審査工数は難解至極!工数計算シートありませんか?
工数の話は、あちこちから聞くこともあるだろうが、何度聞いてもよく分からない。
サイトの人数が決まれば、必要な工数が決まる。必要な工数は、設計業務の有無で変わる。まあ、設計とは1つの例でリスクが大きい業務と捕らえればいいのだろう。
サイトが1つなら、適用範囲人数vs.工数の表のまま。
サイトが複数なら、サイトの特性が同じものがあればグルーピングして、サンプリング~圧縮処理(ルート処理?)でサイト数を決める。特性が違うものは圧縮できない。結局、全体の必要なサイト数がきまる。
で、次に具体的に、どのサイトを訪問するかを決める。
個々のサイトの人数に対する必要審査工数を、対応表からだす。この場合、仕組みの審査は本社・本部を含む審査で済ませているので、その他のサイトはその分減らしていい。どの程度かな。表にかいてあるか、一律何%か、リスクの高さで変わるのか。まあ、いずれにしても工数は削減される。
もうひとつ面倒なのは、初回、継続、更新など審査の種類でも変化させる。初回が一番多くなっていて、継続、更新では少し減らすようだ。これが、例の3分の1とか3分の2とか言っている奴かな?。
なんか分かりやすい計算シートを作ってくれないかな
準備工数とか移動工数とか
審査工数は組織に出向いて行う審査のほかに当然ながら準備の工数も発生する。準備工数が取れていない審査は適切な審査か疑わしい。そういうことだ。
ガイドライン(実際何処にガイドラインがあるか分からないから、そのうち確認する必要がありそうだ)で、例えば10人日とある場合、これは準備のための工数を含むのか含まないのか。現地審査は全体の何割(6割?)以上を当てることと別のガイドも出されているようだ。であれば、10人日は準備を含むように見える。
もう一つ厄介なのが、移動のための時間をどのように見るか。移動はコンサルでも審査でもないから、移動時間を10人日に組み込んでは多分変な計算になる。
全体の20%まで移動時間を当ててよいとする人も居る。2日は移動で使うということか。その2日は現地審査に含まれるんだろうか。
全体で10人日として、移動で2人日、準備で3人日、現地で5人日ならガイドラインはクリアという訳だ。
しかし、別の牛乳瓶は全く違ったことを言い始めた。現地審査は正味10人日で、準備3人日、移動2人日は別に発生する。全体の工数は、だから、15人日になる。ガイドラインはミニマム条件を示しているのだから多い分には構わないということらしい。
もっとも、移動工数が2人日で計画される話と、実際の移動工数が2人日で収まるかは別問題だから、話はさらにややこしい。それに、クライアントの支払いに直結する話でもあるから、牛乳瓶が変わると半紙が変わって費用も変わるのは、審査というものの性格(公的?)を踏まえるとあまり適切と思えない。
コンサルは手持ちのノウハウをどれだけ提供するかで費用が変わっても良いが、審査は同じものでなければこの制度自身の公的な部分が失われそう。繰り返すと、何処の審査も、本来は同じ審査でなければおかしい。
車検と同じ?
/
初回を1として、どうして継続は1/3、更新は2/3になるの?
またぞろ審査工数。最初の審査にかかった時間の3分の1が継続で、3分の2が更新。継続はサーベイランスとも言う。カタカナの方が格好が良いから?。兎に角も、何故、3分の1,3分の2になるのか。何か適当な数字のようにも思う。だけど、これが基準だから、いい加減に扱うことは出来ない。深刻だね。
しかし、何度話を聞いても工数の話は分からない。
.*.
場所が増えると計算が複雑になる!
ロケーション・セクションが単一のシンプルモデルの場合、人数が決まると工数が決まるガイドラインがどっかから出ている。で、次に、東京本社-大阪支社の2箇所だと、東京はガイドライン通りと理解できるが、大阪は共通部分は東京で済ませているので少なくていい筈。
共通というのは、所謂、経営者とか事務局とか。しかし、部門における運用の実態の部分は固有個別だからそれぞれ必要。パーセント、比率で決めるものではない。しかし、傾向として小規模なら共通部分の比率は大きく、大規模なら比率は小さい。
場所数が増えた場合の適正審査工数はどうして算出するの?ガイドがあるのかな?
.*.
見積工数vs.実績工数
審査工数の見積もりは推定に基づいて実施する。審査現場は現実に基づく。推定したものに現場の現実を無視して従うのは本末転倒だ。
もっとも、審査員の力量(?)、応対した組織の担当者、準備したコンサルの周到さによって、時間は余ったり足りなかったりするから、現場の実績と言いつつも必ずしも確定的ではない。
大事なことは、事実が営業にも周知されて、より適切な次回の見積もりに反映させること。らしい。そういう仕組みは、どんな企業でも必要なことだが、1回限りのケースもあって、仕組みにまで作りこむのは少ないらしい。
.*.
