システムライフサイクル監査の監査観点

２００９年最後のエントリーです。来年も当ブログを宜しくお願いします。

システムライフサイクルの監査には以下の要点項目があります。

1. 情報戦略（経産省のみ大項目あり）
2. 企画
3. 開発
4. 運用
5. システム利用（FISCのみ大項目あり）
   
6. 保守（FISCは大項目無し）
7. 廃棄（FISCは大項目無し）

今回は、１．情報戦略 について監査観点のレベルまで「システム管理基準」（経済産業省）を参考に整理してみます。監査手続については２０１０年の課題にします。（笑）

1. 全体最適化
1. 全体最適化の方針・目標
1. ＩＴガバナンスの方針を明確にすること。
2. 情報化投資及び情報化構想の決定における原則を定めること。
3. 情報システム全体の最適化目標を経営戦略に基づいて設定すること。
4. 組織体全体の情報システムのあるべき姿を明確にすること。
5. システム化によって生ずる組織及び業務の変更の方針を明確にすること。
6. 情報セキュリティ基本方針を明確にすること。
2. 全体最適化計画の承認
1. 全体最適化計画の立案体制は、組織体の長の承認を得ること。
2. 全体最適化計画は、組織体の長の承認を得ること。
3. 全体最適化計画は、利害関係者の合意を得ること。
3. 全体最適化計画の策定
1. 全体最適化計画は、方針及び目標に基づいていること。
2. 全体最適化計画は、コンプライアンスを考慮すること。
3. 全体最適化計画は、情報化投資の方針及び確保すべき経営資源を明確にすること。
4. 全体最適化計画は、投資効果及びリスク算定の方法を明確にすること。
5. 全体最適化計画は、システム構築及び運用のための標準化及び品質方針を含めたルールを明確にすること。
6. 全体最適化計画は、個別の開発計画の優先順位及び順位付けのルールを明確にすること。
7. 全体最適化計画は、外部資源の活用を考慮すること。
4. 全体最適化計画の運用
1. 全体最適化計画は、関係者に周知徹底すること。
2. 全体最適化計画は、定期的及び経営環境等の変化に対応して見直すこと。
2. 組織体制
1. 情報システム化委員会
1. 全体最適化計画に基づき、委員会の使命を明確にし、適切な権限及び責任を与えること。
2. 委員会は、組織体における情報システムに関する活動全般について、モニタリングを実施し、必要に応じて是正措置を講じること。
3. 委員会は、情報技術の動向に対応するため、技術採用指針を明確にすること。
4. 委員会は、活動内容を組織体の長に報告すること。
5. 委員会は、意思決定を支援するための情報を組織体の長に提供すること。
2. 情報システム部門
1. 情報システム部門の使命を明確にし、適切な権限及び責任を与えること。
2. 情報システム部門は、組織体規模及び特性に応じて、職務の分離、専門化、権限付与、外部委託等を考慮した体制にすること。
3. 人的資源管理の方針
1. 情報技術に関する人的資源の現状及び必要とされる人材を明確にすること。
2. 人的資源の調達及び育成の方針を明確にすること。
3. 情報化投資
1. 情報化投資計画は、経営戦略との整合性を考慮して策定すること。
2. 情報化投資計画の決定に際して、影響、効果、期間、実現性等の観点から複数の選択肢を検討すること。
3. 情報化投資に関する予算を適切に執行すること。
4. 情報化投資に関する投資効果の算出方法を明確にすること。
5. 情報システムの全体的な業績及び個別のプロジェクトの業績を財務的な観点から評価し、問題点に対して対策を講じること。
6. 投資した費用が適正に使用されたことを確認すること。
4. 情報資産管理の方針
1. 情報資産の管理方針及び体制を明確にすること。
2. 情報資産のリスク分析を行い、その対応策を考慮すること。
3. 情報資産の効率的で有効な活用を考慮すること。
4. 情報資産の共有化による生産性向上を考慮すること。
5. 事業継続計画
1. 情報システムに関連した事業継続の方針を策定すること。
2. 事業継続計画は、利害関係者を含んだ組織的体制で立案し、組織体の長が承認すること。
3. 事業継続計画は、従業員の教育訓練の方針を明確にすること。
4. 事業継続計画は、関係各部に周知徹底すること。
5. 事業継続計画は、必要に応じて見直すこと。
6. コンプライアンス
1. 法令及び規範の管理体制を確立するとともに、管理責任者を定めること。
2. 遵守すべき法令及び規範を識別し、関係者に教育及び周知徹底すること。
3. 情報倫理規程を定め、関係者に教育及び周知徹底すること。
4. 個人情報の取扱い、知的財産権の保護、外部へのデータ提供等に関する方針を定めること。
5. 法令、規範及び情報倫理規程の遵守状況を評価し、改善のために必要な方策を講じること

