January 2012

日本システム監査人協会 会報2012 年 1 月発行

131
７７
７７
No

━━━

No.131（2012 年 1 月

発行）━━━━━━━━━━━━━━━━━━━━━━━━

会報電子版の記事 目次
１．めだか（システム監査人のコラム）【オリンパス会計監査人の責任】【認定特定非営利活動法人への考察】【「なんちゃって」には未来がない】

２．投稿

２

７

【システム監査人の独言】

５

３．研究会、セミナー開催報告、支部報告

６【平成 23 年度システム監査事例研究会年次報告】【大分合同セミナー報告】【西日本支部合同研究会報告】【課題解決セミナー報告】

４．注目情報（12/1～12/31）

２３【JSSEC「スマートフォン&タブレットの業務利用に関するセキュリティガイドライン第 1 版」】

５．全国のイベント・セミナー情報２３（九州支部） 【システム監査体験セミナー】

６．会報編集部からのお知らせ
会報アワード開催

２４

会員限定記事２６

日本システム監査人協会 会報1

January 2012

日本システム監査人協会 会報

めだか 【オリンパス会計監査人の責任】

投稿オリンパス（株）が揺れている（執筆時点2011年12月14日）。上場は維持されるようであるが、経営陣の刷新がどうなるかなど、今後の動向に目が離せない。
2011年12月6日付で、第三者委員会の調査報告書が発表された。第三者委員会には、元検事や元判事の弁護士の他、公認会計士も加わっている。
調査報告書要約版をみる。
関与している監査法人は、Ａ監査法人とＳ監査法人である。
Ａ法人については、３点論じられている。
１点めについては、「～『飛ばし』の全貌の発見は困難であったと認められる」と結ばれている。
２点めについても「損失分離スキームの核となった外国銀行の口座の残高照会手続につき、担保（がついていることを）発見し得なかったこともやむをえないであろう」としており、これらは、いわば‘無罪’認定である。
３点めは、「2009年3月期の監査において、～無限定適正意見を付したことは問題なしとしない」とある。
同報告書では、「問題である」と「問題なしとしない」は使い分けられているが、「問題なしとしない」は、「ほぼ問題ない」と解釈すれば、これも‘無罪’に近い。
Ｓ法人は１点で、「配当優先株を買い取った際、～のれんへの計上を容認した点に関し、～問題なしとしない」とある。これも、上の解釈に従えば、「ほぼ問題ない」ことになる。
ただし、両法人とも、「業務引継ぎについては、日本公認会計士協会の準則の趣旨に照らすと、（形式的な業
務引継ぎに終わっており）問題である」とされている。
一部新聞報道では、「監査法人にも問題あり」とされていた。これでは、あるいは、会計監査人が、巧妙な損失隠しを摘出できなかったことを指摘されたかのようにも受け取れたが、そこまでのものではないようである。
損失隠しの張本人が、常勤監査役では、企業統治上の相互牽制も何もあったものではない。 闇は深いといわざるを得ない。
（真却辺利）（このコラム文書は、投稿者の個人的な意見表明であり、ＳＡＡＪの見解ではありません。 ）日本システム監査人協会 会報2

January 2012

日本システム監査人協会 会報

めだか 【認定特定非営利活動法人への考察】

投稿

ＰＳＴという用語をご存知でしょうか。ＰＳＴとは、パブリック・サポート・テストのことをいって、特定非営利活動法
人（以下、NPO法人という）が、広く一般から支持されている度合を表わす指標です。その要件をＰＳＴ要件といいます。
日本システム監査人協会は、当初、情報処理システム監査技術者及びシステム監査技術者の国家試験合格者を会員としていましたが、ＮＰＯ法人になったときから、広く一般から会員を募って、システム監査の普及及びシ
ステム監査人の育成並びに認定等を行っていくことをその目的としてきたと思います。
ＰＳＴ要件に適合するＮＰＯ法人は、認定NPO法人として認められると、通常のＮＰＯ法人に比較して、特定の公共法人として認められます。また、特定の公共法人への寄附者には、確定申告を行うことで、所得税が還付される利点があります。
システム監査が、組織体のガバナンスにおいてITに関するガバナンスの要件になっている状況を鑑みると、当法人が、その目的をさらに進めて、より広く一般から、システム監査の普及及びシステム監査人の育成並びに認定等を行うことに支持を得ること、具体的には寄附を募ってPST要件に適合し認定NPO法人として認められることは、これからの重要な活動目標のひとつであると考察します。
（注）
認定特定非営利活動法人制度改正のあらまし（平成２３年７月国税庁パンフレット）から「現下の厳しい経済状況及び雇用情勢に対応して税制の整備を図るための所得税法等の一部を改正する法律」（平成２３年法律８２号）により、認定特定非営利活動法人制度について改正が行われました。ＰＳＴ要件の判定に当っては、次の３つの基準を選択適用できることとなりました。
・相対値基準：実績判定期間内における総収入に占める寄附の割合が５分の１（２０％）以上であること
・絶対値基準：実績判定期間内の各事業年度中の寄附金の総額が３，０００円以上である寄附者の数の合計数
が年平均１００人以上であること
・条例個別指定基準：都道府県又は市町村が、個人住民税の寄附金税額控除の対象として条例により個別に指定した特定非営利活動法人であること
・今回の改正により、初回の認定申請に限り実績判定期間は２年間とされました。
・寄附者が、ＮＰＯ法人の役員及び役員と生計を一にするものである場合は、これらの者は、寄附者数に含め
ません。
（空心菜）

（このコラム文書は、投稿者の個人的な意見表明であり、ＳＡＡＪの見解ではありません。 ）日本システム監査人協会 会報3

January 2012

日本システム監査人協会 会報

めだか 【「なんちゃって」には未来がない】

投稿

毎週金曜の夜、一日の気だるい疲労感を体に残しつつも、足はやっぱり駅前の貸スタジオに向かう。ドアを開けると聞きなれたピアノ伴奏とともに私達成人クラスの前のジュニアクラスのポアント（爪先で立つトウシューズ）のコトコトという音と先生のいつもの声が響き渡る。「なんちゃってバレエはダメよ！」
今から７年前、私はこのバレエ教室の門を叩いた。病気で衰えた体を整えるのと沈んだ気持ちを上向かせるのに何かないかと探してした時にＮ先生と運命の出会いをした。「基本動作がいい加減でも音楽に合わせて振りを真似して踊っていれば、なんとなく自分ではうまく踊っている気分になる。でも、基本動作には意図があり、その意図を理解せずに自分勝手に振りを追うだけの練習をいくら繰り返しても、決して上達せず、怪我をするのが落ちですよ。即ち、なんちゃってバレエをいくら続けていても未来はありませんよ。」と言うのが先生の口癖である。
ISOやＰマークの審査員をしているが、マネジメントシステムの規格の意図の理解が不十分で、手順を追うことに留まって有効性の追求がおろそかになり、結果として形骸化を招いてしまっている組織を時々見かける。振りを手順に、上達を有効性に、怪我を形骸化に置き換えると、未来のない取組みはバレエもマネジメントシステムも同じである。「計画書」という名の単なるスケジュール表、根本原因の究明が疎かで不適合の状況を言い換えたに過ぎない「不適合の原因」、近視眼的対処しかしていない是正処置、当事者以外が読んでも内容が正確に伝わらない記録類を見たり、ガバナンスが欠如して組織内での運用状況を適切にモニタリングしきれていない責任者に会う度に、未来のあるマネジメントシステムに切り替えて欲しいと願うのである。
ずっとバレエシュースで踊っていたが、昨年、私も６年目にしてようやく先生からポアントを履く許可が下りた。
許可がなかなか下りず悩んでいた時に、先生のいつものあの声が心に響き、基本動作をより明確に意識して丁寧に練習をした結果、それから程なくして許可が下りた。人間、明確に意識するのとしないのではこうも結果が異なるのかと改めて実感した。
マネジメントシステムも同様である。受審組織様には、規格の意図を汲み取って基本を明確に意識して丁寧に運用することにより、有効性が高まり、結果として従業者満足と顧客満足の両方をゲットして欲しいと願っており、毎回の審査の中で規格の意図を伝えようと努力している。
私事では、基本をしっかり身に着けようとする気持ちを持って練習にはげみ、舞台上で自己満足ではない正統派のバレエを踊り、お義理ではなく心からの拍手がいただけるようになることを夢見ている。まだ夢であって目標とは言えないのが寂しいが。。。
♪バレエ用語ワンポイント解説【ターンアウト】
踵を前に出すように腿の付け根から足先まで外側に開く。移動する時もジャンプする時もこの状態をキープすることにより足元のぐら付きを防止し捻挫や骨折から身を守る。これにより足の外側ではなく内側の太くなり難い筋肉を主に使うことになるので、細くても（大人になって始めた者は微妙）強靭な足を作ることが可能になる。
（いつかエトワール）（このコラム文書は、投稿者の個人的な意見表明であり、ＳＡＡＪの見解ではありません。 ）日本システム監査人協会 会報4

