調査、関連システムの進捗調査、事例参照等に用いられる。

基本情報
工程レビュー
府省横断的な調査 等
予算、執行
に係る情報

政府情報システム
管理データベース
（ODB）

開発、運用
に係る情報

関連システム進捗、
プロジェクト事例参照

図 6.ODB 活用のイメージ
１－２．IT マネジメントについて
IT マネジメントのイメージを図 7.に示す。今回は、IT ガバナンスがメインなので IT マネジメントに関する詳細は語らないが、一点だけ、IT ガバナンスのモニタの機能と関係する「工程レビュー」について簡単に説明する。

図 7. IT マネジメントのイメージ
府省重点プロジェクトについて、以下の三点のタイミングで工程レビューを実施する。
ⅰ）調達仕様書に添付する要件定義書の作成終了前ⅱ）設計・開発工程に入る前に要件定義の確定を行う前ⅲ）本番開始前
日本システム監査人協会 会報14February 2016

日本システム監査人協会 会報

図 8.に示すとおり、このレビューのタイミングで、まず PJMO が自己点検を行い、その結果をもとに PMO がレビューを行う。レビュー結果は、PMO が内閣官房 IT 室に送付する。内閣官房 IT 室は、必要に応じ PJMO に対してヒアリン
グ等を実施し、必要な指摘、助言又は指導を行う。また、PMO も PJMO に対して同様のことを行う。
プロジェクトを適切に実施し、プロジェクトの目的を達成するため、府省重点プロジェクトについて、内閣官房が別途定める手順に基づき、① 調達仕様書に添付する要件定義書の作成終了前 （政府のIT施策と整合的か、ﾕｰｻﾞ部局と合意した
か、十分な競争性を確保できる内容か、事業者が工程を着実に遂行できるだけの十分な情報を盛り込んだ内容
か等）② 設計・開発工程に入る前に要件定義の確定を行う前 （事業者に求める体制は十分か、事業者との打合せによる要件定義書の変更が妥当な範囲に留まっているか等）③ 本番移行開始前 （要件どおりに正常に動作し、業務を円滑・適正に行えることを確認したか等）のそれぞれの場面（「レビューポイント」と総称）において、次のとおり、工程レビューを実施。
［ＰＪＭＯ］
自己点検［ＰＭＯ］
自己点検を基にレビュー
必要に応じヒアリングを実施
ＰＪＭＯに指摘、助言又は指導［ＰＪＭＯ］
レビュー対応［ＰＭＯ］
レビュー結果等を内閣官房IT室に送付［内閣官房IT室］
自己点検及びレビュー結果を基に、必要に応じヒアリング等を実施。必要な指摘、助言又は指導

図 8.工程レビュー（主な流れ）
工程レビューのレビューポイント及び要点を図 9.に示す。

府省重点プロジェクトを対象としてレビュー制度を新たに導入。三つの時期にレビューポイントを設け、内閣官房が別途定める要領に基づき、プロジェクトの管理・遂行の点検を実施
調達のための要件定義書作成終了前

要件定義の確定前

調達手続
要件定義

本番移行開始前

設計・開発工程
入札公告
等
第一次

要件の
確認・
調整

設計

開発

第二次

運用工程
テスト
第三次

レビューポイント
第一次工程レビュー

第二次工程レビュー

第三次工程レビュー

・政府のIT施策と整合的か
・関係部局と合意した内容か・競争性を十分確保できる内容か・事業者が工程を着実に遂行できるだけの十分な内容か 等・事業者に求める体制は十分か・事業者との打合せによる要件定
義書の変更が妥当な範囲に留まっているか 等

