The Role of Internal Audit in Resilience and DX in Japanese Universities

Copyright © 2021 EdTec Japan LLC All rights reserved.
大学のレジリエンスとＤＸ
―この世界でどのように監査に取り組むか―
日本教育技術コンサルティング合同会社
代表社員小野成志
E-mail: ono@edtec.co.jp
大学監査協会監査課題研究会議
2021年7月13日
1

ご質問等
講演中に、チャット機能を利用して、ご意見・ご質問をどうぞ
全てにお答えできないかもしれませんが、可能な限り回答いたします。
2

本日の予定
時間テーマ
14時00分〜14時35分 VUCA時代のDXとレジリエンス
14時35分〜14時40分休憩
14時40分〜15時15分レジリエンスとDXを巡るケーススタディ
15時15分〜15時20分休憩
15時20分〜15時55分 DXと組織文化
15時55分〜16時00分質疑
3

自己紹介
小野成志
日本教育技術コンサルティング
NPO法人CCC-TIES副理事長
（前武蔵学園理事）
おのせいし
学歴
• 筑波大学経営・政策科学研究科修士
経歴
• 武蔵学園
– インターネット運用管理者20年
– 大学のマネージメント10年
• 日本教育技術コンサルティング
– 学校経営支援
– 大学情報システム構築コンサルティング
– オンライン教育システム構築支援
• NPO法人CCC-TIES
– オンライン教育の普及，構築支援
4

武蔵学園概要
学校法人
根津育英会武蔵学園
武蔵高校・中学武蔵大学・大学院
経済学部人文学部社会学部
生徒数：約1,000名学生数：約4,200名
専任教職員数：約250名
所在：東京都練馬区
設立：1921年9月
創設者：根津嘉一郎
理事長：根津公一
学園長：池田康夫
学長：山㟢哲哉
校長：杉山剛士
沿革：
1921 根津育英会設立
1922 旧制七年制武蔵高校開校
1948 新制武蔵高校開設
1949 新制武蔵中学開設
新制武蔵大学開設
1969 人文学部増設
大学院設置
1998 社会学部増設
2013 根津育英会武蔵学園に改称
2021. 創立百周年
5

NPO法人CCC-TIESの事業
特許取得（特許6371028）
イラン国への導入
戦略GP TIESスマートテキストブック
• 放送大学OUJ-MOOCでの実証実験
• 103カ国の学習者にCHiLO Book提供
CHiLO Book開発
主な取引先
教育支援事業
研究開発事業化
• eラーニングコンテンツ制作
• システム開発・運用支援
• オンライン教育コンサルティング
CHiLO Book制作
• 創価大学
• 国立情報学研究所
• 京都女子大学
• 大阪体育大学
• 山梨大学
• 横浜国立大学
システム開発・運用
• KAGAC
（教員免許更新講習機構）
• 熊本大学
• 帝塚山大学
コンサルティング
• 日本電気

日本教育技術コンサルティング合同会社
学校経営
• 大学情報システム部門再構築
• 働き方改革人事コンサルティング
オンライン教育
• NPO法人CCC-TIESとのパートナーシップ
• 20年の実績
国際交流
• 英語圏・スペイン語圏との国際交流
7

レジリエンスとDXへの監査
大学の新しい時代
8

この世界でどのように監査に取り組むか
VUCA時
代の監査
Volatility
（変動性）
Uncertainty
（不確実性）
Complexity
（複雑性）
Ambiguity
（曖昧性）
9

ガバナンス
レジリエンス
DX
組織文化
レジリエンスとDXの監査領域
内部監査領域
10

組織文化
•対象の背景：対象の外にあって対象に強く影響を与えている
•組織風土とも
なに？
•組織の中の気付かない制度的背景
•組織の中の暗黙知
•組織に関わる（知られていない）ステークホルダー
どのようなもの？
•組織の外からの影響
日本社会
世界全体
この世界とは？
11

ポストコロナの課題
レジリエンス
DX
組織文化の克服
• 新型コロナウィルス後の世界
をイメージできているか
• ICTにたいするガバナンス
• ランザビジネスからの脱却
• 働き方改革
• 減点主義的評価
12