January 2012

日本システム監査人協会 会報

投稿■ 「システム監査人の独言」
会員 No.679 吉田裕孝
監査という仕事は荒探しの局面が必ずある。しかしながら如何にその局面からより高い次元に持っていける
かをいつも自問自答しながら監査をしている。その為に心掛けていることは、実際におこりうる可能性のある
潜在的なリスクを、発見した事項との関連で客観的かつ分かりやすく説明することである。説明内容は、相手の立場を理解しグローバルスタンダードにてらして説得力があることが求められる。リスクとの関係で指摘事項を理解して納得してもらう。相手に改善行動を促せるか？これらは監査の教科書的に言えば自明のことではあるが、実践の場ではいつも難しいと感じている。情報システムが抱えているリスクの一部は、経営者に理解しづらい内容も含まれており、このあたりにも配慮が必要と感じている。監査人のコミュニケーションスキル
や監査人の見識、人格も重要であろう。
システム監査は、監査分野の中でも現場と経営とのギャップが大きい分野の一つではないか。情報システムの信頼性や安全性の観点は、現場のシステム部門の関係者に関連した事項であり、経営トップにとってあまり重要ではないと思われることもある。一方、情報システムの有効性や効率性の観点は、経営トップも関心が高い分野である。しかしながら、監査でいざ実践するとなると、監査で必要な共通な尺度（監査のチェックポイ
ントとも呼ばれる）で意見を述べることがとても難しい分野である。情報システムは経営に役立っているか？
経営戦略の実現に必要な情報システムを具備しているか？これら経営トップの潜在的な疑問にヒントを与え、監査結果ないし監査報告が経営の執行に役立つ、このような監査を一つでも二つでも実践することがシステム
監査の有効性や必要性を理解してもらう地道な活動の一つではないかと考える今日この頃である。
話は少し変わるが、ニューヨークで久し振りに生活して感じるのは、現在の日米関係は市民や生活者の観点では最良の時代の一つではないかと思う。食事文化等を通じて米国人の生活の一部ではあるが日本文化が受け入られている。また 3.11 の災害に対して米国人各層からの支援、援助は記憶に新しい。また日本人にとっては、観光客としてこの円高の恩恵をたっぷり受け、あらゆる年代層が自ら米国を訪問し理解を深める機会を持てる。米国から見れば経済の面でも今や日本は脅威を感じる国ではなくなっているのであろう。普段の生活やビジネスシーンで日本の影はほとんどない。唯一の例外は 3.11 の地震と津波であり、加えてニューヨークでは、昨年秋ユニクロがマンハッタンの５番街の一等地に出店するのにあたり、ヒートテック製品を日本の先進技術として派手に広告宣伝していたが、車同様米国人に心良く受け入られることを願うばかりである。いずれにしろ、親や祖父の時代の方々の苦労の上に、今日の良好な日米関係が成り立っていることに感謝したい。また我々の世代の責務としてこの良好な日米関係を子や孫に伝えることができるかが課題であろう。
以上

日本システム監査人協会 会報5

January 2012

日本システム監査人協会 会報

研究会、セミナー開催報告、支部報告■【平成 23 年度システム監査事例研究会年次報告】（１）研究会メンバー ：１１３名（２０１１年１２月現在）（２）月例研究会開催
定例会 毎月第一水曜日 １８：３０～２０：３０
１２回開催 延べ出席者数

１０８名

内容
・事例研主催セミナーの開催方式見直し
・実践セミナー等の教材見直し方針の決定と改訂実施
１月 ５日

７名 実務セミナー・課題解決セミナー開催方式の検討

２月 ２日 １２名 年度計画の具体化
３月 ２日 １０名 ｃ社セミナー教材の見直し方針決定
４月 ６日 １１名 ｃ社セミナー教材の見直し作業開始
５月１１日

９名 事業継続対策の効果評価、ｃ社セミナー教材

６月 １日

６名 電力不足対策情報交換、ｃ社セミナー教材

７月 ６日

８名 ｃ社セミナー教材改訂作業

８月 ３日 １０名 ｃ社講師用資料の改訂
９月 ７日

７名 第１８回実務セミナー前半振り返り

１０月５日

８名 第１８回実務セミナー後半振り返り

１１月２日

８名 第４回課題解決セミナー開催準備

１２月７日 １２名 年間活動報告（３）システム監査サービス
監査依頼の打診は全くなかった。
事例研の活動の源泉であるため、何とか依頼案件を見つけたい。
（４）システム監査実務・実践セミナー
・本年は４日間コースを１回開催し、１９９６年から実践・実務セミナーは通算３７回の企画実績となった。
・実務セミナー４日間コースは、２００２年から開始し通算１８回目となり、公認システム監査人の教育制度の一環として定着してきている。
①第３６回（第１７回実務セミナー４日間コース）
日時：１月２９日
受講者が少なく、催行を見送った。
日本システム監査人協会 会報6

January 2012

日本システム監査人協会 会報②第３７回（第１８回実務セミナー４日間コース）
日時：８月２７日 １０：００～ ２８日 １５：００、９月１０日 １０：００～ １１日 １５：００
場所：東京晴海 晴海グランドホテル
参加者：受講生１２名、講師４名、講師補３名（５）内部統制セミナー
今年度は開催されなかった。
（６）事例に学ぶ課題解決セミナー（半日コース・簡易演習付）①個別企業からの依頼があったものの、震災の影響などで中止になった。
②第４回
日時：１２月３日 １３：００～１７：００
場所：東京都中央区（協会事務所）
参加者：受講生１４名、講師２名
以上

