平成30年度決算検査報告
【改善の処置を要求したものの全文】
情報通信技術利活用事業費補助金による事業の実施状況について
（令和元年10月29日付け 総務大臣宛て）
標記について、会計検査院法第36条の規定により、下記のとおり改善の処置を要求する。
記
貴省は、情報通信技術(以下「ICT」という。)の一層の利活用により、農業、医療・健康、観光、防災、雇用等各分野で地域が直面する課題解決に貢献し、各地域の産業や行政の効率化及び生産性向上又は地方への人や仕事の流れの創出を通じて地域の活性化に資する事業等を実施する市町村等(以下「事業主体」という。)に対して、情報通信技術利活用事業費補助金を交付している。この補助金の交付対象事業は、情報通信技術利活用事業費補助金交付要綱(平成27年総国政第30号。以下「要綱」という。)等によれば、ICTまち・ひと・しごと創生推進事業、ふるさとテレワーク推進事業、地域IoT実装推進事業、データ利活用型スマートシティ推進事業(以下、これらの事業を合わせて「本件補助事業」という。)等とされており、事業主体は、本件補助事業において、情報通信端末を導入したり、システムを構築したりなどして事業を実施している(以下、本件補助事業で導入された情報通信端末や構築されたシステムを「導入システム」という。)。そして、本件補助事業の補助金交付額は、要綱等で定められた補助対象経費に各事業の補助率を乗ずるなどして算定することとされており、平成26年度から30年度までにおける交付額は、計136事業で計23億7639万余円となっている。
本件補助事業の補助金交付手続等については、要綱、本件補助事業の実施要領(以下「実施要領」という。)等によると、次のとおりとなっている。
① 本件補助事業の実施を希望する事業主体は、実施する事業の概要を示した企画提案書や、事業の可能な限り明確かつ定量的な達成目標(以下「事業目標」という。)を設定し、これを記載した実施計画書等を貴省に提出する。これらの企画提案書等について、貴省は、地域が直面する課題等のニーズに関わる項目を記載するよう求めている。そして、貴省は、これらに対する外部有識者による評価結果等に基づき、採択候補先を選定する。この採択候補先の選定の際のポイントとして、貴省は原則として、事業の効率化を目指すために、導入システムについてはクラウド（注1）を活用することなどを示している。
② 採択候補先に選定された事業主体は、交付申請時に、事業実施年度の事業目標等を記載した事業計画書等を貴省に提出する。貴省は、これらを審査の上、交付決定を行う。
③ 交付決定を受け、事業を実施した事業主体は、事業完了後に、貴省に実績報告書を提出し、貴省は当該実績報告書の内容を審査の上、交付額の確定を行う。
④ 交付額の確定を受けた事業主体は、事業の完了の日の属する会計年度の翌年度から起算して5年以内の間、毎会計年度終了後に、導入システムの運用状況等について記載した運用状況及び収益状況報告書(以下「運用状況等報告書」という。)を貴省に提出する。
本件補助事業を実施するに当たっては、個人情報等の重要情報等を取り扱うことがある。そして、地方公共団体は、個人情報等の重要情報等の取扱いについて、個人情報の保護に関する法律(平成15年法律第57号。以下「個人情報保護法」という。)、行政手続等における情報通信の技術の利用に関する法律(平成14年法律第151号)、サイバーセキュリティ基本法(平成26年法律第104号。以下、これらを合わせて「法」という。)等の趣旨に基づき、組織内の情報セキュリティを確保するための対策等を包括的に定めた文書(以下「情報セキュリティポリシー」という。)等を定めて、これを遵守することなどにより、法の趣旨に沿った情報セキュリティ対策を講ずることにしている。また、民間事業者等は、個人情報等の重要情報等を取り扱うに当たって、自主的に定める情報セキュリティポリシーや個人情報保護法に定められている具体的な義務等を遵守することなどにより、情報セキュリティ対策を講ずることにしている。
(検査の観点、着眼点、対象及び方法)
