経営者インタビュー序章

経営者インタビュー序章

経営者インタビューに同席する機会はあまりない。それでも最初に口にする言葉は割りと決まり文句。

＜審査目的＞

• 今回はどういう審査かを言う。何回目の何々審査で何々を確認しますとか。

＜トピックス＞

：大災害や新聞などで報道されたセキュリティ事件を引き合いに出して経営者としてどう受け止めたかとか。

• 一般トピックス：東日本大震災、福島原発問題（地域封鎖など）、防衛省ビデオ流出、ソニー子会社情報漏えい、フィッシング詐欺などきりがないが当該組織に関連の深そうなものを選んでトピックスとする。これらは事業継続管理、予防処置、不定期リスクアセスメントなど関連する取り組みとなる。
• 固有トピックス：経営者の配下で実際に生じた事件・事故。どのように報告されどのように対応したか。

.*.

トップインタビューでトップ不在！さてどうする？

• トップインタビューでトップ不在！さてどうする？

トップ不在はよくあることです。トップに緊急の予定が入った。

トップインタビューを受けることが出来ない。

マネジメントレビューの日にトップが居ない。レビューを先送りするか代行がやるか。

内部監査の報告を受けることも出来ない。先送りするか代行が受けるか。

緊急の重要な出張、緊急の重要な商談、怪我・病気で入院、家族に不幸など何でもありえる。その為に、経営者の役割が果たせない時、どうしますか？

これも立派な事業継続管理です。普通は代行を決めます。全件を副社長という手も有れば、機能別に委任する手もある。これを明確にしていない組織は殆ど存在しない。

ISMSについても予め決めておけばいいことだ。もしくは代行筆頭が決めれば済むことだ。

自分の代行を明確にすることも経営者の重要な役割責任ですね。事務局スタッフは百も承知。

.*.

トップインタビューは、審査機関、審査員によってはトップと直接に拘る向きが無いわけではない。いつも代役で済ませるトップが居たら、何かが変だ。権限委譲が適切に行われていないか、役割責任が正しく発揮されていないか。その意味では拘ることに妥当性はある。トップの意志を形にする仕組みがマネジメントシステムであるという基本を抑えていれば当然のことです。

残念ながらトップ自身がそのことを自覚できていないこともあるようだ。その背景としては、ビジネスパートナー、関係所轄庁、コンサル、審査機関、更には社内のスタッフも、トップへの基本的なアプローチは脅迫をベースにしていることがある。トップ自身が否応なくやらされているという自覚になっている場合は悲劇だ。

.*.

トップの直接関与する割合は重要な指標の一つと思われます。

※

経営者インタビューの要点

経営者インタビューの要点

トップインタビューの要点 → 経営者インタビューの要点

昔の規格訳文では「経営者」という用語を使用しているので、トップインタビューよりは経営者インタビューの方が収まりがいい。今は経営陣と少し幅を持たせている。だから経営陣インタビューとか。規格で経営陣のところは英文ではManagement（マネジメント）となっている。トップインタビューよりマネジメントインタビューにするかな。まあ、どうでもいいことですね。

さてと、経営者インタビューでは、何が要点となるか？

＜経営陣のコミットメント＞

直ぐに頭に浮かぶのが、「経営陣の責任」とするところ。経営陣のコミットメントとして列記されていることに対しての説明できるか。

1. 方針。6年前に作ったままですね。特に見直しはしていない。一般論を記述した方針の特徴。企業ビジョンとか理念まで見直しているのに、ＩＳＭＳ方針は不動尊ですか。環境変化に対応させない方針にどんな意味がありますか。
2. 他社等で顕在化した事件・事故・セキュリティ脅威または最新の技術動向・法規制を踏まえた新たな指示、方針への反映は実施しましたか。
3. ＩＳＭＳの目的は何ですか。方針と目的の違いは理解していますか。方針は方向付け、目的は達成する内容・レベル。実現目標。担当者に提案させ、承認していますか。前年度の方針レビューを実施していますか。
4. 目的達成のための計画は適切に策定されていますか。担当者に策定させ、承認していますか。反映させ方針展開しているのですか。前年度の計画レビューを実施していますか。
5. 組織・人事的な手当て。経営者として特に配慮していること。
6. ＩＳＭＳの周知。経営者として特に配慮していること。
7. 経営資源の提供。経営者として特に配慮していること。主要なセキュリティ投資の内容。この数年の傾向。
8. 受容リスクの水準とレベル。これは無理か。情報セキュリティ事故の被害額がどれくらいなら受容するかとした方がリアリティは出るだろう。コストベースのリスク算定が出来る組織は少ない。
9. 内部監査。監査責任者の任命、目的（狙い）と結果、今後の課題。
10. マネジメントレビューの主催。重要なインプット事項、主要な議論、指示事項（特記事項）。