VUCA時代の大学と監査
ポストコロナの大学は二極分化
• レジリエンス能力の差異
• 国の財政的支援の限界
広い視野からの監査が組織を救う
• 組織文化にまで及ぶ包括的な視野
13

レジリエンス
14

レジリエンスの定義
起源
• 諸説あるが、19世紀の物理学論文に「復元力」という意味で採用されている
看護学など
• 個人の回復力を指す（心が折れない強靭さ）
ビジネスレジリエンス
• BCP、BMPを包含するISO22320：2011規格
カントリーレジリエンス
• ダボス会議2013年：カントリーリスクに対する対応力
• 社会的・経済的レジリエンス
15

レジリエンスの3つの構造
地域が直面する災害外力に対して、まずはこれを防御し被害を未然に防
止する予防的対応があり、これを「予防策」と呼ぶ。予防策の範囲内では、
地域社会システムは大きな影響を受けず、通常レベルの活動を維持するこ
とができる。
出典;
Mens
et
al.
よ
り改変
図１
災害対応力「レジリエンス」の構造－３つのレベル
る）を
日本大
で土地
ムの在
が実施
災害対
さて
た時に
ータブ
のよう
力の指
むろん
ータを
表１
齢者や
地域危
在量を
害の軽
田中充「災害対応力「レジリエンス」の概念と構造」2017，地域生活研究所
K字回復
16

「ネットワーク型社会の自然災害対応に求められる運輸事業者のレジリエンス~個社のBCPから運輸モード間連携に
よる相互運用性の確立へ~運輸事業の安全に関するシンポジウム 2020」
2020年10月6日渡辺研司（名古屋工業大学大学院）
レジリエンスの相互関係
17

日本の特異なレジリエンス（ダボス会議）
Global Risks 2013 Eighth Edition
18

レジリエンスの規格
19

レジリエンスに関連する国際規格とその相互関係
20

社会セキュリティ−緊急事態管理−危機対応に関する要求事項
KPMGジャパン「レジリエンスの指針 - 「ISO22320」とは」
https://home.kpmg/jp/ja/home/insights/2019/09/resilience-risk-
iso22320.html
ISO 22320 JIS Q 22320：2013
”危機対応”のあり方を示した規格
指揮・統制業務上の意思決定は組織の中で可能な限り低い階層で、業
務遂行に必要な支援や組織間の連携は最も高い階層で行う
活動情報収集したデータは、あらゆる階層の意思決定者並びにその
他活動情報を必要とする利用者が、容易に使用できるよう
な形式に規格を統一する
協力及び連携共通の利害及び価値観に基づく複数の組織が、効果的な危
機対応を実現するため、協力協定を必要に応じて締結しな
ければならない
21

ISO 22301の構成
https://www.newton-
consulting.co.jp/bcmnavi/column/iso22301_00.html
勝俣良介事業継続マネジメントの国際規格案を読み解く】第一回～汎用性高いISO22301誕生
22

BCMSと内部監査
https://www.newton-consulting.co.jp/bcmnavi/column/20111025_difference-between-bcp-bcm-and-bcms.html
ニュートン・コンサルティング株式会社
23

例：BCMの文書構成の規格
1. 目的と範囲
2. 目標と成功基準
3. 発動基準と手順
4. 実行手順
5. 役割、責任と権限
6. コミュニュケーション上の要求事項及び手順
7. 組織内外の関係
8. 経営資源の要求事項
9. 情報のフロー及び文書化プロセス
24

BCMSのPDCAサイクル
https://www.newton-
consulting.co.jp/bcmnavi/column/iso22301_00.html
勝俣良介事業継続マネジメントの国際規格案を読み解く】第一回～汎用性高いISO22301誕生
25

BCMSと内部監査
https://www.newton-consulting.co.jp/bcmnavi/column/20111025_difference-between-bcp-bcm-and-bcms.html
ニュートン・コンサルティング株式会社
26

