リスクマネジメント研究プロジェクト 2012年度研究成果報告

システム監査と事業継続マネジメントシステム（BCMS：Business Continuity Management System）－社会的責任（SR）への道筋 －2013/06/07
ﾘｽｸﾏﾈｼﾞﾒﾝﾄ研究ﾌﾟﾛｼﾞｪｸﾄ
報告者 足立 憲昭
ｼｽﾃﾑ監査学会RM研究ﾌﾟﾛｼﾞｪｸﾄ©2013 JSSAシステム監査学会-「リスクマネジメント研究プロジェクト」 All right reserved.

1

リスクマネジメント研究プロジェクト 2012年度研究成果報告「リスクマネジメント研究プロジェクト」 メンバー
主査 ：森宮 康（明治大学）
副主査：黒澤 兵夫（TAKE国際技術士研究所）
植野 俊雄
堀越 繁明
高橋 孝治
野田 正美
小谷野 幸夫
桂 由紀子
高野 美久
喜入 博
北條 武（NTTデータ）
発表 ：足立 憲昭
ｼｽﾃﾑ監査学会RM研究ﾌﾟﾛｼﾞｪｸﾄ©2013 JSSAシステム監査学会-「リスクマネジメント研究プロジェクト」 All right reserved.

2

リスクマネジメント研究プロジェクト 2012年度研究成果報告

昨年度までの到達点：
・ＳＣＭにおけるＢＣＭＳとＳＡのモデル化(H19年度)
・チェックリストの作成(H20年度)
・ガイドラインの作成と試行（H21年度）
・JRMS2010の小売SCMへの適用について（H22年度）
・JRMS2010の適用・・・成熟度の違い（H23年度）
今年度の到達点：会合
日程
1回目 平成24年08月07日(火)

おもな検討内容
前回の反省と今後の展開

2回目 平成24年09月27日(木)フリー・ディスカッション

3回目 平成24年12月07日(金)

前回振り返りとﾌﾘｰ・ﾃﾞｨｽｶｯｼｮﾝ

4回目 平成25年01月16日（水）報告（案）の説明と協議・修正

5回目 平成25年03月07日（木）

報告（案）の説明と協議・修正

6回目 平成25年04月25日(木)

報告書（確定分）最終検討会

ｼｽﾃﾑ監査学会RM研究ﾌﾟﾛｼﾞｪｸﾄ©2013 JSSAシステム監査学会-「リスクマネジメント研究プロジェクト」 All right reserved.

3

リスクマネジメント研究プロジェクト 2012年度研究成果報告

ＲＭプロジェクトで話しあった意見（前年度）
大王製紙やオリンパス事件
ガバナンス（企業統治）が欠如
役員会で反対できないムード※分からないことを確認する勇気！

3.11の教訓は絆の大切さ
誰かに頼ったRMは命を捨てる
情報開示(悪い情報こそ）の勇気！

船場吉兆の使いまわし
老舗の驕りとﾜﾝﾏﾝ経営！
※企業倫理の醸成

AIJの年金資産問題
金融（投資）ﾘｽｸをﾁｪｯｸできない
中小企業の専門職人財不足※ﾓﾆﾀﾘﾝｸﾞされない怖さ！

赤福餅、不二家事件
消費期限の偽装！
※業界慣習が非常識！

福島原発の風評被害！
福島産・茨城産を販売しづらい※安全確認して販売する勇気！

フーズフォーラスの焼肉事件！
最低限の衛生管理が守られない※競争優先でﾘｽｸを犯す怖さ！
ｼｽﾃﾑ監査学会RM研究ﾌﾟﾛｼﾞｪｸﾄ©2013 JSSAシステム監査学会-「リスクマネジメント研究プロジェクト」 All right reserved.

4

リスクマネジメント研究プロジェクト 2012年度研究成果報告

ＲＭプロジェクトで話しあった意見（１～2回目）
経営計画に社会ｺｽﾄとして「環境保全」「ﾌｪｱな雇用」「ﾌｪｱな取引」「防災対策」を織り込むことが重要

信用は信者を作ること。そうすれば儲けに繋がる・・・

不正には、組織の利益（日本に多い）と個人の利益（欧米に多い）がある・・・

人材はヒト・モノ・カネ・情報の一つ。
これからは社会に通用する「人財」つくりが他より重要！

経営陣に現状否定して「顧客ﾆｰｽﾞからのｽﾞﾚ」を認識する意識が必要・・・・

埼玉のｽｰﾊﾟｰが「従業員の声」を大切にして、品揃えやｻｰﾋﾞｽに繋げて成長している･･･・「事故が起こってから対応」から、事故前の「ﾋﾔﾘﾊｯﾄ情報へ対応」することがﾘｽｸﾏﾈｼﾞﾒﾝﾄ･･･

ｼｽﾃﾑ監査学会RM研究ﾌﾟﾛｼﾞｪｸﾄ©2013 JSSAシステム監査学会-「リスクマネジメント研究プロジェクト」 All right reserved.

