プロセスベース審査の嘘

プロセスベース審査の嘘

• プロセスベース審査の嘘というと大袈裟になるが、審査メモをチェックしてみるとどうも話が噛み合わない。
• チェックリストによる逐次型審査は取らないと幹部の人が言っていた事とやや矛盾を感じる。
• ベテランに近い人はノーガード型で話の展開で臨機応変に審査を進めている雰囲気がある。
• 中堅の人はメモ用紙がチェックリスト風に作り込まれていて、能率的だがやや型にはまった感じ。言ってることと実際がまるで逆。恥知らず。プレプリントされているので一見綺麗に見える。
• 新人はどちらかの真似をしているので判別しにくい。
• プロセスベース審査の嘘とまで言えないが、情報システム部門の審査はチェックリスト（＝規格）に沿った方が現実的。本丸を攻めている時に業務概要の把握は既に終わっているようなもの。ＩＳＯの事務局についても、本丸そのものだから、チェックリストに沿うだけでよい。

-

• プロセスベース審査の真髄は幹を見ることに尽きる。
• 事業ミッションは何で、そのための重要な業務は何か
• 重要な情報資産は何か
• 情報の扱いはどのようか。受け入れ、送り出し、保管、など。ＩＤＥＦ0のＩＣＯＭの４要素はここでも重要な質問の切り口になる。

（追記）

• 「プロセスベース」とは何か再確認してはどうか？お宅は審査員でばらばらですよ。付き合いきれない。勘違いしている向きもありそうだ。

1. 事業上・業務上のフロー（人物金情報）に着眼した審査をプロセスベースとする。
2. 情報または情報セキュリティへのかかわり（管理）をＰＤＣＡサイクルに沿って行うことをプロセスベースとする。
3. 両方ですという答えを用意する人は明確に使い分けが出来ない。

.*.

審査計画を見ると技量の程度が分かる？

審査計画を見ると技量の程度が分かる？

複数の審査員でチームを組む場合は、少々複雑になるが、困るのは、1日目 のチームＡ、1日目のチームＢ、1日目のチームＣ、続いて2日目のチームＡ、2日目のチームＢ、2日目のチームＣ、と言った具合に刺身上にプログラムを書 く手合いがいること。複数のサイトをＡＢＣの3トラックで実施する場合に、隣は何をやっているかよりは、各チームの流れの方が重要。受ける側も自分のサイ トの今日と明日が重要な訳で、刺身状では使い難い。

マトリクス型の一覧表を作る審査員もいるが、それはそれで分かり易くなって重宝する。

要は審査チームのトラックをトレースするか、サイトをトレースするか、誰の視点で利用するかを押さえる事です。単なる日付の刺身状は誰にも使い難い愚の産物。

.*.

オセロゲーム

認証取得後は年1回のサーベイランスを受ける。

維持審査とも言う。

3年後には更新審査を受ける。

永久に。

となると少し考える向きもある。色々習熟してくると、見えないものが見えてくる。形骸化･形式化したそういう無駄なことは止めたくなる。

最近、急に増えて来たのが審査機関の鞍替え。企業の体質に見合った仕組みというけれど、その前に、企業の体質に見合った審査機関を選ぼうということです。

厳しいということで有名な審査機関から降りるところが続出。「厳しい」の中身が徐々に分かってきたということです。

市場はまだマチュアに達した訳ではないのに、一部でオセロゲームが始まっているのはそういう事情。

本当にそこの先生の言うことは聞いていてもはっきり「嫌」になる。

規格の一字一句をそれこそ本当に一字一句をトレースするんだから、若い事務局の酒量が一気に増えたのは言うまでもない。次の日にはいきなり予定に無かったサイトを見たいと言い出す。勘弁してよ。

兎に角、始めてしまったから認証取得までは持って行きました。

でも、さっさと其処とは縁切りです。馬鹿馬鹿しい。あれは何だったのだ。本当にエースの審査員だったの？

※

認証審査部門の部長も規格の文言に拘ることで有名。見積もりをあちこちからとったら、世間話もする訳だけど、どの審査機関からも金太郎飴みたいに同じ名前が出てきて驚いた。

