先週の情報セキュリティEXPOでは、内部統制や情報漏えい関連のソリューションが数多く照会されていました。

内部統制関連では、業務を記録しましょうという話をよく聞きました。記録さえ残しておけば後から調べる事ができます、というものです。私が立ち寄ったブースでは見積もり書の作成を説明してもらいました。誰が作成し、誰が承認し、いくらで出したのかを記録しておくというものです。

そのようなシステムで作成した文書（紙に印刷したもの）が溢れかえってしまう事を予想してか、文書管理ソリューションも多く展示されていました。どこにどの書類が格納されているかをRFIDで管理するシステムでは、持ち出しと持ち込みの権限管理の他、誰がいつ閲覧したかという記録まで残すことができました。

さてこの2つの場面について勝手に運用を想像してみます。

まずは前者の見積もり作成システムですが、見積書の作成を担当するのはおそらく普通の会社で言う係長とか平社員というところになってくるでしょう。そういったソリューションを導入するほど内部統制に力を入れているなら、当然見積もり金額の増減により承認者が変わってくるような仕組みも明文化されており、500万円までは課長、1000万円までは次長、それ以上は部長、というようなルールがあると考えられます。

こうしたルールを反映したシステムを構築し、見積もり書作成システムに見積もり金額を800万円と入力したら、必ず次長が承認者に選ばれて外せないようにすれば運用が軽くなります。システム構築時に正しく動作する事を監査し、その後は定期的に監査を行っていくことで処理が正当に行われていることをある程度保証できます。しかしこれを人力で運用しようとなると大変になります。承認した人が正しく選択されていたことを別の誰か、一般的には承認者に選ばれた人よりも上位の者がそれを確認しなくてはならなくなるからです。情報システムでは、こういった手の抜き方をするとマネージャ層にしわ寄せが行くことが多いように思います。

文書管理ソリューションについても同様です。システム構築時に文書の種別と社員の権限をマトリックス化しておけば、ユーザ側の運用負担を軽減することができます。もちろん情勢の変化に応じてマトリックスの定期的な見直しは必要となりますが、日々の運用負担を下げる事ができます。マトリックスが存在しないと「記録が残る事を抑止力とすれば、持ち出し権限が無い書類を書庫から出す事はないはずだ」という方針で運用をすることになり、例えば不正な作業が記録されていない事を定期的に確認するような作業が発生します。こうした場合も、1週間に1回等の間隔を決めてマネージャ層がログを確認してハンコを押す、というようにマネージャ層にしわ寄せが行くことが多いように思います。

システム構築時の費用は低く抑えたいものですが、その後の運用負担の増加とのバランスを考えて決めたいものです。「小さく産んで大きく育てる」という方針で、シンプルな機能でリリースしたシステムを順次改修していくという考えもありますが、一度で構築した場合と何度かに分けて開発した場合とでは、やはり一度で構築したほうが安く仕上げられます。仕様変更の可能性が高くない限り、長期でかつ利用者が多いシステムについては、構築時の費用が増大しても利用者の運用負担を下げるような工夫に力を入れたほうが、多くの人の作業効率を向上させるという意味でお得と言えるでしょう。

上で挙げた2つの例は、供にマネージャ層の体力を削ってしまうパターンです。マネージャ層は、一般の社員よりも長期の視点から部署の成長の方向性や、新規事業の考案などを考える重要なポストです。そういった方々が昨今の内部統制の強化や個人情報保護関連施策の増大により、事務的な作業に忙殺されてしまっているのではないかと危惧しています。

そこで、書類の種別毎にマネージャ層の決裁数がどれくらいのものなのかを調べてみるというのはどうでしょうか。例えばある日のある書類について分あたり5個というレベルの数字が出てきたとしたら、1回あたり12秒ということになります。それはもはや決裁を仰ぐ必要はないと判断する事ができ、マネージャ層の高度な意思決定力を効率的に使うことができるようになるのではないかと思っています。

その結果「各自マネージャ層は自分がハンコを押すたびに規定の用紙に正の字でカウントして結果を報告すべし」となったら元も子もありませんが。