5

リスクマネジメント研究プロジェクト 2012年度研究成果報告

ＲＭプロジェクトで話しあった意見（3～6回目）
ﾒｲﾝﾌﾚｰﾑの時代は「ﾊｰﾄﾞｳｪｱｴﾝｼﾞﾆｱ」「ｿﾌﾄｳｪｱｴﾝｼﾞﾆｱ」「ｾｰﾙｽｴﾝｼﾞﾆｱ」が役割分担して、施設環境、配線設計、容量計算をした。

情報機器を販売するときに、便利なことしか説明しない。工学系のない
顧客はﾄﾗﾌﾞﾙで悩む！
街の電気屋さんが居なくなって、大手通信会社の代理店業者が配線のため壁に穴をいくつも開けて知らん顔で帰っていく！

ｺﾝﾋﾟｭｰﾀが「家電」になった時点から「動けば良い」という意識になった・・・

ﾒｲﾝﾌﾚｰﾑの時代⇒ｸﾗｲｱﾝﾄｻｰﾊﾞｰの時代⇒Ｗｅｂと端末の時代と変化。
便利さだけが協調され、増大するﾘｽｸの全体像が見えない。

組込みｺﾝﾋﾟｭｰﾀ、ｽﾏｰﾄ家電が拡大してくるとｼｽﾃﾑ部門が知らないﾈｯﾄﾜｰｸ機器が増えてｹｰﾌﾞﾙが塊になる○○社の787ｼﾞｪｯﾄ機ﾄﾗﾌﾞﾙ･･･
個別ｼｽﾃﾑはﾃｽﾄされていたが、全体設計がなく、ﾄｰﾀﾙの負荷計算がされていなかった！

ｼｽﾃﾑ事故の原因を辿っていくと「5Ｓ」が出来ていないことが多い。ﾄﾗｯｷﾝｸﾞ事故、防塵対策不足、ｹﾞﾘｱ洪水対策等、環境による事故が増えている

ｼｽﾃﾑ監査学会RM研究ﾌﾟﾛｼﾞｪｸﾄ©2013 JSSAシステム監査学会-「リスクマネジメント研究プロジェクト」 All right reserved.

6

リスクマネジメント研究プロジェクト 2012年度研究成果報告

1-1. RM、BCP/BCMSとSAの関連（主眼SA)

システム監査（ＳＡ）を主眼とした
場合の関係
・ＲＭ（リスクマネジメント）
・BCP(事業継続計画）/BCMS（事業継続ﾏﾈｼﾞﾒﾝﾄｼｽﾃﾑ）
・ＳＡ（システム監査）

ｼｽﾃﾑ監査学会RM研究ﾌﾟﾛｼﾞｪｸﾄ©2013 JSSAシステム監査学会-「リスクマネジメント研究プロジェクト」 All right reserved.

7

リスクマネジメント研究プロジェクト 2012年度研究成果報告

1-2.GSCMにおけるリスクの一般化
システム管理基準
第Ⅰ項 情報戦略 第５項 事業継続計画（５項目）
第Ⅳ項 共通業務 第７項 災害対策（１３項目）
7.1 リスク分析（３項目）
7.2 災害時対応計画（６項目）
7.3 バックアップ（２項目）
7.4 代替処理・復旧（２項目）

GSCMのリスクにかかる要因

調達

インフラ

品質

ﾌｧｲﾅﾝｼｬﾙ

風評

人財

対象を“情報システム”だけでなく“社会情報システム全体”として考えざるを得ない

GSCMリスクチェックシート
GSCMﾘｽｸﾁｪｯｸｼｰﾄの全体構成
Ⅰ．全体確認シート①基本事項
・システム管理基準を参考
・教育関連は個別リスク確認シートの「人財」に移管
Ⅱ．個別リスク確認シート
①調達
②品質
③風評
④インフラ
⑤ファイナンシャル⑥人財

ｼｽﾃﾑ監査学会RM研究ﾌﾟﾛｼﾞｪｸﾄ©2013 JSSAシステム監査学会-「リスクマネジメント研究プロジェクト」 All right reserved.

8

リスクマネジメント研究プロジェクト 2012年度研究成果報告

1-3.情報ｼｽﾃﾑの進化のｼｽﾃﾑ監査の概念図
社会情報システム
品質

環境

ﾌｧｲﾅﾝ
ｼｬﾙ

インフラ社会人財

風評インフラ

環境

人財

品質

ﾌｧｲﾅﾝ
ｼｬﾙ

調達

風評社会調達情報システムBCP/BCMの策定（BS25999に準拠）

インフラ

取引先にBCP/BCMを要請するのではなく、“社会情報システム”として全体を包含して監査する。

システム監査の実施
ｼｽﾃﾑ監査学会RM研究ﾌﾟﾛｼﾞｪｸﾄ©2013 JSSAシステム監査学会-「リスクマネジメント研究プロジェクト」 All right reserved.

GSCMリスクチェックシート
9リスクマネジメント研究プロジェクト 2012年度研究成果報告

2-1.サプライチェーンのﾘｽｸﾏﾈｼﾞﾒﾝﾄ対象範囲ﾓﾃﾞﾙ【留意点】
・情報システムという視点でなく、材料／物の流れから対象範囲を決定していく。
・取引形態（B to C、B to B、B to P）によって、対象が異なる。

社会システム情報システムｼｽﾃﾑ監査学会RM研究ﾌﾟﾛｼﾞｪｸﾄ©2013 JSSAシステム監査学会-「リスクマネジメント研究プロジェクト」 All right reserved.