その部長さんは結構長い間其処に落ち着くらしいから、何かと問題になるのでしょうね。

踊る先生

講釈が好きな審査員が後を絶たない。つぼに嵌った質問をした時は、悲劇の始まりのゴングが鳴る。

審査会場がいきなりセミナー会場に変わる。規格の解釈をとうとうを語り始める。

セミナーチェンジのボタンを幾つも持っている先生の場合は、聞かされる方も堪らないから、質問自体をご法度にする。

手振り、身振りで、その様はまるでダンスをしているような説明会は、事務局以外の人の目には相当異常に映るのは言うまでもない。

リスクの受容

リスクは資産価値、脅威、脆弱性のセットで表現される。そのレベルはリスク値として提示される。

あるレベル以下のリスクは受け入れる。

このレベルが実は、不謹慎ではあるが、結構興味深いものになる。

リ スクを受容するとは、特に新たな手を打たなくて現状でよしとすること。受容しないとはリスクを下げるために何か手を打つこと。事務局も現場も、あまり余計 なことはやりたくないと考えるのが普通。受容レベルを高くして余計な仕事は作らない。これが暗黙の了解事項。そうするとどうなるか。

例えば、月1回の重大事故は許容するケースなどが出てくる。

不心得の事務局がいると、必ず大方のリスクを受け入れる事態になる。まあ、駄目元で知らん振りして、リスク甘受型のマトリクスを作る。

審査の先生方の反応は見ていて面白い。

1. 全く気付かない先生。この場合は、この審査には何も期待できないことが分かってこちらが辛い。
2. 気付いて妥当性の確認を迫り更にトップが承認しているか念押しする先生。この場合はアウト。経営者インタビューで確認されたらお仕舞い。下手すると降格だ。
3. 気付いて妥当性は自分で判断しろと突き放す先生。この場合は簡単。検討しましたで済ます。暇になったらやるつもりだけど暇になることは決してないことも知っている。

リスクは受容が一番です。

※

件の先生は勿論（１）です。話も何も始まらない。厳しいことで有名な先生ですが、厳しいの意味は大分違うね。やたら書類作りを要求してくる。石橋を金槌で叩きまわして引き上げて行くような。そんなに心配してくれるのは有り難いけど、先生のところは大丈夫なの。

審査員の忌避（１）

審査員の忌避（１）


営業がやってきてどうにか日程とか費用とかのアウトラインが決まると契約になるが、そのうち、担当審査員のプロファイルが送られてくる。この審査員 で構わないかと言う訳だ。好き嫌いは言えない。あまり厳しい人は嫌だけど。これも一つの業界らしく、個人名でそれらしい噂は流れている。

忌避と言うのはこの審査員は困ると突き返すことです。

忌 避の理由で、多いのは競合の関係。審査員も企業人を兼務している。兼務していなくても最近リタイヤしたばかりかもしれない。当然人脈は残っている。そうい う人が機密領域を含むエリアを審査の名目で入ってくるのは困る。下手すると審査証跡ということで重要書類を持ち出すかもしれない。

リスクを感じたら忌避するのは当然。

もっ と多い忌避の事態は、実は複雑な人間関係に起因する。コンサルが絡む場合に忌避が発生する。規格という公開されたものと、現場（組織）という超現実の間に 介在する審査とコンサルという2つの機能。この２つの機能は相反する時もあるし、協調する時もある。工場内の製造技術と検査の関係に似てなくも無い。物の スペックでも揉めるのに、システムの出来具合を見るときに揉めない訳がない。

この人の検査に耐えられないと分かった製造技術は検査担当を買える算段をする。相性問題かも知れない。

コンサルは自分の指導に自信が無いときは、お客の口を使って審査員を忌避するのです。嫌、既にそのコンサルまたはコンサル会社と審査員はドンパチをやっていたかもしれない。審査員に否定されたコンサルはもうコンサルを続けられないのですから深刻なのですね。

忌避はコンサルが絡むと多くなります。

審査員の忌避（２）

競合関係の問題も無く。

コンサルの問題も無く。

それでも忌避される審査員が居る。

「恫喝審査」の先生と「フリーパス審査」の先生。

この両極端は困り者で、特に前者はいちゃもん付けてでも自分の型に嵌めようとするのだから、審査でもなければコンサルでもない。天から舞い降りたか、地から湧き出たか、突然の魔王に支配されるが如くだから、噂が飛ぶのも早い。悪評どころではない。

