独立したレビューとは？

独立したレビューとは？

独立とは何が何に対して独立か。ＩＳＭＳを推進している人（組織）に対して客観性を維持できる人・組織あるいは場の意味で独立していること。

普通に考えればマネジメントレビューが一番近い。この時に重要なのは内部監査責任者の立ち位置である。

マネジメントレビューでは情報セキュリティ管理責任者が経営者に報告し指示を受ける訳だが、情報セキュリティ管理責任者の一方的な言い分・報告をベースにしていたのでは客観性は維持されないくい。内部監査責任者が情報セキュリティ管理責任者と対等なスタンスでカウンター報告が同時にされなければいけない。

内部監査責任者が情報セキュリティ管理責任者の配下のものであってはならない。

繰り返すことになるが、マネジメントレビューの場で、内部監査結果報告が情報セキュリティ管理責任者からなされてはいけない。

マネジメントレビューの前に、内部監査責任者は監査計画および監査結果についての承認を経営者から得ることが望ましい。内部監査責任者は経営者に成り代わってＩＳＭＳを点検しなければいけない。

.*.

初期段階、規模の小さな組織では、ＩＳＭＳの事務局の人間が内部監査まで担当している。開発製造担当が品質保証も兼務しているようなもの。

工程能力の関係で止むを得ない状況だが、こういう場合もどのようにして客観性を確保するかが工夫のしどころです。

.*.

マネジメントレビューって誰がやるんでしょうか？

マネジメントレビューって誰がやるんでしょうか？

分かり切ったことを聞かれると戸惑うかと思えば、案外グッドクエスチョンかも。マネジメントをどのように訳すかで確かにニュアンスは違ってくる。経営者レビューと訳しておけば簡単だった。というより経営者の本気も見えてきただろうに。マネジメントレビューなどとしてしまったから、当事者責任の曖昧なセレモニーになってしまっている。らしいです。

マネジメントレビュー＝経営者レビューの本質は？それほど大袈裟に構えるものでもないでしょうが、経営者の意図が達成できたかを経営者自らがレビューすることぐらいに考えておきましょうか。

.*.

では、経営者は自らの意図を明確にしているか？

大事なことですが、目的と目標と、共になかなか明確でない。基本方針を作ってみたものの、一般的で当たり前すぎて、世間面ばかり気にしていて、レビューの下敷きにできる代物でない。自分でレビューすれば良くわかる。誰が書いても一般論ならこうなるだろうぐらいのぬるい表現の方針で済ましている。自分の必至の思いが見当たらない。

それに気づいた経営者が取るのは、毎年の見直しは放棄して、ビジョンみたいなものだから毎年見直しと行かないから、別に年度方針と年度目標を作る。これは立派な気付きです。「実際はこれこそがISMS基本方針。年度年度の環境変化（社内も社外も）を踏まえて、見直しを行うものなんです。」と言っていたベテランに脱帽。

.*.

経営者はどのようにレビューするのか。目標さえ明確にしていれば簡単。目標と実績。ギャップと対策。それぞれに分析が必要だが、作業の手順自体は単純だね。

規格の第7章マネジメントレビューには懇切丁寧にレビューのインプットとアウトプットの項目が記載されているが、この各項目の消化がレビューの主眼になると全体像が掴みにくくなる。改革マネジメントのフレームワークを利用することで解消できると思われる。エー・デルタ・ティー（AΔT）の活用。

「ヨキニハカラエ」で済ませたい経営者レビューでも一通りのことは出来るが、深みが無いので形式的なレビューに終始するのは止むを得ない。上司を選べない身を恨むべし。

.*.

内部監査が審査までに終わらない場合？

内部監査が審査までに終わらない場合？

あれ程しつこく言って置いたのに内部監査が終わらない。１０部門のうち半分ならOKなのかOUTなのか。なんて議論自体がNGみたいだ。内部監査が終わっているとは結果が経営者に報告されていることだから。報告の場はマネジメントレビューだから、下手するとマネジメントレビューも終わっていないことになる。

内部監査が終わっていなければ重大な不適合が本来の形。本来の形と言うのは、審査員や審査機関によっては、一部でも着手しているだけOKにするケースがある。観察事項で済ませてしまう。冷や汗をかいていたコンサルが胸をなでおろす瞬間と言うやつだとか。

内部監査も終わっていないのにマネジメントレビューを開催して、中途半端な指示を出す経営者の存在も重大な不適合に近い。

.*.

初回審査の場合は内部監査未了は少ない。コンサルがしっかり入っているから、未了は許さない。

継続審査、更新審査となると、コンサルは契約が切れて面倒は見なくなるから、時々未了が発生する。そのときの審査員の態度が見ものらしい。気の弱い審査員、面倒くさがる審査員は、所謂、観察事項で済ましてくれるらしい。そうなるともう駄目だね。いけないね。二度と完了した内部監査を見ることは出来なくなる。

.*.

拡大審査の場合はどうなるでしょう？

拡大サイト単独の拡大審査、継続審査とか更新審査に合わせてサイト拡大を行う拡大審査と両方ある。拡大する部門・サイトの内部監査が終わっていなかったら？どうなるでしょう？

重大な不適合で拡大は認められない。

場馴れして、コンサルも断って、独自運用はいいけど、慣れると油断が出る。

審査する側にも慣れの問題が出ているようだ。誰かが一度でもOKすると次に行った審査員がまともなことを言ってもクレームの対象になる。審査員は前任者の問題と気づかずにコンサルを問題にする。

俄かに風呂屋の隣が少し盛り上がる。

.*.