本件補助事業は、ICTを導入して活用することにより、地域が直面する課題の解決や地域の活性化を図るものである。そして、ICT分野の技術の進展は他の分野に比べて非常に速く、一定期間が経過すると構築したシステム等が陳腐化してしまう可能性があるなどの特徴があることから、本件補助事業を実施するに当たっては、一定期間内で事業の効果が得られるよう、導入システムの利用状況の把握を的確に行うことが重要となる。
また、導入システムについては、個人情報等の重要情報等が取り扱われる場合があり、クラウドの活用も想定されて、個人情報等の重要情報等が、事業主体外部のネットワーク上で管理されることとなることなどから、本件補助事業においては、クラウドを活用するシステムの運用を含め、法の趣旨に沿った適切な情報セキュリティ対策を講ずることが重要である。
そこで、本院は、有効性等の観点から、導入システムは有効に利用されているか、導入システムの利用状況は的確に把握及び報告されているか、導入システムの運用に当たり、情報セキュリティ対策が適切に講じられているかなどに着眼して、本件補助事業のうち、20道府県（注2）に所在する61事業主体が26年度から30年度までの間に実施したICTまち・ひと・しごと創生推進事業28事業、ふるさとテレワーク推進事業17事業、地域IoT実装推進事業14事業、データ利活用型スマートシティ推進事業3事業の計62補助事業(事業費計15億0347万余円、補助対象経費計14億5838万余円、補助金交付額計11億8769万余円)を対象として、61事業主体において、実施計画書、運用状況等報告書等の関係書類及び現地の状況を確認するとともに、貴省本省において、事業主体に対する指導・助言の状況等を聴取するなどして会計実地検査を行った。
(検査の結果)
検査したところ、次のような事態が見受けられた。
前記の62補助事業のうち、導入システムの利用が災害発生時に限られていて、定常的な利用を想定していないものを除いて、事業完了後1年以上経過し、運用状況等報告書が提出されている53補助事業(補助金交付額計9億8923万余円)について、導入システムの利用状況等をみたところ、次のとおり補助事業の効果が十分に発現していない事態が見受けられた。
53補助事業について、導入システムの現地での稼働状況等をみたところ、導入システムの運用体制を維持できなかったり、情報通信端末が故障したりしていたことなどから、導入システムの全部又は一部が、完成した当初又は事業の途中から休止・遊休化等しているものが5事業主体（注3）の5補助事業(補助金交付額計9972万円)あった。
上記の事態について、事例を示すと次のとおりである。
＜事例1＞
高知県土佐郡大川村は、平成28年度に、情報通信技術利活用事業費補助金2111万余円の交付を受けて、嶺北地域の雇用創出等のため、隣接する3町等と連携して、テレワーク拠点を整備するとともに嶺北地域の地方創生に直接つながる求人・求職の仲立ちをするシステムを構築していた。そして、同村は、同拠点を利用して地域の雇用を創出できる事業者を誘致し、当該事業者と、同システムの運用において活用する求人・求職に係るデータベースの構築及び同システムの運用に係る契約を締結して、29年4月から、求人・求職情報をウェブサイト上で公開して同システムを利用した業務を実施させることとしていた。
しかし、同村は、31年2月の会計実地検査時点において、同拠点でテレワークを実施する事業者を誘致していたものの、予算が不足していたなどとして、求人・求職に係るデータベースの構築に係る契約を当該事業者との間で締結していなかった。このため、同システムの運用に必要なデータベースの構築ができておらず、同システムの運用を休止している状況となっていた。