後 者は、何も言わない。ぱらぱら文書をめくり、さっさと現場をあるいて、良く出来ていますと言って、定刻前に引き上げていく。もっとも何でもフリーパスと言 う訳ではない。ここはとても面白いのだが、しっかりやってそうなところはフリーパス。更なる改善のお手伝いは期待できない。では、まったくいい加減にこの 先生を迎えたらどうなるか。先生は「まだまだのようですね」と言って、いきなり引き上げてしまう。この先生の場合の忌避はグループ会社の中だけで世間では 特に問題になることはない。

指摘事項ゼロ審査

不適合があれば指摘。不適合でなくても改善のヒントを観察事項と称してレポートしてくれる。

完全フリーパスの時は、不適合も観察事項も何もない。総評みたいなものが入るだけ。

問題が無ければ指摘ゼロで問題無いはず。

さて、真実はどうだろう。

判定委員会は、指摘が無いこと事態を問題にしたことがある。そういう電話が担当の審査員から入る。再び、判定委員会って何？となった。

観察事項3件の理由

観察事項3件の理由


幾つか審査報告書を眺めると傾向と思われることがある。

観察事項3件

審査結果が観察事項3件に落ち着くことが多い。審査機関にもよるかも知れないが、そのような気がする。

手間をかけないでPDCAを回す必要最小限の指摘ということなんだと思う。無意味に煩い判定委員会を落ち着かせ、組織のPDCAに少しは貢献し、何よりも審査員の負荷も少なく出来る。

.*.

審査の適格性

審査の適格性

正しく審査が行われたかを見るのが判定委員会。

審査員と判定委員会の関係は何か？

相撲の場合の、行事と審判の関係？。

これは全く違う。行事も審判も同時に現場に居て同じ目線で相撲の取り組みを見て勝ち負けの判定を行っている。行司の目が届かない場を審判が補う形。

因みに、審査員の審査技量は公的に認知されたレベルであり、判定委員会はまったく私的な集まりで技量のレベルも認知されていない。

野 球の審判ならどうだろう。現場の判断は審判に任せている。審判の有り方については別の場で審議している。審判のジャッジそのものに触ることは無い。主審、 塁審、線審など適切であったか、ルールを守ってジャッジしたか、開始終了は適切か。酒気帯びで審判をやらなかったか。経験スキルは充足していたか。基本は 適切なジャッジを出来る状態にあったかどうか。

※

判定委員会は、以下に留意すべき。

1. スキル・経験・力量と審査対象の特性がミートしているかどうか。
   これは、審査計画（審査員アサインメント）の適切性をみること。審査員に問う内容ではない。業務分野の経験が無い人ばかりで出かけたら、何も見えないでしょう。営業が無理して受注した案件も少なくない。
2. 審査の工数・審査員の人数は十分だったか。
   これは、審査対象の規模、サイトの展開状況に照らして十分な審査が出来たかを見ること。営業が無理して安値受注をすると、移動時間を取って歩き回るだけでろくな審査が出来ない。
3. 審査報告は適切な内容か。
   これは読んで分かるレベルかどうか、矛盾を含まないかどうか、などで良い。審査時のメモは正式なエビデンスには成り得ないから有無の確認だけで良い。

実際の判定委員会は興味本位の質疑応答ばかり。無理なスケジュールになっていないか、適切な網羅性かどうかの議論は殆ど無い。つまらないからね。中途半端に素人を引きずりこんでレビューするよりは、専門のレビュヤーが取り組むのが余程効果的だろう。

.*.

リスク値算定ロジックを見るとリスクが分かる

リスク値算定ロジックを見るとリスクが分かる

リスク値ってリスクの程度を定量化に近いところで捕らえて、合理的な取り組みに生かそうとするものです。

リ スク値は、誰かのガイドの作り方が悪いのでしょうが、出鱈目が多い。冗談でやっているんだろうと思うくらいナンセンスなロジック。リスク値と書くから分か りにくい。単純に考えれば損害額です。そのまま金額算定でも良いし、あるスパンでランク分けしても良い。その金額を出したら事業継続不可というのがまあ最 大として、後は3段階か5段階か適当に区切って、諸試算の便宜を図って良い。