日本システム監査人協会 会報7

January 2012

日本システム監査人協会 会報

研究会、セミナー開催報告、支部報告■ 【大分合同セミナー開催（２０１１年１１月１２日）報告】
会員 No.0811 舩津宏

毎年１１月に、大分市で各種団体共催の合同セミナーを開催して、今回で８回目になります。大分ＩＴ経営
センター、中小企業診断協会大分県支部、ＩＴＣ大分、日本システム監査人協会九州支部、システム監査学会の５団体の合同セミナーです。
今回は、大分駅の高架化工事の現場視察と１件の講演がプログラムされ、１９名の参加がありました。
以下、講演内容について報告をさせていただきます。
１．大分県大分駅付近連続立体交差事業／大分市南土地区画整理事業について
於：大分県大分駅周辺総合整備事務所（１３：０５～１５：００）
講師：大分県 大分駅周辺総合整備事務所 主幹 三村 一氏
大分市 都市計画部 駅周辺総合整備課 主幹 黒木 清一氏
三村氏は、大分駅の高架化に伴う線路と道路の立体交差事業について、黒木氏は、駅の高架化完了後の大分駅周辺並びに駅南の開発についてご説明いただいた。
＜説明内容＞（１）大分県大分駅付近連続立体交差事業
平成１４年から連続立体交差の工事に入り、今年、難関である大道陸橋撤去工事が完了した。
高架化については、久大本線、豊肥本線のホームは供用され、これから日豊本線が高架化される。
高架化にあたっては、これまで日豊本線を横切る幹線道路を大道陸橋で供用していたが、高架化に伴い、大道陸橋を撤去し、踏み切りに戻し、線路を高架にする必要が生じた。
この陸橋の撤去に７ヶ月の通行止めが生じるが、この陸橋は大分屈指の交通量を誇るため、交通渋滞
で留まればよいが交通マヒとならないようさまざまな手を打った。
用地買収以外に、交通量調査、ドライバーの通行止めの場合の迂回路の調査、周辺道路の拡張、迂回路となる幹線道路の早期供用、パークアンドライド、時差通勤、企業への協力依頼、住民への周知などその結果、大規模な渋滞なく、工事などを進めることができた。
（２）大分市南土地区画整理事業
大分駅が高架化されることにより、大分駅は南側に移動する。
これにより、北側に新駅ビルが建ち、駅の南北が自由通路で往来できるようになる。
あらたに駅南に図書館などの施設やシンボルロードを作成する。
駅の北側から駅の南側をとおり、上野公園への人の流れを作り、夢のある街にしたい。
＜所感＞
利便性のため、一時的に住民や事業者にご迷惑をかけても、必要な事業という程度の認識しかなかったが、行政が社会的影響を最小限すべく最大限の努力をしていたことがわかった。これは、単に工事につい日本システム監査人協会 会報8

January 2012

日本システム監査人協会 会報てリスク管理ではなく、社会としてのリスク管理が実施されていると感じた。自治体の事業についても事業リスクに関する体系的なシステム監査の視点の明確化が必要ではと感じた。
２．大分駅高架化工事現場視察（１５：００～１５：３０）
大分駅の日豊本線ホームの工事現場を視察した。
すでに線路が設置され、１．５ｋｍのロングレールや高架上の枕木構造などの説明を受けた。
久大本線、豊肥本線のホームは供用されているため、特急「ゆふいんの森」号やローカル線車両の待機線への入線を見ながらの視察であった。
３．講演：「大規模システムにおけるレガシーマイグレーション」（～システム構造刷新におけるシステム監査の視点～）
於：大分市アイネス２Ｆ大会議室（１５：４０～１7：００）
講師：ＩＴコーディネータ

公認システム監査人 藤平 実氏氏

製鉄所の基幹情報システムの刷新について講演いただいた。
＜発表内容＞
１９７０年代より「統合管理コンピュータシステム」製鉄の基幹業務に適用した製鉄所におけるシステムの刷新の取組みを紹介。
「統合管理コンピュータシステム」は、当然、汎用機を中心としたシステムで、永年のシステムの改造や機能追加で、メンテンシビリティが低下しており、システムの再構築が求められていた。
２０年前より、再構築を検討していたが、当初１０年間は、再構築、ダウンサイジングは時期尚早として踏み切らなかった。
１０年前より、実現可能と判断され、データベースをデータ中心アプローチで再構築し、ハードウエアについては、継続すべきレガシーシステムと置き換えるべきオープンシステムによるシステムを構築した。
この経験から言えることは、・レガシーシステムに活きを吹き込むことの重要性（高リスク対策、回避）・システムサイクルの重要性（「守るべき領域」と「活性化領域」とを分ける）
・「データ中心アプローチ」の重要性（「プロセス中心アプローチ」からの脱皮）
である。
＜所感＞
今回の再構築は、システム開発の業界では、過去から言われ続けてきた内容をまさに実現した内容であったが、この大規模システムで実現できたことがすばらしいと感じた。ここに至るまで、当初１０年時期尚早と考え、踏み切らなかった勇気にも感心した。
昨今、期限優先で、リスク対応が不十分なままシステム切り替えを行い、不具合で社会に影響を与える事例が多発しているが、やはり技術の会社はシステムリスクや経営リスクをしっかり評価し、確実にシス
テムを維持・構築していると感じた。
以上

日本システム監査人協会 会報9January 2012

日本システム監査人協会 会報

研究会、セミナー開催報告、支部報告■ 【西日本支部合同研究会報告】■【発表１】
会員 No.401 大谷 完次
発表タイトル：「重要インフラ情報システムに何が求められるか」
発表者：中四国支部 NPO 日本システム監査人協会

理事 大石 正人 氏

１．講演概要重要インフラ情報システム（以下重要インフラという）が社会及び環境に及ぼす影響は多大なものがあり、それを提供する事業者に求められる社会的責任は重い。決済サービスを例にして、その責務と事業継続管理の監査を含めた検証の必要性、更に東日本大震災での影響・対応を俯瞰し今後の課題を提言する。
２．講演要旨（１）重要インフラの定義
重要インフラとは、以下のものをいう（内閣官房情報セキュリティセンター）。
・国民生活及び社会活動に不可欠なサービスを提供している社会基盤
・他に代替することが著しく困難なものであるため、機能が停止すると社会経済活動に多大な影響を及ぼすおそれが生じるインフラ
・具体的には、情報通信、金融、航空、鉄道、電力、ガス、政府・行政サービス、
医療、水道、物流の１０分野（２）重要インフラ事業者の社会的責務
重要インフラ事業者には、一般的な社会的責任（CSR）に加え、サービス提供に際し、事業の継続を担保する経営基盤、サービス中断回避とか適時の情報提供等に対して強い要請・責務が求められている。
（３）重要インフラ事業を支えるポイント
重要インフラを支えるポイントは以下のとおりである。
①重要インフラサービス提供責務の自覚
事業体としてサービス提供を中断させないという自覚を持って、事業継続を担保する経営基盤の確保、制度設計、インフラ構築、リスク管理、リスク対応計画、ストレステスト等の対応を行うこと。
②制度（仕組み）の設計・構築
重要インフラサービスを提供する制度設計、業界ルール、公的規制やガイドラインに沿ってシステムを構築すること。
③運営組織
制度を運営する組織（政府機関または自主組織）を発足させ、その組織の役割を定めること。役割には、運営ルール・基準の設定の他に、制度からの離脱措置条件などの異例時の対処、個別に対応
不可能な横断的な課題への対応がある。
日本システム監査人協会 会報10January 2012

