第 175 回 月 例 研 究 会 受 講 報 告 会 員 No. 1690 梅 里 悦 康 講 演 テーマ: 新 しい 時 代 のシステム 監 査 を 考 える 講 師 : 東 京 海 上 日 動 システムズ 株 式 会 社 代 表 取 締 役 社 長 横 塚 裕 志 氏 日 時 : 2012 年 9 月 27 日 ( 木 )18:30~20:00 場 所 : 機 械 振 興 会 館 地 下 2 階 ホール 講 師 紹 介 : 1972 年 : 東 京 海 上 火 災 保 険 株 式 会 社 入 社 一 貫 して 情 報 システム 部 門 に 従 事 して 情 報 システム 部 長 執 行 役 IT 企 画 部 長 等 を 歴 任 2006 年 7 月 : 東 京 海 上 日 動 システムズ 株 式 会 社 代 表 取 締 役 社 長 現 在 東 京 海 上 日 動 火 災 保 険 株 式 会 社 常 務 取 締 役 でしたが 同 社 を 退 任 しシステムズの 社 長 に 専 念 著 書 として SEよ 大 志 を 抱 こう 日 経 コンピュータ の 連 載 記 事 の 掲 載 があります < 講 演 骨 子 > 情 報 システムの 目 的 が 効 率 化 から ビジネスへの 貢 献 に 大 きく 変 化 している エンタープライズI T とスマホを 中 心 とした コンシューマIT とが 連 動 を 始 めた この 新 しい 時 代 において 情 報 システム に 関 するリスクの 捉 え 方 情 報 システムによる 価 値 創 造 の 考 え 方 など 情 報 システムを 取 り 巻 く 価 値 観 が 大 き く 変 化 している 変 化 の 激 しいアメリカでの 最 新 動 向 を 取 り 入 れながら 新 しい 視 点 から システム 監 査 の 新 しい 役 割 を 考 えてみようと 思 います < 講 演 概 要 > システム 監 査 への 期 待 ここ 最 近 ビジネス 環 境 は 大 きく 変 わり 内 部 監 査 システム 監 査 と 経 営 との 関 係 は 大 きく 違 ってきています 従 来 システム 監 査 は 情 報 システムの 安 全 リスクについてチェックをかけ ブレーキをかけています 新 しいシステム 監 査 は 情 報 システムを 有 効 に 活 用 することで アクセルを 踏 みます 2012 年 7 月 IIA( 報 告 者 注 :The Institute of Internal Auditors/ 内 部 監 査 人 協 会 ) 国 際 カンファレンスで 内 部 監 査 システム 監 査 は 経 営 戦 略 を 推 進 する Catalyst: 触 媒 応 援 団 たるべきとされています IT ガバナンスカンファレンスでは Cobit5 の IT に 係 るリスクについては 大 きく 考 えを 変 えてきています 新 しい 技 術 新 しい IT にチャレン ジしないことが 最 大 のリスクです 東 京 ガールズコレクション システム 監 査 =? 企 業 サイドがいい 製 品 と 思 って 作 りこれを 買 うビジネスモデルから お 客 様 が 自 分 の 好 きなものを 選 んで 買 うビジネスモデルに 変 わっています ソニーのウォークマンとアップルの ipod では ウォークマンは 音 を 聞 くという 品 質 では 上 かも 知 れません しかし そういうことではないです ipod は 聞 きたい 曲 を1 曲 ずつダ ウンロードして 聞 くことにお 客 様 は 価 値 を 見 出 し 世 界 を 席 巻 しました 大 きな 変 化 世 界 で 名 だたる 企 業 はシステムを 武 器 として 使 っています システム 監 査 はそういうことに 貢 献 していかな ければなりません お 客 様 に 選 んでもらう 観 点 からは システムの 目 指 す 品 質 はバグがなくなっているかでは 37