情報試算の資産価値が理解できていないから、リスク値なんて出てこない。資産価値と言うから難しい。これ最大損害額のことなんだけど。

資産価値とリスク値は同じ単位ですね。そこに脅威・脆弱性を持ってきても、確率以外の処理は存在しない。

資産価値（最大損害額）*実現確率＝期待損害額（リスク値）

実現確率は実現確率＝脅威*脆弱性としてさらに要素分析を行うことも出来る。

頓珍漢は、足し算が登場したり、二乗計算が登場したり、適当な（根拠の無い、いい加減なの意味）重み係数が登場したりすること。真実は単純な計算式で表現できるのに。

リスク値の算定ロジックの出来は事務局のお頭の出来を示す指標。頓珍漢が登場したら、この組織のマネジメントシステムは苦労する訳だ。問題事務局でも彼らに頑張ってもらわなければならない。

.*.

もう一つ注意事項がありました。

脅威と脆弱性。無理やり分けようとすると苦労します。相対的な関係にありますから。

.*.

雑魚のお仕事（４）

雑魚のお仕事。

組織のゴミ掃除。粗大ゴミが組織のゴミを見つけるんだから変な取り合わせだ。が、一定の効果も期待できそうだ。

名前も立派にしてあげないといけない。請負監査役ぐらいでどうだ。組織のゴミ探しは監査役に似ていないことも無い。監査人。しかし、経理の第一線の監査は老人には無理。

教科書どおりの地味な監査が似合う。一番ゆっくり動くであろう、国際標準を教科書にした監査なら老人も追いついてこれる。多分。

雑魚のお仕事（2）

雑魚はシルバー対策に作った会社みたいなもの。少し給料の高いシルバー対策だから、粗大ゴミ対策かな。それなりに敬意を払って粗大ゴミ老人に出来る仕事を考えなければいけなかった。世間体も考えたリストラですね。

ガードマンは体力、俊敏性がいるから、NG。マンション管理人の仕事もあるが、腰が低くないと困る。何せ、住民の主婦とか子供とかのクレームに笑顔で接するのだから、会社の中のオイコラは通用しない。サービスを生業にするにもものを取り付けたりできるわけでもない。

結局、老人でも出来そうで残った仕事が点検作業。チェッカーマン。チャッカマンとは違う。

雑魚のお仕事（３）

老人の持ち物は経験だけ。経験を伝承する。それが雑魚の仕事のコンセプト。

営業センスも無い。プレゼンの能力もない。教科書を繰り返すことくらいしか能がない。そういう側面も無視は出来ません。老人は頑固だということです。だから、コンサルのような伝承は無理。決まりごとに沿って、同じことを繰り返すなら可能性はある。

そこで、点検作業ということになりました。

機械の点検でなくて、組織の点検です。昔、流行ったTQCのうろ覚えが役に立つかもしれません。

「組織の点検」。これが雑魚のお仕事になりました。

それなりに合理的な結論です。

雑魚は嫌われ者

雑魚はある意味では真面目族。ひるむことなく真面目。真面目を取ったら何も残らない。そう思っているようだ。

雑魚の仕事ぶりは一心不乱。夜も昼もない。砂粒一つずつを口に入れては出してはを繰り返している。判別がつかないときは持って返ろうとする。持って帰ってどうするのかは知らない。

雑魚は何もかも教科書通り、テキスト通り、マニュアル通りでないと気が済まない。曲がったことが大嫌い。

沼みたいな入り江に棲む雑魚は数十匹。入り江の外に出ることは少ない。

入り江の中では、雑魚の性質を知っているので、雑魚に仕事を頼んでもトラブルにならない。入り江の外ではその真面目ぶりは通用しない。そもそも真面目とは思ってくれない。四角四面と杓子定規から生まれたらこういう雑魚になるんだろうぐらいにしか思わない。

雑魚の成り立ち（１）

雑魚は老人を集めて作った政策法人です。老人の働き場所の提供が目的です。老人は社会的な実績も持っていますから、ある程度、自尊心、虚栄、地位へ の配慮が必要でした。また、政策法人を一つだけ作ったのでは目立ちますから、似たような法人を複数準備することになりました。それらを一括りにして雑魚を 呼ぶ訳です。

雑魚の特性は老人の働き場所であること。

老人の社会性に配慮がなされていること。

老人を吐き出したい法人側の支援があること。

.*.

