環境コンサルティングとはどのような業務なのでしょうか。今日の環境問題は複雑化し、多様化しています。関わる政策支援に至るまで、幅広く対応しています。コンサルティングでは、2003年2月に施行された土壌汚染対策法により、コンプライアンスの観点から、建設における土地汚染のリスクの問題は避けて通れないものになりました。簡単に言えば、土地を売る際には土壌がきれいになっていることを保証することや、工事によって地下水が汚染されるようなことがあれば施工主が責任を取らないといけなくなったということです。当社では、昭和初期から10年ごとの土地の経年変化のデータに基づき、汚染の可能性を判断することができます。建設予定地に以前工場があったとすれば、何らかの汚染源の存在が考えられ、確認のための調査や対策が必要になる場合があります。当社では、汚染の可能性調査から対策のための調査、浄化対策まで、トータルなソリューションを提供しています。続いて、防災コンサルティングについて教えてください。毎年、豪雨や地震などに伴う土石流、地滑り、崖崩れ、雪崩などの災害が多発しており、国民の生活に多大な被害を与えています。都市化の進展に伴い、都市周辺の山麓部まで宅地が開発され、災害危険箇所が増加傾向にあります。そこで当社では、土砂災害などから人命や財産を守るためのハザード対策として、砂防施設や斜面対策上の計画や検討を行い、人々が安全、安心に暮らすことができるよう社会基盤作りのお手伝いをしています。これらの計画や検討に航空レーザー計測による詳細な地形データの赤色立体図や、デジタル航空カメラによる詳細な航空写真を活用しています。設計コンサルティングについて教えてください。まで、保全エンジニアリング全般のコンサルティングを行っています。最後に、情報システム事業について教えてください。利用者が多いのが、固定資産管理システムや道路管理システムです。『統合型GIS(地理情報システム)』にも取り組んでいます。官公庁や自治体では、複数の業者が提供している地図データを利用しています。地図データは原理的には緯度、経度情報の集まりです。ところが、実際は緯度、経度の基準となる形式が各社で異なることがあります。それぞれの業者が提供する専用ソフトでないと閲覧できないようになっているのです。アジア航測の統合型GISは、お客様が持っている、あらゆる地図データを1つのソフトウェア上で共有する仕組みです。必要な地図データさえあれば、わざわざ測定しなくても、それを購入すれば良いだけになるので、データ整備コストを大きく節約することができます。他には、固定資産税業務の支援ソリューションもあります。固定資産税は、周囲の建物の増減などで税額が変わってきます。ことが税金ですから、公正な土地評価をしないと住民とのトラブルにもなりかねません。当社では空間情報の提供や基礎資料としての地番図や家屋図の作成を行います。航空写真や360度全周囲撮影の技術を使って作成した正確な経年変化箇所情報を継続して提供したり、評価基準のマニュアル提供や土地評価システムそのものの提供等、幅広くソリューション展開をしています。面白いものとしては、携帯電話のGPS機能を有効活用したものもあります。道路や河川の保全状況をパトロールする部隊が自治体にはありますが、彼らは現場を回って情報収集し、事務所に戻って日報を作成します。その日報作成がかなり面倒なのが課題でした。当社では携帯電話にアプリケーションを組み込むことで、現場で撮影した写真から位置情報や調査結果をリアルタイムで送信できるようにしました。これにより日報作成が自動化された上、色々な人の目で状況をチェックできるようになったことで、以前よりも正確な報告が可能になりました。我々のような一般人に直接関連しているサービスはありますか。auの『災害時ナビ』や『るるぶWorld』等は、当社が地図データと情報システムの提供/保守をしているという意味で、身近なサービスではないかと思います。最近は中高年の方々の間でサイクリングがブームと聞いています。昭文社の『シティサイクリングマップル』という地図は、坂道の傾斜を色を変えて表示することで、平面地図なのに三次元に感じられるようになっています。これにも当社の技術が使われています。行動規範を浸透させるための取り組み貴社が「空間情報コンサルタント」を自称されている理由がよくわかりました。ここからは、財務情報の正確性を担保するJ-SOX対応における取り組みについて伺います。始めに、J-SOXの前提とも言える内部統制全般やコンプライアンスについて、貴社ではかなり詳細な行動規範をホームページに公開されていますが、行動規範が作成された経緯を教えてください。当社は極めて公共性が高く、また住民の安全や環境の保全に関わる業務に関わっているため、社員には高い倫理観が求められますが、過去に2度ほど公正取引委員会の排除勧告を受ける等の重大なコンプライアンス違反を起こしたことがあります。