休憩
27

デジタルトランスフォーメーション（DX)
経済産業省
28

D X レポート～ITシステム「2025年の崖」の克服とDXの本格的な展開～
平成３０年９月７日デジタルトランスフォーメーションに向けた研究会
29

2025年の崖
DXは2025年の崖に落ちないために設定
• 「DXレポート −ITシステム「2025年の崖」克服とDXの本格的な展開−」（2018年）
2025年の崖
• 最大12兆円の経済損失
• 先進国からの明確な脱落
既存のシステムでは乗り越えられない崖
• データ活用ができない
• 維持管理費が高騰
• セキュリティリスク
30

DX（デジタルトランスフォーメーション）
元の定義
• デジタル技術が人々の生活をあらゆる面で変化させる
• DXを良い方向に向かわせるのは大変な困難がある
現代
• デジタルテクノロジーの進展により劇的に変化する産業構造を見通し、戦略を立て、事業と組織そして意識
を変革する 2010年Michael Wade(IMD Business School)
• 汎用機，クライアント/サーバーに続く第3のプラットフォームSMACを利用する（経済産業省)
監査の視点
• ガバナンスを効かしたIT
2004年Stolterman(Umeå University)
31

https://www.nttdata-strategy.com/knowledge/infofuture/66/report03.html
船木春重デジタルガバナンスによるDXの推進2021年12月
32

DXの課題 DXで不足しているもの
• 内部統制に対する観点
• 内部統制DX
専門性が不足
リスク評価・対応が不十分
• 第2線・第3線によるモニタリング
がDXに対応できていない
内部統制がDXの課
題
デロイトトーマツ次世代の内部統制（デジタル化）に向けた現状および将来の想定に係る実態調査結果（2020年度)
33

日本のITガバナンス
ITガバナンス
• 多くの日本の企業では機能してい
ない
• トップの無理解が蔓延
IT統制
• コーポレートガバナンスコード（経産
省）
34

DX内部監査
固有リスク
• CIOやCSOなどの適切な役職が設置されているか
• 理事長が最終的な責任者であるか
統制リスク
• トップからの丸投げではないか
• どのようなレポートが作成されているか
発見リスク
• 組織文化にアクセス
• ユーザインタビューによる発見
35

2 デジタルガバナンス・コードの構
37

https://www.nttdata-strategy.com/knowledge/infofuture/66/report03.html
船木春重デジタルガバナンスによるDXの推進2021年12月
39

日本のデジタル化
40

2020年7月17日『日経新聞』
41

膨大なIT投資
金融機関のIT投資
毎年スカイツリーが建つ（４００億円）投資
みずほ銀行システム刷新：４０００億円以上
– ２０１９年減損５０００億円
– 最終的に8500億円へ
膨大な投資の後には時代遅れの
システム
日経コンピュータ 2018年7月5日号
42

経済産業省「システムガバナンスの在り方に関する検討会」2019年4月
43

IT
2017 IT 2018
経済産業省「システムガバナンスの在り方に関する検討会」2019年4月
44

日本では既存システムの清算
失われた数十年と言われている間システム開発は停滞
高度成長期の幻想から脱却できない意識
新規一括採用、終身雇用
護送船団方式
安楽死に向かう日本が見つめる２０２５年
45

みずほ銀行システム障害
ケース1日本の組織文化がもたらす大事故
46

システム開発の理想と現実
1999年（統合）
•1400億円のシステム
を軽量化
2002年（運用開
始）
•預金が勝手に減る、
振込遅延などの障害
2004年（システム
刷新）
2011年振込ができ
なくなるなどの事
故報告書
2019年(MINORI)
•大幅な開発遅延
2021年の通帳が飲
み込まれるなどの
事故
47

2011年事故報告書
要員のスキル不足
システムが複雑
定常運用時のスキルしかない
内部監査の責任
要員のスキル不足にもっと早く気づくべき
48

2021年事故が起こるまで
デジタル化の負担
• 膨大な経費と時間をかけて
MINORI構築
• 開発部隊は解散しサポートも
終了
• 組織の電子化割合は10％未満
（同業他社30％以上）
事故は過去にも発生
• 非公表
• ハインリッヒの法則
（ヒヤリ・ハット）
• 2018年1800件カードがATMに
飲み込まれる
事故時の組織体制
• 通常運用対応のみの体制
• 休日の事故は想定しない
49

2021年に何が起きたのか
ATMの停止
キャッシュカードが取り
込まれて出てこない
定期預金の入出金停止
ハードウェア障害
（2021年2～3月に断続的
に発生）