酒が入りすぎたかな？訳が分からなくなってきた。

.*. 

判定委員会（1）

判定委員会とは何か。

審査～監査が適性に行われたかどうかを判定する会議。

審査～監査チームが行った審査～監査の結果は、合格提案、または不合格提案になるが、それを受け入れるかどうかを判断する審査～監査機関の中でも重要な役割を果たす会議。

判 定委員会の議長、委員とも審査～監査機関外の人がつく。客観性、公平性を担保する目的だろう。人数はほんの数人だ。審査～監査機関の人間も勿論委員の一人 として入る。入るどころか実質的な議長役を果たす。外部の人は客観的な目線は持っていても審査～監査のプロではないから、ある程度はケアをしないと審議も 判断も難しい。

判定委員会は審査～監査の妥当性、適切性を担保する目的ではあるが、実態はその存在自体が審査～監査をゆがめている可能性を考えてみよう。

＜１＞判定委員会の判定能力～レビュー能力

外部の素人で何がレビューできるのか。判定委員会の妥当性を先に検証すべきでしょう。ISOに関する資格も経験も無い。判定委員を公表しているところも無い。

彼らが無報酬のボランティアなら別の見方もあるが、実態は高額の内職・アルバイトになっている。傀儡的。審査～監査機関のシナリオ通りにイベントをこなしているだけ。

黙って聞いて肯いているだけならまだ良い。馬鹿な質問をしてくる。馬鹿な質問でも判定委員の質問は無視できない。歪んだ報告会になる。素人判定委員の勉強会になる。

判定委員会（2）

＜歪んだ報告＞

判定委員が素人だと、素人向けに審査実施概要をプレゼンテーション宜しく資料を纏めて報告しているところがある。

何をやっているかと言えば、審査～監査報告書、審査～監査証跡などの文書以外のものを新たに起こしている（纏め直しているだけだが素人向けに情報を補足して編集されている）。

審査～監査は判定委員向けに必要なものを収集することが主眼になる。報告が歪むということは審査も歪む。審査は判定委員会での報告を念頭において進められる。報告が定型化すると審査～監査も定型化するから審査～監査自体は画一的なものになる。問題の本質から離れていても。

何故か。

審査～監査員は審査～監査報告を上げただけでは済まないで、そのプレゼンテーションまで要求される。しかも、わざわざプレゼンテーション用のドキュメントを用意することまで要求されるのだ。毎回だからその負担は相当なものだ。別の審査の準備もあるのに。

だから、どんどん質が落ちる。

日本の審査～監査機関で、約半数がこのような無価値なと言うより有害な判定委員会を設置している。安全弁のつもりで。

判定委員会（3）

＜資料の持ち帰り＞

やたら証跡と称して審査～監査時に確認した資料を持ち帰る先生が居る。時には、これこれの資料を直して後で送るように言ってくる。

最初は理由が分からなかった。

結局これも、判定委員会で使う説明資料だったようだ。どれを使うか決めていないときは、あれもこれも要求してくる。

セキュリティの番人がリスクの原因に成り代わっている。

審査～監査はクロージングで終了が原則でしょ。

その後、追加で資料を収集しているのを見ると、一体あの審査は何だったのかと思ってしまう。

判定委員って、地域代表とか、消費者代表とか、学会代表とか、そんなもの何の関係もないこと。審査～監査機関の責任逃れの口実機関でしかない。それが今の印象。

.*.

判定委員を公表している機関が存在するか調べてみましょう。

.*.