＜経営資源の提供＞

ここは結構難しい。上のコミットメントはやや手続き的・形式的だが、ここは内容の問題になる。特にポイントとなるのは以下の3点。

1. ＩＳＭＳと事業との整合性。ＩＳＭＳを進めることが事業を阻害するものであってはならない。シナジー要求。資源の排他的な取り合いの関係になっても困る。
2. 全ての管理策実施の結果、セキュリティが維持できているか、レビューする。判断の根拠が特に難しい。
3. 全体としてのＩＳＭＳの有効性を改善する。規格は個々の管理策についても有効性改善を求めているが、経営陣については総合的なＩＳＭＳ全体の有効性改善を求めている。しかし、総合的なＩＳＭＳ有効性指標が提示できない。トータルセキュリティコスト（期待損失+セキュリティ投資）のミニマム化なら分かりやすいが、先ず把握できない。いずれにせよ、結果指標を持ち出す愚かだけは避けて欲しいところ。

＜教育・訓練・認識・力量＞

ここは経営陣として特記事項があれば話す。一般的・感覚的な内容しかなければ、事務方に答弁させておいて良さそうだ。

.*.

当然ながら、関連する規格項目についても基本的な理解がないと話が振られた（変化球が飛んできた）時に、空振りをやってしまいます。でも、まあ、その場はそれだけのことです。

コーチング手法を取り入れた経営者インタビュー

今風の発想をしてみたいと思いますが、そもそもコーチングの方法論すら理解していません。大枠理解のために本屋さんで立ち読みをしてみたいと思います。どんな書籍があるんでしょう？

[コーチング・書籍]

検索するとたくさんあって判別できない。まさにコーチングが必要なようですが。関心のあるコーチングのコンセプトは、１つはセルフ・コーチング。組織内であろうが単独であろうが、人生に真面目に対峙するときの方法論として有用。今１つは、マネジメントに対するコーチング。リーダーシップが発揮できない形式的なマネジメントからのブレークスルーの方法論として。両者は本質は同じだろうが、全社は自分問題として重要であり、後者は組織問題として重要。

[審査・経営者インタビュー（トップインタビュー）]

審査に経営者インタビューは付き物。コンサルが同席できるチャンスは多くは無いが全く無いわけでもない。見ていると、規格の経営者の責任の項目(5.1,5.2)に沿ったインタビューの例が多い。中には世間話が時間の大半と言うケースも。経営者自身が予期に計らえで、殆どスタッフ任せの場合はどうしても世間話が中心になる。

審査をあるいは経営者インタビューをどのように理解するかで、アプローチはかなり違うものになる。

1. 規格をチェックリストに使って点検作業と思えば、経営者インタビュー（あるいは審査自体）は、質問による確認作業の景色になる。
2. 確認作業（Ｑ＆Ａ）を通しての体験作業、あるいは成長に向けた学習機会と思えば、コーチングの景色になる。

 .*.

審査もコーチングも、答えを教えるコンサル作業ではない。適切な気付きを促すコーチングの要素が入ること自体は審査の付加価値として理解することも可能だろう。

• ISMSに取り組む狙いは何か？
• 狙いは明確だったか？
• 当初の狙いは今も変わらないか？
• なぜ変わらないのか？
• 狙いは達成できたか？
• なぜ、達成したと判断できるのか？
• 達成度をどのように捕らえているか？
• 狙いを達成するために経営者として具体的に取り組んだことは何か？
• 不足の部分は何か？何が未達成か？
• 未達成の原因は理解しているか？
• 現状のレベルで満足しているか？
• 経営者として何をしようとしているか？
• そのことをなぜ今までやらなかったのか？
• そのことはなぜ今まで出来なかったのか？
• 事業課題とＩＳＭＳ課題に矛盾はありますか？
• 優先順位、手順はありますか？
• 経営者としての変革は何が必要か？

冒頭の質問例は問題提起の序章。現状認識、問題認識のリサーチ。気になるニュース、気になる業界動向でも、最近の社内訓示（古い！）とか全社員へのメッセージで配慮したことでも、情報関連投資でも構わない。イントロ、プロセスはどのようであれ、着地は変革の気付き。

注意すべきは、この変革は企業改革とか、プロセス改善とかの外向きのものではなく、経営者自身の自己変革のこと。経営者の行動が変わる必要があればそれは何かを気付くこと。そこが出発点で、自己変革無いままに企業のイノベーションを叫んでも誰も付いてこれない。多分、アクセルを踏みながらブレーキも踏んでいるから。孤独な経営者の陥りやすい状況に気付き、共感を踏まえ、共感を乗り越えた次のステージを開拓する「勇気」を与える。

.*.

