日付がない。承認印がない。ラベルが貼ってない。資産台帳の抜け盛れ。現象面で把握するヒューマン・エラーをそのまま指摘してくれる。
仕組みの問題に訴求できないなら、詰まらない。
期待する状況と異なる状況を見つけるのは第一歩だろうが、そのまま言うだけでは仕組み（ISMS)の審査にならないのではないか。
- 問題とした現象は果たして本当にリスクが高いのかどうか。無視できるリスクかどうか。気付いていなかったリスクなら、リスク分析の方法論の問題になるが、特に問題としていなければ自明・受容のレベルとして無視してよい。形式主義に走らないこと。
- 無視できないリスクの場合も、プライオリティは有る。経営・事業の目的、ISMS導入の目的に照らして、方向性があっていれば優先度は高く、連関が少なければ優先度は下げる。
- 優先度を上げるとは不適合として対策を明確に求める。優先度を下げるとは観察事項として組織判断に委ねる発想。
ここでは大変難しい側面も顔を出す。審査は杓子定規であるべきとする考え方との葛藤だ。付加価値審査は良く耳にする言葉だけど、一体何が付加価値なのか？簡単でないはず。経営者の意図を何処まで理解できると言うのだろう。余計なことに頭を使わないで、ゴミ・カスも含めて、杓子定規こそが正しい態度とする主張にも納得できる。
.:.