10

リスクマネジメント研究プロジェクト 2012年度研究成果報告

2-2.サプライチェーンの発展過程 Ⅰ （1950～60年代）

戦後復興（朝鮮動乱の需要）製造業、小売業とも弱小の時代（商社、銀行が中心）

商社
（銀行）

※正式なシステム監査員は無くｺﾝﾋﾟｭｰﾀの専門家が調査・指導

RM
製造業

小売業

RM

RM

BCP/
BCM

BCP/
BCM

BCP/
BCM

固有ICT
（オフコン）

専門家

固有ICT（ホストコンピュータ）

SA

固有ICT
（オフコン） 専門家（外資）ｼｽﾃﾑ監査学会RM研究ﾌﾟﾛｼﾞｪｸﾄ©2013 JSSAシステム監査学会-「リスクマネジメント研究プロジェクト」 All right reserved.

11

リスクマネジメント研究プロジェクト 2012年度研究成果報告

2-3.リスク評価－（サプライチェーン Ⅰ）
発生確率
高い

１

影響度

３

２

２
キーパーソンの事故に基づく業務への影響

取引先倒産による商品未入荷

高い

３

地震による備え弱い
安普請で収益上げる
信用不足による資金調達の困難
衛生管理に対する知識不足で事故多い（家族経営多数）

品質不良による業務停止

知名度の低さから優秀な人財が集まらない

物流ｼｽﾃﾑが未発達で調達期間が長い

１

財務基盤が弱い
権限がオーナーに集中ｺﾝﾌﾟﾗｲｱﾝｽ不足
品質調達

風評

ﾌｧｲﾅﾝｼｬﾙ

環境

インフラ

社会

人財

ｼｽﾃﾑ監査学会RM研究ﾌﾟﾛｼﾞｪｸﾄ©2013 JSSAシステム監査学会-「リスクマネジメント研究プロジェクト」 All right reserved.

12

リスクマネジメント研究プロジェクト 2012年度研究成果報告

2-4.サプライチェーンの発展過程 Ⅱ（1970～80年代）
大量生産・大量消費
自動車・電気・消耗材

製造業
RM

商社
（銀行）

小売業

RM
BCP/
BCM

※1985年頃からシステム監査の組織がスタート

RM

BCP/
BCM

BCP/
BCM

固有ICT
（ﾎｽﾄｺﾝﾋﾟｭｰﾀ）

SA
固有ICT
（ﾎｽﾄｺﾝﾋﾟｭｰﾀ）

固有ICT（オフコン）

SA

SA
ｼｽﾃﾑ監査学会RM研究ﾌﾟﾛｼﾞｪｸﾄ©2013 JSSAシステム監査学会-「リスクマネジメント研究プロジェクト」 All right reserved.

13

リスクマネジメント研究プロジェクト 2012年度研究成果報告

2-5.リスク評価－（サプライチェーン Ⅱ）
発生確率
高い

１

影響度

３

２

キーパーソンの事故に基づく業務への影響

３
衛生管理不備で複数の顧客被害

地震による本部機能消滅

役員・従業員の事件・不正の発覚

信用不足による資金調達の困難

天災・火災による顧客・従業員被災

個人の技術に依存した成長企業倫理が未熟
退職者が多い品質不良による業務停止

公害
大気汚染
水質汚濁

取引先倒産による商品未入荷

２

高い

採用難による
人財不足

１

権限がトップに集中
ｺﾝﾌﾟﾗｲｱﾝｽ不足

環境

調達

風評

ﾌｧｲﾅﾝｼｬﾙ

品質

インフラ

社会

人財

ｼｽﾃﾑ監査学会RM研究ﾌﾟﾛｼﾞｪｸﾄ©2013 JSSAシステム監査学会-「リスクマネジメント研究プロジェクト」 All right reserved.

14

リスクマネジメント研究プロジェクト 2012年度研究成果報告

2-6.サプライチェーンの発展過程 Ⅲ（1990～2000年）
急成長の
反動
製造業

SA
固有ICT
（ﾎｽﾄｺﾝﾋﾟｭｰﾀ）

RM
BCP/
BCM

小売業

商社
（銀行）

RM

SA
固有ICT
（ﾎｽﾄｺﾝﾋﾟｭｰﾀ）

RM

BCP/
BCM

BCP/
BCM

SA

中小企業
農業・漁業
畜産業
食品製造

固有ICT
（ﾎｽﾄｺﾝﾋﾟｭｰﾀ）

個人消費者
消費者運動
固有ICT
（オフコン）

固有ICT（オフコン）
ｼｽﾃﾑ監査学会RM研究ﾌﾟﾛｼﾞｪｸﾄ©2013 JSSAシステム監査学会-「リスクマネジメント研究プロジェクト」 All right reserved.