日本システム監査人協会 会報④インフラの基盤構築と運営
制度設計に沿ったインフラを構築し、インフラに求められる基準を順守して運営すること。事業継続計画を立て訓練やストレステストを実施し、更に横断的な検証（SWE）を実施すること。
SWE(ストリートワイド訓練)とは、業界内で共通の被災シナリオを設定し、そのシナリオの下で各社がほぼ同時に被災時の対応に関するシミュレーションを行い、その結果を持ち寄って業界レベルで解決すべき問題点を洗い出すことにより、業界レベルの業務継続体制の整備を促すための訓練のことである。
⑤PDCA とその評価
第三者目線で上記①～④のプロセスを検証し、必要な助言・提言を行うこと。この対象は、個別主体内での妥当性と制度やシステムから見た横断的視点での課題抽出である。
評価での課題は、テール・イベント（極めて稀にしか発生しない事象）リスクに対するコスト対効
果で割り切れない難しさがあることである。
（４）ケーススタディ１：決済サービス
重要インフラの一つである決済サービスについて考察する。
①決済サービスの本質と構成要素
決済サービスは、「決済」という経済取引におけるお金の受払いや証券の受渡しおよび「決済は予定通り行われる」との信頼を基礎に成立している本質がある。また、「決済」は、情報通信技術のような物理的要素と決済に関する契約・慣行上のルールや関係法令といった制度的要素で構成される。
②決済サービスを支えるインフラとその特性「決済インフラ」は、個別金融機関が運営する勘定系システムを中心としたコンピュータシステムと集中決済機関が運営する決済システムで構成される。その特性は、社会経済的にも重要だが、通信・電力などの他のインフラとの相互依存性を有することである。どこかが崩れると他のインフラへ多大な影響を与える関係にある。
③決済システムにおけるリスク管理
決済システムの本質および特性により、以下の３つの視点からリスク管理を行う。
１）制度設計や運営体制の整備と PDCA に基づくリスク管理
・集中決済機関等が運営組織を形成、制度設計、運営ルールの設定などを担う。
・決済システム参加者においてシステム管理基準等に基づく全社的なリスク管理を行う。
２）サービス中断に繋がるリスクシナリオに即した事業継続管理
・決済サービスの「集中決済機関を通じて、金融機関全体として決済サービスを提供していく」という特性に即した対応を行うのが特徴である。
・各集中決済機関は以下の責務と対処を行う。
・各集中決済機関が自らの集中決済サービスに係る運営体制の整備、事業継続管理をしっかり行う。
・集中決済に参加する個別金融機関の状況をきちんとモニタリングする。
・集中決済機関に加え必要に応じ金融当局等が、オーバーサイトの観点から継続的に関与し、必要に応じてその状況をサービス受益者にも公開していく。
日本システム監査人協会 会報11

January 2012

日本システム監査人協会 会報

・決済システム参加者の責務と対処
・自社の決済サービスを中断なく提供する。
・集中決済機関と連携して円滑対応する。
・リスク管理体制を整備し平素の PDCA サイクルに基づく運営を定着させる。
・リスクシナリオに基づき、訓練やストレステストを実施し十分性を検証する。
３）内部・外部監査による第三者の視点での十分性の検証
・集中決済機関や決済システム参加者の運営体制や事業継続管理の十分性を内部・外部監査により第三者の目で検証する。
・さらに、SWE の実施主体に対する監査等の、相互依存性も意識した横断的な検証も必要（訓練を含めた PDCA）である。
（５）ケーススタディ２：東日本大震災への対応
東日本大震災に対する決済システムの状況を考察する。
①わが国金融機関・決済システムへの影響
・金融機関閉鎖店舗数（3/16 時点）
・・・３１０店舗
休業手形交換所数（3/16 時点）
・・・・１６か所
・民間決済における対応・・・手形交換所の交換参加地域を広域化した。
・集中決済機関の対応・・・決済時間を 1 時間延長した。
・日本銀行の対応・・・日銀ネットの安定的な運行を確保し、金融機関に対する現金供給と損傷現金の引換え、「金融上の特別措置」の要請などを実施した。また、正確かつ迅速な対外情報を発信し、「日本経済は大丈夫」の発信を担った。
②全体評価
・決済システム、金融機関は、大震災の下でも安定的な稼働を続け、円滑な金融サービスの提供継続を実現した。
・特に被災地所在金融機関が、自ら被災しつつ、店舗復旧と業務再開に尽力し、顧客ニーズに懸命に応じたことが大きく寄与した。
・決済システム、金融機関における業務継続体制の整備に対する地道な取り組みも寄与している。
・大震災を通じて「通常どおり業務を継続すること」の大切さを痛切に感じた。
（６）今後の課題
重要インフラの今後の課題として以下の検討が必要である。
①ストレスシナリオの十分性の点検
業務継続体制の前提となるストレスシナリオが、大震災の経験を踏まえたうえで、潜在的なストレス
事象に見合う十分なシナリオになっているか？
②①のストレスシナリオに見合った体制の強化
・バックアップ・センター等の充実と活用するための検討がなされているか？
・バックアップ・データの遠隔地保管はできているか？
・自家発電設備等の強化はされているか？
日本システム監査人協会 会報12

January 2012

日本システム監査人協会 会報

・要員確保のための体制整備はできているか？
・急増する取引に見合ったシステム容量は確保されているか？
③横断的訓練の実施と充実
・業務継続体制の整備や訓練は引き続き重要である。
・決済サービス提供主体が部分最適な行動をとると、ボトルネックが発生し、円滑な決済に支障が生じる可能性がある。
・通信業者や交通機関など広範な関係者が参加して、一定のシナリオに基づく訓練を定期的に実施する必要があるのではないか？
④鳥瞰的な検証と結果の公表
・上記①から③の対応にあたり、経営レベルが高い問題意識を持つことが大前提である。
・個々の対策の有効性は当事者だけの点検ではカバーできない視点もあり、内外の監査による点検が必要である。
・点検結果を公表して、知見を共有することにより、相互連携の円滑化が期待できる。
（８）所感
決済インフラを例にして説明されたので、講師が 2008 年西日本支部合同研究会で講演された内容と重ね合わせて、その中断が他の重要インフラに影響する相互依存性の重要性について良く理解できた。
重要インフラの事業継続体制の整備、訓練およびリスク管理のＰＤＣＡを回すことの重要性を感じるとともに、今回の東日本大震災の教訓から、ＳＷＥの必要性を特に感じた。
以上■【発表２】
会員 No.1917 志多木 義浩
発表タイトル：「BCP 研究会活動報告～IT を中心とする BCP 策定支援の実践～」
発表者：近畿支部 BCP 研究会 荒町 弘氏
発表の概要：
１．研究会発足～A 社共同に至る経緯
2010 年度近畿支部総会後の情報交換会にて近畿支部関西理事より提案があり、2010 年 2 月 17 日発起人 3
人がメンバーを募りキックオフした。BCP 策定支援アドバイザーの川端理事のレクチャーにより参加メンバーの知識共有から開始。
WG を進めるにあたり以下の目標設定を行った。
・研究会メンバとして BCP に関する理解と知識を深める。
・IT のビジネスリスクやリスク分析について意見交換し見解をまとめる。
・中小企業にフォーカスしたリスク対応ケースを作る。
2010 年 6 月（第 3 回 WG）より、実効性のある BCP 策定への取り組みには実際の企業との共同作業が近道との思いから、協力企業を交えての取り組みについて協議を始めた。協力企業は取引先Ｂ社の紹介によりＡ社となった。
日本システム監査人協会 会報13

