6-2 コンプライアンスと標準化
コンプライアンスと標準化
コンプライアンスは、法令だけでなく、契約、社内規程、社会規範、倫理を守り、説明責任を果たすことです。標準化は、製品、サービス、データ、手順などの取決めを共通化し、互換性、品質、安全性、効率を高める活動です。
この節の目標は、組織が違反や不正を予防・発見・是正する仕組みを説明し、JIS、ISO、IEC、デファクトスタンダードなどの標準を目的に応じて区別できるようになることです。
1. コンプライアンスを組織活動として捉える
| 概念 | 主な目的 | 具体例 |
|---|---|---|
| コンプライアンス | 法令、契約、規程、倫理を守る | 個人情報、労務、取引、知的財産のルールを守る |
| コーポレートガバナンス | 経営を監督し、健全な意思決定を確保する | 取締役会、監査、権限・責任の明確化 |
| 内部統制 | 業務を適正かつ効率的に実施する仕組み | 職務分掌、承認、アクセス制御、照合 |
| CSR | 企業が社会や環境へ果たす責任 | 人権、安全、環境、地域社会への配慮 |
| 情報倫理 | 情報を扱う際の望ましい行動規範 | 誤情報を拡散しない、権利やプライバシーを尊重する |
「法律に違反しなければ何をしてもよい」という考え方では、社会的信用や取引先との信頼を失う可能性があります。社内規程や倫理基準が法令より厳しい場合もあります。
2. 内部統制は目的と対策を対応させる
| リスク | 統制活動の例 | 期待する効果 |
|---|---|---|
| 一人で発注・検収・支払を行う | 職務分掌、相互確認 | 架空発注や不正支払を防ぐ |
| 権限のない社員が顧客情報を見る | 最小権限、定期的な権限棚卸し | 不正閲覧や漏えいを防ぐ |
| 金額を誤入力する | 入力チェック、承認、元資料との照合 | 誤処理を早期に発見する |
| 操作の経緯を追えない | ログ取得、時刻同期、保存、監視 | 事後調査と抑止に役立てる |
| 退職者のアカウントが残る | 退職手続とアカウント停止を連携する | 不要なアクセスを防ぐ |
統制は強ければ強いほどよいわけではありません。リスクの大きさと業務効率を比較し、重要な業務へ重点的に配置します。
3. 完全ケース：架空発注を防ぐ
購買担当者Aは、取引先の登録、発注、納品確認、支払申請を一人で行えます。この状態では、実体のない取引先を登録し、架空発注を行うリスクがあります。
改善策は次のとおりです。
- 取引先登録を別担当者の承認制にする。
- 発注者と検収者を分ける。
- 請求書、発注書、検収記録を照合する。
- 一定金額以上は管理職の承認を必要とする。
- 取引先口座の変更履歴と操作ログを監視する。
- 内部監査で例外取引や分割発注を抽出する。
「全社員へ注意メールを送る」だけでは、権限集中という原因を解消できません。教育とシステム・手続上の統制を組み合わせます。
4. 違反を発見したときの対応
- 人命・情報・資産への被害拡大を防止する。
- 証拠となる記録やログを適切に保全する。
- 責任者、法務、情報セキュリティ、内部通報窓口などへ報告する。
- 事実、影響範囲、関係法令・契約を調査する。
- 必要な報告、通知、是正、懲戒などを適切な手続で行う。
- 原因を分析し、権限、手続、教育、監視を改善する。
通報者への不利益取扱いを防ぎ、相談・通報経路を明確にすることも重要です。うわさだけで個人を断定したり、証拠を削除したりしてはいけません。
5. 標準化が必要な理由
標準化は、多様化・複雑化した製品やサービスを一定の取決めによって整理し、次の価値を生み出します。
- 製品やシステム間の互換性を確保する。
- 品質と安全性の基準を共有する。
- 生産、調達、保守を効率化する。
- 用語、記号、データ形式を統一し、誤解を減らす。
- 国際取引や技術普及を進める。
- 利用者が製品・サービスを比較しやすくする。
例えばUSBのように接続規格が共通化されていれば、異なるメーカーの機器を接続しやすくなります。社内でも、商品コード、日付形式、承認手順を標準化すると、データ連携や教育が容易になります。
6. 規格と標準化団体を区別する
| 名称 | 位置付け・分野 | 代表的な対象 |
|---|---|---|