なく いかにお 客 様 にウケるシステムか いかにスピードがあるかに 品 質 が 変 わっています 業 務 効 率 化 ビジネスへの 貢 献 業 務 効 率 化 からビジネスへの 貢 献 が 世 界 のトレンドです 先 週 セールスフォースコンファレンスでは 大 きな 企 業 のビジネスサイトの CMO CEO で ビジネスモデルをこう 変 えたので ビジネスを 拡 大 したと 話 をしています 社 内 コンシューマー ついに コンシューマー 向 けスマホアプリを 作 ることになりました 要 件 外 部 設 計 プログラムテスト システム 出 来 上 がりでは 開 発 できません ウォーターフォール 開 発 はできず アジャイル 開 発 しかありません 情 報 システムのリスクとは 何 か? 情 報 システムの 価 値 とは 何 か? お 客 様 にどう 価 値 を 感 じていただくか 保 険 銀 行 がスマホアプリを 開 発 しています 情 報 システムが 決 定 的 に 違 ってきています 情 報 システムをいかに 経 営 戦 略 として 使 うか 企 画 情 報 システム 部 門 営 業 部 門 が 一 致 団 結 していかなければなりません システム 監 査 はシビアなことを 求 められます 情 報 システムの 価 値 を 新 しい 時 代 のなかで 考 え 直 していくことから 始 める 必 要 があります システム 監 査 も 大 きく 変 化 する 必 要 がある 情 報 システムが 経 営 にとって 効 果 的 であるか?シス テム 監 査 の 新 しい 視 点 情 報 システムが 経 営 にとって 効 果 的 であるかどうか? 重 大 なポイントです 効 果 的 であるようにシステム 監 査 は 触 媒 として 経 営 にアドバイスします 内 部 監 査 外 部 監 査 は 経 営 者 のモニタリング 機 能 として 大 事 な 機 能 です 開 発 テーマの 優 先 順 位 は 経 営 戦 略 と 一 致 しているのか? 優 先 順 位 を 決 めているのは 誰 か? 声 の 大 きな 部 門 を 優 先 していないか? 開 発 にノミネーションされたテーマが 経 営 戦 略 と 一 致 しているのか?はかなり 難 しいです どういうプロ セスで どう 経 営 戦 略 と 照 合 し 一 致 させるか 問 題 です 最 終 的 には 取 締 役 会 で 決 定 していますが 声 の 大 きな 部 門 を 優 先 していないか? リソースの 大 きな 部 分 が 意 外 と 優 先 順 位 が 低 いです 決 まっているもの 開 発 規 模 を 見 積 しやすいものを 優 先 しがちです 会 社 のなかに 優 先 順 位 を 決 める 仕 組 みがあるか?その 仕 組 みが 機 能 しているか?そこが 基 本 です 経 営 戦 略 と 一 致 していない 開 発 案 件 はマネジメントがうまくいって トラブルなく 完 了 しても 経 営 にとって 意 味 がない です システム 監 査 にそこをモニタリング 機 能 にて 機 能 しているかみてもらうことです 当 社 は 2004 年 から 10 年 かけて 全 面 再 構 築 しました 全 面 再 構 築 はリスクが 高 いと 評 価 され 案 の 定 プ ロジェクトは 遅 延 し プロジェクトは 予 算 オーバーしました 遅 延 したのを 現 場 の 方 に 申 し 上 げたときに シ ステム 構 築 は 1982 年 以 来 20 何 年 ぶりなので 何 年 遅 れても 使 いやすいシステムを 使 えることは 価 値 が 高 く 少 しの 遅 延 は 何 でもないです と 現 場 の 方 にいわれました 38
開 発 テーマ 要 件 は ビジネスに 効 果 的 か?ビジネスサイドの 関 与 が 行 われているか?シンプル な 要 件 になっているか? 開 発 テーマ 要 件 は ほんとうにビジネスに 中 味 で 重 要 で 効 果 的 か? よく 要 件 をみているとビジネスに 貢 献 していないのでは? 政 府 が 作 っている 情 報 システムはほとんど 有 効 に 機 能 しないといわれ 方 をしていま す IT になるとビジネスサイトは IT 部 門 にまかすということになるから IT 部 門 としてきちっとしたものがな いと IT 部 門 が IT ベンダーに 丸 投 げ スマホ タブレットで 作 っておいて 丸 投 げで IT ベンダーがそれぞれ の 思 いで 作 ります 誰 も 使 わないシステム まったく 意 味 のない 経 営 的 に 効 果 のないシステムになります ビジネスサイドの 関 与 が 行 われているか?IT をどう 使 ってビジネスをするかは 極 めて 重 要 な 仕 事 です ク ラウドをどう 使 うかビジネスサイドで 考 えているのと 考 えていないのとではどっちが 強 いか 明 白 です IT を ビジネスの 道 具 としてどう 使 っているか 監 査 してほしいです シンプルな 要 件 になっているか? 