ChatGPTで適切な回答を得たい場合のプロンプト（メモ）
GPTへの質問プロンプト
ITガバナンスと内部統制についてパワポのスライド1枚800文字程度で資料を作成したいです。
スライド資料の概要を考えてください。
タイトル「ITガバナンスと内部統制/監査」
1.金融庁のサイバーセキュリティガイドライン（2024年10月公表）で求められているITガバナンス、内部統制とは
2.ITガバナンスと内部統制のつながり
3.内部統制が構築されていないときの失敗事例（設定のチェック漏れによるシステム障害、不祥事など）
4.当社の内部統制の検証方法について（内部監査、外部監査）
5.監査の種類（①保証報告書監査②財務諸表監査③内部統制監査④テーマ別監査⑤業務監査）
→表形式で記載して
→被監査者、監査人もわかるように記載して。
→内部監査、外部監査かわかるようにして。
【以下、スライド作成時のお願い事項】
1.「専門家として（特定分野）標準的知識に基づき回答してください。」
2.「2021年～2024年]の範囲で確立された知見のみを参考に回答してください。」
3.「回答は概要→詳細→事例の3点を箇条書きで示してください。」
4.「結論だけでなく、その理由・根拠も明示してください。」
5.「不確実な場合は不確実性を明記してください。」
6.「専門用語は初出時にわかりやすく定義してください。」
7.「問題解決プロセスをステップごとに明示してください。」
8.「高校生が理解できる平易な表現で回答してください。」
9.「対立する理論を比較・検証し、中立的な結論を示してください。」
10.「事実と意見を区別し、事実には情報源を示してください。」
11.「対象の変遷を時系列順で要点整理してください。」
12.「原因と結果を論理的に結びつけて説明してください。」
13.「成功例と失敗例をそれぞれ1つずつ示してください。」
14.「初学者を想定し、段階的な理解が可能な説明にしてください。」
15.「最後に結論を一文で明示してください。」
GPTの回答
1. 金融庁のサイバーセキュリティガイドライン（2024年10月公表）で求められているITガバナンス、内部統制とは
概要
- ITガバナンス: IT戦略が経営戦略に合致していることを確保し、リスクを適切に管理する仕組み。
- 内部統制: 組織の目標達成を支援するために、不正防止や業務プロセスの正確性を確保する管理体制。
詳細
- ガイドラインは、経営層の積極的関与を重視し、ITリスクのモニタリングと対応能力向上を求めています。
- 内部統制は、サイバーリスクの低減や法令順守を実現する基盤として不可欠です。
事例
- 成功例: 某金融機関がガイドライン遵守により、ランサムウェア攻撃を未然に防止。
2. ITガバナンスと内部統制のつながり
概要
- ITガバナンスは、内部統制の一部であり、IT資源の管理やリスク対応能力の向上を通じて経営を支えます。
詳細
- 内部統制の枠組み内で、ITガバナンスがシステムの信頼性を高め、業務効率化を促進。
- 両者が連携することで、不正防止や事業継続計画の策定が強化されます。
事例
- 成功例: 内部統制を強化した企業が、サプライチェーン攻撃の影響を最小化。
3. 内部統制が構築されていないときの失敗事例
概要
- 内部統制が不十分な場合、不正や設定ミスによる重大な損害が発生します。
詳細
- 例: 設定変更時のチェック漏れで、システム障害が発生。
- 他例: 内部統制の欠如が原因で、多額の資産流出や業務停止に至ったケース。
事例
- 失敗例: 某銀行でのシステム設定ミスが原因で、数日間ATMが利用不能となり、信頼を損失。
4. 当社の内部統制の検証方法について
概要
- 内部監査と外部監査を通じ、内部統制の有効性を検証。
詳細
- 内部監査: 全社的なプロセスの確認、改善提案。
- 外部監査: 独立した第三者による透明性の高い評価。
事例
- 成功例: 定期的な監査を通じて、ITリスク対応能力を向上。
5. 監査の種類
| 監査種類 | 被監査者 | 監査人 | 内部/外部 | 内容 |
|---|---|---|---|---|
| 保証報告書監査 | IT運用部門 | 外部監査法人 | 外部監査 | ITシステムの安全性・信頼性を確認 |
| 財務諸表監査 | 経理部門 | 外部監査法人 | 外部監査 | 財務データの正確性を評価 |
| 内部統制監査 | 全社的業務プロセス | 内部監査部門 | 内部監査 | 統制体制の有効性を検証 |