| JIS | 産業標準化法に基づく日本の国家規格 | 製品、サービス、試験方法、管理など |
| ISO | 電気・電子技術分野を除く幅広い分野の国際標準化機関 | 品質、環境、情報管理など |
| IEC | 電気・電子技術分野の国際標準化機関 | 電気機器、電子技術、安全など |
| ITU | 電気通信分野の国際連合の専門機関 | 通信方式、周波数、通信網など |
| IEEE | 電気・電子・情報分野の専門家組織 | LAN、無線LANなどの技術標準 |
| W3C | Web技術の標準化を進める団体 | HTML、CSSなどのWeb技術 |
JISは原則として任意の国家規格ですが、法令や契約で引用された場合、その範囲で遵守が必要になることがあります。「JISだから全て強制」「ISO認証がなければ事業できない」と一律に判断しないことが重要です。
7. デジュール・デファクト・フォーラム標準
| 種類 | 成立の仕方 | 例の考え方 |
|---|---|---|
| デジュールスタンダード | 公的・国際的な標準化機関の手続で制定される | JIS、ISO、IECなどの規格 |
| デファクトスタンダード | 市場競争の結果、事実上広く利用される | 特定製品の形式が市場で優勢になる |
| フォーラムスタンダード | 複数企業・団体が協議して定める | 業界コンソーシアムの共通仕様 |
「広く使われている」というだけならデファクト、「正式な標準化手続で制定された」ならデジュールという違いを確認します。
8. マネジメントシステム規格を理解する
| 規格の例 | 対象 | 目的の例 |
|---|---|---|
| ISO 9001 | 品質マネジメント | 顧客要求を満たす品質管理の仕組み |
| ISO 14001 | 環境マネジメント | 環境影響を管理・改善する仕組み |
| ISO/IEC 27001 | 情報セキュリティマネジメント | 情報セキュリティリスクを管理する仕組み |
| ISO 22301 | 事業継続マネジメント | 重大な中断へ備え、事業を継続・復旧する仕組み |
認証は「事故が絶対に起きない」「全製品の品質が最高」と保証するものではありません。組織が規格に沿ったマネジメントシステムを構築・運用しているかを評価します。
9. 標準を採用する判断手順
- 標準化する対象と目的を明確にする。
- 法令、契約、業界要件で必須か確認する。
- JIS、国際規格、業界標準、社内標準を調査する。
- 互換性、品質、安全、費用、将来性を比較する。
- 適用範囲、例外、移行方法、責任者を決める。
- 教育、監査、改訂管理を行う。
標準を導入するだけでなく、規格改訂や業務変化に応じて社内手順も見直します。
10. よくある誤りと理由
- コンプライアンスは法令遵守だけと考える：契約、規程、倫理、社会規範も含みます。
- 教育だけで不正を防げると考える：職務分掌、承認、権限、ログなどの統制も必要です。
- 内部統制と内部監査を同じと考える：統制は業務の仕組み、監査はその有効性を独立して評価します。
- JISは全て強制規格と考える：原則は任意ですが、法令や契約で引用される場合があります。
- ISOとIECの分野を逆にする：IECは電気・電子技術、ISOはそれ以外を含む幅広い分野を担当します。
- 広く使われる規格は全てデジュールと考える：市場で事実上普及したものはデファクトです。
- 認証取得を最終目的にする：実際のリスク低減と継続的改善が目的です。
11. セルフチェック
- 法令、契約、社内規程、倫理のどれに関する問題か。
- リスクの原因と内部統制が対応しているか。
- 予防、発見、是正のどの段階の対策か。
- JIS、ISO、IEC、ITU、IEEE、W3Cの役割を区別したか。
- デジュール、デファクト、フォーラム標準の成立過程を説明できるか。
理解を確認したら、第6章の練習問題と第6章の知識カードで組織的な対策と標準を判定してください。個別の法律と契約は、法務で確認できます。
公式範囲・標準化資料との対応
本節は、IPA「ITパスポート試験シラバス Ver.6.5」のその他の法律・ガイドライン・技術者倫理、標準化関連に対応し、コンプライアンス、コーポレートガバナンス、内部統制、CSR、JIS、ISO、IEC、デジュール・デファクト標準などを扱います。