ウイルス対策ソフトの定義ファイル未更新は不適合か？

ウイルス対策ソフトの定義ファイル未更新は不適合か？

会社のルールは普通は最新の状態に保つことを要求うるだろう。ゼロデー攻撃を考慮すると最新以外は許容できない。心情的にはそういうものです。

規格は適切な管理策を求めているが、適切な管理策の範囲は合理性を欠かない範囲では組織の決め事。

不適合と出来ないことも無いが、更新が滞る原因を考えると、単純に行かない。結果の現象として更新未了が発生するので、ヒューマンエアーを含め不可抗力が一定の割合で入る場合は、別の側面で不適合とすべきだろう。

大規模組織はある割合で発生する。軽微であっても不適合が連続すると重大な不適合にされてしまう変なロジックがある。

.*.

経営が意思を示し、社員が理解して努力すれば回避できる問題、達成できる課題は、不適合の対象としても構わないが、結果指標を捕らえて不適合とすると不幸なことになる。社内規定でも目標管理と結果指標管理の違いを理解しないでルールを作る失敗があるので、それに悪乗りして不適合を出すのは経験のある審査員は避けて欲しい。コンサルも手の打ちようがなくなる。

不適合の悪い?例によくあるのは是正処置。内部監査の指摘に対する是正で、原因の記載が不適当とやる奴です。真の原因、本質的な原因になっていないとか。噛み付きます。この手合いのものはいくらでも難癖をつけることが出来るので、その気になれば重大な不適合に追い込むことも出来ることになる。そんなことをされてはたまりません。

不適合は現象から発見することもありますが、指摘は現象に対してではなく仕組みに対して行うことが必要です。この場合は是正が出来ます。現象の是正は、他の要因も絡んできて気まぐれですから難しくなります。ともすれば過剰な対策を強いることにもなりかねません。

.*.

見ていて嫌になる恫喝型・脅迫型の審査

見ていて嫌になる恫喝型・脅迫型の審査

「新たに設けた何処そこの部署は適用範囲から外します。それが嫌なら不適合だしますよ」。いきなりそんなことを言われて、事務局は黙ってしまった。社長は新部門と言っても旧部門から何名かずつ取り込んで作っただけなのに、と食い下がっていた。

守るも攻めるも凡ミスだね。

部門を再編して、新たな部門で文書記録が整っていなくても問題になるわけは無い。ISMSの存在が事業対応の阻害要因になる分けない。旧組織で1年放置なら（正しくは所定の期間を超えて放置なら）、それは問題でしょうが。

社長は不適合が怖くて、適用範囲を狭めるなんて本末転倒をやっている。大事なのは組織全体で取り組んでいること。不適合は是正するだけの話で問題にも何にもならない。だから、どうぞ不適合を出してくださいで済んだのに。知らないことは怖いことだ。

.*.

事故が起きたら誰がカメラの前で挨拶するの？とやる人。本気でやらないとそうなるよ。

部下任せで、説明責任は果たせるの？とやる人。足元すくわれるよ。

不適合出していいの？とやる人。上から睨まれるよ。

嫌な審査員だね。直ぐに帰ってもらえ！が正しいようだ。

.*.

こんな不適合は困る？

こんな不適合は困る？

何が問題なのかはっきりしない不適合。こちらも気が弱いから黙って受け入れたけど、結局どうすれば是正というか再発防止になるのか分からない。審査員は解決のための方法論は言わなくていいのは建前で、実際の解法についてんおイメージが何もないのでは困る。杓子定規を絵に描いたケース。知識経験の乏しい審査員は困る。

どのルールに違反しているのかがやはりはっきりしないときも困る。審査員の経験に照らしての不適合も困る。品質管理の常識を当てはめてくれても困る。

コンサルだって問題がはっきりすれば解けるけど何が指摘のポイントか分からないときはコンサルしようがない。

もうひとつ困るのは、枝葉末節をついた不適合。不適合出してみましたというだけで、実際のリスクはあまり考えられないところで「はい！ルール違反ね」とやるのもどうかと思う。まるで、嘱託になった定年組み警官が、人通りも信号もない道路でネズミ捕りをしているようなもの。交通事故の多いところでねずみ捕るするなら効果も出るだろうが、問題のなさそうなところでアルバイト代わりに切符を切る姿に似ている。

.*.

不適合に対する是正処置計画

不適合を受けた時の是正処置計画のレビュー

これはもうさまざま。今まで何をやっていたのかわからないくらい残念なものもあるようだ。再発防止を確実にする観点での計画なのだけど、問題の本質追及をやらないでいきなり思いついた対策を書き始めるから始末が悪い。十分考えたつもりでも方向がずれるケースがある。普通は、はっきり言ってコンサル任せ。コンサルとしてはお手本を書いてあげるようなつもりで応じるしかない。

ここ（是正処置）がいい加減な会社は、内部監査（の是正処置）やインシデント対応（の是正処置）だっていい加減なことが予想される。大いに心配な組織と言う事らしい。まだ一人歩きできていないのに、ばっさりコンサルは切られてしまう。

もっとも、コンサルもビジネス。中途半端にコンサル契約を継続されて人が動かせなくなる方が困るときもあるから、さっさと契約を打ち切りたいという本音がちらちら見えたりして、クライアントばかりを責める訳にも行かない。

.*.

是正処置計画は担当した審査員も見るわけだが、彼らもレベルがある。不運が重なれば、組織の現場は意味のない作業を１年間やらされることになる。認証書の期限が迫っている中では、さらに不運が重なることになる。

不適合は継続審査で出して、更新審査は観察どまりで済ませる。そういう構えの輩（審査員）も中には居るらしい。正しくありませんが、周囲は割と納得してくれるそうです。継続は厳しく、更新は温かく。

.*.