講演要旨

１．ＦＩＳＣの活動紹介

　ＦＩＳＣ（The Center for Financial Information Systems）は財団法人金融情報システムセンターの略称で、昭和５９年設立、金融機関、保険会社、証券会社、コンピュータメーカ、監査法人等の８５１機関を会員とするシンクタンクである。
　職員は４９名、大半は会員企業からの出向者であり、金融情報システムの安全性確保、業務推進における情報システムの効果的活用等の重要な問題について調査・研究、必要に応じて、指針の提示、その他の提言を行うことを目的としている。
　最近の活動として

• 金融機関等における個人データ保護のための取扱指針（Ｈ１１．４改訂）
• 金融機関等コンピュータシステムの安全対策基準（Ｈ１２．７改訂）
• 金融機関等のシステム監査指針（Ｈ１２．７改訂）

などを提示する他、「統合的リスク管理研究会」｢電子決済研究会｣「金融ＥＤＩ、貿易金融ＥＤＩ研究会」などを行っている｡

２．金融機関等のシステム監査

　一般的に、金融機関等では、検査部という部門に、情報システムを専門的に監査するセクション（あるいは人）を配置するケースが多いが、監査人の数では大手行で１０名程度、その他では１〜２名というところが多い｡
　　検査と監査の違いについては、検査が定められた規定・マニュアルへの準拠性の側面が強いのに対し、監査は準拠性に加え、規定・マニュアルそのものを含めリスクがコントロール出来ているかを評価するところがある。
　金融機関等のシステム監査は、情報システムの規模と役割が肥大化してくるなかで、データのインテグリティやコンピュータシステムの健全な運営という視点に留まらず、情報システム戦略の達成やリスク管理の実践といった視点にまで進化してきている｡
　リスクをコントロールする具体的な仕組みが内部統制システムであって、これの枠組みとしてＣＯＳＯレポートによる５つの構成要素がある。この５つの要素には、

1. 統制環境
2. リスクの評価
3. 統制活動
4. 情報と伝達
5. 監視活動、

があって、指針作成のバックボーンとなっている。
　金融機関等のシステム監査環境は、市場環境の変化、金融監督行政の変化を受けて大きく変わってきた。

３．「金融機関等のシステム監査指針」について

• 改訂の経緯とポイント
  　平成１０年より「新しい金融環境におけるシステム監査研究会」発足させ、指針改訂を睨んだ論点整理を行い、具体的な改訂作業は、平成11年7月より着手した。そして、平成１２年７月に｢システム監査指針(改訂版)｣を出版した。
  　改訂のポイントとしては、システム監査に関わる当事者の役割と責任を明確にすること、情報システムにリスクとコントロールという概念を導入し、システム監査の機能を定義した。また、本指針の位置付けとしては、基準ではなく指針（ガイドライン）であるので、監査実施のための参考書として使われるべきものとしている。
• システム監査の定義
  　　「金融機関等のシステム監査とは、情報システムの有効性、効率性、信頼性、順守性及び安全性の達成を妨げようとする情報システムリスクの管理体制が適切かつ効果的であるかを、監査対象から組織的に独立したシステム監査人が把握、評価し、その結果を経営者に報告するものである。」
• 情報システムの目的と情報システムリスク（省略）
• 情報システムのコントロール目標（省略）
• システム監査の対象領域は殆んど全社・全階層
• システム監査の種類（省略）
• 実施体制
  　システム監査人の独立性を確保し、ＩＴに通じたシステム監査人を確保することが必要として、システム監査人に求められる資質として、
  1. ビジネス能力
  2. 公正不偏な判断と職務上の秘密の厳守
  3. 専門知識とスキル（監査技術、ＩＴ、監査対象業務）
  を挙げている。
• 実施手順は、次のように設定している
  • 経営者からの指示
  • １st Step　リスクの識別、評価（何がリスクなのか？）
  • ２nd Step　チェックポイント設定（何を診ればよいか？）
  • ３rd Step　監査実施（証拠、テスト）
  • ４th Step　チェックポイントの判定（従前の検査はここで終わっていたのではないか）
  • 5th Step　リスクのコントロール状況の評価（最終的にここにたどりついて監査となるのではないか）
  • 経営者への報告（監査報告書の提出）
• チェックポイント集
  　１３の要点項目が、６０の大項目に分かれ、さらに１７６の小項目に分けて、１０２２のチェックポイントの構成となっている。
  　一般的なリスクを想定してのものなので、大方の監査実施の際には掘り下げブレークダウンが必要であるが、そこは、各金融機関の情報システムの規模や運営形態、また監査人の力量による部分も大きいのではないかと感じて次第である。

４．今後の課題

　海外の動向調査や、金融庁での「金融機関などにおける実効性のある内部監査・外部監査体制の確立に向けて」といったワーキンググループの立上げなど、を睨んで今後継続的に改訂のスキーム構築や情報収集の仕組み作り、リスクの評価や計量化方法の研究が必要で、ＩＳＡＣＡ，内部監査人協会、システム監査人協会などとの繋がりを持ってゆきたい｡

（質疑）

（感想）

　ここ２〜３年、金融業界の激変には驚き放しであるが、金融検査、内部監査、内部統制、システム監査などの動向をしっかり受け止めて、指針改訂につなげて来られたＦＩＳＣのご努力に感服しました。必要に迫られてのことでしょうが、システム監査の世界で一歩先に出た感じで、これからも実践例などをお聞きしたいものです。