そこで、以降二度とそのようなことがないようにとの戒めを込めて、行動規範の公開に踏み切りました。2002年1月に役職者向けの行動規範を作成し、徐々に社員全体に対して整備を行ってきました。2008年12月には経営理念を改定し、「事業は人格の集大成である」、「事業は社会のために存続する」という文言を加えて、さらなる行動規範の徹底を図りました。本社を始めとして札幌から沖縄まで46の支店/営業所(2009年10月現在)がありますが、このすべてで行動規範が遵守されていることをチェックするのは大変だと思われます。どのようにされているのでしょうか。現状は、組織構造で対応しています。コンプライアンス委員会が中心となり、全社に周知させるための対応指針を出します。その指針に基づき、教育用の冊子等を作成し、各拠点の長に冊子が人数分配布されます。拠点長は、拠点のコンプライアンス教育責任者を兼ねており、拠点長から部下に冊子が配布されます。その際に冊子と引き換えに、コンプライアンス指針を遵守する旨の誓約書を書いてもらっています。冊子は定期的に配布し、その都度誓約書も集めます。コンプライアンス指針の違反が発覚した場合は、懲罰対象になります。コンプライアンス委員会直通の相談/通報ルートがあり、違反を発見した場合は相談/通報することが奨励されています。外部への相談/通報ルートも整備されています。公共性の高いデータをお持ちなので、機密漏えいにも目を光らせていると思うのですが。官公庁から預かっているデータの中には機密性の高いものもあるため、先に説明したような厳しいコンプライアンスの仕組みが必要となるのです。準拠しており、重要情報や機密情報の管理を徹底しています。人事異動の際には、技術者個人と一緒に情報(業務)もついていく場合が多く、その技術者が担当していた仕事を引き継ぐ技術者もいるので、アクセス・コントロールなどを含めた高度な引継ぎが必要になってきます。我々経営情報部にとっては、権限の定期棚卸しやデータの移行など大変な作業ですが、最大限に努力しなければならないところです。少人数のシステム部員で開発/運用の分離を求められた技術者集団のため、ITリテラシーの高い社員の方が多いと思いますが、貴社における情報システム部門の役割について教えてください。経営情報部のメンバーは、部長を含めて11名しかいませんので、効率よく役割分担をするために、情報システム・フレームワークに則った形で業務を行っています。情報システム・フレームワークとは、具体的にはどのようなものですか。情報システム・フレームワークでは、業務システムを3つの基盤に分けています(図2)。全国約60箇所の拠点と8つの関連会社を結ぶネットワーク基盤、2500台のPCと400台のサーバを標準化して管理するPC管理基盤、その上に情報共有基盤があります。情報共有基盤は、情報系システムと基幹系システムがあり、基幹系システムは、主に営業システム、生産管理システム、会計システムの3つにわかれています。このうち、ネットワーク基盤とPC基盤、情報系システムは、総勢6名のチームで対応しており、こちらは2004年からISMSをベースに管理しています。基幹系システムは他の4名で対応しており、こちらに今回J-SOX対応のためのシステム導入を行いました。アジア航測の情報システム・フレームワークJ-SOX対応ということで、監査人から受けた指摘の内容を教えてください。一番に指摘されたことは、特権IDの管理強化でした。特権IDの使用ログを取得することや、パスワードの定期的な変更を求められました。次に重要な指摘としては、開発業務と運用業務の分離ができていないという点でした。その他の指摘事項としては、本番移行の手続きの見直しでした。上長の承認を経ずに開発者が本番環境にプログラムやデータを移行できてしまう点や、不適切なシステム変更を防止できない可能性がある点を指摘されました。これらの指摘事項に組織的に対応することは、システム部員が少ないため、現実的にはかなり難しい要求でした。基幹系システムの対応人数は4名といっても、特権IDを使って作業を行うようなメイン担当者は2名であり、これまではシステムごとに開発担当と運用担当を入れ替えて、相互に牽制できるようにしていましたが、実際にシステムが稼働する物理サーバが共有されていることもあり、開発と運用の分離への対応は、かなりの難題でした。少ない人員の中で特権ID管理を行うにあたって、リアルタイムにもう1人の担当者と上長双方に対し「今、特権IDを使って作業していますよ」と通知することによる牽制の仕組みを構築したいと考えました。通知方法としては普段から利用しているアプリケーションとしてメールが適していると考えました。