15

リスクマネジメント研究プロジェクト 2012年度研究成果報告

2-7.リスク評価－（サプライチェーン Ⅲ）
発生確率
高い

１

２

３
環境汚染による信用失墜

影響度

役員・従業員の事件・不正の発覚

３

表示間違い
（産地・アレルゲン）

風評被害による信用失墜
鳥インフルエンザによる商品調達困難
物流ｼｽﾃﾑの改革で調達期間短縮（宅配便）

リスク体制不備から個人情報漏洩
企業情報漏洩

ノウハウ継承ができず事業継続が困難

建設資材高騰
によるコストアップ

ごみ・廃棄物
水質汚濁
地震による設備の使用不能

２

長時間重労働による過労死

従業員教育不足によるセクハラの発生

１

高い

急激な企業規模拡大で情報ｼｽﾃﾑが対応できず

ﾏﾈｼﾞﾒﾝﾄ・ｼｽﾃﾑ構築
ブランド毀損の防止
専門性のある人財不足
環境ﾘｽｸ、情報ﾘｽｸ
品質

調達

風評ﾌｧｲﾅﾝｼｬﾙ

環境インフラ

社会人財ｼｽﾃﾑ監査学会RM研究ﾌﾟﾛｼﾞｪｸﾄ©2013 JSSAシステム監査学会-「リスクマネジメント研究プロジェクト」 All right reserved.

16

リスクマネジメント研究プロジェクト 2012年度研究成果報告

2-8.サプライチェーンの発展過程 Ⅳ（2001～現在）
物流Eコマース（SCM）（巨大企業出現）RM
BCP/BCM

ｲﾝﾀｰﾈｯﾄ製造業（モノ）

ｲﾝﾀｰﾈｯﾄ

固有ICT（メインサーバ）
（カネ）

小売業
（モノ）

RM

RM

SA

銀行・ｶｰﾄﾞRM

ｺﾝﾋﾞﾆｴﾝｽ・ｽﾄｱ
ﾄﾞﾗｯｸﾞ・ｽﾄｱ
ｽｰﾊﾟｰｽﾄｱ
ｽｰﾊﾟｰﾏｰｹｯﾄ

BCP/
BCM

BCP/
BCM
固有ICT
（メインサーバ）

専用回線（FB）

固有ICT（メインサーバ）

BCP/
BCM

固有ICT
専用回線（FB） （メインサーバ）

SA

SA
専用回線（EDI）

6次産業化

ｲﾝﾀｰﾈｯﾄ（クラウド）

一次産業
農業・漁業
畜産業
食品製造

固有ICT

SA

ｲﾝﾀｰﾈｯﾄ

共通ICT

個人消費者
（生活者）

SA
ｲﾝﾀｰﾈｯﾄ

ｲﾝﾀｰﾈｯﾄ

固有ICT

SA
ｼｽﾃﾑ監査学会RM研究ﾌﾟﾛｼﾞｪｸﾄ©2013 JSSAシステム監査学会-「リスクマネジメント研究プロジェクト」 All right reserved.

17

リスクマネジメント研究プロジェクト 2012年度研究成果報告

2-9.リスク評価－（サプライチェーン Ⅳ）
発生確率
高い

１

影響度

３

２

鳥インフルエンザによる商品調達困難

社会貢献への取り組み評価

役員の責任が増加（組織罰）

高い
３

海外進出によるｸﾞﾛｰﾊﾞﾙな人財不足

表示間違い（産地・アレルゲン）
放射能汚染（鮮魚・農産物）

ノウハウ継承ができず事業継続が困難

大震災によるインフラ崩壊

SR（社会的責任）
サービス残業

環境保全への取り組み評価
ｸﾞﾛｰﾊﾞﾙなｻﾌﾟﾗｲ
ﾁｪｰﾝへ地政学リスク

リスク体制不備から個人情報漏洩
企業情報漏洩

２
為替変動による資材高騰

１ｼｽﾃﾑの分散化でｼｽﾃﾑﾄﾗﾌﾞﾙ多発

ごみ・廃棄物
水質汚濁

組込ｼｽﾃﾑの増加
でﾘｽｸ把握できず

多角化・海外調達・海外進出
事業継続計画（BCP）
社会的責任（SR）

継続的に見直す

品質

調達

風評

ﾌｧｲﾅﾝｼｬﾙ

環境

インフラ

社会

人財

ｼｽﾃﾑ監査学会RM研究ﾌﾟﾛｼﾞｪｸﾄ©2013 JSSAシステム監査学会-「リスクマネジメント研究プロジェクト」 All right reserved.

18

リスクマネジメント研究プロジェクト 2012年度研究成果報告

2-10.サプライチェーンの発展過程 Ⅴ（将来イメージ）
食品製造
食品加工

地政学リスクが増加

RM

小売業
海外製造加工

BCP/
BCM

固有ICT

国内製造加工専用回線（EDI）

SA

RM

固有ICT

SA
BCP/
BCM

海外調達
ｲﾝﾀｰﾈｯﾄ

ｲﾝﾀｰﾈｯﾄ

農家提携
6次産業化
農業・漁業
畜産業

共通ICT・SCM（グローバル・クラウド）

地元調達
個人消費者

SA

競争に勝つ
品質リスク

海外輸入

固有ICT

RM

ｲﾝﾀｰﾈｯﾄ
BCP/BCM

固有ICT

地元生産・加工

SA

ｲﾝﾀｰﾈｯﾄ

共通ICT・SCM（地域・クラウド）

地産地消

SA
個人情報漏洩リスクSA
ｼｽﾃﾑ監査学会RM研究ﾌﾟﾛｼﾞｪｸﾄ©2013 JSSAシステム監査学会-「リスクマネジメント研究プロジェクト」 All right reserved.

