情報管理と内部統制

旬刊経理情報の９月１０日号、同２０日号の連載で、「ＮＴＴドコモにおけるＳＯＸ法４０４条への対応～プロジェクト運営から見える日本企業への示唆～」として、実際に米国の基準をクリアした内部統制システム構築担当者の論稿（体験記）が掲載されましております。文書化プロセスの流れや構築上の悩みなど、たいへん興味深いものです。これを執筆されたＮＴＴドコモの担当者の方、最近までＮＴＴコムに在籍されていらっしゃったようで、財務上のシステム監査への対応などにも造詣が深いのでしょうね。NTTコミュニケーションズあたりは、まさにこれからのシステム監査への対応を中心とする内部統制システムの「伝道師」的立場にある会社といえましょう。

ただ、内部統制の限界ともいうべき事件が、このNTTコムの周辺で発生してしまったようです。業務の外部委託先であるシステム開発会社の代表者から、「３億よこせ。そうでないとお宅の保有している顧客情報を漏らすぞ」と脅され、結局この代表者は恐喝未遂で逮捕されてしまった、というものです。　　朝日ネットの記事です。（９月１７日）

自社の内部統制システム構築には万全を期していても、自社情報を共有する外部委託先企業とのトラブルが発生してしまうと、結局自社の対策が水泡と帰してしまう可能性があるというのは恐ろしいことですね。ちなみに、このＭＰＩという企業のＨＰをみつけました。

　エム・ピー・アイ（渋谷区）

今年の５月にプライバシーマークも取得しており、誠意をもって個人情報を守りますと謳ったＨＰの内容からは、企業名のとおり「誠実性」がうかがわれます。天下のＮＴＴコムさんが顧客情報を共有していた企業ですから、それなりの実績もあり、信用もあったのでしょう。しかしながら、今回のような代表者の事件。いきなり「３億よこせ」というのはちょっと考えられませんので、おそらく取引上の経緯があったのだとは思いますが、こういった統制リスクというものは、人から教えられて防止できるものではないでしょうね。外部委託先との顧客情報の共有に関するリスク回避、というのは教科書的には理解できるものですが、実際のところは回避困難なリスクであって、おそらく内部統制の限界のひとつに含まれるのではないでしょうか。

すでにいろいろなところで、ＮＴＴコムさんが講師となって「システム監査」の研修会など、されておられるようですが、どうか今回の事故について、どうしてこのような事態になったのか、どうしたら外部委託先とのトラブルを防止できるか、情報漏えいの有無については、どのように調査確認をして、いつ顧客に明確な報告をするのか等も含めて、どうか講習をしていただきたいと思います。リスクというのはどんなに防止策をとったとしても発生しうるもの、むしろ発生後にそのリスクの影響を最小限度に抑える方策というものも、たいへん重要な作業であり、他社にも非常に勉強になるものではないでしょうか。