メールが大量に送信されてきた場合、1通1通のメールを確認することは、正直厳しいと思います。メールソフト側でフィルタリングされた特権ID使用通知メール・フォルダを、迅速に手軽に確認できることは利便性が高いと考えたのです。加えて、メールによるリアルタイム通知だけではなく、特権ID使用実績レポートも提供して欲しいというのが、システム実装における当社側の主要な要件でした。監査人からの指摘は、いつ受けて、いつまでに対応しなければならなかったのですか。2009年5月末のIT統制監査で指摘を受けました。当社は年度末が9月になりますので、8月末に次の監査があり、対応はそれまでに済ませなければなりませんでした。対策システムを導入するだけでなく実稼働していなければなりませんので、8月中旬には対応済みのシステムが稼働している必要がありました。当初の予定では、7月には稼働させたかったのですが、製品情報収集や社内調整に時間がかかり、実際には8月15日に稼働開始し、8月29日の監査になんとか間に合わせることができました。今回の特権ユーザ管理プロジェクトが、アシストとの初めての取引だったと伺っています。最初の接触はどのような形だったのですか。リスク・マネジメントのイベントに出展していたアシストのブースに偶然立ち寄ったのが最初だったと思います。2008年8月のことです。改善の一環としたログ管理製品の情報収集が目的で、J-SOX対応を意識しての情報収集ではありませんでした。アシストの営業担当は、その後も継続的に情報提供をしてくれたため、その縁で、今回のJ-SOX対応の提案依頼書を出したというわけです。何社に提案依頼を出したのですか。選定はどのように進められましたか。要件と各社の提案のマトリクス表を作って、各社の要件対応度合いを評価しました。価格と納期を確認しました。アシストを選定した理由を教えてください。「不備を期限内に対応できそうだと感じたこと」が大きな理由です。他社の提案はどれもしっくりきませんでした。すべての要件にトータルに提案されていたものはありませんでしたし、提案価格も高かった。受け入れ難かったのは、短期間の実装を希望していたのにも関わらず、アプリケーションの改修を必要とするカスタマイズ提案が大半だったことです。それに対して、アシストの提案は全要件に対応しており、価格も適正感がありました。何よりも良かったのは、製品機能を活用したアプリケーション改修が不要な提案内容になっていた点です。先ほど基幹系システムのメインの担当者は2名だと申しましたが、さらに付け加えるとこの2名は基幹系システム開発当時からいたメンバーではありません。したがって、短期間にアプリケーションの改修をスケジュールに組み込むのは、当社としてはリスクが高く、避けたかったのです。アシストの提案内容を教えてください。結論を言えば、開発と運用の分離は目的ではなく、あくまで各種リスクを低減するための手段であり、そのことに焦点を当てた提案になっていました。J-SOX対応におけるIT全般統制で考えられるリスクは、承認されていないプログラムが担当者の判断で本番環境に導入されたり、不正アクセスによる改ざんがあったりすることで、財務諸表データの信頼性が低下するということです。アシストは、少ない人員の中でも実現可能な情報システム部門内の職務分離や適切なプログラム変更について、ツールの活用を通じて、短期間で実現できる提案をしてくれました。特権IDは、IDだけでは個人が特定できない匿名性のあるIDであることに加えて、あらゆる権限を持つスーパーユーザ権限のIDであるため、特権IDを使用する作業は大変リスクが高い。ツールを介することで、既存のシステムに変更を加えることなく、特権ID使用者の個人特定を確実に行えるだけでなく、実際の職務権限に応じた範囲内に特権IDの権限を制御することが可能となる。適切な承認を受けていないプログラムが本番環境に登録されていないことの証明プログラム変更作業が可能なユーザをあらかじめ指定しておくことで、それ以外のユーザの作業を制限する。ルールに違反したアクセスがあった場合には、その旨、判別できるようにエラー出力する。3製品の機能を相互に連携させて活用することで、要件を満たした特権ID管理システムを実装するというのがアシストの提案でした。短期間での確実な実装が求められるという点では、大変リスクの高い案件です。不安はなかったのですか。担当営業の方とはこれまで何度もお話をしてきていたので、人間性に対する信頼という意味では不安はありませんでした。技術の方に対しても、提案時の面会を通じて、またメールを含めた質疑応答の中で真摯に応えようとする人間性を感じ、アシストとなら「期限内に不備に対応できそうだと感じた」のです。アシストがJ-SOX対応におけるシステム実装の実績が多く、安心できたという点もプラス要素ではありましたが。