見積もり工数は営業が意図的に、あるいはうっかりとご都合の工数を算出する可能性がある。もしくは古いデータを前提とした見積もりである可能性がある。だから担当する審査員は、(1)最新の人数・サイト数を確認し、(2)改めて適切な工数を算出する。(3)もし、営業見積もりとギャップがあれば調整を行い、(4)改めてクライアントと新たな審査工数について合意を得る。
.*.
審査工数が抱える矛盾性?
コンサルファームも、審査機関も、ソフトウエア開発業者も、建設業者も、殆ど全て、多くのビジネスで、工数の妥当性は常に問題になる。
さて、見積もり工数と実績工数に乖離があっても構わないビジネスと、乖離が認められないビジネスと、何が違うのだろう。
努力して工数を減らしたのだから、その利益還元は自分が受け取る。逆に工数が増えてしまった場合のリスクも自分が取る。
システムの運用監視などは、その時間の量がサービスの中身だから、チェックを全部済ませたので帰りますとはなかなか行かない。1日張り付いていて監視していたことになる。現地待機。アラートを自宅で受け取っても構わないケースもあるだろうに。
コンサルの場合は、成果物主義で通る部分と、工数提供がサービスとなる部分の2面性がある。高額なコンサル費用がかかるのは概ね前者、経験の乏しいところは後者の傾向がある。
.*.
審査工数はどちら?
チェックリストを予定分終了したらさっさと帰る審査員と、プログラム通りの時間いっぱい審査を続ける審査員と両方居る。中には時間をオーバーして審査する人も居る。さっさと返る審査を認定機関(JAB?)が認めているかどうかはしらない。
審査のためのチェック項目数を例えば10件として1時間かかると計画する。10件終了するまで審査する。成果物は10件の結果。分かりやすい。
一方、審査のために1時間使うとして、チェック件数が5件でも1時間で終了する。チェック件数が30分で完了しても残り30分エクストラのチェックを続ける。どうしてそんなに時間にこだわるの。か分かりにくい。
1件の中身、深さが問題なのかな。
組織の人数が何人の時は審査工数は何人日と設定したガイドラインがある。少なくとも計画はこのガイドラインをベースにする。その工数の中でチェックリストが準備され実施されれば構わない。
.*.
時間にこだわるところでは、時間が多すぎて気まずいお見合いみたいな審査を延々続けるところがある。杓子定規。形式主義的で中身にはあまり期待できない。(中身が無いから形式にこだわるのかも)
便宜的な工数ガイドに従えば、実態と会わないことはいくらでも出てくるのは当然。
.*.
#何か分かり難いね。
工数のガイドラインの大本が超アバウトなのに、一旦数字が決まると、1分1秒に拘る人が出てくることに、不自然さを感じる。
もっと分りやすく言えば、例えば、超長距離マラソン。何年の何月に出発してください。とスタートはアバウト。しかし、ゴールでは超精密計測で、100分の1秒まで計測して、順位を決定する。
といえばわかりやすいかな。算数に弱い文科系の人間は、こういう馬鹿な拘りをしやすい。口先だけの文科系人間が多くなるとこういうことも分らなくなる。のかな?
.*.
審査工数ばかり気にする審査員?
審査員は審査工数をひどく気にする。コンサルはあまり気にしていない。認証取得が問題で、コンサルの費用に比べれば審査費用は問題外。規模の大きい企業なら尚更だ。
コンサルタント事業と審査事業は規模が一桁の差では済まない。2桁以上違う感じだ。
審査員=審査機関が審査工数を気にする本来の理由は、審査の正当性を確保するためには、何処かのガイドラインをクリアしなければいけないというもの。だから、審査工数を多めに設定すれば話は終わる。ところが、審査機関も事業だから受注するには審査費用は小さい方が有利と考える存在(営業?)があるからややこしい。
何か起きるか。ある審査機関は審査単価(一人一日の費用)を下げて、工数はたっぷり確保する。ある審査機関は単価を下げないで工数をガイドが許す限りのミニマムを目指す。
工数をぎりぎりにすると無理が出る。トラブルは良く起きる。お目付けの機関も要注意としてマークを続ける。ということらしい。
一方、コンサルは上がってなんぼだから工数は関係ない。と言いつつも採算に響くので、パッケージの転用で済まそうとする。パッケージ利用率で管理されることもある。コンサルも工数で費用請求するケースもあるようだ。ややこしい。前者は認証取得を請け負う事業で、後者はお手伝いにこのレベルの人間を1年間お貸ししますと言ったようなもの。派遣の感覚。
<必ずお読みください>
内容見直しの機会としてコメント可能としています。但し、採否・削除は勝手に行いますので予めご了解ください。
◆注意事項
当ブログは独断と偏見を排除しない私用目的のものです。不適切な内容を含む可能性がありますので注意してください。
2004/04/01
人気の投稿:月間
-
問題の審査機関(日本法人)では良い審査が出来ない理由 「 BSIジャパンでは良い審査が出来ない訳がない理由 」とも読める。最低と最高が同居するのがこの審査機関だろう。良し悪しは審査員によるということだ。他所の審査機関も基本的には同じだね。一人でも馬鹿が居れば審査機関の評...
