オフィスIT化ネット

この記事の指摘は、「内部統制」という言葉の持つ曖昧さに起因する。
いろんなソフトウェアベンダーがいるが、昨今の個人情報漏洩問題とあいまって便乗商売的に活動しているという指摘である。
「情報セキュリティ」と「内部統制」。ともに目に見えず、ともすれば無限にコストのかかる課題である。

以下、日経IT-PLUSより引用。

　企業の情報漏えい対策に関する連載の最終回。昨今話題となっている日本版ＳＯＸ法（金融商品取引法）を大きなビジネスチャンスと考え、多くのＩＴベンダーが様々な提案活動を行っている。これは日本版ＳＯＸ法では、ＩＴの活用が強調されていることに大きな原因があると思われる。しかし、日本版ＳＯＸ法の対応に本当に必要なのかどうかわからないような情報セキュリティー対策なども多くある。

　各ＩＴベンダーのうたい文句などを見るとおおむね次のようなものである。

「ＳＯＸ法で求められる情報セキュリティー」
「ＳＯＸ法に対応する運用管理ツール」
「ＳＯＸ法で求められる高度な電子メール管理」
「ＳＯＸ法対応アカウント情報管理ツール」

　どうも、内部統制の構築のためには情報セキュリティーあるいは個人情報管理が必要だと主張しているベンダーが多いようだ。これらの対応は、確かに行った方がいいかもしれないが、必須ではない。ここを注意しないと、ＳＯＸ法対応のために不必要なコストをかけてしまうことになる。

　何故このような主張がされるかというと、日本版ＳＯＸ法で求められている内部統制と、本来企業が行う必要がある内部統制を同じと考えているか、あるいは意図的に同じものと混同させようとしているためである。

[参考(By Amazon)]
個人情報保護マネジメントシステム要求事項の解説―JIS Q 15001:2006
個人情報保護士試験公式テキスト