前記のとおり、事業主体は、事業目標を設定することとされているが、その事業目標の設定内容について、貴省は明確に定めていない。そこで、53補助事業から、アの事態に係る5補助事業を除いた48補助事業について、事業主体が設定している事業目標についてみたところ、導入システムの利用について、利用者数等の定量的な数値目標を設定していた補助事業と、定量的な数値目標を設定していなかった補助事業が見受けられた。そこで、定量的な数値目標を設定していた補助事業については設定された利用者数等の数値目標に対する実際の利用者数等の割合を、また、定量的な数値目標を設定していなかった補助事業については導入システムの実際の利用者数等を、それぞれみたところ、その割合が5％以下であったり、実際の利用者がほとんどいなかったりなどしていて、利用が低調となっているものが6事業主体（注4）の6補助事業(補助金交付額計7916万余円)あった。
上記の事態について、事例を示すと次のとおりである。
＜事例2＞
沖縄県島尻郡久米島町は、平成27年度に、情報通信技術利活用事業費補助金740万余円の交付を受けて、高齢者の利便性向上や地産地消の推進を図るために、高齢者がタブレット端末等を利用して簡易な操作で買物ができるようになどするシステムを構築していた。そして同町は、実施計画書において、同システムによる年間売上を5年以内の間に450万円とすること、本事業の運営に係る雇用を2名創出することを事業目標として設定していた。しかし、同町は、事業の実施に当たり、住民に対して利用の意向等についての具体的なニーズ調査を十分に行っておらず、さらに、事業完了後も住民に対して同システムの利便性等についての周知を十分に行っていなかったり、高齢者がタブレット端末等を利用するに当たっての支援スタッフを配置できなかったりしていたことなどから、30年12月の会計実地検査時点において、新規雇用を1名創出していたものの、タブレット端末等による買物実績はなく、利用者はいなかった。
アの5補助事業及びイの6補助事業を合わせた計11補助事業について、事業主体におけるニーズ調査の実施状況等をみたところ、次のとおりとなっていた。
本件補助事業においては、前記のとおり、貴省は、地域が直面する課題等のニーズに関わる項目を企画提案書等に記載することを求めていたものの、要綱等において、その具体的な内容や方法については定めていなかった。そこで、11補助事業におけるニーズの把握状況についてみたところ、6事業主体（注5）の6補助事業において、具体的なニーズ調査が十分に行われておらず、導入システムについての利用の意向等のニーズが十分に把握されていなかった。また、ニーズ調査は、事業期間中又は必要に応じて事業完了後においても定期的に行うことによって、システム等の改善点を見いだし、システムを改修するなどして、事業の効果的な実施等に資するものであるが、これらの事業主体はこれを十分に実施しておらず、ニーズ調査を基にした事業の効果を発現させるための方策を十分に執っていなかった。
本件補助事業においては、前記のとおり、一定期間内で事業の効果が得られるよう、導入システムの利用状況の把握を的確に行うことが重要である。そこで、11補助事業における、導入システムの利用状況の把握状況についてみたところ、9事業主体（注6）の9補助事業において、導入システムの利用について定量的な数値目標が設定されていなかったことから、事業主体は事業目標の達成に向けた導入システムの利用状況を把握しておらず、事業目標の達成に向けた事態の改善の取組を十分に行っていなかった。
本件補助事業においては、前記のとおり、事業主体は、事業の完了の日の属する会計年度の翌年度から起算して5年以内の間、毎会計年度終了後に運用状況等報告書を貴省に提出することとされており、これを受けた貴省は、導入システムの利用状況等について確認し、必要に応じて事業主体に指導・助言を行うこととしていた。しかし、貴省は、事業の内容が多様であることなどから、要綱等において、運用状況等報告書で報告すべき具体的な内容について定めていなかった。そこで、11補助事業について、運用状況等報告書による貴省への報告内容を確認したところ、8事業主体（注7）の8補助事業については、導入システムが休止等している事態を報告していないなどしていて、貴省において、導入システムの利用状況等の的確な把握が困難となっていて、必要な指導・助言が行われていなかった。