例 外 操 作 極 めて 細 かい 情 報 システム 部 門 はことわりにくいです シンプ ルでコストを 下 げスピードを 上 げ 現 場 が 最 初 はシンプルでいいのではといってもらえるとありがたいです 3 年 でなく 半 年 で 提 供 し 反 応 を 見 て 改 善 する アジャイル 開 発 しかないです システム 監 査 にアクセルを 踏 んでもらいたいです 現 場 で 使 われているか? どのようなふうに 使 われているか システム 監 査 でモニタリングしてください 現 場 に 1 通 のみの 通 達 では 伝 わらないです 実 際 にシステムを 使 用 する 代 理 店 さんの 販 売 店 46,000 店 に 新 しいシステムできました とどのように 伝 えるかです 現 場 に 行 って どの 様 に 使 われているか なぜ 使 われていないのか 経 営 に 報 告 し てほしいです 会 社 全 体 として 新 しい 技 術 情 報 にチャレンジしているか? リスクコントロールは 重 要 ですが 新 しい 技 術 にチャレンジしていかないと 会 社 はものすごく 損 失 となりま す 個 人 個 人 にてチャレンジではなく 組 織 としてチャレンジ 組 織 として 新 技 術 の 取 り 込 みに 遅 れます プ ロセスとして 個 人 個 人 にチャレンジを 課 していますでは 機 能 しません 会 社 として 進 化 がないです あなたの 会 社 は IT を 活 かそうとする 文 化 がありますか? IT を 活 かそうとしない 会 社 は 世 界 で 戦 えないです IT をどう 使 うか より IT を 使 ってどうビジネスをす るか ビジネスサイトが 真 剣 に 考 えます そういう 文 化 の 醸 成 を 経 営 はやっていかなければなりません シス テム 監 査 により 会 社 の 競 争 力 が 上 がっていきます < 主 な 質 疑 応 答 > 1. システム 監 査 の 実 施 タイミング Q:お 話 いただいたシステム 監 査 は 従 来 のシステム 監 査 とはイメージが 大 きく 変 わっている 従 来 は 企 画 工 程 が 終 わったなど ある 区 切 りでシステム 監 査 をするのが 普 通 であった 今 日 うかがったシステム 監 査 はど のようなタイミングで 実 施 することになるか A: 改 善 のフォローアップも 効 果 が 上 がらないと 思 うので 年 中 実 施 (いつでもモニタリング)をしていただ きたいです 39
2. BCM/BCP Q: 貴 社 のグループで BCM/BCP はどのように 構 築 しているか 実 際 はどうなさっていますか? A:データセンターのバックアップ ネットワークバックアップはシステム 部 門 が 当 然 にしています ビジネ スプロセス 側 を 災 害 に 強 いものにするかはビジネスサイトとシステム 部 門 がコラボして 作 っています 当 社 は 多 摩 センター 千 葉 センターを 持 っています 東 京 電 力 計 画 停 電 に 対 応 する 自 家 発 電 は 面 倒 です データセン ターを 持 つことはできれば 避 けたいです 基 幹 系 システムを 全 部 委 託 することは 経 営 上 議 論 が 必 要 です 3. システムが 使 われているか 否 かの 検 討 する 主 体 Q:これまでのシステム 監 査 とは 大 きくイメージが 異 なる システムが 使 われているかどうかは システム 企 画 部 門 経 営 企 画 部 門 と 違 って なぜシステム 監 査 人 なのでしょうか? A:もちろん 主 体 は 経 営 がやるべきですが システム 監 査 人 にモニタリングして 応 援 してほしいです 経 営 がきちっとやっていないことが 多 いです 4. クラウド スマホで システム 監 査 にて 注 意 していなければいけない 視 点 Q:クラウド スマホにテクニカルなところで システム 監 査 にて 注 意 していなければいけない 視 点 観 点 で なにかあれば お 聞 かせください A:リスクは2つで 安 定 