・要件どおりに正常に動作し、業務を円滑・適正に行えることを確認したか 等

■ＰＪＭＯによる自己点検■ＰＭＯによる指摘、助言又は指導／必要に応じて、内閣官房からも指摘、助言又は指導

図 9.工程レビュー（レビューポイント・要点）

日本システム監査人協会 会報15February 2016

日本システム監査人協会 会報

２．政府における今後の課題
最後に、IT ガバナンス関連の政府における今後の課題について、一言触れたい。
（１） 民間クラウドの利用が促進していった場合においても全体を見渡せる仕組みの検討
サービスの調達は IT の調達とは性格が異なり、IT マネジメントの対象から外れてしまう可能性がある。また、SaaSのような場合には、利用者サイドからのコントロール可能範囲が非常に狭くなる。さらに、クラウドの場合、どこまで、何を監査すべきなのかが明確ではない。
（２） DevOps（注 3）及びそれに伴うアジャイルへの取り組みにおける課題への適切な対応
実質的には規模の大きな情報システムは DevOps が適用されているとも言える状況であるが、決してアジャイルではない。また、適切に本来の DevOps の取り組みを行うための、継続的な態勢及び中長期戦略が不明確である。
（３） IT のマネジメントと情報セキュリティのマネジメントの有機的結合
情報セキュリティについては NISC が統括し、情報システム全般は IT 総合戦略本部及び総務省行政管理局となっており、調整に手間取っている。
（４） 監査の充実
情報システム監査と情報セキュリティ監査が別物となっていることにより、グレーゾーンが存在する。政府における情報システム監査のためのガイドラインとなるものが不在である。
（５） リスクマネジメントの強化発注者としてのリスクマネジメントのありようが不明確、もしくは十分に理解されていない。
（注 3）DevOps（デブオプス）は、ソフトウェア開発手法の一つ。 開発 (Development) と運用 (Operations) を組み合わせた造語であり、開発担当者と運用担当者が連携して協力する開発手法をさす。
【質疑応答】
Q1：翻訳について質問したい。Governing Body を「経営陣」と訳したのはなぜか。
A1（力講師）:経営委員会、取締役会等の案があったが、あるゆる組織に適合させるために汎用的な「経営陣」とした。
Q2：政府のガイドラインに沿った工程レビューの結果は公開されるのか。
A2（梶本講師）:政府自らが自主的に公開することはないが、公開請求があれば法に則って公開される。
Q3：経営トップにとって、J-SOX と IT ガバナンスは重なってしまうのではないか。そのなかで IT ガバナンスを浸透させるにはどうしたらよいか。
A3（梶本講師、力講師）: IT ガバナンスの必要性が叫ばれている今日、JIS Q 38500 を是非とも浸透させたいので、JIS
Q 38500 が制定されたことをいろいろな場で経営者に訴え、話をする機会を作ってほしい。
【参考文献】(1)「情報技術－IT ガバナンス ＪＩＳ Ｑ ３８５００」、２０１５年７月発行、日本規格協会(2)「政府情報システムの整備及び管理に関する標準ガイドライン」、2014 年 12 月 3 日、各府省 CIO 連絡会議決定
http://www.soumu.go.jp/main_content/000325350.pdf【報告者から一言】
両講師ともにたいへん意義深いご講演であった。梶本講師は IT ガバナンスに関する世界の動向等、興味深いお話を種々語られたが紙面の都合でこれらを割愛し、日本政府の状況のみに絞ってしまったことをお伝えしておきます。
以上＜目次＞

