ポイント：日本版ＳＯＸ法、ＳＯＸ法、内部統制、ＩＴＩＬ、システム運用、ＣＯＳＯ、ＣＯＢＩＴ、ＳＯＡ

ＳＯＸ法とＩＴＩＬの融合って？

日本版ＳＯＸ法は関連範囲が広い

　日本版ＳＯＸ法が話題になっている。2006年のITの代表的なキーワードは日本版ＳＯＸ法とＳＯＡ（サービス指向アーキテクチャ）だろうと誰かが予測していた。日本版ＳＯＸ法は仕事として入ってきているため、調査のスピードアップをしている。それで今回の話題も日本版ＳＯＸ法である。ＳＯＡも調査をしている。それは日本版ＳＯＸ法とＳＯＡは当然関わりを持っているからである。

　日本版ＳＯＸ法はＳＯＡに限らず、実に多くのITキーワードと関わりを持っている。事業の最終的な結果である財務諸表の信頼を高める事がＳＯＸ法の最終的な目的であるため、当然の事だがIT以外のキーワードとも深く関わりをもっている。私のブログにも以前書いたが、ざっと関連しそうなキーワードをあげてみると、BPR、BPM、ERP、e-文書、文書管理システム、セキュリティ、システム監査、COSOフレームワーク、COBIT、ERM、SOA、新会社法、ITガバナンス･･･等などがあげられる。かなりITに偏っているキーワードであるが、私はITが専門なので情報発信レベルでは会計や法律に関するキーワードはそれぞれの専門家に任せたい。

　ITの活用によって最も期待されているのは「会社の透明性の実現」である。それはシステムの設計、開発時から運用時までシステムのライフサイクル全てに「透明性を実現しようとする」思想が反映されて、会社の透明性の実現は達成されると思う。

　設計、開発は重要であるが、特に重要なのが運用である。いかにシステムが堅牢に作られていても、運用の意識、操作によって、とたんにシステムが信用を失う例が昨年は特に多かった気がする。企業や自治体向けの危機管理のISOが作られるというニュースも入ってきている。

　日経ソリューションビジネスの'05/12/15号では、せっかく実を結び始めたＩＴＩＬに、日本版ＳＯＸ法という新たなキーワードが降りかかってきたことに危惧している。ＩＴＩＬとは、システムの運用プロセスを可視化、標準化し、サービスレベルを明確化するためのものである。同誌では、日本版ＳＯＸ法とＩＴＩＬは水と油ではないので「融合」して提案すべきだ、と言っている。私も同感である。

　では「融合」して提案すべきとはどういうことかを考えてみたい。

ＩＴＩＬと日本版ＳＯＸ法でのシステム運用の考え方

　ＩＴＩＬとは簡単に言うと「運用プロセスの可視化」「運用プロセスの標準化」「サービスレベルの保証」を実現しようという運用サービスの変革である。一方の日本版ＳＯＸ法は「内部統制を前提にした高品質な運用サービス」の実現である。ＩＴＩＬと日本版ＳＯＸ法での最大の違いは何だろう？　ＩＴＩＬは「ほぼ無法地帯であるシステム運用を改善して品質向上、コストダウンを目指す」という経営課題への対応策である。一方の日本版ＳＯＸ法はすべての上場企業が適応対象となる罰則を伴う法律である。

　単純に考えて、人はどちらを優先事項と考えるであろうか？　言うまでもなく規制のある法律のほうである。それは、昨年の個人情報保護法施行にあわせて、Pマーク取得ラッシュがあったことからも分かる。ただ、この時にただ単に個人情報保護法に対応するために社内体制を整えた企業以外に、顧客情報の有効活用を視野に入れて個人情報保護法への対応を行った企業があるとの話も伝わってきた。

　今回の日本版ＳＯＸ法も同じように考えるべきなのではないだろうか？

内部統制を実現を支援するIT

　日本版ＳＯＸ法では内部統制を実現する考え方として「全般統制」「業務処理統制」という考え方を提示していた。'05年の11月に発表された修正案はこの言葉自体は削除されたが、考え方は踏襲されている。内部統制を理解するうえでITの位置づけがわかり易いので、日経ソリューションビジネスの'05/12/15号の記事を参考にしつつ説明したい。

　まず、「業務処理統制」は業務アプリケーションの業務ロジックによる統制を示している。つまり受発注、回収、また生産実績収集、在庫管理などの財務データにかかわるプロセスの処理が正確に処理され、記録されることをアプリケーションの機能によって確保することである。

　もうひとつの「全般統制」はシステムの構築、運用、変更が正しく行われ、ハードやソフトなど各業務を動かすITインフラが有効に機能しているかが求められる。つまりインフラ部分の「全般統制」の上に各業務の「業務処理統制」がのっかり、全体として「内部統制」の実現が行われるとの考え方である。

　私のコラム「ＥＲＰソフトとは」で少し触れたが各業務の「業務処理統制」は各業務アプリケーションの機能になる。ＥＲＰソフトに限らず、「業務処理統制」を実現する思想でシステム構築、変更を行うべきであろう。

　そして今回テーマにしているシステム運用プロセスでは、やはりＩＴＩＬに照らし合わせるのがよい。日経ソリューションビジネス'05/12/15号のステップによると･･･

①日本版ＳＯＸ法（米ＳＯＸ法も）は、内部統制のフレームワーク「ＣＯＳＯ」に準拠している。
②ＣＯＳＯの構成要素はITガバナンスのフレームワーク「ＣＯＢＩＴ」と対応付けられている。
③ＣＯＢＩＴが定めた管理目標を現場の運用に落とし込むときにＩＴＩＬに照らし合わせる。

このような、段階的思考を提示してもらえると、日本版ＳＯＸ法とＩＴＩＬの「融合」のヒントが見えてくる。

参考　日経ソリューションビジネス'05/12/15号　　

2006年01月23日宿澤直正記

[事務所TOP] [コラム一覧へ]