19リスクマネジメント研究プロジェクト 2012年度研究成果報告

3-1.繰り返される事件・事故・・・データベースが活かされない事件や事故の発生
事故再発に社会が注目（隠蔽体質露見・内部告発）

経営責任に関心！
事件を沈静化する！

お詫びの記者会見

同様の大事件・大事故が再発生

事故報告書作成
謝罪広告（新聞・ﾎｰﾑﾍﾟｰｼﾞ）

マスコミ取材
第3者委員会設置

現場の記録を残す仕組がないと企業倒産へ追い込まれる！

事故情報ﾃﾞｰﾀﾍﾞｰｽ
自然・機械・人災（ﾛｸﾞﾃﾞｰﾀ、監視ｶﾒﾗ）
ﾘｽｸ情報ﾃﾞｰﾀﾍﾞｰｽ（ひやり・はっと）
人間ﾒﾓ（現場の日報）
ｼｽﾃﾑ監査学会RM研究ﾌﾟﾛｼﾞｪｸﾄ©2013 JSSAシステム監査学会-「リスクマネジメント研究プロジェクト」 All right reserved.

過去の事故資料が陽の目を見る

記録(ﾋﾞｯｸﾞﾃﾞｰﾀ)の活用？

現場力？
20

リスクマネジメント研究プロジェクト 2012年度研究成果報告

3-2.中小小売業の情報の流れ（レベルⅠのイメージ）
現場情報の収集Eメール

財務数値の報告ｶﾘｽﾏ経営者
経営層

良い情報のみ･･･褒められたい

会議 （通達のみ）

監督層

管理者層

企業戦略（ﾄｯﾌﾟの頭）

担当者

新しい市場・社会の流れ

現場の声
ｼｽﾃﾑ監査学会RM研究ﾌﾟﾛｼﾞｪｸﾄ©2013 JSSAシステム監査学会-「リスクマネジメント研究プロジェクト」 All right reserved.

21

リスクマネジメント研究プロジェクト 2012年度研究成果報告

3-3.中小小売業のﾘｽｸﾏﾈｼﾞﾒﾝﾄ成熟度（仮想モデル）【レベル5】社会的責任（SR）
SCMとして一体でRM実現
従業員が自律的にRMを実施
社会の中に未然防止が定着

各階層が経営戦略系・ｺﾝﾄﾛｰﾙ系・ｵﾍﾟﾚｰｼｮﾝ系にアクセスできる体制【レベル4】 ﾌｨｰﾄﾞﾊﾞｯｸ（PDCA）
情報共有化による迅速な対応（事件・事故、失敗情報含む）
定量・定性分析とﾏﾈｼﾞﾒﾝﾄﾚﾋﾞｭｰ

横展開シフト！

機密性可用性【レベル3】 組織的な対応B
経営陣（情報開示）、現場と対話※参画型組織、個人の知恵【レベル3】 組織的な対応A
取締役会へ報告⇒責任体制※縦型命令組織（一方通行）【レベル2】 定義されている関連部署が対応に当たる
完全性部門のリスク意識にばらつき【再構築】創造的な破壊（改革）全従業員の意識変革（文化の変化）
多様な人材の登用（ダイバーシティ）【レベル1】 組織未対応
ベテラン従業員の倫理感に依存
暗黙知（見える化がない）
ｼｽﾃﾑ監査学会RM研究ﾌﾟﾛｼﾞｪｸﾄ©2013 JSSAシステム監査学会-「リスクマネジメント研究プロジェクト」 All right reserved.

22

リスクマネジメント研究プロジェクト 2012年度研究成果報告

3-4.中小小売業における情報の流れ（レベルⅢのイメージ）
現場と経営層のﾀﾞｲﾚｸﾄ・ｺﾐｭﾆｹｰｼｮﾝ

企業戦略の共有化
新しい市場・社会の流れ

映像

映像

現場情報の共有化
財務数値の共有化
Eメール

Eメール

会議

担当者

監督層

ﾏﾈｼﾞｬｰ層

顧客の声
現場の声

報告（部下）･･･良い情報のみ
ｼｽﾃﾑ監査学会RM研究ﾌﾟﾛｼﾞｪｸﾄ©2013 JSSAシステム監査学会-「リスクマネジメント研究プロジェクト」 All right reserved.

経営層
会議23

リスクマネジメント研究プロジェクト 2012年度研究成果報告

3-5.なぜ、事故報告が再発防止に繋がらない？

リスク情報の共有化
反対意見を記録する！

1.第三者委員会の必要性・・・内部監査・外部監査
専門性と独立性の両立 組織内
2.事故報告書に真実が現れない・・・不利な情報「真のリスク情報（失敗・事故）」
3.多くの業界・学会・官公庁が合同で取組み知恵を集める、資源を有効に使える
ｼｽﾃﾑ監査学会RM研究ﾌﾟﾛｼﾞｪｸﾄ©2013 JSSAシステム監査学会-「リスクマネジメント研究プロジェクト」 All right reserved.