稼 働 と 顧 客 情 報 (セキュリティ)です クラウド スマホは 同 じです 委 託 先 が 安 定 的 に 稼 働 しないとき 監 査 ができるかチェックすべきです クラウド スマホはいかに 顧 客 情 報 が 漏 えいしな いかです 委 託 先 選 定 に 課 題 があります 5. クラウドに 対 する 監 査 Q:クラウドは 監 査 が 非 常 にやりづらいです SAS70 で ASP 業 者 が 監 査 したものをお 客 様 に 提 供 すべきで しょうか 団 体 の 動 きはどうなっていますか A:クラウドの 監 査 は 課 題 です 難 しいと 思 います データセンターのデータ 消 失 事 故 もあります セールス フォースに 委 託 して 現 地 調 査 調 査 権 を 留 保 して 契 約 しています 政 府 関 係 の 団 体 がチェックし そこのお 墨 付 きがあればよろしいかと 思 います 6. システム 監 査 人 の 育 成 経 営 企 画 マーケティング 等 の 経 験 Q: 提 言 があります システム 監 査 人 の 育 成 の 根 幹 にかかわった 問 題 を 含 んでいると 思 います 伝 統 的 に シ ステム 監 査 人 は 経 営 企 画 システム 企 画 マーケティング 戦 略 そういう 経 験 を 持 っていません 経 営 戦 略 経 営 企 画 の 経 験 を 持 たせ 権 限 責 任 を 持 たせ 育 てる 意 識 づけしないと 実 現 できないです システム 監 査 人 は ほとんど 大 きなシステム 開 発 プロジェクトを 経 験 していなく 企 業 経 営 の 経 験 もなく CIO は 名 ばかりで 財 務 企 画 と 一 緒 になってやっています 人 の 問 題 が 多 いです A: 内 部 監 査 部 はそういった 経 験 がなくとも 円 滑 に 進 むと 思 います 人 材 は 東 京 海 上 システム 監 査 SE 経 験 だけで マーケティング 経 験 はありません ヒヤリング モニタリングで 実 践 が 能 力 を 育 成 します そういう 方 向 感 でやっていいと 経 営 が 承 認 すればいいです そういう 分 野 に 徐 々に 入 っていくことが 自 然 です 7. システム 監 査 の 具 体 的 事 例 使 われていないシステム Q: 東 京 海 上 システム 監 査 の 具 体 的 事 例 があれば システム 監 査 の 内 容 テーマ 監 査 の 結 果 経 営 者 への 報 告 の 事 例 があれば お 聞 かせ 下 さい A:あるシステムを 取 り 出 して 使 われ 方 が 想 定 通 りか 否 か 検 討 しました 発 注 部 門 現 場 にモニタにしてシス テムは 使 われていない ビジネス 部 門 はなぜか 検 討 し 今 後 どうしたいのかヒヤリングしました システム 部 40
門 にシステム 監 査 にこないでいっています すごく 有 効 です ビジネスサイドに 緊 張 が 走 っていました 8. 経 営 者 と 内 部 監 査 とのコミュニケーション 方 法 Q: 従 来 の 守 りの 監 査 本 日 の 攻 めの 監 査 にて 経 営 者 とシステム 監 査 人 は 共 通 に 認 識 をいかにとるか 監 査 す べき 項 目 をどうとるか 御 社 において 経 営 者 とシステム 監 査 人 はコミュニケーションをどうとっていますか? お 話 しをお 聞 きしたいです A: 内 部 監 査 の 方 向 感 として ビジネスサイドの 変 化 により 監 査 が 影 響 を 受 けて 変 わってきていると 思 ってい ます 守 りの 監 査 から 攻 めの 監 査 に 内 部 監 査 が 変 わってきています 経 営 と 内 部 監 査 とどういうコミュニ ケーションをしているかはわかりません < 感 想 > 講 演 テーマ 新 しい 時 代 のシステム 監 査 を 考 える は システム 監 査 の 新 しい 役 割 を 触 媒 応 援 団 とし そ の 役 割 に 対 する 経 営 者 からの 期 待 でした エンタープライズIT とスマホを 中 心 とした コンシューマI T とが 連 動 する 新 しい 時 代 において システム 監 査 への 期 待 が 経 営 にとって 大 変 高 いことに 驚 きました 以 上 41