日本システム監査人協会 会報16February 2016

日本システム監査人協会 会報
2016.1

支部報告【 近畿支部

第１５６回定例研究会 （ISACA 大阪支部合同）】
会員番号 1380 植垣 雅則

１．テーマ「ＤｅｖＯｐｓの基礎」

２．講師

アトラシアン株式会社

ビジネス駆動なムーブメントによる戦略的なＩＴ

シニアエバンジェリスト 長沢 智治（ながさわ ともはる）氏
３．開催日時

２０１５年１２月１９日（土） １５：００～１７：００

４．開催場所

大阪大学中之島センター

３階 講義室３０４

５．講演概要「 DevOps の基礎」
ビジネス目標を達成するためには、IT のチカラが不可欠な分野が増えてきている。クラウドや、IoT などのテクノロジーの進化と開発プロセスの知見の集約により、今まで以上にビジネスに寄り添ったソフトウェア開発、運用が求められている。このような時代背景のもとに生まれたのが DevOps であり、その基礎となる事項について、講演いただいた。
＜講演内容＞（ア） 用語の定義
DevOps ：Development と Operations を合わせた言葉である。言葉の明確な定義がない。DevOps という単語は 2009 年のオライリー主催のイベント「Velocity 2009」において、Flickr のエンジニアにより初めて公の場で用いられた。似たような用語として「アジャイル」があり、こちらはマニフェストと原則が定義されている。
（イ） ビジネスと戦略的な IT の必要性
DevOps はビジネスと IT の関係が変遷してきた中で生まれた用語・概念であり、その時代の流れ・特徴について説明する。
時代ごとのビジネスの特徴として 10 年単位で考えると、「199x：IT による効率化、コスト削減」「200x：ウェブ
化、E コマースなどの新たなサービスの出現」「201x：ビジネスと IT が融合」のように整理される。
これに合わせて、以下に示すようにビジネスと IT の構成要素の特徴も変化してきている。
ビジネスモデルの特徴 ：確立しやすい ⇒ 確立しづらい
意思決定者の特徴：IT 部門 ⇒ 経営者層 ⇒ マーケット/消費者

技術と配布の特徴：クライアント/サーバー ⇒ WEB/アプリ ⇒ IOT/デバイスとクラウドビジネスと IT の関係を示す特徴を 3 つにまとめると、「IT がビジネスに学習機会を提供」、「市場の変化と競争の激化」、「継続的な IT 投資とデリバリー」となる。
（ウ） ビジネス駆動ムーブメント
次に、DevOps の特徴である「ビジネス駆動ムーブメント」について説明する。
ビジネスと IT の関係を考える上で、ビジネスチーム、開発チーム、運用チームの 3 チームを考える。
まず 1 段階目では、ビジネスチームが主となるビジネス目標がある（例：売り上げ／利益率、ユーザー数、生産性／稼働率）。一方、開発チームには継続的な価値提供、運用チームには安定稼動といった目標があるが、3 つのチームの目標は独立しており、融合していない。
2 段階目になると、開発チームと運用チームが一体となり、それぞれのチーム目標とともに、両チーム共通
日本システム監査人協会 会報17February 2016

日本システム監査人協会 会報の目標としてサイクルタイムや平均復旧時間（MTTR））などのシステム目標が定められることになる。
3 段階目になると、ビジネスチームも加わって 3 つのチームが一体となり、ビジネス目標を実現するために協調して活動する状態になる。これにより、以下のサイクルで示されるリーンスタートアップが可能になる。
アイデア→（BUILD：構築）→プロダクト→(MEASURE：測定)→データ→(LEARN：学習)→アイデア
リーンスタートアップはビジネス開発手法の一種であり、ビジネスのアイデアをもとに小さく繰り返すことによりビジネス目標を実現させるものである。IT を利用するビジネスではデプロイ（開発したソースコードを運用環境に展開すること）を繰り返すことになるなか、「1 日に 10 回以上のデプロイを実現した」との事例発表があり、その実現手法が「DevOps」とされた。
DevOps の事例で 1 日に数百回のデプロイを実施したなどの説明もあるが、決してデプロイの回数を増やすことが目的ではない。IT がビジネスの推進を阻害することになってはいけない訳で、ビジネス要求をシーム
レスに IT に反映することが大事であり、そのための IT の開発と運用との協調がポイントである。IT の開発・運用が協調することによりビジネスのスピードに追いつくことが目標である。
（エ） DevOps の特徴
次に、DevOps の具体的な特徴について、3 つのキーワード「定期的なリズム」「継続的○○」「共同所有」をもとに説明する。
【定期的なリズム】 反復的な開発とデプロイ（サイクルタイム・MTTR）
開発のプロセスは、定義済みのプロセス（ウォーターフォール）と経験則によるプロセス（アジャイル）に大別される。定義済みのプロセスでは、失敗が許されない、軌道修正がしづらいといった特徴、経験則によるプロセスでは、早めに失敗できる、軌道修正を前提とするといった特徴がある。
DevOps とアジャイルは同義ではないが、「反復的な開発を行い、期間を固定（タイムボックス）し、定期的に計画とやり方を見直す」との経験則によるプロセスは DevOps と相性がよい。
【継続的○○】 常時結合 常時デプロイ 常時検証 常時監査
開発と運用の協調としては、「バックログの精査」「テスト駆動開発」「常時結合」などの主に開発に関係する要素と、「常時デプロイ」「常時検証」「常時監査」などの開発・運用に共通する要素がある。これらの要素
を効果的効率的に実現するには、早い段階からのアプローチ、ライフサイクルを通したアプローチが必要である。
【共同所有】 コード化と自動テスト 共同所有の包括的な拡大
開発と運用の協調を実現する上では、コードを共有することも効果的である。クラウドや仮想化などの ITの進歩により、運用インフラをコードで記述することも可能になっている。開発チームがソースコード、テスト
コードを所有、運用チームがテストコードを所有するといった共同所有体制をとることにより、開発から運用までの効率化迅速化が実現可能となる。
（オ） DevOps に関するその他の考察
DevOps の実現にクラウドは有用であり、調達ボトルネックの解消などのメリットがある。一方で、「壊れることを前提とする」必要があるなど、特有の考慮点があることには注意が必要である。
DevOps を生かせるかは、その組織の文化にも関係する。振る舞い、集合知、改善など DevOps に関係する要素の程度によって影響を受けることになる。
監査の位置付けを考察すると、DevOps は新しい概念であり、実際の現場においては、監査で客観的な立場からチェックしてもらい、課題解決に向けた提言をしてもらうことは有用と考える。