-
ASRエーエスアールの話が良く出てくる でも評判が今一。何故だろう。噂では工数単価が相当安いということだが、審査業界の秩序破壊という意味で悪評判なのか、審査の質が悪いという意味で悪評判なのか、本当のところはよく分からない。 既存の審査機関は敷居が高い。こういう新手の...
-
審査結果報告にある観察事項のグッドポイントって何ですか? 観察事項としてグッドポイント(良い点)を残すケースがある。これが実に理解できない。余計なお世話と言って嫌がるクライアントもいるとか。確かに、経営陣がドライブしようとしていたことに触るような話が出たら返ってやり難さがある...
-
(ISMS) 教育と周知の違い 人に関連するセキュリティ施策として、「教育」とか「周知」とかの話が出てくるが、この2つがあまり区別されていないようだ。常識的に理解できることだから殊更この2つの言葉を取り上げて何かを言う必要はないのかもしれない。しかし、組織のキーマンが混...
-
ご利用の Apple ID のパスワードリセットまたはロック解除を行ってください こういうタイトルのメールが送られてきた。 どうすればいいの?。 > 送られてくるのは、Appleに限らない。Amazonであったり、Googleであったり、普通にクレジットカードとか、...
-
同じ居室内に違う会社が席を並べることは珍しいことではない。 先に問題になった偽装派遣は殆どが該当。偽装でなく、正しく業務委託(請負)の場合も、オフィスに同居して、ある一角を請け負い先が占めることがあるし、中には委託元の社員にサンドイッチのこともある。 業務...
-
拡大審査vs.縮小審査vs.移転審査 話を聴いていると定義が今一つはっきりしない。住所先が増えたり減ったりしたらそれは拡大または縮小。所在が単純にAからBへ移れば移転。部門が分散したり統合したりと組織再編が絡むと少し分かり難い。移転といえども新しい環境でのリスク対応を...
-
BSKの審査で困ったら?[ISMS] BSK 防衛基盤整備協会 http://www.bsk-z.or.jp/ .*. .*.+.*.+.*.+.*.+.*.+.*.+.*.+.*.+.*.+.*. Pre Audit Check Point 第三...
-
審査員は謙虚か傲慢か? 審査員は謙虚であれ!と言うもののお目にかかるのは傲慢な審査員ばかり? 倫理的行動を審査員は求められる。公務員も似たような倫理規定を被る。どの企業に勤めていて同じようなものだが、フェアネスのためにはその意識を強くしないといけないと言うことなんだろう。...
-
TUV RJの審査で困ったら?[ISMS] TUV RJ テュフ ラインランド ジャパン http://www.tuv.com/jp/japan/home.jsp .*. .*.+.*.+.*.+.*.+.*.+.*.+.*.+.*.+.*...
人気の投稿:年間
-
問題の審査機関(日本法人)では良い審査が出来ない理由 「 BSIジャパンでは良い審査が出来ない訳がない理由 」とも読める。最低と最高が同居するのがこの審査機関だろう。良し悪しは審査員によるということだ。他所の審査機関も基本的には同じだね。一人でも馬鹿が居れば審査機関の評...
-
ASRエーエスアールの話が良く出てくる でも評判が今一。何故だろう。噂では工数単価が相当安いということだが、審査業界の秩序破壊という意味で悪評判なのか、審査の質が悪いという意味で悪評判なのか、本当のところはよく分からない。 既存の審査機関は敷居が高い。こういう新手の...
-
(ISMS) 教育と周知の違い 人に関連するセキュリティ施策として、「教育」とか「周知」とかの話が出てくるが、この2つがあまり区別されていないようだ。常識的に理解できることだから殊更この2つの言葉を取り上げて何かを言う必要はないのかもしれない。しかし、組織のキーマンが混...
-
ご利用の Apple ID のパスワードリセットまたはロック解除を行ってください こういうタイトルのメールが送られてきた。 どうすればいいの?。 > 送られてくるのは、Appleに限らない。Amazonであったり、Googleであったり、普通にクレジットカードとか、...
