A.K公認会計士/マネジメントコンサルタント金子彰良が企業の変革を管理・実行する際のキーとなる業務プロセス等の可視化ドキュメントの活用情報をお届けします。気になるトピックマイナンバー制度対応は、番号法等の関係諸法令やガイドラインを順守するために経営者が整備するコンプライアンスおよび情報管理体制の構築です。ガイドラインにいう「安全管理措置」とは事業者における「内部統制」そのものなのです。内部統制の構築が難しいと言われるのが、どこまで整備すれば良いか、マイナンバーでいえば特定個人情報を適切に取り扱うとはどの程度のことをすれば良いのかについて一律には規定することができないところにあります。ガイドライン検討会(事業者グループ)等において寄せられた質問に係る考え方」にある次の記述を読んだときです。取扱規程等については、事業者により規模、特性が異なること、実際に個人情報ファイルの取扱規程を作成するためには、各事業者の具体的な事務の流れを整理する必要であることから、当委員会としてこうした取扱規程の統一的なモデルを作ることは適当ではないと考えます。※太字は筆者による強調これは「安全管理措置に関する取扱規程等を作成するに当って、ひな型を提示して欲しい。」という質問に対する回答です。これを読む限り、特定個人情報の取扱いについてどの程度安全間措置を組み込めばよいかは事業者によって異なる(一律に規定することができない)という認識を持っていることがわかります。ガイドラインにはリスクの用語がない内部統制の構築ということであれば、リスクありきで考えます。ガイドライン案の安全管理措置の検討内容の記述では、リスクという用語が出てくると想定していました。ところが、ガイドラインには1回もリスクという用語は出てきませんでした。ちなみに、ガイドラインで示された検討手順は次の5つです。私と同じようにリスクについて触れていないことに疑問をもった方もいらしたようです。このガイドラインと同時に公表されたのが、「特定個人情報の適正な取扱いに関するガイドライン(事業者編)(案)に関する意見募集の結果について」です。考え方が記載されています。安全管理措置の検討手順」に、重要な手順の一つとして、「リスクなどの認識、分析及び対策」という項目及び「明確になった特定個人情報の範囲を踏まえ、その取扱い上のリスクを認識、分析し、必要なリスク対応策を検討することが重要である。」主旨の記述を挿入すべきである。安全管理措置は、事業者によって特定個人情報を取扱う環境や条件が異なることから、それぞれの状況に応じてリスクを認識した上で構築することが重要である。※太字は筆者による強調この意見に対する考え方は次のとおりです。御意見の手順は、E取扱規程等の策定において実施されるものと考えられます。個人的には「いやいやガイドラインを直そうよ」と思うのですが、おそらく、マイナンバー制度に対応しなければいけない事業者は限定されていないことから「リスクマネジメント」というものを中小規模事業者も含めてガイドラインで明示的に要求するのは控えたのかな、と当時は勝手に考えていました。思い起こせばここが分岐点だったのですね。ガイドラインに明示していないから気にされることがないですし、しかも上記考え方を読む人がいたとしても、「御意見の手順は、E取扱規程等の策定において実施されるものと考えられます。」というのは、実務的な手順を考えると説明が不足しています。取扱規程が先か、安全管理措置の整備が先かについては、双方向で影響を与えるのですが、少なくともどちらも安全管理の方針が決まっていないと作業に着手することはできません。いうことはその前提として、安全管理(=コントロール)がターゲットとするリスクは抽出されていなければなりませんし、もっと言えば、リスクの発生を識別するための業務分析が実施されていなければならないということです。これら全部をひっくるめて「E取扱規程等の策定」に押し込めてしまっているので、検討手順はシンプルになったものの、実際にプロジェクトのワーク&スケジュールに「リスク分析」を組み込める事業者は少なくなってしまった、ということになるのかと思います。ひな型を求める)姿が目立っていることにつながっているのでは、と思えてなりません。問合せの多い事項について、考え方を整理し、ガイドラインに関するQ&Aとして追加がありました。10:(別添)安全管理措置Q10-2事務取扱担当者には、特定個人情報等を取り扱う事務に従事する全ての者が該当しますか。A10-2事務取扱担当者は、一般的には、個人番号の取得から廃棄までの事務に従事する全ての者が該当すると考えられます。事務取扱担当者に該当するか否かを判断することも重要ですが、当該事務のリスクを適切に検討し、必要かつ適切な安全管理措置を講ずることが重要です。担う役割に応じて、定期的に発生する事務や中心となる事務を担当する者に対して講ずる安全管理措置と、書類を移送するなど補助的に一部の事務を行う者に対して講ずる安全管理措置とが異なってくることは十分に考えられます。発生する事務や中心となる事務を担当する者のみを事務取扱担当者と位置付けることも考えられますが、特定個人情報等の取扱いに関わる事務フロー全体として漏れのない必要かつ適切な安全管理措置を講じていただくことが重要です。「えっ?」と思いました。このQ&Aは事務取扱担当者の明確化に関連したものですが、私の関心は「当該事務のリスクを適切に検討し、必要かつ適切な安全管理措置を講ずる」というフレーズ。とも、やっぱり、ともとれてしまいます。公表しているQ&Aにかなり重要なことが盛り込まれています。この回答の中に「リスク」という表現を加えた意図を推し測ってしまうのですが考えすぎでしょうか。KANEKO業務プロセスを可視化(モデル化)し、その可視化されたドキュメントを中心においてプロジェクトを推進するアプローチを提唱している。経理・財務分野を主な専門領域として、業務プロセスの改善やシステム構築、組織体制の整備に関するコンサルティングに従事。PwCが2011年11月および12月に実施した調査報告の日本語版が公表されました。過去の調査においては、主に内部監査部門長を対象に調...記事を読むインテック「アサヒグループのMCFrame導入における”Fittingアプローチ”」とは飲料、食品メーカー大手のアサヒグループが、基幹系システムのグループ内の統合をはかり、年間5億円のコスト削減を目指しているという記事。