January 2012

日本システム監査人協会 会報

Ａ社に以下の提案を行った。
1)取り組みの目的：重要業務を担う IT システムおよび IT 部門の事業継続計画策定を実施する。
2)取組の内容：中小企業 BCP ステップアップガイド（4.0 版）の第 1 部「BCP の基礎になる防災対策の実施」をもとに計画策定を行い、IT 部門と重要業務を担う IT システムを対象とする。
3)スケジュール：2010 年 9 月から 2011 年 3 月までを活動期間とする。
4)成果品：中小企業 BCP ステップアップガイド（4.0 版）にて提供されている様式を用いた成果品とする。
5)その他（経費等）：基本的にＡ社の費用負担は発生しない。
２．Ａ社の概要と BCP 策定支援活動について
Ａ社の概要と BCP 策定の取組みは以下のとおり。
・化学系に関する企業で全国に 20 カ所の事業所を持つ。
・IT 部門は本社の ICT 部門（3 名）が担当し、30 台のサーバーを近畿圏の事業所で一括管理している。
・全社ネットワークは光サービスを利用し、バックアップは ADSL 網を使用している。社内のサーバーやクライアントはインターネットに接続していない。
・基幹システムはメタフレームで運用し、クライアントには資源を置かない。
・BCP 策定に向けては少ないマンパワーで取り組み、月 1.5 人日程度しか割けないため、サポートベンダ
ーの協力を頂く。
・活動の頻度は月 1 回とし、SAAJ の WG に共同参加とする。
IT 部門の担当者は 3 名と少人数のため、ドキュメント整備が追い付いてなく、BCP 策定を機にシステムの棚卸も実施したいという希望があった。
BCP 策定支援活動として、以下の活動を行った。
・参考とするガイドラインの検討：「地方公共団体における ICT 部門の事業継続計画(BCP)策定に関するガ
イドライン」を用いる。
・作業の範囲とアウトプット：上記ガイドラインの第１部（BCP 策定の基盤づくり）を作業の対象とし、
アウトプットもガイドラインのサンプルを参考にした。
・作業主体と SAAJ の役割：作業主体はＡ社とし、SAAJ は必要な助言などを行った。
３．具体的な活動内容
Ａ社の電算室と運用状況を視察した結果、サーバー室のファシリティ面においていくつかの改善ポイントがあるが、高いセキュリティ意識と IT 部門の統制が効いており運用状況の面では十分との結論を得た。
東日本大震災においても、関東の事業所が被害にあったがサプライチェーンの維持は出来た。現在、重要シ
ステムの事業継続方針についてのドキュメント整備中である。
ドキュメント整備支援を通じての協議事項として以下の項目が重要である。
・ICT 部門だけでなく全社的 BCP に発展させる必要がある。
・業務継続性の検討では、BCP 策定の意識を持つことが必要。
・日常のインシデント管理から新たな改善テーマの認識と検討につながる。
・災害発生時のサポートベンダ各社の対応について、システムの優先度が重要である。
・事業継続を高めるための取組みについて、バックアップだけにお金をかけるのでなく経営支援を含めて検討が必要。
日本システム監査人協会 会報14

January 2012

日本システム監査人協会 会報

今後の取組として、以下の内容を継続中である。
・研究会メンバーとしてＢＣＰに関する知識と理解を深める。
・IT のビジネスリスクやリスク分析についての意見交換し見解をまとめる。
・中小企業にフォーカスしたリスク対応ケースを作る。
所感：
東日本大震災後 BCP の重要性に注目が集まっている。様々なガイドラインがあるが、中小企業向けのものは少ないのではないでしょうか？中小企業向けのケースが完成したら、ぜひ展開して欲しいと感じました。
また、実際の企業を交えての研究会というのは非常に効果的と思われます。機会があれば中四国支部でも取り組んでみたいと感じました。
以上■【発表３】
会員 No.1679 小松 孝浩
発表タイトル：「BCP の観点を意識したシステム監査項目の検討」
発表者： 中部支部 澤田 裕也 氏
＜発表概要＞
澤田氏は、2011 年 11 月に実施した SAAJ 中部支部と JISTA 中部支部との共同合宿における BCP の観点か
らコンピュータシステムについて見直し・注意すべき事項に関する研究内容について発表されました。
１．議論の進め方
共同合宿には SAAJ 中部支部と JISTA 中部支部それぞれの会員 13 名の方が参加され、参加者による「建設業における BCP」、
「インフラ企業における BCP」等の発表を基に、2 チームに別れて議論し、発表するという進め方で行われました。
２．監査項目
2 チームによる議論内容を分類すると、監査項目は 6 つに分類されました。以下に 6 つに分類された監査項目と主要な監査内容を記述します。
監 査 項 目監 査 内 容①経営の視点 復旧目標時間の妥当性を確認しているか。
②初動対応危 機管理本部を早急に立ち上げられるか。
③要員

復旧要員が被災し支援対象者となることを想定しているか。

④システム

緊急時に利用するシステムは常日頃から利用できるよう工夫しているか。
遠隔地にはデータのバックアップのみを保管していないか（システムのバックアップも保管しておかないとバックアップデータを利用できない。）
携帯電話や通常の電話等以外の通信手段を確保しているか

日本システム監査人協会 会報15

January 2012
⑤訓練

日本システム監査人協会 会報
訓練内容の有効性を確認しているか（訓練内容に係る PDCA サイクルが機能しているか。
）⑥情報セキュリティ

情報セキュリティの災害時の運用ルールを明確化しているか守るべき情報資産を明確化しているか

３．質問・意見等
西日本支部合同研究会参加者からは、次のような質問・意見がありました。
Ÿ

質問： 合宿参加者には、直接的に東日本大震災の影響を受けた方がいたか？

Ø

間接的に影響を受けた参加者がいた。

Ÿ

意見： 優先業務の中から最優先業務に絞り込んで BCP を策定すべきである。

Ÿ

意見： 経営方針に沿った BCP を策定すべきである。

４．所感
BCP に係るシステム監査についての発表でしたが、東日本大震災において発生した事象・問題点等も踏まえた内容となっており、我々が BCP 施策に係るシステム監査を実施するための指針を提供してもらったと感じました。
特に東日本大震災において携帯電話等での通話がしづらい状況が発生したことへの対応として PHS や無線機器等を準備してはどうかと言及され、その通りであると実感しました。
また、東日本大震災の経験から企業の中には、BCP を新たに策定しようとする企業や、既存 BCP の改善を考慮する企業があると容易に想定することができますが、システム監査により BCP を改善するという PDCA
サイクルを実践する企業がより出現することが望まれると感じました。
以上■【発表４】
会員 No.1800 田川 誠
発表タイトル：「BABOK 概説とシステム監査」
発表者：北信越支部 栃川昌文 氏

発表の概要：
１．講演内容今回の講演は以下の内容で行われた。
（１）はじめに－戦略目標の実現に貢献しているかどうかを監査する・・・（２）BABOK の概要－最近注目を浴びている BABOK とは・・・
・BABOK とは・ビジネスアナリシス、ソリューション、etc.
・BABOK における要求
・7 つの知識エリアとタスク（３）BABOK とシステム監査－BABOK をシステム監査に活用できないか・・・・システム管理基準と BABOK の関係（４）最後に－BABOK をシステム監査に活用することは可能
日本システム監査人協会 会報16

January 2012２．

日本システム監査人協会 会報

講演の概要（１）はじめに－戦略目標の実現に貢献しているかどうかを監査する・・・
情報システムの内部統制を適切に整備・運用する目的の１つに、情報システムが、組織体の経営方針及び戦略目標の実現に貢献することがある。しかしながら、情報システムの開発現場では、組織体の経営方針及び戦略目標の実現に貢献するどころか、むしろそれらを充分に達成できない、いわゆる“使えないシステム”
ができ上がってしまうことがある。これら“使えないシステム”ができ上がってしまう原因の多くは、シス
テムの作り方にあるのではなく、顧客の業務を分析して背景を理解し、それに基づいて本当に必要な解決策を明確に定義できていない点にある。そこで、システム監査もシステムの作り方を監査するのではなく、解決策を定義するプロセスを監査しなければならないのではないかと考えている。
（２）BABOK の概要－最近注目を浴びている BABOK とは・・・
カナダのトロントに本部がある IIBA
（International Institute of Business Analysis）が作成した BABOK（Business Analysis Body of Knowledge）は、ビジネス分析（Business Analysis）のための知識体系をまとめたものである。
BABOK には、「組織の構造とポリシーおよび業務運用についての理解を深め、組織の目的達成に役立つ
ソリューションを推進するために、ステークホルダー間の橋渡しとなるタスクとテクニックをまとめて、ビジネスアナリシスと呼ぶ。ビジネスアナリシスを実施するのは、ビジネスニーズと目的または目標に合致す
るソリューションを定義して、その妥当性を確認するため。
」とある。
つまり、解決策を定義するプロセスそのものがビジネスアナリシスを実施することに該当すると考えられる。そこで、システム開発の超上流工程を改革するために注目を浴びている BABOK をシステム監査に活用できないかと考え、システム監査に BABOK を利用することについて検討することにした。
（３）BABOK とシステム監査－BABOK をシステム監査に活用できないか・・・
ビジネスアナリシスはシステムの企画業務に相当するものであるため、システム管理基準の「Ⅱ．企画業
務」に焦点を当て、システム管理基準の管理項目と BABOK のタスクとの関係を整理した。
システム管理基準 Ⅱ．企画業務 １．開発計画（項番(1)開発計画は、組織体の長が承認すること。