-
同じ居室内に違う会社が席を並べることは珍しいことではない。 先に問題になった偽装派遣は殆どが該当。偽装でなく、正しく業務委託(請負)の場合も、オフィスに同居して、ある一角を請け負い先が占めることがあるし、中には委託元の社員にサンドイッチのこともある。 業務...
-
審査結果報告にある観察事項のグッドポイントって何ですか? 観察事項としてグッドポイント(良い点)を残すケースがある。これが実に理解できない。余計なお世話と言って嫌がるクライアントもいるとか。確かに、経営陣がドライブしようとしていたことに触るような話が出たら返ってやり難さがある...
-
BSKの審査で困ったら?[ISMS] BSK 防衛基盤整備協会 http://www.bsk-z.or.jp/ .*. .*.+.*.+.*.+.*.+.*.+.*.+.*.+.*.+.*.+.*. Pre Audit Check Point 第三...
-
審査員の不愉快な態度 (順不同)あとで整理しておこう。 上から目線での物言い。オープニングで上から目線はやりませんと言っていること自体が上からの物言いになっている。 トレーニング中の審査員に対する失礼な態度を見れはこの審査員の根性ははっきり上から物を見る人だと分...
-
JICQAの審査で困ったら?[ISMS] JICQA 日本検査キューエイ http://www.jicqa.co.jp/ .*. .*.+.*.+.*.+.*.+.*.+.*.+.*.+.*.+.*.+.*. Pre Audit Check Point...
-
審査工数は組織に出向いて行う審査のほかに当然ながら準備の工数も発生する。準備工数が取れていない審査は適切な審査か疑わしい。そういうことだ。 ガイドライン(実際何処にガイドラインがあるか分からないから、そのうち確認する必要がありそうだ)で、例えば10人日とある場合、これは準備のた...
人気の投稿
-
ASRエーエスアールの話が良く出てくる でも評判が今一。何故だろう。噂では工数単価が相当安いということだが、審査業界の秩序破壊という意味で悪評判なのか、審査の質が悪いという意味で悪評判なのか、本当のところはよく分からない。 既存の審査機関は敷居が高い。こういう新手の...
-
問題の審査機関(日本法人)では良い審査が出来ない理由 「 BSIジャパンでは良い審査が出来ない訳がない理由 」とも読める。最低と最高が同居するのがこの審査機関だろう。良し悪しは審査員によるということだ。他所の審査機関も基本的には同じだね。一人でも馬鹿が居れば審査機関の評...
-
クリアデスクは時間の無駄? クリアデスク方針を改めて考えてみると、本質と言えるものは何かを考察することになるように思う。 クリアデスクは基本的には、自分が業務で利用する情報を不用意に第三者の目に触れたり、第三者により持ち出されたり、破損されたりすることを防止するため...
-
経営者インタビューの要点 トップインタビューの要点 → 経営者インタビューの要点 昔の規格訳文では「経営者」という用語を使用しているので、トップインタビューよりは経営者インタビューの方が収まりがいい。今は経営陣と少し幅を持たせている。だから経営陣インタビューとか。規...
-
(ISMS) 教育と周知の違い 人に関連するセキュリティ施策として、「教育」とか「周知」とかの話が出てくるが、この2つがあまり区別されていないようだ。常識的に理解できることだから殊更この2つの言葉を取り上げて何かを言う必要はないのかもしれない。しかし、組織のキーマンが混...
-
ご利用の Apple ID のパスワードリセットまたはロック解除を行ってください こういうタイトルのメールが送られてきた。 どうすればいいの?。 > 送られてくるのは、Appleに限らない。Amazonであったり、Googleであったり、普通にクレジットカードとか、...
-
ISO 27002 :2013関連情報 いろいろ資料が回ってきた。これからも結構大変だね。こういう大事な資料を継続的に入手できないものだろうか。定期的にサイトを閲覧するしかないかな。頑張っている人がたくさんいるんだ。感謝ですね。 さてと、 要求規格ISO2700...
-
ASR :エイエスアール株式会社 あまり馴染みのない会社ですが、設立は2000年。審査機関として10年以上の経験があるのかな? http://www.armsr.co.jp/index.html 2011年11月の審査実績がJIPDECのデータでは38件。この件...
-
名簿業者も利用者も違法行為?ベネッセもジャストシステムも説明責任を果たしていない? ベネッセの罪: http://www.benesse.co.jp/ 預かった個人情報は適切に管理する義務を果たさなかった。基本的に契約違反だ。ミニマムでも1件につき\50...
-
嗚呼、勘違いの情報資産台帳 情報資産台帳を単純に考えれば情報資産だけをリストにしたものになります。 ですから、多くの組織では情報資産を前提に洗い出しを始めます。ところが状況によっては単純には行きません。作業はもっと深くなる。情報資産の1つである「資産台帳」自身が...