| テーマ別監査 | 特定部門（例: 情報セキュリティ） | 内部監査部門 | 内部監査 | 特定領域の課題を重点的に評価 |
| 業務監査 | 業務部門 | 内部監査部門 | 内部監査 | 業務効率とリスクの洗い出し |
結論
ITガバナンスと内部統制を適切に実施することで、経営リスクを軽減し、企業価値を高めることができます。
2023事務年度 金融行政方針
Ⅲ. 金融システムの安定・信頼
を確保する
グローバルな金融経済情勢等の動向を注視し、金融システムの安定に与える影響
を分析する。
金融機関の持続可能なビジネスモデルの構築に向け、ガバナンス、各種リスク管理態勢等、内部監査等についてモニタリングを行い、経営基盤の強化を促す。
利用者保護の観点から、金融機関に法令
等の遵守の徹底を求める。
顧客本位の業務運営の確保に向け、高リ
スクの金融商品の取扱いを含め、顧客の
最善の利益に資する金融商品の組成・販
売・管理等に関する態勢整備を促す。
マネロン対策等やサイバーセキュリティ、経済安全保障、システムリスク管理について、世界情勢等を踏まえた対応を促す。
金融分野におけるサイバーセキュリティに関するガイドライン
サイバーインシデント5による業務の中断は、顧客に大きな影響を与え、金融機関等ひいては金融システムの信頼に大きな影響を与えかねない重大なリスクである。こうしたリスクの性質に鑑みれば、サイバーセキュリティは、IT・システム部門の問題に止まらないことは明らかであり、経営責任が問われかねない問題である。また、サイバーインシデント発生時に、顧客、金融システムへの影響を最小化し、極力早期の復旧を目指すためには、各業務所管部、企画、広報、コンプライアンス、リスク管理、監査などの各部門間の連携が不可欠であるし、また、現場担当者に止まらず、経営陣の主体的な関与が求められる。さらに、顧客、法執行機関、情報共有機関、当局等との連携も求められる。こうした組織全体としての対応を実現するためのガバナンスの確立が必要であり、そのためには経営陣のリーダーシップが不可欠である。
取締役等の役員は、民法、会社法その他各業法等の規定に基づく責務を負うため、自組織の規模、特性又はサイバーセキュリティリスクに鑑みてサイバーセキュリティ管理態勢が不十分なことに起因して自組織や第三者に損害が生じた場合、善管注意義務違反や任務懈怠による損害賠償責任を問われ得る。
経営層のためのサイバーセキュリティ実践入門
サイバーセキュリティに必要なガバナンス
企業におけるガバナンス（統制・統治）
ポイント…「情報セキュリティガバナンス」は一般的に「コーポレートがバンス」の一部に位置づけられるため、企業全体の組織活動の中で情報セキュリティの目的や戦略を考え、事業と目線を合わせて整合をとる必要がある。
コーポレートガバナンス…企業において経営の健全性を管理・監督する仕組み。上場企業の場合は金融庁や東京証券取引所等がガバナンスの導入を求めている。
情報セキュリティガバナンス…コーポレートガバナンスの一環としての、企業内における情報セキュリティの内部統制の仕組み。情報セキュリティのため、IT以外の要素も含まれている。国際標準として「ISO/IEC27014」では「組織の情報セキュリティ活動を指導し、管理するシステム」と定義されている。情報セキュリティの目的および戦略のを事業の目的および戦略に合わせて調整することが必要。
サイバーインシデント5による業務の中断は、顧客に大きな影響を与え、金融機関等
ひいては金融システムの信頼に大きな影響を与えかねない重大なリスクである。
経営陣は、サイバーセキュリティに関する監査の結果や、関係主体等（顧客、地
域社会、株主、当局等）からの要求事項や、法規制等の内外環境を踏まえ、サイ
バーセキュリティ管理態勢の継続的改善を行うこと。
*2: 参考：2024事務年度金融行政方針
（https://www.fsa.go.jp/news/r6/20240830/resultsandplans.pdf）
*3：参考：金融庁におけるサイバーセキュリティに関する取組状況
（https://www.nisc.go.jp/pdf/council/cs/ciip/dai38/38shiryou0301.pdf）
わがDeloitteの記事
金融分野におけるサイバーセキュリティに関するガイドラインの解説｜Cyber Insight Blog｜Deloitte Japan
Follow me!