日本システム監査人協会 会報18February 2016

日本システム監査人協会 会報＜Q&A＞
Q：従来の考えでは、不正を想定し、その防止策として開発と運用の分離が要求されている。DevOps では開発と運用の関係をどのように考えればいいのか？
A：DevOps として公式な答えはないが、私見として、ビジネスの変化に合わせて、開発と運用の役割も変わると思われる。ITIL でも開発と運用の分離が規定されているが、見直しの機運もある。

６．所感
開発と運用が協調することにより問題解決（ビジネスへの貢献）を図るとの考えは、ある意味新鮮に感じられた。
途中で約 20 分間、紙を使った簡単な個人型ワークショップを実施されたことも特徴的であった。実際に体験することで、確証バイアス（自分の都合のよい事実を重視、選択しがちになる心理傾向）が働き、過去の成功体験を捨てられないことが実感できた。また、講師が説明されたように、一人では気付かなくても、チームで協力することにより問題解決が可能になるとの建設的相互作用の有用性も実感できた。
古くからのウォーターフォール型開発の時代から推奨されてきた開発と運用の分離といった考えが不正防止・統制強化の側面では有効である半面、アジャイル開発やクラウド、仮想化技術などの IT が進歩し、ビジネスのスピードがより求められる最近の時代には、開発と運用が協調してスピードを実現することの必要性が高まっているのも確かである。社会インフラに関連する基幹業務と顧客向けネットサービスでは求められる事項が大きく異なるように、
DevOps が適するビジネス、サービスとそうでないものがあると思われる。
最後に監査に関する考察もしていただいたが、監査だけでなく、品質管理・品質保証の側面でも DevOps 特有の考慮事項があると思われた。これを機会に、開発と運用の役割を改めて考察してみようとの気付きの機会となった。
DevOps という最新の情報を紹介いただくとともに、開発と運用の関係という監査人にとって重要なテーマに関する問題提起の機会をいただき、貴重な講演であったと感じました。
以上＜目次＞

日本システム監査人協会 会報19February 2016

日本システム監査人協会 会報
2016.１

注目情報（2016.1～2016.1）※各サイトのデータやコンテンツは個別に利用条件を確認してください。

■プレス発表「攻殻機動隊 STAND ALONE COMPLEX」と新国家試験「情報セキュリティマネジメント試験」がコラボ！
～ NISC、JNSAと連携したサイバーセキュリティ人材育成・確保に向けた普及啓発キャンペーンを実施します ～2016年1月21日