他社提案の中には、製品そのものには魅力があるものもありましたし、製品に大変詳しい技術者もいました。短期間での実装となると、横連携がうまくできていない点や、顧客志向というよりも製品志向である点が気になりました。アシストの場合はそのようなことがなく、提案関係者全員が一体となって、顧客の要望に応えようとする姿勢が見えました。短期間で実装が求められるようなリスクの高い案件に関しては、最終的には担当者の人間性と努力、さらに担当者をバックアップする技術的、組織的なサポートが最重要成功要因になります。アシストを選んだ積極的な理由は、営業と技術が一体となって、何とかして我々の要望に応えたいとする姿勢を感じたことです。いえ、初めての取引ですので、何らかの不満があってもおかしくないと思うのですが。実際の導入の時に、小さな不満はあったのだと思うのですが、今は、本当にこれといって思いつきません。それは結果が最高だったからかもしれません。8月29日のIT統制監査では、重大不備がゼロ、軽微な不備が1件という高評価をいただきました。社外のシステム・コンサルタントの方によると、企業によっては不備の改善案だけを考えて、実装は来年度に回すところもあるようですが、コンプライアンス重視の観点から、我々としてはなんとしても初年度から良い結果を出したかったので、この監査人の評価は本当に嬉しく思いました。1つだけ意思疎通で問題があったとすれば、システム実装着手当初に、当社が求めた要件の重要性についての共有がうまくできていなかった点でしょうか。提案内容に一部不備があって、製品の持つ機能だけでは実現できないとわかった時に、他社での実例を引き合いに出し、その機能を実装しないという提案に切り替えたいという申し出がアシストからありました。他社では実装していない要件だったかもしれませんが、当社としてはどうしても譲れない要件でしたので、その旨をアシストに伝えました。アシストからは、その後、各製品機能をうまく組み合わせることで同様のシステム実装を実現する提案が行われ、何とか対応してくれました。当社としては、機能要件が満たせれば実装方法については特に問題はなかったので、今となっては、特に気になりませんが、この時の対応を通じて、当社が何を優先しているかを理解してもらえたような気がします。アシストの取り組み全般に関する評価をお聞かせください。結局この短期間で、提案通りに実現してもらえたわけですし、導入作業を見ていて、アシストの組織力や社風はすばらしいと思いました。具体的なエピソードはありますか。今回3つの製品を導入しました。多くの会社ではそれぞれの製品担当者が個別に対応するケースが多いのですが、アシストは窓口の技術者を2名指定してくれました。1人は提案当初から携わっていたメンバーで、主に営業と我々とのやり取りをフォローする担当。1人は3製品の技術間の調整と我々とのやり取りをフォローする担当です。短期間でのスムーズかつ確実な実装のための体制だったと伺っていますが、当社としてはその担当者が情報を精査してくれていたので、大変助かりました。当社が個別に製品技術者とやり取りをしていたら、この短期間では導入できなかったと思います。今後は、内部統制に関してどのような取り組みをされていくおつもりですか。現時点では、マネジメントシステムが乱立していて、コストもかかるし、人手もかかる上、思うような効果が出ていません。今回の導入でわかったのは、ISMSよりもJ-SOXのほうが組織コントロールという点で一段レベルが高いということでした。そこで、ネットワーク基盤やPC基盤の仕組みを再整理していく中で、今回導入したシステムをベースに横展開をしていこうと考えています。各システムにセンサーとなる機能を組み込み、そのセンサーから送られてきたログを集約し、一元管理することで、そのログだけをモニタリングしていれば済むような運用形態にするという構想です。これにより、今まで以上にユーザの情報システム活用をサポートすることに注力できます。ユーザの情報活用促進結果の還元として、お客様へより高度なサービスを提供していけるようになればと思っています。構想実現に向けて、アシストに期待することがあれば、お聞かせください。全体最適化を目指す中で、運用管理面の高付加価値化が求められます。今回の案件のように複数製品の総合力を引き出すような「マルチベンダー力」です。本案件を通じて、アシストが運用管理分野に長けたベンダーであるとの認識を持ちましたので、引き続き、その期待を裏切らず、これからも柔軟かつ積極的な提案をお願いします。)および株式会社アシスト北海道)のコンピュータ・ソフトウェア・パッケージの販売、テクニカルサポート、研修およびコンサルティング・サービスに対してISO27001の認証を取得しています。