２０１０年につづく。

基板セット交換？

先週末の日曜日に修理に出したばかりのケータイが直りました。実に中１日での修理完了です。キャリアの直営店で依頼したとはいえ驚くべき早さです。
修理の明細を見ると、ヒビの入った筐体の交換に加え、なぜか、基板セットも交換されています。
修理項目には筐体不良を確認したのでケース関連部品を交換したと書いてあるのですが、付け足すように、しかも唐突に「基盤セット交換」と書かれています。理由は不明です。

とにかく、新しくなることは良いことだと思い、帰宅したのですが、車を降りる前にBluetoothのハンズフリーがつながらないことに気づきました。おそらく基板が交換された影響だと思われます。結局、再設定することで復旧しました。

いろいろありましたが、基板セット交換の効果なのか、心なしかケータイの動作が軽くなった気がします。

IT監査の要点項目

あまり明言していませんでしたが、このブログは私が実際に使うための知識の整理と記録が主な目的です。（笑）
今回からしばらくは私が課題としているIT監査について整理を進めます。

さ て、IT監査のガイドラインはいくつかありますが、ここでは「ここから始めるIT監査」（社団法人日本内部監査協会編、以下IIA）、「金融機関等のシス テム監査指針」（財団法人金融情報システムセンター、以下FISC）、「システム管理基準」（経済産業省、以下経産省）を参考に整理をしていきます。
もちろん、どれかひとつのガイドラインに従って整理することも可能ですが、各ガイドラインは要点から監査手法に至るまでの記述レベルがまちまちであるため、複数のガイドラインを総合的に整理するべきだと考えています。

まず第1回目は「IT監査の要点項目」です。IT監査の要点項目は以下の項目があります。

1. システムライフサイクル
1. 情報戦略（経産省のみ大項目あり）
   
2. 企画
3. 開発
4. 運用
5. システム利用（FISCのみ大項目あり）
   
6. 保守（FISCは大項目無し）
7. 廃棄（FISCは大項目無し）
2. 情報セキュリティ
1. 情報セキュリティマネジメント態勢
2. 建物・設備等の安全対策
3. アクセスコントロール
   
3. 事業継続管理
1. 戦略策定
2. リスク評価
3. 導入
4. 維持管理
4. ネットワーク・システム
1. 管理体制
2. 安全性
3. 耐障害性
4. 経済性
5. 外部委託（IIAは大項目無し）
   
6. ドキュメント管理（IIAは大項目無し）
   

あるガイドラインには要点の項立てが無い場合でも、チェックリスト等には織り込まれているといったケースがありますが、まずはこれらの項目を目次として、今後、整理を進めたいと思います。

頑丈なケータイにヒビ

週末なので内部監査とは関係のないお話です。

今朝、ケータイの手入れをしていてキズ（ヒビ割れ）を発見しました。
ケータイにキズはつきものですが、私の使っているケータイはGショック系の頑丈な（はずの）ケータイです。

にも関わらず、写真のように筐体（というのか？）にヒビが入っています。
おそらく機能的には大丈夫だと思いますが、しょっちゅう風呂に持ち込むので防水機能に支障がないか心配です。

安心サポートというサービスに入っているので、年末ですが、修理に出そうかなと思っています。

ケータイが破損するかも知れないというリスクに対するコントロールとしてGショックケータイを選んだのですが…

ファイブフォース分析

今日は内部監査の専門的な話題ではなく、CIA試験のPartIV「ビジネスマネジメントスキル」から産業構造の分析手法であるファイブフォース分析についてピックアップします。

ファイブフォース分析はマイケル・E・ポーター氏が提唱した競争要因モデルです。文字どおり、ビジネス上の5つの競争要因について説明しています。５つの力とは以下のとおりです。

1. 新規参入の脅威
• 新規に市場へ競合が参入する脅威のことで、参入障壁や必要資本などが影響する。
2. 代替品の脅威
• 顧客が代替品を購入する脅威のことで、切替コストや顧客のこだわりが影響する。
3. 買い手の交渉力
• 買い手が値下げ等の条件改善を迫る脅威のことで、代替品の多さや顧客の情報量が影響する。
4. 供給者の交渉力
• 供給者が値上げ等の条件改善を迫る脅威のことで、供給者の独占レベルや差別化の程度が影響する
5. 既存業界内の競争
• 業界内での競争の激しさのことで、業界の成長率や製品の差異が影響する。