管理項目

趣旨

BABOK のタスク）開発計画が全体最適化計画に基づいていることを確認し、開発計画を実行に移すため、組織体の長が承認する必要がある。 ５．１ビジネスニーズを定義する(2)開発計画は、全体最適化計画との整合性を考慮して策定すること。

開発する情報システムは、関連する他の情報システムと役割を分担し、組織体として最大の効果をあげる機能を実現するため、開発計画は、全体最適化計画との整合性を考慮して策定する必要がある。

５．４ソリューションス

コープを定義する(3)開発計画は、目的、対象業務、費用、スケジュール、開発体制、投資効果等を明確にすること。
情報システムの目的、機能等について関係者が共通認識を持ち、情報システムの投資効果を確認するため、開発計画は、目的、対象業務、費用、スケジュール、開発体制、投資効果等を明確にする必要がある。

５．５ビジネスケースを定義する

日本システム監査人協会 会報17

January 2012

日本システム監査人協会 会報(4)開発計画は、関係者の教育及び訓練計画を明確にすること。

開発計画で策定した情報システムの品質を保ちスケジュールどおりに実現するため、開発関係者の計画に対する理解の統一と技術力を向上させる教育及び訓練計画を明確にする必要がある。

７．３組織の準備状況をアセスメントする(5)開発計画は、ユーザ部門及び情報システム部門の役割分担を明確にすること。

開発、運用及び保守業務を効果的に実施するため、ユーザ部門と情報システム部門の役割分担を明確にし、相互に確認しておく必要がある。

７．３組織の準備状況をアセスメントする(6)開発計画は、開発、運用及び保守の費用の算出基礎を明確にすること。

情報システムのライフサ

イクルを通した費用を合理的に算出するために、開発計画は、開発、運用及び保守に関する費用の算
出根拠を明確にする必要がある。 ７．１提案ソリューションをアセスメントする(7)開発計画はシステムライフを設定する条件を明確にすること。 情報システムのシステムライフを合理的に見積もるため、システムライフの条件を明確にする必要がある。

５．２能力ギャップをア

セスメントする(8)開発計画の策定に当たっては、システム特性及び開発の規模を考慮して形態及び開発方法を決定すること。

全体最適化計画と整合性をとり、情報システムを最も効率よく開発するため、開発計画の策定にあたっては、システム特性及び開発の規模を考慮して情報システムの形態及び開発方法を決定する必要がある｡

５．３ソリューションアプローチを決定する(9)開発計画の策定に当たっては、情報システムの目的を達成する実現可能な代替案を作成し、検討すること。

情報システムに要求される機能、能力、品質等を最も効率よく実現するために、複数のシステム実現案を作成し、比較及び評価する必要がある。

５．３ソリューションアプローチを決定するシステム管理基準 Ⅱ．企画業務 ２．分析（項番

管理項目

趣旨

BABOK のタスク）(1)開発計画に基づいた要求定義は、ユーザ、開発、運用及び保守の責任者が承認すること。

要求定義の内容についてユーザ、開発、運用及び保守の各部門の理解を一致させ、確定したものとするため、要求定義は、ユーザ、開発、運用及び保守の責任者が承認する必要がある｡

６．６要求を妥

当性確認する(2)ユーザニーズの調査は、対象、範囲及び方法を明確にすること。

ユーザニーズを的確に反映するため、事前にユーザニーズの調査の対象、範囲及び方法を明確にする必要がある。 ２．２ステ
ークホルダーの分析を主導する 第 3 章 引き出し４．１ソリューションスコープと要求をマネジメントする(3)実務に精通しているユーザ、開発、運用及び保守の担当者が参画して現状分析を行うこと。

現行

業務を的確かつ効率的に分析し、現行業務処理の流れ、手続、業務量等を把握するため、現状分析は、実務に精通したユーザ、開発、運用及び保守の担当者が参画する必要がある。

６．１要求に優先順位を付ける６．２要求を体系化する６．４前提条件と制約条件を定義する(4)ユーザニーズは文書化し、ユーザ部門が確認すること。

ユーザニーズの調査結果を的確に開発計画の策定、開発業務に反映するため、ユーザニーズは文書化し、ユーザ部門の責任者が確認することが必要である。 ６．３要求の仕様化とモデリングを行なう４．３再利用に備えて要求を保守す
る４．５要求を伝達する６．５要求を検証する(5)情報システムの導入に伴って発生する可能性のあるリスク分析を実施すること。
日本システム監査人協会 会報

情報システムの18January 2012

日本システム監査人協会 会報

健全な運用を図るため、情報システムの導入に伴って発生する可能性のあるリスクを分析する必要がある。

７．５ソリューションの妥当性確認を行なう(6)情報システムの導入によって影響を受ける業務、管理体制、諸規程等は、見直し等の検討を行うこと。
情報システムの導入によって生じる業務、管理体制、諸規定等への影響を的確に把握し、情報システムの運用を円滑に行うため、業務等の新設、改変及び廃止、管理体制の変更、及び諸規程の見直しを行う必要がある。

７．４移行要求を定義する(7)情報システムの導入効果の定量的及び定性的評価を行うこと。

開発計画で算出した効果に基づいて、合理的に効果を算出するため、情報システムの効果の定量的及び定性的評価を行う必要がある。
７．６ソリューションのパフォーマンスを評価する(8)パッケージソフトウェアの使用に当たっては、ユーザニーズとの適合性を検討すること。

情報シ

ステムが、期待された機能、効果を得られることを確認するため、パッケージソフトウェアの導入に際しては、機能、効果の観点からユーザニーズとパッケージソフトウェアの適合性を確認する必要がある。

７．５ソリューションの妥当性確認を行なう（４）最後に－BABOK をシステム監査に活用することは可能
BABOK は SABOK(System Audit Body of Knowledge：経営戦略に情報システムが貢献していることを検証・評価するシステム監査（Systems Audit）のための知識体系)になり得る。BABOK は、システム管理
基準を補完し、より専門性の高い監査を実現するための知識体系として利用できると考えている。
３．質疑・応答（質問）：システム管理基準の管理項目と BABOK のタスクを関連づけているが、システム管理基準の管理項目に対して、BABOK のタスク番号が番号順に対応していないのはなぜか？
（回答）：IIBA で BABOK 作成する過程で、確かに質問されているような議論がありました。しかしながら、
BABOK は、あくまでビジネスアナリシス活動のタスクとテクニックをまとめたものであり、また、幅広く応用できるように実務のプロセスや方法論に依存するものは知識体系としての標準化範囲に含まれていません。そのような理由から、システム管理基準の管理項目と BABOK のタスク番号とは関連性のある並びにはならないと考えています。また、それぞれが 1 対 1 で対応するものでもないと考え
ています。
４．所感
システム管理基準を補完するものとして、BABOK の観点からの発表は大変興味を引くものでした。
「“使えないシステム”ができ上がってしまう原因の多くは、システムの作り方（How）に原因があるのではなく、顧客の業務を分析して背景を理解し、それに基づいて本当に必要な解決策（What）を明確に定義できていない点にある」と説明がありましたが、この点に関して BABOK はシステム管理基準を十分に補完できる可能性は多いにあると感じました。システム監査人として、BABOK に関する知識を高めてシステム監査に利用できれば、さらなるシステム監査の高度化につなげることができると考える貴重な経験をさせて頂きました。
以上■【発表５】
日本システム監査人協会 会報19

