ＢＳＩジャパンの審査は安心？

 

ＢＳＩジャパンの審査は安心？


嘘か誠か？不適合を出される心配が殆ど無いらしい。そういう噂？がありました。これ誰にとってグッドニュースなのかな。

不適合が出なければ、審査機関も、コンサルタントも、事務局も、経営者も、ビジネスパートナーも、誰も彼もみんな幸せ。

セキュリティインシデントなど出るときは何をやっていても出るものだ。そう思えば誰も責めに会わない。

.*.

審査員個人名で見てみても同じ。不適合を出さない審査員は幸せを運ぶコウノトリ審査員だ。口ばかり大きくて饒舌で、辛口は口頭のみ。コウノトリ審査員の帳尻あわせだ。所見を甘くするとコメントは辛くなる。

こういう都合のいい審査員は知る人ぞ知る。希望すれば営業は便宜を図ってくれる。契約審査員とコンサルの二束のわらじを履く人なら、教えてくれる。そもそも、コンサルに恥をかかせてはいけないので（次のクライアントの紹介を受けるためにもこの点は重要）、手に余る不適合など出て来るはずがありません。止む無く不適合を出すときも回答書付きになります。本当かな？

多分、メールでこそこそやるんでしょうか？。まあ、人情ですから

.*.

問題の審査機関の審査はお行儀がいいのが特徴ですね。せっせと事務処理をこなしているみたいです。求める価値かどうかは分かりませんが、そういう事務屋然とした姿も安心ですね。

.*.

日本のISMS審査の歪みを生んだ元凶？

日本のISMS審査の歪みを生んだ元凶？

＜歪みとは？＞

第三者認証制度のベースとなるＱＭＳ（日本のＴＱＣをベースにしたもの）では審査機関としてはそれほど大きな実績を残していない某審査機関がＩＳＭＳではいきなり他社を圧倒するような審査実績を残した。最大数のクライアントを残したということだ。一時は国内の約半数が某審査機関の審査で認証を取得していた。当初はＩＳＭＳの特殊性に起因するのかとも思ったが、規格自体には特殊性は無かった。しかし、起きていることは一種の異常事態だ。

＜情報収集＞

何故か？。情報がなければ考察も何も有ったものではない。噂はいろいろあった。断片的に流れてくる。フィルターが掛かっているので何処まで信じて良いかは分からない。

審査の席にオブザーバーで出席する。実際に審査に立ち会う。出席した人から話を聞く。可能ならJIPDECやJABの人から話を聞く。

件の審査員から直接話を聞く。

.*.

（特記事項：順不同）

1. 判定委員会がない。判定委員会などは形式的で面倒なだけ。有効性に疑問。プロでなければ審査の判定など出来る訳がない。
2. 判定委員会は時間と金の無駄と考えても不思議はない。しかし、民主主義と品質経営は時間と金を無駄にしないと始まらないものだ。
3. 手際が良い。オープニング、クロージングがセレモニー（周知教育の場）になっていない。事務的な重要事項説明に留まる。
4. 投下される審査員の数が少ない。殆どが一人審査。
5. セキュリティリスクのランクは低く、投下工数が少ない。
6. コンサル的対応は少ない。審査員倫理に忠実であるというより実務を知らない印象。事務的なチェック。
7. プロセスベース審査と言っておいてチェックリストで審査する人もいる。
8. プロセスベースの解釈がバラバラ。情報セキュリティ管理におけるPDCAトレースとクライアントの業務フロー（業務プロセス）トレースと審査チェックリストトレースと何でも有り。
9. 不適合を出さない。口頭で済ます。せいぜい観察事項。観察事項もこちらが抵抗すれば削除してくれる。
10. 脅かすような言い方で「不適合出しますよ」とはよく使う。不適合を忌み嫌う傾向にある。改善活動実務経験のない人ばかりみたいだ。
11. コンサルを兼業とする審査員が大勢いる。
12. コンサルの紹介で審査しているケースが多い。コンサルが特定の審査機関を推薦（実質的には指定）してくる。
13. 契約審査員を大量に抱えている。期末に集中する審査を契約審査員で消化している。所謂、こなしている図式だ。
14. 契約審査員の一部に審査員の力量の高い人がいる。社員の審査員の力量は低い。
15. 社員の審査員が得意なのは事務手続き、イベント進行、おしゃべりなど、本質以外の部分。実務経験がなく眼力が低いのでどうしてもそうなる。
16. 社員審査員は管理職経験もなければIT業務経験もない人が多い。だから事務屋かイベント屋にしかなれないのだ。
17. 無理な審査計画。工数を削るから移動は夜。時には瞬間移動。いい審査ができる訳ない。体育会系の乗りで審査を捕らえる馬鹿の存在。

.*.