独立行政法人情報処理推進機構
IPA（独立行政法人情報処理推進機構、理事長：富田 達夫）情報処理技術者試験センターは、不足するサイバー
セキュリティ人材を育成・確保するため、NISC（内閣サイバーセキュリティセンター）やJNSA（NPO 日本ネットワークセキ
ュリティ協会）と連携して、「攻殻機動隊 STAND ALONE COMPLEX」（以下「攻殻機動隊 S.A.C.」）とコラボレーション
した普及啓発ポスターを作成・展開するなどのサイバーセキュリティ普及啓発キャンペーンを実施しました。
http://www.ipa.go.jp/about/press/20160121.html
http://www.jitec.ipa.go.jp/sg/＜目次＞

日本システム監査人協会 会報20February 2016

日本システム監査人協会 会報
2016.1【協会主催イベント・セミナーのご案内】■月例研究会（東京）
第
２
１
１
回

日時：2016 年 3 月 2 日（水曜日） 18:30～20：30 場所：機械振興会館
テーマ
講師
講演骨子

第
２
１
２
回

講師
講演骨子

第
２
１
３
回

「クラウドコンピューティングのセキュリティ規格 ISO/IEC27017」（仮題）
特定非営利活動法人 日本セキュリティ監査協会（JASA）
事務局長 永宮 直史 氏
詳細確定次第、ＨＰでご案内いたします。

日時：2016 年 4 月 25 日（月曜日） 18:30～20：30 場所：機械振興会館
テーマ

地下 2 階 ホール

地下 2 階 ホール「企業 IT 動向調査２０１６（１５年度調査）～データで探るユーザー企業の IT 動向～」（仮題
一般社団法人 日本情報システム・ユーザー協会
常務理事 浜田 達夫 氏
詳細確定次第、ＨＰでご案内いたします。

日時：2016 年 5 月 26 日（木曜日） 18:30～20：30 場所：機械振興会館

地下 2 階 ホール

テーマ「IoT って何？～IoT によるイノベーションとその課題～」（仮題）

講師

独立行政法人 情報処理推進機構(IPA)
調査役 田丸 喜一郎 氏

講演骨子

詳細確定次第、ＨＰでご案内いたします。

■第 27 回システム監査実務セミナー(4 日間コース)受講者募集のご案内〔システム監査の実際を体験してみませんか!!〕
1． 日程及び会場
2016 年 3 月 5 日(土)～ 6 日(日) 、2016 年 3 月 19 日(土)～ 20 日(日) ＜1 泊２日×２回＞
どちらか一方のみの参加は不可
時間：土曜は 10:00～19:30、日曜は 09:00～15:00
進行状況により若干の変更が生じる場合があります。）
会場： 晴海グランドホテル〒104-0053 東京都中央区晴海 3-8-1
電話番号： 03-3533-7111（最寄り駅 都営地下鉄大江戸線勝どき駅下車徒歩８分）
2． 費用 172,800 円（日本システム監査人協会会員）
194,400 円（一般）（費用には、教材費・宿泊費・食事代・消費税が含まれます。）
詳細は、日本システム監査人協会ホームページ
http://www.saaj.or.jp/kenkyu/jitsumuseminar/jitsumuseminar27.html＜目次＞

日本システム監査人協会 会報21February 2016

日本システム監査人協会 会報
2016.1

協会からのお知らせ 【

第 15 期通常総会のご案内】
日本システム監査人協会 事務局

日本システム監査人協会（SAAJ）会員各位■第 15 期通常総会のご案内
日本システム監査人協会の第 15 期通常総会を、下記の通り開催致します。
万障お繰り合わせの上ご出席をお願い申し上げます。
記
１．日時：2016 年 2 月 22 日（月） 13 時 30 分～（受付開始：12：45）

２．場所：東京都港区芝公園 3 丁目 5 番 8 号 機械振興会館 地下 3 階 研修 1 室
アクセス：http://www.jspmi.or.jp/kaigishitsu/access.html
３．第 15 期通常総会議事