なぜ起きたか
組織文化
減点主義的人事評価制度
業務の電算化率1割
事なかれ主義
レジリエンス能力
の欠如が顕在化
51

BCPの課題
適用範囲が狭い
実際の適用が困難
運用でカバーできるか
https://www.nikkei.com/article/DGXMZO49607410Q9A910C1CC0000/
2019年9月9日成田空港

組織文化は変えることが出来ない
「企業風土は結果として醸成されるものだ。経営が言って
も簡単に変わらない」（みずほフィナンシャルグループ（ＦＧ）坂井辰史社長）＜サン
ケイ新聞2021年6月15日＞
報告書内部監査の責任
2011年後に作成された多量の文書で対抗
特に責任は問われていない
組織としての対応ー減点主義的ー
システムリスク管理や内部監査態勢の拡充
– リスク管理部門や内部監査部門においてMINORIに知見のある人材の配
置・育成も含めて牽制態勢を強化
53

事故の教訓
障害前日からエラーが出ていたが気がつかない
ATM停止のお知らせは，休日なのでWEB承認が行われない
コールセンターは7人しかおらず破綻
• 役員は夕方のニュースで知った
• 報告されたとしても判断する仕組みはない
役員に報告するレベルにはないと判断し報告せず
関係者の出勤要請が終わったのは18時近く
膨大なBCPはあったが，休日に起こる障害について記載していない
54

休憩
55

サイバーセキュリティ
ケース2 DXの内部統制の欠如が組織を麻痺させる
56

サイバーセキュリティ分野の総合力
日本のレジリエンス
能力が低い
古い技術
ガバナンスの欠如
企業（学校）は対策
に及び腰
サイバー攻
撃に弱い
2021年6月28日 KYDO (IISS Cyber Capabilities and National Power: A Net Assessment)
57

中小の組織：さらに厳しい現実
セキュリティ
セキュリティに投資する余裕がない
リスクは全て受け入れる
情報ガバナンス
スキル，人的余裕ともにない
58

ランサムウェアの感染例
大阪府警「ランサムウエアにご注意」https://www.police.pref.osaka.lg.jp/seikatsu/saiba/cyber_cyuikanki/6936.html
59

ランサムウエアはビジネス
ビジネ
ス
依頼者から攻撃を請
け負う
暗号化
組織内のデータを全
て読めなくする
報酬
依頼者からの報酬
解除する鍵に代金を
支払う
この世界には，侵入された
ことを気付いている組織と
気付かない組織しか無い（
FBI報告）

DarkSideの広告
カスペルスキー：https://blog.kaspersky.co.jp/darkside-ransomware-industry/30492/
61

パートナーの募集
カスペルスキー：https://blog.kaspersky.co.jp/darkside-ransomware-
industry/30492/
• コンサルティング会社との提携
• フロント企業の募集
62

慈善寄付を実施
カスペルスキー：https://blog.kaspersky.co.jp/darkside-ransomware-industry/30492/
63

マルウェア感染の拡大
大阪府警「ランサムウエアにご注意」
https://www.police.pref.osaka.lg.jp/seikatsu/saiba/cyber_cyuikanki/6936.html
64

攻撃の手口
株式会社FFRIセキュリティ：https://www.ffri.jp/special/Target-is-SME-Supply-chain-attack.htm
脆弱な組織を狙うサプライチェーン攻撃
65

サプライチェーン攻撃の例
1 2 3
,○○協会大学総務ターゲット
• 小さな組織
• 多くの大きな
組織と繋がる
• 各組織に信頼
されている
• 感染しても気
付かれない
• 感染しても気
付かない
• 大きな被害を
与える
• 原因を追跡し
がたい
開催案内
感染報告・連絡
水際
ファイヤウォール
アンチウイルスソフト
66

なぜ日本は没落するか
組織文化に影響を与える日本のビジネス慣習
タイトルは，森嶋通夫『なぜ日本は没落するか』（199年，岩波書店）Japan as deadlock による
67

超高齢化社会
69

労働生産性の比較（米国=100）
日本生産性本部「労働生産性の国際比較 2020」https://www.jpc-net.jp/research/assets/pdf/report_2020.pdf
70