＜要因の洗い出し＞

• 審査という社会貢献活動を売り上げ利益優先の商売と勘違いしたことに尽きる。
• 審査のQCDでQは放置して、CとD（M)にばかり注力したことが最大の問題だろう。
• 英国の本社が日本のオプコに売り上げ利益を過渡に要求している訳はない。日本法人トップが自分の金銭的な欲得のために暴走したのだろう。

.*.

あのISMS審査機関の何が問題なの？

あのISMS審査機関の何が問題なの？

注：内容は噂を繋ぎ合わせたものです。特定の審査機関を想定したものではありません。

（順不同）

1. 構造的に出鱈目である。
2. 魔法の審査計画？。物理的に無理な計画が平気で出てくる。移動時間ゼロ？。こいつらはタイムトンネルでも持っているのか。
3. 審査時間は常に短い。リスクの小さいサイトと決めて掛かっている。
4. 見積もりは営業がやっている。工数ミニマムを命題にしている。安い見積もりを出すためだ。質より量なんだろう。
5. 見積もりの妥当性を審査部門がチェックすることにしているが殆ど無抵抗。工数の妥当性は実際に審査した後で見直すことは出来るが実際は希だ。
6. 審査計画をチェックする人は誰もいない。セルフチェック。認定機関への説明責任が果たせるようにミニマムの審査工数は確保する形で計画は作る。クライアントへの費用請求はミニマムにする。しわ寄せは移動時間。そこでタイムトンネルが出現するのだろう。
7. 審査工数ミニマムの中で部門のカバー数も多くなるようにするので、細切れ審査が多い。有効性の低い審査が多い。他所の審査機関なら複数の審査員が手分けしてしっかり工数を掛けるところを一人で次々対応するので通り一遍で終わり。本質課題への到達よりチェックリストのカバーに目が行っている。
8. 理屈をつけて、兎に角、不適合を出さない。殆どの不適合は観察事項で済ます。
9. 不適合を出さないから、どこのコンサルも喜んで推薦してくる。コンサルの顔がつぶされることは無い。
10. 契約審査員がコンサルをやっているのでますます不適合が出ることは無い。
11. 経営者からお目玉を食いたくない事務局スタッフも好んで指名する。
12. パフォーマンス調査の結果は極めて特徴的なものだったらしい。コピーも既に流れているようだ。世間話が裏付けられた格好だ。
13. 出鱈目なコンサルをやっているところも指名してくる。推奨でなく指名です。他の審査機関では不適合が出てコンサルのいい加減なところがばれてしまいます。
14. あの審査機関にばかりクライアントを何社も紹介するコンサルは特に問題です。コンサルの実績も中身を見ないと迂闊には判断できません。結果論になりますが不良コンサルが事業拡大を後押ししているともいえます。
15. 第三者認証制度の根幹を脅かす行為ですね。
16. お目付けのＪＩＰＤＥＣの中には疑問に思っている人もいるでしょう。多分は認定審査の機会を捉えて是正ポイントを探そうとしているでしょうね。
17. グッドポイント大好き。迎合的姿勢が強いので審査と関係のないグッドポイントを多く出てきますが、それは自分が裸の王様にされているのかも知れません。要注意。
18. 観察事項を何十件と出しておいて不適合はゼロということは珍しくありません。不適合を出すと主任審査員/リーダーに何か困ることがあるのでしょうか。
19. 観察事項もクライアントが強くクレームすると削除します。何処から何処まで迎合的。観察事項は記録（審査報告）ではどうでもいいレベルの扱いなのでしょう。
20. 不適合は簡単に観察時効になり、観察事項は簡単にりジェクトされてしまうので、残るのはグッドポイントばかり。噂では、１割はおろか下手すると３件に１件はグッドポイントということもあるようです。
21. 見積の工数単価は高い他所より高いかも知れません。見積もり比較をすると金額はほどほどでも工数が極端に小さい。ガイドラインのミニマムでしか持ってこない。十分時間を掛けてくれない。もしいつもミニマムで済ませば、一種の手抜き審査の懸念があります。工数を統計的に把握すればもっと実態が把握できるでしょう。
22. 最近は珍しくない在宅勤務の弊害も懸念されます。オフィスでの十分な価値共有や自由に討議する環境が無いため、規格運用の基準がぶれる懸念があります。（共通価値も醸成しにくい。規格理解がばらばらになる）
23. 契約審査員への依存が大きい。社員の審査員同様にばらばらの解釈が懸念される。しかし、皮肉なことに社員審査員よりは一般企業での管理業務・実務の経験者が多いので杓子定規にされる懸念は少なく安心できる。

（続く）

暴走する日本法人？審査機関も例外に非ず？

 

暴走する日本法人？審査機関も例外に非ず？

どの国と比較しても、どの審査機関と比較しても、どの規格と比較しても、異常なパフォーマンスを発揮している。外部機関による調査を実施した話は有名。問題の日本法人のＩＳＭＳ審査は非常に際立った結果を示している。誰が見ても不適切審査を示すもの。他の法人、同じグループ内の他国法人、他の標準規格（ＱとかＥとか）とのどれと比較しても異常なデータが並んでいるらしい。何らかの深刻な問題が懸念されている。

.*.