13 時 30 分 ～ 15 時

13:30 開 会
(1) 定款一部変更(2) 2015 年度 事業報告の件(3) 2016 年度 事業計画の件(4) 2016 年度 予算の件
(5) 理事選任の件(6) その他
15:00 閉 会
（休 憩）
４．特別講演15 時 30 分～17 時

15:30 開演
演題：「個人情報保護法・番号法改正法の成立とプライバシー・個人情報保護の新課題」
講師：

個人情報保護委員会委員長 堀部 政男

氏

17:00 閉演
５．懇親会

17 時 30 分 ～ 19 時(予定)17:30 開場 （機械振興会館地下３階会議室）
19:00 閉場
※懇親会場は機械振興会館地下 3 階の別室です。
懇親会費 3,000 円は、当日会場にてお支払ください。
※総会、懇親会の参加申込は 2016 年１月末より、協会ホームページにて受け付けます。
以上＜目次＞

日本システム監査人協会 会報22February 2016

日本システム監査人協会 会報
2016.1

新たに会員になられた方々へ

新しく会員になられたみなさま、当協会はみなさまを熱烈歓迎しております。
先月に引き続き、協会の活用方法や各種活動に参加される方法などの一端をご案内します。

ご確認
ください

・協会活動全般がご覧いただけます。 http://www.saaj.or.jp/index.html
・会員規程にも目を通しておいてください。 http://www.saaj.or.jp/gaiyo/kaiin_kitei.pdf
・皆様の情報の変更方法です。 http://www.saaj.or.jp/members/henkou.html

特典・会員割引や各種ご案内、優遇などがあります。 http://www.saaj.or.jp/nyukai/index.html
セミナーやイベント等の開催の都度ご案内しているものもあります。

ぜひ
参加を・各支部・各部会・各研究会等の活動です。 http://www.saaj.or.jp/shibu/index.html
皆様の積極的なご参加をお待ちしております。門戸は広く、見学も大歓迎です。

ご意見
募集中

・皆様からのご意見などの投稿を募集しております。
ペンネームによる「めだか」や実名投稿があります。多くの方から投稿いただいておりますが、さらに活発な利用をお願いします。この会報の「会報編集部からのお知らせ」をご覧ください。

出版物

・協会出版物が会員割引価格で購入できます。 http://www.saaj.or.jp/shuppan/index.html
システム監査の現場などで広く用いられています。

セミナー

・セミナー等のお知らせです。 http://www.saaj.or.jp/kenkyu/index.html
例えば月例研究会は毎月100名以上参加の活況です。過去履歴もご覧になれます。

CSA
・
ASA

・公認システム監査人へのSTEP-UPを支援します。
「公認システム監査人」 と「システム監査人補」で構成されています。
監査実務の習得支援や継続教育メニューも豊富です。
CSAサイトで詳細確認ができます。 http://www.saaj.or.jp/csa/index.html

会報

・PDF会報と電子版会報があります。 （http://www.saaj.or.jp/members/kaihou_dl.html）
電子版では記事への意見、感想、コメントを投稿できます。
会報利用方法もご案内しています。http://www.saaj.or.jp/members/kaihouinfo.pdf

お問い
合わせ

・右ページをご覧ください。 http://www.saaj.or.jp/toiawase/index.html
各サイトに連絡先がある場合はそちらでも問い合わせができます。

