企業の成功要因を考える！

記事一覧へ

企業経営という視点から会社を育てていく上で必要な事項をお伝えしていきます。

ＢＰＯ（ビジネス・プロセス・アウトソーシング）の動向

個人情報保護法対策の現状とＳＯＸ法への試練

2005年09月12日｜コメント(0)｜トラックバック(0)

───────────────────
■個人情報の漏洩の８０％以上は内部犯行
───────────────────

個人情報保護法が今年４月から施行されました。

通販新聞社が８月中旬に通販企業に実施した「個人情報保護法に対するアンケート調査」によりますと、「万全で問題なし」「ほぼ大丈夫」と捉えている企業が７８社の回答企業中８８％もあったそうです。

しかし、「従業員教育」や「委託先の監督」、「システムなどインフラ関係」に、現在も問題意識を持っている企業がほとんどだといいます。

そもそも個人情報の漏洩の８０％以上は内部犯行であるといわれています。

それなのに、従業員や委託先、システム等に問題を抱えているということは、個人情報保護に対して「大丈夫」と言える状態とはとても思えません。

入退室管理やモニターシステム、パスワードや暗号化、委託先との契約事項の改定などを実施した企業は確かに多いと思われます。

しかしほとんどの場合、外部からの侵入や、外部者の犯行に対する強化はしても、「個人の自覚」「社員の意識の醸成」「悪意を持って漏洩されたら防げない」等、内部からの漏洩にはほとんど対策が取れていないのではないでしょうか。

また、実施しているといった企業でも、「教育や研修」「広報活動」といったものが多く、個人のモラルを高めることしか漏洩を防げないと考えているのではないでしょうか。

───────────────────
■それぞれの部門で業務フローを書き出す
───────────────────

個人情報をもとに企業活動を行っている通販企業としては、まだまだ高いリスクを背負って企業活動をしているように感じています。

もちろん、不正を働く人が完全にいなくなることはありません。
しかし、不正を未然に防いだり事後に察知する仕組み、すなわち「内部統制」の強化は必要です。

内部統制とは、違法行為や不正、ミスやエラーなどが行われることなく、組織が健全かつ有効・効率的に運営されるよう、各業務で所定の基準や手続きを定め、それに基づいて管理・監視・保証を行うことです。

キャノンでは２００３年１２月に「内部統制委員会」を設置し活動しているといいます。

活動はまず現状を把握するために、それぞれの部門で業務フローを書き出すこと。
そしてこの中からリスクを抽出し、それを軽減するためのコントロール（統制活動）を定義したそうです。

このコントロールの数が本社だけで８，０００にも上がったといいます。
この作業は、各部署が自分の仕事のレビューをすることにもなり、業務の効率化や有効性をも確認できたそうです。

個人情報保護法の施行に合わせ弊社でも、通販業務代行サービス（通販ワンストップサービス）の業務において、お客様（通販企業様）別に全て業務フローの書き直しをおこないました。

そして、この業務フローの中でどこに個人情報があるかを把握し、この情報が漏洩しないための施策を考え実施することにしました。

具体的には、個人情報の入ったファイルや帳票を持たない、出さないを基本とし、送り状等どうしても必要なものだけしかアウトプットしないようにしました。

複写帳票の控えや、再発行の為のファイル等全て無くし、どうしても必要な場合に限り、権限のある人に申請することで対応するように仕事の流れを変えました。

もちろん、万全とは未だに思いませんが、社員への教育や研修といったもので、この問題を片付けるより、自分の仕事の業務フローを書くことによって、何が問題なのかを個人個人が考え、対策を練り実行することのほうが確実に意識は高まっていくものだと思います。

また、日常の業務でもいろいろな所に問題意識を持つようになり、より良い業務の遂行に向けて各人が取り組み始めたように感じています。

───────────────────
■リスクの洗い出し
───────────────────

２００２年に米国で成立した企業改革法（サーベンス・オクスレー法：ＳＯＸ法）と同様に、企業の内部統制の強化を目的に、日本でも上場企業のガバナンス（統治）を監視する新ルールが２００８年３月期にも導入されるようです。

今、にわかに関心が高まっており、各地でセミナーなども開催されています。

ＳＯＸ法についての説明には触れませんが、日本型ＳＯＸ法の特徴は企業経営に不可欠となった情報システムをどう適正に運用するかというＩＴ統制が盛り込まれたことです。

その中でも注目すべきは、業務処理プロセスを流す中でリスクの洗い出しが必要になったことです。

リスクとは個人情報の漏洩もしかり、貸し倒れのリスク、架空計上のリスク、横領のリスク、ミス（欠陥）のリスク等々最近世間を騒がせている事件をはじめ、たくさんあります。

これらのリスクに対して対策を講じられるような、業務運用、情報システムが求められるようになってきたということになります。

個人情報保護対策を契機に今後のリスク管理、内部統制、を再考してみる良い機会にしていきたいものです。