恫喝審査

コンサル審査は、ある意味ではありがたい審査です。色々、ノウハウが只に近い料金でもらえるのですから。一般にコンサル費用と審査費用は一桁違いますから。審査は100万円で収まるものでもコンサルには1千万円払うケースも少なくない。

時には有り難くない先生も登場する。

一 つは議論を仕掛けて来る先生。いろいろ試されているみたいで不愉快になる。でも、合理的な発想を喚起させるための議論だから、収まりがつけば結果オーラ イ！です。溝が最後まで埋まらないと両方不愉快で辛い。先生に不愉快な思いをさせたということがずっとプレッシャーになるのです。

議論を超えるケースもあります。

恫喝審査。

先 生の前に立つのは通常は事務局と称するスタッフの面々。どちらかと言えば大人しい面々です。それが理屈が分からないからと言う事で、無謀にも先生に食い下 がります。丁寧な解説を期待してですね。しかし、先生が先に切れてしまうことがある。単純に切れるなら、納めに回れますが、いきなり地響きが。関西ヤ印も ちょっと引けるようなどすの聞いた声で、「やるのかやらんのかはっきりしろ！」と。次には「経営者出せ！」。

はい、社長を呼んできますなんて言えないね。頭を下げて、馬鹿スタッフを交代させて、いやはや。なんともはや。

先生が帰らない

社長の見栄で始めたのか、親会社が言ってきたのか、よく分からないが。全くやる気が無いから、今日の審査は忘れていた。もちろん、会議室も予約しないし、関係者のアポも取らない。

完全無視だから、審査員は来ても黙って引き上げるだろう。

現れた先生は、しかし、にこにこと怒りの表情も見せずに、場所なんか何処でもいいですからと、アポ無しの人が利用する半応接で書類をだして、仕事を始めだした。

嫌な予感。

案 の定、ロングストーリーが回り始めた。この審査機関はどうなっているんだ。打ち切ってくれない。やるまで毎月フォローに来る。完全予算オーバー。加えて、 社内では事務局は馬鹿扱い。普通は、審査開始から一定期間を過ぎると審査打ち切りになるはず。しっぺ返しを食らった。そんなことになるなら最初から普通に やるんだった。

親会社は体力があるから少々癖のある審査機関でも持ちこたえられるだろうが、子会社はそうは行かない。審査機関ぐらいはこちらに選ぶことを認めて欲しいものだ。

先生が帰ってしまった

あまりに酷かったんでしょう。

先生、審査にならないとおっしゃって帰っていかれました。

もう来なくても良いやと思ったのに、会社はそうは行かないみたいで。また来ることになりました。

ハイ！、徹夜が数回。

一体誰がこの馬鹿審査機関を選んだんだ！。

「お前だろう！」って？。確かに。一生の不覚。

会社の取引の伝で選ぶなんて最低。やはり、人を見て得心して契約しないと。

コンサル審査(1)

コンサル審査(1)

コンサルと審査～監査は別物なのにくっ付けたくなることが多い。

その最たるものは予行審査～監査とか予備審査～監査の名目で行われる、審査～監査機関によるコンサル行為。不思議なことに、現時点では違反行為でないと天下り団体は認めているようだ。

受験する大学が模擬試験をやっているようなもの。模擬試験は日能とかやるもんでしょう。予備・予行の類は公認機関以外にやらせるべき。それをひるんでいるところに業界の馴れ合い体質、天下り依存体質が見て取れる。

.*.

コンサル審査(2)

 コンサル審査(2)

審査員～監査員の顔をしている人が話していることをよく聞くと、それはコンサルタントのものだった。よくある話。 目次構成、ページ構成、図表のフレーム、なんでも聞けば聞くだけ答えが返って来る。 この審査員は、要するに自分の気に入ったように作り込んで欲しいらしい。 メールに参考ということで、書式が添付されている。 私の言うとおりに作れば通すよと言っているみたい。 本物のコンサルの先生は必至でメモを取っていたものです。われわれは1回限りですが、コンサル先生には何回も使える貴重なノウハウですからね。

.*.

雑魚の海岸物語

雑魚の海岸物語

名前も無い小魚。取るに足りない小魚。海岸に打ち上げられて苦しそうだ。

まともに成長していけばいずれ名のある立派な魚になっただろう。



仕事柄、若輩の身ながら監査とか審査とかの場に臨むことが多い。やり取りを見聞きして思うこともある。

アフター５を使って、ちょっとした時間を持つこともある。お酒が入ることも当然ある。些細な話を耳に入れることになる。

本当の事例か、憶測の話か、本当のことは分からない。色々な話を聞いていれば、なんとなく浮かび上がることもある。


海岸から離れるにも時がある。鳥なら巣立ち。大海に向かって泳ぎ始めないで、岸に留まるのは悲劇。狭い波打ち際には悲劇以上の物語が繰り返される。