トップインタビューで経営者を困らせたら？

トップインタビューで経営者を困らせたら？

経営者はどんな質問でも対応できる。経営者に限らないが。自分で掌握して決定していると信じる経営者は、いろんな場面でインタビューを受けるので、殆ど無手勝流で現れる。

まじめな初心者審査員は型どおりに審査を始める。一種の小劇場ならぬ笑劇場。審査員が用意した20の質問に対して、出てくる答えは数種類。審査独特の言い回しがあるのだろうが、その判別が効かないから同じ質問と思って似たようなコメントを繰り返す。

その結果、社長は社長で、この審査員は馬鹿だなと思うし、若い審査員はこの経営者でよく会社が持つものだと感心する。これで、終われば無事。良い話だ。

ところが、質問の意図の違いを説明し始めると、時として、不幸な物語が始まりになる。さっと理解が付いて来れば一件落着。躓いたりすると、本旨から外れて不幸の土壷にはまることになる。審査員を忌避したり審査機関を変えたり経営者は偉い（強い？）んだ。不勉強を棚に上げて強行路線。みんな不幸になる。

.*.

質問書の事前開示

審査員も事務局も智恵がない。クイズ番組ではないのだ。何を聞くかは、事前に開示してよいし、ついでにアンケートをとっても誰からも咎めらない。ゴーストライターが出てきてもそれで得心が至れば十分ではないか。もっとも悪乗りは避けたいね。

.*.

オープニングとクロージングで分かる審査員の力量？

オープニングとクロージングで分かる審査員の力量？

Opening Meeting & Closing Meeting

実際に審査員の力量が分かるかどうか難しいけど、疑問に思ったりすることは結構あるようです。

理由はそれぞれのご都合？が出て、何らかの妥協がなされるからでしょう。実際には何が問題現象でしょうか。置かれた状況、立場で必ずしも問題ではありませんし、考え方によっても問題とする必要もありませんが、留意しておきたいことには違いありません。

1. 定刻、時間通りに始まらない。
2. 定刻、時間通りに終わらない。
3. 定刻の開始時間が過ぎてもだらだらと人が集まる。遅れてきても注意を受けない。
4. トップが出席しない。
5. 情報セキュリティ管理責任者が出席しない。
6. 内部監査の責任者が出席しない。
7. 審査対象部門のトップが出席しない。
8. 審査対象部門のISMS担当が出席しない。
9. オープニング会議の時間が長い。初回審査/初動審査、継続審査、更新審査などでは、初回・初動はやや長くなるのは止むを得ないが、毎回セレモニー化した段取りを延々と繰り広げるのは工夫がない。
10. オープニング会議の時間が短い。極めて事務的に口頭でいろいろなことを説明してさっさと終わる。この程度なら事前にメールしてくれれば十分。何を質問していいのかさえ分からない。
11. オープニングで周知する諸注意事項・確認事項が文書で配布されない。事前に文書を渡す審査員がいる一方で、何から何まで口頭で済ます審査員も居る。
12. 審査チームが集結していない。オープニングの質疑応答の状況を共有しないまま、勝手に審査を始めている。
13. クロージングに出てこない審査員がいる。所見は出ているのに、説明責任を果たさないのはどういうことか。代わりの審査員が臨場感の無い一般論で説明しても白けるだけ。

審査員は審査効率・限られた審査工数でどれだけの部署・人数をカバーできるかを先に考えるのだろうが、結果、ばらばらに審査が始まり、ばらばらに審査が終わる印象だ。審査員のそのような振る舞いは組織に伝播すれば、組織側の対応もいい加減になる。自業自得。少々窮屈でも最初と最後はしっかり決めてもらわなければいけない。クライアント・トップの前に全員が顔を見せることがこのビジネス・イベントでは重要なのだ。ということです。

経営者インタビュー/トップ・インタビューも同様です。トップの意思、気合、思いを確認する場でもありますから、それは当然審査に反映させなければいけない。筈です。にも関わらず、せっかくのメッセージを乾いたテキスト情報に変換させるだけのために使って済ます。であれば残念なことですえ。

経営者インタビューも審査チームが全員揃う形が望ましい。筈です。審査員ご自身が、「思いの共有」を無駄と考えればそれまでです。審査員の幼ささえ感じさせます。