January 2012

日本システム監査人協会 会報
会員 No.1918 廣末 浩之

発表タイトル：「大規模システムにおけるレガシーマイグレーション～システム構造刷新におけるシステム

監査の視点～」
発表者：九州支部 藤平 実氏●講演の概要本講演の概要を、説明順に記載する。
１．大規模システムとダウンサイジング
一般的なダウンサイジングの歴史が説明された。1980 年代にはネオダマ（ネットワーク化、オープン化、
ダウンサイジング化、マルチメディア）という言葉がもてはやされた。
1990 年代には各メーカで様々な開発方式が提供されてきたが、大規模システムの既存のシステムの置き換えを伴うダウンサイジングには積極的ではなかった。
21 世紀に入り、国際競争に対応するため、また従来のシステムを理解できる技術者のいる間でないと継承が困難という事で、レガシーマイグレーションを検討せざるを得ない状況になっている。
本講演のシステムは、1970 年代に操業を開始し、「統合管理コンピュータシステム」を鉄鋼業で世界で初めて適用した製鉄所のシステムである。
２．鉄鋼業の製造工程とコンピュータシステム
鉄鋼業の製造プロセスは、製銑、製鋼、圧延、倉庫・出荷の各工程で成り立っており、各工程でそれぞれ独立した管理をしている。本講演のシステムは、圧延工程での生産管理（受注から出荷までの製造管理）、一般
管理（経理・人事給与・購買等の事務処理）のすべての面で当時としては画期的なオンライン・リアルタイム
処理を導入したものである。
３．従来システムの課題
・専用のオンラインコントロールソフト、データベースを採用していたため、最新技術の導入や機能アップが困難になってきている。当時としては最先端のシステムでメーカも個別サポートしていたため、このシステ
ムだけの機能が多い。またデータベースは階層型ＤＢＭＳを採用しており、現在主流のＲＤＢＭＳとの互換も困難である。このシステムは、現在でも高い機能、性能を保っており、このことが逆に他のシステムへの置き換えやシステム全体の機能アップを難しくしていた。
・30 数年の長い期間にわたり、システムの追加開発・改造を繰り返してきたことで、問題が内在化し、プロ
グラム構成・データ構造等が見えにくくなってきた。
・工場側の要請によるアプリケーションの開発を開始する前の関連調査、波及調査に要する時間が膨大になってきた。直近では、システム開発に係る工数のうち４５％が調査作業に費やされていた。
４．システム構造の展望
・データ項目については、原始データと加工データの混在、データ項目の二重定義、データの圧縮保管等の課題があったため、現行システムのデータ項目をそのまま使う事は困難だと判断して、再構築に合わせデータの再設計を行う必要があった。
・アプリケーションの再構築については、変換ツールの利用も検討したが、一般的に自動変換可能と言われて日本システム監査人協会 会報20

January 2012

日本システム監査人協会 会報

いる７０％程度では、残った部分の調査分析等に膨大な作業が発生する事もあり、本案件では、現在の業務形態に合わせて、システムをオープン形に再構築する「リエンジニアリング（リビルド）方式」を採用した。
・現状の課題解決方法として、これまでの階層構造でのシステム構造を基本とした方式からデータ中心の連携方式によるシステム構造に変えた。
５．操業オンラインシステムの更新
・本案件の経緯としては、１９９３年より検討を開始し、実際のシステム分析は厚板オンラインシステムの現状分析、将来システム構造の検討を２００１年より開始した。２００４年に新厚板オンラインシステムが稼働し始め、その後順次、厚板システム以外の操業オンラインシステムについて刷新を図っている。
・開発体制として、アプリケーション開発グループとは別に、システム技術基盤、データベース設計、標準化・開発環境設計の各グループを設けた体制とした。
・新厚板オンラインシステムは、製鉄所情報システムのシームレス構造化に向けた基本構造作りであり、オープン系技術での２４時間３６５日連続稼働を実現する操業オンラインシステムとしての基盤確立でもあった。…高信頼性・高寿命化施策、無停止実現、高可用性、操作性向上、システム間の高速情報連携、迅速な運用体制 等。
・データの再設計作業を、データ中心アプローチで実施した。その結果、現行システムでは当初２００個程度のファイル数だったのが現在では８００個近くに膨らんでいるものを、新システムでは同等機能を百数十個のファイル数（テーブル数）で実現できることになった。
６．レガシーマイグレーションのまとめ
・今回の新厚板オンラインシステムの開発を通じて実現・実証、また確立した内容として、システム基盤の確立、アプリケーション移行指針の確立がある。
・今回の開発を通じた経験として、“レガシーシステムに息を吹き込むことの重要性”、“システムサイクルの重要性”、“データ中心アプローチの重要性”といったものがある。
以上の事を考慮に入れ、状況を正しく見極め、その上で将来システム展望を見据え、その企業の発展に寄与するシステム再構築方式の選択（方式の組み合わせも含め）をおこなう事を推奨する。
なお、本講演については、以下の書籍に事例として紹介されている。
日経 BP 社「ソフトウェアエンジニアリング講座 2 システム開発プロジェクト」第１１章●所感報告者自身が過去にシステムエンジニアをしていたこともあり、レガシーマイグレーションについて、いくらかは経験したことがあったので、大変興味深い発表でした。
本講演のような、850 万ステップもあるような大規模システムのレガシーマイグレーションについては、なかなか経験する事もないですが、計画の立案、体制の構築、手法や技術の選択などについて、苦労した点も分かり本講演の事例では発表された藤平氏を始めプロジェクトに関わった方々の努力の結果、成功裏に目的が達成できているようで、勉強になりました。システム監査の視点として見ると、こういった大規模プロジェクトを成功させるためのチェックポイント等についてもヒントになるものを感じられた発表でした。
以上

日本システム監査人協会 会報21

January 2012

日本システム監査人協会 会報

研究会、セミナー開催報告、支部報告■【第４回課題解決セミナー開催結果の報告】
会員 No.1697 大西 智
○概要
事例研究会では、去る 12 月 3 日（土）、中央区の当協会事務所会議室において、第４回の課題解決セミナーを開催しました。今回は、受講者の方 14 名（SAAJ 会員 4 名、会員以外（主に ISACA）10 名）、講師 2 名（事例研から濱崎元伸氏、入谷和彦氏）の参加を得て 4 時間のセミナーを成功裏に開催することができました。
○内容
１．セミナーの目的
課題解決セミナーは、事例研究会がシステム監査の普及のために企画したセミナーです。身近な事例を使うことで、ふだん、情報システムやシステム監査に馴染みのない受講者にも、システム障害が他人事でないことを認識して頂くと共に、リスク分析とリスク管理、監査人の立場からすればシステム監査の重要性を理解して頂くことを目的としています。
２．セミナーの構成
課題解決セミナーでは、実際に発生した情報システムの事故・障害を取り上げ、会員から事例の提供を受けながら検討を重ねて完成させたカリキュラム・教材に基づき、解説します。
今回は半日コース（４時間）で、「事例講義」と、穴埋め問題を解く「簡易演習」を組み合わせて、次のようなプロセスで進めました。
STEP１．事故・障害事例を把握する。
STEP２．問題事象を考える。
STEP３．リスク（脅威・脆弱性）を考える。
STEP４．リスク対策（コントロール）を考える。
STEP５．システム監査の評価ポイント
簡易演習では受講者が主体的に事象把握から評価ポイントにたどり着くプロセスを体感します。
３．受講者の声（１４名）－アンケート抜粋－(1)講義の理解：理解できた１０名(2)講義時間 ：ちょうど良い１２名(3)演習の理解：理解できた１０名(4)演習時間 ：長い２名