24

リスクマネジメント研究プロジェクト 2012年度研究成果報告

3-6.なぜ、真実が埋もれてしまうのか？

リスク情報の共有化

ヒヤリ・ハット
情報の報告

1.事実調査と評価（又は犯人探し）を分離
事件の真相が闇に消されてしまう
関係者が保身に走り、無関係を装う※告発すれば、マイナス評価
2.組織的不正・・・カビが蔓延る（組織全体）
個人的不正・・・虫がつく（取り除ける）
ｼｽﾃﾑ監査学会RM研究ﾌﾟﾛｼﾞｪｸﾄ©2013 JSSAシステム監査学会-「リスクマネジメント研究プロジェクト」 All right reserved.

25

リスクマネジメント研究プロジェクト 2012年度研究成果報告

3-7.不正情報やリスク情報

リスク情報の共有化（データベース化）

ビッグデータの分析

1.役員（トップ）が持つ情報価値⇒報告が上がらない
企業の不正情報は、現場とネットで洩れる
2.「高収益企業」と「一生働きたい企業」の違い
ブラック企業継続的に変革し、自己実現ができる会社 （社会批判）
3.同質的な情報源から多様性な情報源の確保へ
異業者の経験から真の解決糸口が生まれる
ｼｽﾃﾑ監査学会RM研究ﾌﾟﾛｼﾞｪｸﾄ©2013 JSSAシステム監査学会-「リスクマネジメント研究プロジェクト」 All right reserved.

26

リスクマネジメント研究プロジェクト 2012年度研究成果報告

4-1. 階層別リスクマネジメントの必要性
専門性と独立性（役員がライン中心）

CIO（情報総括役員）
CRO（リスク総括役員）
存在しない！
リスク評価（経営層）
報告

経営層
指示

専門性がない（専門教育なし） リスク評価（マネージャ層）

異なる部門長から報告を集め全体把握
ﾌﾟﾛｼﾞｪｸﾄ型やﾈｯﾄﾜｰｸ型
で問題解決する技術

悪い報告・曖昧な報告が現報告 場から上がってこないマネージャ層指示
現場力が活かされない

リスク評価（現場層）

事実を記録、伝える風土を醸成する

現場層
ｼｽﾃﾑ監査学会RM研究ﾌﾟﾛｼﾞｪｸﾄ©2013 JSSAシステム監査学会-「リスクマネジメント研究プロジェクト」 All right reserved.

27

リスクマネジメント研究プロジェクト 2012年度研究成果報告

4-2. 階層別リスクマネジメントの変化
経営層
マネージャ層

社内情報共有化
現場層

市場・製品情報
リスク情報

お客さま

フルタイマー社員
パート社員・派遣社員
ｼｽﾃﾑ監査学会RM研究ﾌﾟﾛｼﾞｪｸﾄ©2013 JSSAシステム監査学会-「リスクマネジメント研究プロジェクト」 All right reserved.

28

リスクマネジメント研究プロジェクト 2012年度研究成果報告

4-3.急激な社会変化への適応（グローカルの進展）
高齢化対応
都市化
大震災対応
（近所で買物） （駅ナカ活用） （放射能汚染）

1.小売業が地元支援（ローカルニーズ）へ対応
ネットスーパー、御用聞きの復活
2.買物頻度の増加（毎日）とコミュニケーションの場を求める⇒半径200ｍ～500ｍの商圏
3.単身世帯の急増による少量パック（使いきり）4.健康志向（無添加、有機農法、地産地消）
ｼｽﾃﾑ監査学会RM研究ﾌﾟﾛｼﾞｪｸﾄ©2013 JSSAシステム監査学会-「リスクマネジメント研究プロジェクト」 All right reserved.

29

リスクマネジメント研究プロジェクト 2012年度研究成果報告

4-4.中小小売業に関連する情報
固定資産情報

防災・防犯情報

財務情報

監視ｶﾒﾗ情報

情報・記録の分散化

現金資金情報

物流情報

商品情報

商品製造情報
品質情報

人事情報
勤怠情報
技能情報

開発情報
エリア情報
不動産情報
ｼｽﾃﾑ監査学会RM研究ﾌﾟﾛｼﾞｪｸﾄ©2013 JSSAシステム監査学会-「リスクマネジメント研究プロジェクト」 All right reserved.

営業情報
顧客情報
市場情報
30

リスクマネジメント研究プロジェクト 2012年度研究成果報告

5-1.評価レーダーチャート・・・内部統制（2011年）

疑問

会社全体なぜリスク分析や評価ができないのか？

表面的な理解納得していない【解説】 クィックスタート版
・ﾘｽｸ分析、情報と伝達にばらつき
・仕入部門の評価が低いのは教育機会が少ない
・全体としてレベル２となっている
組織全体の対応になっていない
ｼｽﾃﾑ監査学会RM研究ﾌﾟﾛｼﾞｪｸﾄ©2013 JSSAシステム監査学会-「リスクマネジメント研究プロジェクト」 All right reserved.

31

リスクマネジメント研究プロジェクト 2012年度研究成果報告

5-2.評価レーダーチャート・・・内部統制（2013年）
会社全体

前進！
内部統制評価がｽﾀｰﾄ
して4年目

ＲＭ部門が評価して報告【解説】 クィックスタート版
・ﾘｽｸ分析、ﾘｽｸ評価が進んだ
・情報と伝達⇒ｺﾐｭﾆｹｰｼｮﾝが良くなってきた・全体としてレベル3.0となっているＩＴへの対応が遅れている。
ｼｽﾃﾑ監査学会RM研究ﾌﾟﾛｼﾞｪｸﾄ©2013 JSSAシステム監査学会-「リスクマネジメント研究プロジェクト」 All right reserved.