1. 問題の審査機関を推奨するコンサルは玉石混合。石の割合が多いらしい。いい加減なコンサルに評判がいい。ある札付きのコンサルは問題の審査機関だけをクライアントに紹介している。望んでも居なかった癒着体質を押し付けてきたコンサルは特に問題です。
2. 其の手のコンサルは受けることはクライアントにとっても不幸なことです。中には暴力団のようなヤクザまがいのコンサルまで居ます。問題の審査機関は結果的にはこういう不良コンサルと結託して事業を拡大しているとも言えます。
3. 第三者認証制度の根幹を脅かす行為ですね。
4. ＪＩＰＤＥＣも勿論深刻に捕らえています。非の無いところに煙は立たず。人の口に戸を立てることは出来ない。不健全性には早くから気付いていて、認定審査の機会を捉えて是正を促していますが、手を焼いているのが実態。
5. グッドポイント大好き。"おべんちゃら"？。迎合的姿勢が強いので審査と関係のないグッドポイントを好んで出すようにしています。
6. 観察事項を何十件と出しておいて不適合はゼロということは珍しくありません。不適合を出すのが大嫌い。不適合を出すと手間が掛かるので、特にリーダーの予定が狂ってしまうため極力出しません。メンバーを説得したり強権発動したりして出しません。審査チームとはそういうものです。。
7. 観察事項もクライアントがクレームすると削除します。何処から何処まで迎合的。観察事項は記録（審査報告上）はどうでもいいレベルの扱いです。
8. 不適合は簡単に観察時効になり、観察事項は簡単にりジェクトされてしまうので、残るのはグッドポイントばかり。１割はおろか下手すると３件に１件はグッドポイントということもあります。採算性を追いかける審査機関の審査レポートはグッドポイントのオンパレードです。分かりやすいですね。
9. 問題の審査機関は見積の工数単価が高い。ここが味噌です。見積もり比較をすると金額は程々。他社とよく似た金額。でも工数が極端に小さい。ガイドラインのミニマムでしか数字（工数）持ってこない。十分時間を掛けてくれない。いつもミニマムで済ますのは統計的には一種の手抜き審査かも。工数ミニマム至上主義。統合審査に走る理由ですね。
10. この頃は珍しくない在宅勤務の弊害もあります。会社へきて自由に討議する環境が無いから、一人ひとりが勝手に審査している。共通価値も醸成しにくい。規格理解がばらばら。之は困ります。一貫性は維持して欲しい。間違いや理解不足も多いのも困りますが、なにせ効率最優先で、具体的に確認することも出来ない。付加価値審査という言葉が好きでよく使うが付加価値が何もない。
11. 契約審査員への依存が大きい。社員同様に規格解釈はばらばら。それでも実務経験が多い人は常識からずれないので少しは安心できる。若くして審査員になった社員よりははるかに安心できる。
12. 社員の若手審査員は管理業務の実務も何も経験が無いのでピンボケ。手順どおりに表層的にこなしているが、まるで内部監査の延長みたいな審査だ。不味いことに、実務経験の無い若手が問題の審査機関の中堅に領域に入ってきているので、ますます頼りない。
13. 優秀な審査員も居る。こういった使える審査員は固有名詞で選ぶ必要がある。問題の審査機関の育成システムは貧弱の極みで、黙っていると順送りあてがいぶちになる。
14. 若手中堅を中心にパワハラも横行している。噂どおりの不健全な組織になっている。いまだに改善はない。若手といえば聞こえはいいが普通の企業に入ってまともに勤められなかった人間だから、閉鎖社会のなかで年齢の上下無くパワハラに走る。それをとがめる監視も無ければ管理も無い。
15. 転職を繰り返して問題の審査機関に止まった若手中堅は要注意。門前の小僧で直ぐに仕事を投げる輩だ。医者ならやぶ医者。もっとも今のトップも転職を繰り返している。教わったような経営管理の取り組みをしているが所詮は販売店の店長の発想しかない。困ったものだ。

（続く）

本当の問題は？問題の本質を見極めましょう！

.*.

• 現場が創意工夫するのは日本人ビジネスマンでは当たり前。改善活動の賞賛は現場の暴走をも促す。トップが海の向こうなら暴走は止まらない。結果オーライ。日本法人がよい結果を出すことも有るが、本社の手に余る。暴走はA社もB社もC社もないのだ。外資系日本法人では日常茶飯事だろう。

.*.