やや理解できた４名
短い２名
や理解できた４名

ちょうど良い１１名 短い１名

(5)演習の設問：簡単４名 ちょうど良い１０名(6)役立ち度 ：役立つ１名 やや役立つ１２名 あまり役立たない１名(7)講師の姿勢：とても良い４名 やや良い５名 普通４名 未記入１名(8)感想：とても良い事例セミナーでした。蓮根－大根図は分り易いですね。大事なところの繰り返
しは大切で、繰り返し説明されていたが、ここが大事というところは、最初に列挙するな
ど掲げておいた方がよい。

日本システム監査人協会 会報

以上22January 2012

日本システム監査人協会 会報

注目情報（2011/12/1～12/30）● トピック１．【スマートフォン＆タブレットの業務利用に関するセキュリティガイドライン第一版（JSSEC）】公開
日本スマートフォンセキュリティフォーラム(JSSEC)の利用部会 ガイドラインワーキンググループが、2011 年 12 月ｔ1 日
付けで「スマートフォン＆タブレットの業務利用に関するセキュリティガイドライン第一版」を公開しました。
現在、ビジネスでもスマートフォンやタブレットが利用されるケースが増えてきましたが、これらは、技術的にはまだ発展途上であり、本格的に業務利用をするためには多くの課題が存在します。本ガイドラインでは、利用シーンという観点から企業や組織が考慮しなければならないセキュリティ上の脅威と対策を明確化しています。詳細は以下をご参照ください。
http://www.jssec.org/dl/guidelines2011_v1.0.pdf

以上

全国のイベント・セミナー情報■【九州支部】【システム監査体験セミナー】
１． 日時 平成 24 年 2 月 18 日（土）9:30～17:00
２． 場所 西南学院大学 西南コミュニティセンター 福岡市早良区西新 6-2-92(http://www.seinan-gu.ac.jp/campusmap.html)
３． 費用 5,000 円（SAAJ、JSSA、学生、ITC、共催団体会員 4,000 円）
４． 内容 システム監査体験講義（座学）、３～４名のグループでシステム監査プロセスの一部を体験いただ
くグループワーキング（演習）、監査結果の発表と講評。体験セミナーですので、システム監査に関連する事前知識は必要ありません。
詳細は以下をごらんください。
http://www.saaj.or.jp/shibu/kyushu/taiken_seminar20120218.html
以上

日本システム監査人協会 会報23

January 2012

日本システム監査人協会 会報

会報編集部からのお知らせ
１．会報投稿記事 2010 / 2011 アワード開催→アワード結果は 2 月号に掲載予定です。

２．会報記事への直接投稿（コメント）の方法
３．投稿記事募集□■ １．会報投稿記事 2010 / 2011 アワード開催
会報を電子化を機会に、ショートエッセイ、「めだか｣を連載始めました。
また、投稿された原稿には、それぞれの工夫が施されたものも多く、できるだけ原稿のイメージをお伝えするため
電子ファイルで投稿された原稿をそのまま採用させていただくよう、標準フォームを設定しました。
これにより、誤字脱字のチェックなど最小の編集で、記事を発行するようにして、従来の隔月サイクルから
月次発行サイクルに変更してお届けするようにしました。
会報の全体記事は、２０－４０ページにもなるため、個別の記事ごとにも閲覧できるようにしました。
さらに、会報記事の投稿者に図書カードを配布しておりましたが、次のように年間アワードの方式に変更します。
これにより、投稿記事や投稿者個人の学習、知識、経験を広く認知していただくことができます。
つきましては、次の通り、会員の投票形式により、受賞記事を選んでいただく方式を採用します。
年間アワードの実施に伴い、従来の図書カード配布方式は、なくなります。

■対象投稿記事
１）2010 年会報アワード ：2010/1-12 までの会報に掲載された記事を選定の対象とします（初回のみ）
２）2011 年会報アワード ：2011/1-12 までの会報に掲載された記事を選定の対象とします（毎年）３）アワードの種類：
SAAJ めだか賞
論文賞、奨励賞 など、３点を選定し、記念品を贈呈する予定。

■選定方法 ：
投票期間の開始までに、対象記事タイトルを一覧できる投票用の URL を案内します。
投票には、SAAJ の会員が１票を投票できます。会員は、候補記事の中から、受賞にふさわしいと思う記事を選んで、期日内に投票いただきます。期間内に投票された投票を単純集計し、得票数の多い記事をアワードの対象とします。

■投票期間：
12/16 より 12/31 の 23:59 まで（当月の記事を配信、読んで頂いた後で投票してください）

日本システム監査人協会 会報24

January 2012

日本システム監査人協会 会報

会報記事への直接投稿（コメント）の方法、おしらせ□■ ２． 会報の記事に直接コメントを投稿できます
会報の記事は、
１）PDF ファイルの全体を、URL（ http://www.skansanin.com/saaj/ ）へアクセスして、画面で見る
２）PDF ファイルを印刷して、職場の会議室で、また、かばんにいれて電車のなかで見る
３）会報 URL（ http://www.skansanin.com/saaj/ ）の個別記事を、画面で見るなど、環境により、様々な利用方法をされていらっしゃるようです。
もっと突っ込んだ、便利な利用法はご存知でしょうか。
気にいった記事があったら、直接、その場所にコメントを記入できます。著者、投稿者と意見交換できます。
コメント記入、投稿は、気になった記事の下部コメント欄に直接入力し、投稿ボランをクリックするだけです。
動画でも紹介しますので、参考にしてください。
（ http://www.skansanin.com/saaj/ の記事、「コメントを投稿される方へ」 ）□■ ３．ＳＡＡＪ会報編集担当より お知らせ
会員の皆様からの、投稿を募集しております。分類は次の通りです。
１． めだか（Word の投稿用テンプレートを利用してください。会報サイトからダウンロードできます）

２． 会員投稿（Word の投稿用テンプレートを利用してください）

３． 会報投稿論文 （論文投稿規程があります）
これらは、いつでも募集しております。 気楽に投稿ください。
特に新しく会員となられた方（個人、法人）は、システム監査への想いやこれまで活動されてきた内容で、システム監査にとどまらず、IT 化社会の健全な発展を応援できるような内容であれば歓迎いたします。
次の投稿用アドレスに、テキスト文章を直接送信、または Word ファイルで添付していただくだけです。
投稿用アドレス：saaj-kaihoh ☆ yahoogroups.jp （☆は投稿時には＠に変換してください）
会報編集部では、電子書籍、電子出版、ネット集客、ネット販売など、電子化を背景にしたビジネス形態とシステム
監査手法について研修会、ワークショップを計画しています。研修の詳細は後日案内します。

日本システム監査人協会 会報25

January 2012

日本システム監査人協会 会報

会員限定記事【本部・理事会議事録】（会員サイトから閲覧ください。パスワードが必要です）＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝■発行： NPO 法人 日本システム監査人協会 会報編集部〒103-0025 東京都中央区日本橋茅場町２－８－８共同ビル６F■ご質問は、下記のお問い合わせフォームよりお願いします。
【お問い合わせ】 http://www.saaj.or.jp/toiawase/■送付停止は、購読申請・解除フォームに申し込んでください。
【送付停止】 http://www.skansanin.com/saaj/
Copyright(C)2011、NPO 法人 日本システム監査人協会
掲載記事の転載は自由ですが、内容は改変せず、出典を明記していただくようお願いします。
■□■ＳＡＡＪ会報担当━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
編集： 竹下和孝、仲 厚吉、安部晃生、成 楽秀、桜井由美子、清水恵子、山田 隆、片岡 学、
木村陽一、藤野明夫

投稿用アドレス：saaj-kaihoh☆yahoogroups.jp（☆は安全対策）━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

日本システム監査人協会 会報26