前記のとおり、導入システムについては、個人情報等の重要情報等が取り扱われる場合があり、クラウドの活用も想定されていることなどから、本件補助事業においては、クラウドを活用するシステムの運用を含め、法の趣旨に沿った適切な情報セキュリティ対策を講ずることが重要である。そして、個人情報等の重要情報等を取り扱うに当たっては、情報漏えいなどは外部委託先においても発生するおそれがあるため、外部委託を行う場合を含めて必要な情報セキュリティ対策を講ずることが重要である。一方、貴省は、本件補助事業を実施するに当たっての情報セキュリティ対策について、実施要領等で示していない。そこで、前記62補助事業の導入システムに係る外部委託の実施状況についてみたところ、クラウドを活用した導入システムについて、運用保守、データの保管・管理等を外部委託するなどして運用していたものが37事業主体が実施する38補助事業あった。そして、37事業主体はすべて地方公共団体であったため、事業主体である各地方公共団体が策定した情報セキュリティポリシー等における情報セキュリティ対策をみたところ、いずれの地方公共団体においても情報システムについて外部委託する場合には、個人情報等の重要情報等の目的外利用の禁止や事業完了後の返還、廃棄等の情報セキュリティ対策上必要な事項について委託契約等において規定することとしていた。
しかし、上記の37事業主体のうち20市町村（注8）の20補助事業(補助金交付額計4億2257万余円)において、クラウドを活用した導入システムに係る外部委託契約の締結等に当たり、個人情報等の重要情報等について、何らの契約等を締結していなかったり、契約等において、情報セキュリティ対策上必要な事項について取決めをしていなかったりしていて、法等の趣旨に基づき定められた上記の情報セキュリティポリシー等が遵守されておらず、保有する個人情報等の重要情報等が保護されないおそれのある状況となっていた。
上記の事態について、事例を示すと次のとおりである。
＜事例3＞
高知県長岡郡本山町は、平成29年度に、情報通信技術利活用事業費補助金2499万余円の交付を受けて、森林所有者の集約化等のために、森林資源情報に係るデータベース及びこれをクラウドを活用して共有できるシステムを構築していた。そして、同町は、30年4月から同システム用のサーバーを保有している業者にその運用を事実上委託するなどして、運用を開始していた。同町の情報セキュリティポリシーによれば、情報システムの運用保守等を外部委託する場合には、必要に応じて、情報セキュリティ要件を明記した契約を締結しなければならないとされており、その契約を締結する必要性があったものの、同町は、同システムの運用を委託するに当たって、委託業者と契約を締結しておらず、個人情報等の重要情報等の取扱いに関する何らの取決めもしていなかった。このため、データベースに保存されている個人情報や個人が保有する地籍に関する情報が目的外に利用されるなどのおそれのある状況となっていた。
(改善を必要とする事態)
本件補助事業について、導入システムの利用が低調となるなどしていて補助事業の効果が十分に発現していなかったり、クラウドを活用した導入システムの運用について、情報セキュリティ対策が適切に講じられていなかったりしている事態は適切ではなく、改善を図る要があると認められる。
(発生原因)
このような事態が生じているのは、次のことなどによると認められる。
本件補助事業は、ICTの利活用分野が多岐にわたりその利活用の方法も多様なものとなっており、また、ICT分野の技術の進展は他の分野に比べて非常に速いものとなっていることなどから、事態を改善するための方策は、適時かつ効果的に行われる必要がある。また、本件補助事業は、クラウドを活用した導入システムの利用が想定されていることなどから、より一層情報セキュリティ対策に留意した導入システムの運用を行うことが重要となる。
ついては、貴省において、速やかに本件補助事業の実態を的確に把握し、導入システムの利用が低調となっているなど、補助事業の効果が十分に発現していない事業について、その効果が十分に発現するよう、また、情報セキュリティ対策が適切に講じられるよう、次のとおり改善の処置を要求する。