リスクアセスメントの話になったときに誰かがトーマツ方式はなかなか良くできていると発言したら、少し場の雰囲気が変わった。トーマツ方式？それってコンサルファームのトーマスですか。デロイトトーマツというのは良く聞く名前ですけど、それと関係有りますか。
よく出来ていると言っては見ても、何のことは無い。トーマツ方式が何か実際に知っている人はいないみたい。それぞれ顧客先で見たものを手がかりに勝手にイメージしているだけだ。
業務プロセスを書いて、其処から情報のインアウトを調べる。これは情報資産の洗い出しでは普通のこと。らしい。プロセスツリーを分かりやすく展開するには別の苦労があるみたいだ。
洗い出された情報資産の価値算定、リスク算定はどうやっているんだろう？
うろ覚えの人の話を聞く限りでは、プロセス情報として一括りで、ＣＩＡの観点は抜けてＣだけで算定をやっているみたい。そんな馬鹿なことは無いはずですが。
プラス評価の一番は、リスクの所在をザックリと把握できること。
マイナス評価は、個別の具体的な施策との連関が取れないこと。
だから最初スタート時の全容把握にはトーマツ方式は重宝するが、構築運用時の具体的な施策に展開する時は、詳細リスク分析との連関が分かり難くなってコンサルなしでは手に負えなくなる。それがトーマツの狙いという訳ではないだろうが、「楽あれば苦あり」とは正にこのことかな？と。
.*.
ところで、これ、トーマスなの？トーマツなの？
.*.
ところで、これ、トーマスなの？トーマツなの？
.*.