＜目次＞

日本システム監査人協会 会報23February 2016【2016 年
1月

2月

3月

4月

5月
6月

2015 年
7月

8月
9月
10 月
11 月

12 月

ＳＡＡＪ協会行事一覧

日本システム監査人協会 会報】

赤字：前回から変更された予定

理事会・事務局・会計
8： 総会資料（〆) 16：00
13： 総会・役員改選の公示
14： 理事会：通常総会資料原案審議
20： 2015 年度決算案
23： 2015 年度会計監査
28： 総会申込受付開始（資料公表）
31： 償却資産税・消費税
4： 理事会：通常総会議案承認
25： 法務局：資産登記、活動報告提出
理事変更登記29： 年会費納入期限
1： NPO 事業報告書、役員変更届東京
都へ提出
7： 年会費未納者宛督促メール発信
10： 理事会
14： 理事会
末日 法人住民税減免申請
12： 理事会
26： 年会費未納者宛督促メール発信
2: 会費未納者督促状発送
9: 理事会
10～: 会費督促電話作業（役員）
末日 支部会計報告依頼（〆切 7/14）
末日 助成金配賦額決定（支部別会員数）
過去に実施した行事一覧
8 日 支部助成金支給
9 日 理事会（理事会休会）
29： 中間期会計監査
10： 理事会
8： 理事会
12： 理事会
13： 予算申請提出依頼（11/30〆切）
支部会計報告依頼（1/8〆切)18： 2016 年度年会費請求書発送準備
25： 会費未納者除名予告通知発送
30： 本部・支部予算提出期限
1： 2016 年度年会費請求書発送
2016 年度予算案策定
10： 理事会：2016 年度予算案
会費未納者除名承認
第 15 期総会審議事項確認
11： 総会資料提出依頼（1/8〆切)15： 総会開催予告掲示
18： 2015 年度経費提出期限

認定委員会・部会・研究会
1-31：CSA・ASA 更新申請受付

2016.1
支部・特別催事
8： 会計：支部会計報告期限

20： 春期 CSA・ASA 募集案内
〔申請期間 2/1～3/31〕
21： 第 210 回月例研究会
25： SAAJ 創立記念日
1～3/31：CSA・ASA 春期募集
22： 第 15 期通常総会・特別講演
個人情報保護委員会
委員長 堀部 政男 氏
2： 第 211 回月例研究会
上旬：CSA・ASA 更新認定書発送
初旬 新規 CSA・ASA 書類審査
中旬 新規ＡＳＡ認定証発行
25： 第 212 回月例研究会
中旬 認定委員会：新規 CSA 面接
26： 第 213 回月例研究会

予定：春期情報技術者試験

2015/6/3：認定 NPO 法人認定
10：認定委員会：CSA 面接結果通知

1 日 秋期 CSA・ASA 募集案内
〔申請期間 8/1～9/30〕
14 日 第 204 回月例研究会
20 日 認定委員会：CSA 認定証発送
1： 秋期 CSA・ASA 募集開始～9/30
24： 第 205 回月例研究会
15：
第 206 回月例研究会
23： 第 207 回月例研究会
中旬：秋期 CSA 面接

14 日 支部会計報告〆切

5-6：西日本支部合同研究会（開催場所：岐阜）
18： 秋期情報処理技術者試験

19： 第 208 回月例研究会
20： CSA・ASA 更新手続案内〔申請期間 1/1～1/31〕
27： CSA 面接結果通知
10： CSA/ASA 更新手続案内メール
14： 第 209 回月例研究会
18： 秋期 CSA 認定証発送＜目次＞

日本システム監査人協会 会報24February 2016

日本システム監査人協会 会報
2016.1

会報編集部からのお知らせ
１．会報テーマについて
２．会報記事への直接投稿（コメント）の方法
３．投稿記事募集□■ １． 会報テーマについて
2016 年度の年間テーマ：「システム監査の活性化」、四半期テーマ：システム監査の課題（2016.2～2016.4）に決まりました。
システム監査人にとって、報告や発表の機会は多く、より多くの機会を通じて表現力を磨くことは大切なスキルア
ップのひとつです。良識ある意見をより自由に投稿できるペンネームの「めだか」として始めたコラムも、投稿者が限定されているようです。また記名投稿のなかには、個人としての投稿と専門部会の報告と区別のつきにくい投稿もあります。会員相互のコミュニケーション手段として始まった会報誌は、情報発信メディアとしても成長しています。
会報テーマは、皆様のご投稿記事づくりの一助に、また、ご意見やコメントを活発にするねらいです。会報テー
マ以外の皆様任意のテーマももちろん大歓迎です。皆様のご意見を是非お寄せ下さい。