32

リスクマネジメント研究プロジェクト 2012年度研究成果報告

5-3.評価レーダーチャート・・・事業継続（2011年）
会社全体

疑問
事業継続の考え方をどうしたら啓蒙できる？

ﾘｽｸ情報の共有化
ﾘｽｸ・ｺﾐｭﾆｹｰｼｮﾝ構築【解説】 クィックスタート版
・全体としてレベル１となっているのは事業継続の意味が理解されてない・事業継続について、社内教育が必要である。初心者用ガイドブックを作成して理解を深める。
ｼｽﾃﾑ監査学会RM研究ﾌﾟﾛｼﾞｪｸﾄ©2013 JSSAシステム監査学会-「リスクマネジメント研究プロジェクト」 All right reserved.

33

リスクマネジメント研究プロジェクト 2012年度研究成果報告

5-4.評価レーダーチャート・・・事業継続（2013年）
会社全体少し前進
ﾘｽｸ・ﾏﾈｼﾞﾒﾝﾄの意識と部門でのﾘｽｸ評価

ＲＭ部門が啓蒙
安否確認訓練実施【解説】 クィックスタート版
・全体としてレベル１.5となっているのはリスク訓練が行われた影響
・「3.11震災」の教訓から安否確認や緊急時組織の編成が進んだ。
・課題は全社・全従業員の意識改革
ｼｽﾃﾑ監査学会RM研究ﾌﾟﾛｼﾞｪｸﾄ©2013 JSSAシステム監査学会-「リスクマネジメント研究プロジェクト」 All right reserved.

34

リスクマネジメント研究プロジェクト 2012年度研究成果報告

5-5.評価レーダーチャート・・・環境（2013年）
会社全体一部の人が頑張る
環境ＭＳの導入準備
これから！

ＲＭ部門が体制構築中【解説】 クィックスタート版
・一部の人が頑張って準備している・ﾘｽｸの特定・分析・評価がされていない⇒まず評価してみたい・全体としてレベル1.5となっている
まだまだ認知されていない
ｼｽﾃﾑ監査学会RM研究ﾌﾟﾛｼﾞｪｸﾄ©2013 JSSAシステム監査学会-「リスクマネジメント研究プロジェクト」 All right reserved.

35

リスクマネジメント研究プロジェクト 2012年度研究成果報告

5-6.評価ﾚｰﾀﾞｰﾁｬｰﾄ・・・情報ｾｷｭﾘﾃｨ（2013年）
会社全体

一部の人が頑張る
情報ｾｷｭﾘﾃｨの理解これから！

ＲＭ部門が体制構築中【解説】 クィックスタート版
・一部の人が頑張って準備している・ﾘｽｸの評価、ｺﾐｭﾆｹｰｼｮﾝがされていない⇒まず評価してみたい・全体としてレベル2.0となっている
まだまだ認知されていない
ｼｽﾃﾑ監査学会RM研究ﾌﾟﾛｼﾞｪｸﾄ©2013 JSSAシステム監査学会-「リスクマネジメント研究プロジェクト」 All right reserved.

36

リスクマネジメント研究プロジェクト 2012年度研究成果報告

5-7.評価ﾚｰﾀﾞｰﾁｬｰﾄ・・・個人情報保護（2013年）
会社全体進んだ！
監査指摘で現場に変化が出ている！

ＲＭ部門が全社啓蒙中【解説】 クィックスタート版
・ガイドブックで啓蒙している・ﾘｽｸの特定・モニタリングがされてきた⇒コミュニケーションが弱い
・全体としてレベル2.5となっている
PDCAを回して浸透させたい
ｼｽﾃﾑ監査学会RM研究ﾌﾟﾛｼﾞｪｸﾄ©2013 JSSAシステム監査学会-「リスクマネジメント研究プロジェクト」 All right reserved.

37

リスクマネジメント研究プロジェクト 2012年度研究成果報告

5-8.JRMS評価から気づいたこと

SAの“継続的ﾓﾆﾀﾘﾝｸﾞと報告”が経営陣を動かすSAがC⇒Aを担っている（経営陣の理解と支援）

SAは“関連部署と連携しながら”定着を図る
ﾌｧｼﾘﾃｰｼｮﾝ技術で本部と現場を巻き込めたSAが“ｺｽﾄを上回るﾊﾟﾌｫｰﾏﾝｽ”を発揮するにはゆっくりと継続的に評価し続けて成果に繋がった
ｼｽﾃﾑ監査学会RM研究ﾌﾟﾛｼﾞｪｸﾄ©2013 JSSAシステム監査学会-「リスクマネジメント研究プロジェクト」 All right reserved.

38

リスクマネジメント研究プロジェクト 2012年度研究成果報告

5-8.リスクマネジメントシステムの成熟度モデルの考え方
未熟な企業は基盤固め

案ずるより試してみる

参考：ﾘｽｸ社会で勝ち抜くためのﾘｽｸﾏﾈｼﾞﾒﾝﾄ-JRMS2010
39
ｼｽﾃﾑ監査学会RM研究ﾌﾟﾛｼﾞｪｸﾄ©2013 JSSAシステム監査学会-「リスクマネジメント研究プロジェクト」 All right reserved.