一人当たり労働生産性順位の推移
日本生産性本部「労働生産性の国際比較 2020」https://www.jpc-net.jp/research/assets/pdf/report_2020.pdf
71

テレワークと日本の働き方
ケース3 日本の労働生産性の現実
72

コロナ禍の経済への影響に関する基礎データ令和3年2月内閣官房成
長戦略会議事務局
（日本）
テレワークは仕事の
効率を下げている

コロナ禍の経済への影響に関する基礎データ令和3年2月内閣官房成
長戦略会議事務局
74

労働生産性を阻害する3種の神器
ファックス
作業時間を奪う
電話
時間を奪う
電子メール
1日200通を超えると破綻
電子メールは新
しい？ツール
（日本）
電子メールは，
すでに時代遅れ
（米国）
75

米国でのビジネスコミュニケーションツール
76
電話の代替
• ボイスメール
電子メールの代替
• ビジネスチャット
ツール
（Slack™,Discord™）
FAXの代替
• WEBアプリ

FAXがやめられない
77

マネジメントの関与
https://seeds4.biz/about-fax-alternatives-and-phased-migration/
78

組織文化の一面：働き方改革
名ばかり働き方改革
• 「定時に帰れ」という指示
• 電気を強制的に消す
マネジメントの関与
• 時間外に会義を入れない
• 古い技術の入れ替え
• 生産性向上ツールを計画的に導入
79

来るべき時代の監査の対象
ガバナンス
DX
レジリエンス
リスクマネジメント
BCP BCM
コンプライアンス
人事人権社会的責任
組織文化
80

VUCA時代の大学と監査
• オンライン教育をSMACで実現
• テレワークの環境整備
ポストコロナで大学は二極化
• 組織文化を見直す
• 対面授業へのこだわり
• 働き方改革
• 組織文化に根ざしたレジリエンスとDX
広い視野からの監査が組織を救う
81

資料
82

デジタルガバナンスコード
経済産業省 2020年11月9日
83

情
報
処
理
促
進
法
情報処理促進法基く
指針（経産大臣告示）
情報処理促進法施行
規則（経済産業省令）
(1) 基本的事項
①柱考え方
②認定基準
(2) 望い方向性
根拠
根拠
企業認定
優
企業選定
※銘柄選定等
活用想定
(3) 取組例
デジタガバナスコドの全体構造
2
84

3
(1)
(2)
(3)
• IT
•
•
• IT/
• IT/
• IT/
• IT/
•
•
DX
• DX
• DX
86

4
(1)
(2)
(3)
•
•
•
• IT/
•
• DX
•
•
•
87

.
5
(1)
(2)
(3)
•
•
• IT/
•
• IT/ /
• IT/
•
• DX Chief Digital Officer CTO
Chief Technology Officer CIO IT Chief Information Officer
Chief Data Officer
•
•
• DX
• DX
IT
• DX IT
• DX IT IT
•
• DX
88

. I T
6
(1)
(2)
(3)
• IT
• IT
•
•
•
•
•
•
89

7
(1)
(2)
(3)
•
•
• IT/ KPI KPI
• KPI KGI
•
• IT/ ESG/SDG
• KPI KGI
• KPI
•
90

8
(1)
(2)
(3)
•
• IT IT
[ ]
•
•
• IT
•
•
•
• IT/
• IT/
• DX
• DX CDO CIO CDXO
• IT IT
• DX
• 1 CISO
•
•
•
CSR
91

https://www.edtec.co.jp
contact@edtec.co.jp
92

The Role of Internal Audit in Resilience and DX in Japanese Universities

Empfohlen

Empfohlen

Weitere ähnliche Inhalte

Was ist angesagt?

Was ist angesagt? (20)

Ähnlich wie The Role of Internal Audit in Resilience and DX in Japanese Universities

Ähnlich wie The Role of Internal Audit in Resilience and DX in Japanese Universities (20)

Mehr von NPO CCC-TIES

Mehr von NPO CCC-TIES (20)

Kürzlich hochgeladen

Kürzlich hochgeladen (7)

The Role of Internal Audit in Resilience and DX in Japanese Universities