図にすると…


＿＿＿＿＿＿＿＿＿＿＿＿＿新規参入する企業
＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿｜
＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿｜１．新規参入の脅威
＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿↓

＿＿＿＿＿供給者－－－－－→ ＿競争業者＿←－－－－－買い手
＿＿４．供給者の交渉力＿＿５．既存業界内の競争＿＿３．買い手の交渉力

＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿↑
＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿｜２．代替品の脅威
＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿｜
＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿代替品

業界の競争構造をこのフレームワークに沿って整理すると新しい発見があるかも知れません。

データ分析ソフトウェア

月刊監査研究2009年12月号に「データ分析ソフトウェアの内部監査への活用」という海外論文が紹介されていました。
この論文はSAP社ガバナンス、リスク、コンプライアンス担当副社長Norman Marks氏が著者で、株式会社電通インターナルオーディットの中島陽紀氏（CIA）が翻訳したものです。最新のデータ分析技術を内部監査部門が活用することについて解説されています。

今回はこの論文から内部監査で使用するソフトウェアについてまとめてみます。

IIAの「2009 IT監査ベンチマーク研究」によると、内部監査で使われているソフトウェアは以下のカテゴリーがあるそうです。

1. 抽出
2. データ分析
3. 不正の発見と調査
4. 自動調書作成
5. 統制自己評価
6. コンプライアンス
7. 継続的内部監査
8. 内部監査年間計画のためのリスク評価

これに対して、著者は、以下のカテゴリーを提起しています。

1. 監査業務の管理
• 監査計画とリソース管理
• コラボレーションツール
• スタンドアロンの自動調書作成
• 不備の追跡
• リスク・コントロールの自己評価
• フローチャート化及びプロセス書類管理等
  
2. データ分析
• データ抽出及び分析
• 継続的監査
  
• リスク評価機能
• 不正発見等
  
3. 専門ツール
• 特定のIT監査業務に使われるもの

そして、データ分析について、ソフトウェアの進化により以下の３点の活用が進んでいるとのことです。

1. 技術改良により分析ソフトウェアを1回限りの分析に使うことができるようになった。（ACLやIDEA等）
2. 特にIT監査で、データ分析ソフトウェアを使用できるようになった。これらのソフトウェアソフトウェアは経営陣と内部監査部門の両者が活用できる。（Arc-Sight社やDorian Software社）
3. データの継続的モニタリングと内部統制の監査のためにデータ分析ソフトを使用することで（スポットではなく）継続的な内部監査が実施可能となる。

日本ではまだあまり見かけることがありませんが、ソフトウェアを活用した内部監査がこれから普及していく可能性は高いと思います。

内部監査を志す人？

月刊監査研究2009年12月号に「『組織運営と内部監査』2009年度4月期履修者の分析」という放送大学学務部連携教育課による分析結果が報告されていました。

2009年度から放送大学にて「組織運営と内部監査」という授業科目が設定されています。この科目は社団法人日本内部監査協会が支援しています。今回はこの分析結果をご紹介しましょう。

放送大学には全体で7万5千人超の在籍者がおり、「組織運営と内部監査」の履修者は913名いるそうです。履修者の属性の傾向は以下のとおりです。

1. 科目履修生（半年間在籍）の割合が高い
• 科目履修生（半年間在籍）以外には学士取得を目指す全科履修生と選科履修生（1年間在籍）、他大学の単位と互換する特別聴講生がいる。
• 科目履修生が履修者の27%を占める。
• 全在籍者の科目履修生の比率は8%
  
• 学士取得を目指す全科履修生が50％程度にとどまる。
• 全在籍者の学士取得を目指す全科履修生の比率は67%
2. 45歳~59歳が最も多い
• 45~59歳が履修者の40％超を占める。
• 全在籍者の45~59歳比率は28%
3. 男性が多い
• 男性が履修者の80％超を占める。
• 全在籍者の男性比率は42.5%
  
4. 会社員銀行員等が最も多い
• 会社員銀行員等が履修者の60%超を占める
• 全在籍者の会社員銀行員等の比率は18.2%

以上の結果からこの報告では、履修者は民間企業に勤め、組織の中では管理的な立場にある人ではないかと推測しています。また、この科目を履修することでCPE単位が付与されることから協会会員が多くを占めるのではないかとも推測しています。

ある意味予想されていた結論かも知れません。米国ではもう少し若い層がキャリアのひとつとして内部監査を選択する傾向があるらしいのですが。。。