リスクマネジメント研究プロジェクト 2012年度研究成果報告

5-9.仮説事例・・・個人情報保護による評価
個人情報保護の成熟度モデル
評価レベル
0 未認識・未対応
1 個人ごとによる対応
2 部門ごとによる対応
3 全組織による対応
4

全組織による管理された対応

摘要例
・個人情報保護について知らない。
・個人情報の識別を行っていない。
・個人情報について規則を決めた部門もなく、名刺を読み取ったファイルに個人的にパスワードロックをかけている人がいる。
・コールセンターでは、独自に個人情報保護についての規則を決めて、個人情報を保護している。
・全社的な個人情報保護についての規則があり、全組織に配布されている。
・全社的な個人情報保護について、担当する組織が作られている。
・個人情報保護について、規程どうりに実施されているかを定期的に監査し、経営者に報告している。
・全社的な個人情報保護を担当する組織は、他の組織で発生した個人情報

5

全組織による最適化された対応

漏えいについて情報を収集し、自組織の対策に不足している点がないかを見直している。
リスク社会で勝ち抜くためのリスクマネジメント-JRMS2010-より

情報管理レベル１～３に差し掛かった位置
組織的に対応する枠組みが必要
ｼｽﾃﾑ監査学会RM研究ﾌﾟﾛｼﾞｪｸﾄ©2013 JSSAシステム監査学会-「リスクマネジメント研究プロジェクト」 All right reserved.

40

リスクマネジメント研究プロジェクト 2012年度研究成果報告

5-10. 成熟度モデル活用による現場の実感！

大きな壁

大きな壁

参考：ﾘｽｸ社会で勝ち抜くためのﾘｽｸﾏﾈｼﾞﾒﾝﾄ-JRMS2010
41
ｼｽﾃﾑ監査学会RM研究ﾌﾟﾛｼﾞｪｸﾄ©2013 JSSAシステム監査学会-「リスクマネジメント研究プロジェクト」 All right reserved.

リスクマネジメント研究プロジェクト 2012年度研究成果報告

5-11.小売業のリスク評価の流れ（評価⇒2年目）
手順9

リスクチェックシート
による新評価

手順10

リスク評価・分析（成熟化モデル活用）
JRMS2010
評価ソフト

チェックシート

手順8
リスクマネジメント規程・手順書改定

手順2

手順１
小売業のモデル選定（仮説事例）

手順7
リスクマネジメント
方針の設定

手順3

モデルに基づくリスクの洗い出し
リスクの分類
リスクマップ

新たな段階でのリスク評価スタート

チェックシート

手順4

リスクマップ

手順6

小売業のリスクチェックシートの作成

手順5
リスク評価結果のマネジメントレビュー
ｼｽﾃﾑ監査学会RM研究ﾌﾟﾛｼﾞｪｸﾄ©2013 JSSAシステム監査学会-「リスクマネジメント研究プロジェクト」 All right reserved.

リスクチェックシートに基づく
リスク評価・分析（成熟化モデル活用）
JRMS2010
評価ソフト

42リスクマネジメント研究プロジェクト 2012年度研究成果報告

5-12.リスクマネジメント体制を定期的に評価
従業員の再教育が必要な段階になってきた

第4段階
未然防止・機会増大（事業継続ﾏﾈｼﾞﾒﾝﾄ）

第3段階：自ら理解する
ﾘｽｸﾏﾈｼﾞﾒﾝﾄ体制（定期的に評価）
第2段階：何かあった時に対応
危機管理規程（ｸﾗｲｼｽﾏﾈｼﾞﾒﾝﾄ）
第1段階：個人の技量で対応
ﾘｽｸﾏﾈｼﾞﾒﾝﾄ規程（内部統制構築）
ｼｽﾃﾑ監査学会RM研究ﾌﾟﾛｼﾞｪｸﾄ©2013 JSSAシステム監査学会-「リスクマネジメント研究プロジェクト」 All right reserved.

43

リスクマネジメント研究プロジェクト 2012年度研究成果報告

5-13.成熟度モデルを活用して良かったこと“大きな壁も「現場の理解」が突破する”
現場にノウハウが落ちている（情報交換）“事業継続における復旧方法は規模に関係なく”ｺﾐｭﾆｹｰｼｮﾝ（絆）と日常訓練（PDCAｻｲｸﾙ）

成熟度ﾚﾍﾞﾙの階段を一歩ずつ登り続ける！
あせらずにﾏﾈｼﾞﾒﾝﾄｼｽﾃﾑを築いていく
ｼｽﾃﾑ監査学会RM研究ﾌﾟﾛｼﾞｪｸﾄ©2013 JSSAシステム監査学会-「リスクマネジメント研究プロジェクト」 All right reserved.

44

リスクマネジメント研究プロジェクト 2012年度研究成果報告

ご静聴ありがとうございました。

ｼｽﾃﾑ監査学会RM研究ﾌﾟﾛｼﾞｪｸﾄ©2013 JSSAシステム監査学会-「リスクマネジメント研究プロジェクト」 All right reserved.

45