全日空システム障害に思う「企業風土と内部統制」

9月14日に全日空社の端末ダウンにより、同社は休日の利用客に大きな迷惑をかけてしまったわけでありますが、そのシステム障害の原因がなんとも「きわめて初歩的なミス」（同社ＩＴ推進室長のご発言）だったそうでありまして、ニュースを聞いた方も驚いたのではないでしょうか。（朝日新聞ニュースはこちら）といいますかニュースをよく読みますと、これはシステム障害というのは不正確でして、「手作業のミス」と言ったほうが正確かと思われます。（むしろシステムが正確に作動していたからこそ発生した不祥事というのが正しいですね）

この全日空社のシステム障害事件のニュースを読みまして、ＩＴに関しては素人ながら疑問に思いましたのが、なぜ自ら認めておられるような「きわめて初歩的なミス」だったにもかかわらず、４日間もその原因究明が遅れてしまったのか？という点であります。端末ダウンという事故を（昨年も起こしてしまったにもかかわらず）初歩的なミスによって発生させてしまったこと自体に非難が集中するのも理解できますが、それよりも私の場合は、こういった事故の原因がすぐに判明せずに丸４日間が経過した後に判明する、という事実のほうがよほど非難（問題視）されるべきではないかと思います。つまり効果的な再発防止策は、初歩的なミスが二度と発生しないように点検作業を万全に行うことではなく、ミスが発生することを前提として、そのリカバリー体制を万全とすることと、そのミスの原因が速やかに発見できる体制ではないでしょうか。そのほうがよっぽど利用客へ迷惑をかける度合が少なくなりますし、企業の信用棄損のリスクも低減することになると思います。また、なんといっても、「運用上の人為的ミス」のおそろしさをリスクとして実感できるのではないでしょうか。

データ暗号化機能の設定ミス（有効期限の更新手続きミス）にせよ、原因究明の遅延にせよ、これを単にＩＴ推進室や外部委託業者の責任問題とみなして「一件落着」とするのでは、おそらく再び原因不明のシステム障害を発生させ、利用客に多大な迷惑をかけることになるのは間違いないと思います。私の経験からすれば、こういった問題はおそらく「組織」に関わるところが大きいと思います。結局のところ、「あのＩＴ室長は優秀な人だから彼に任せておけば大丈夫」とか「あの業者は日本で一番安全確実だから、うまくやってくれる」といった「人の信用」に重きを置きすぎて、内部統制が機能しない状態に陥っていることに大きな原因があると考えます。「あの人のところではミスは起こらないだろう」といった気持を誰もが持っているとすれば、当然のことながらミスの発見は遅延します。また社内で成功体験を持った人のミスというのは、なかなか声を出していいにくいものであります。（これは組織の大小にかかわらず発生する場合があります）人から信用されるからこそ、大きな仕事を任せられることの「期待」に応えようとするのはよくわかります。しかしながら、こういった人の能力に頼りすぎる組織風土だからこそ、内部統制が必要となるのであり、本件のような場合には少なくとも独立部門によるモニタリングが不可欠になってくるはずであります。ＩＴ全般統制における保守管理部門に優秀な人材が投入されていることは、それだけをみれば内部統制の有効性評価にはプラスかもしれませんが、その評価はあくまでも当該部署に独立したモニタリング体制が存在することが前提であることを忘れてはいけないと思います。