□■ ２． 会報の記事に直接コメントを投稿できます。
会報の記事は、
１）PDF ファイルの全体を、URL（ http://www.skansanin.com/saaj/ ）へアクセスして、画面で見る
２）PDF ファイルを印刷して、職場の会議室で、また、かばんにいれて電車のなかで見る
３）会報 URL（ http://www.skansanin.com/saaj/ ）の個別記事を、画面で見るなど、環境により、様々な利用方法をされていらっしゃるようです。
もっと突っ込んだ、便利な利用法はご存知でしょうか。気にいった記事があったら、直接、その場所にコメントを記入できます。著者、投稿者と意見交換できます。コメント記入、投稿は、気になった記事の下部コメント欄に直接入力し、投稿ボランをクリックするだけです。動画でも紹介しますので、参考にしてください。
（ http://www.skansanin.com/saaj/ の記事、「コメントを投稿される方へ」 ）□■ ３．会員の皆様からの投稿を募集しております。
分類は次の通りです。
１．めだか （Word の投稿用テンプレート（毎月メール配信）を利用してください）
２．会員投稿（Word の投稿用テンプレート（毎月メール配信）を利用してください）

３．会報投稿論文 （「会報掲載論文募集要項」及び「会報掲載論文審査要綱」があります）

日本システム監査人協会 会報25

February 2016

日本システム監査人協会 会報□■ 会報投稿要項 （2015.3.12 理事会承認）
・投稿に際しては、Word の投稿用フォーム（毎月メール配信）を利用し、会報部会（saajeditor@saaj.jp）宛に送付 して下さい。
・原稿の主題は、定款に記載された協会活動の目的に沿った内容にして下さい。
・特定非営利活動促進法第２条第２項の規定に反する内容(宗教の教義を広める、政治上の主義を推進・支持、又は反対する、公職にある者又は政党を推薦・支持、又は反対するなど)は、ご遠慮下さい。
・原稿の掲載、不掲載については会報部会が総合的に判断します。
・なお会報部会より、表現の訂正を求め、見直しを依頼することがあります。また内容の趣旨を変えずに、字体やレイアウトなどの変更をさせていただくことがあります。
会報記事は、次号会報募集の案内の時から、締め切り日の間にご投稿ください。
バックナンバーは、会報サイトからダウンロードできます（電子版ではカテゴリー別にも検索できますので、ご投稿記
事づくりのご参考にもなります）。
会報編集部では、電子書籍、電子出版、ネット集客、ネット販売など、電子化を背景にしたビジネス形態とシステム
監査手法について研修会、ワークショップを計画しています。研修の詳細は後日案内します。

会員限定記事【本部・理事会議事録】（当協会ホームページ会員サイトから閲覧ください。パスワードが必要です）＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝■発行： 認定 NPO 法人 日本システム監査人協会 会報編集部〒103-0025 東京都中央区日本橋茅場町２－８－８共同ビル６F■ご質問は、下記のお問い合わせフォームよりお願いします。
【お問い合わせ】

http://www.saaj.or.jp/toiawase/■会報は会員への連絡事項を含みますので、会員期間中は、会員へ配布されます。
会員の所属や登録メールアドレス等の変更は、当協会ホームページ会員サイトより変更してください。
会員でない方は、購読申請・解除フォームに申請することで送付停止できます。
【会員でない方の送付停止】 http://www.skansanin.com/saaj/register/
Copyright(C)20１6、認定 NPO 法人 日本システム監査人協会
掲載記事の転載は自由ですが、内容は改変せず、出典を明記していただくようお願いします。
■□■ＳＡＡＪ会報担当
編集委員： 藤澤博、安部晃生、久保木孝明、越野雅晴、桜井由美子、高橋典子、西宮恵子、藤野明夫
編集支援： 仲厚吉 （会長）、各支部長
投稿用アドレス： saajeditor ☆ saaj.jp （☆は投稿時には＠に変換してください）＜目次＞
日本システム監査人協会 会報26