2010年7月 Archive

ITベンチャーが、ISOを取得する上で、
注意しなければいけない点をお話しています。

ISO20000を取得する上で、圧倒的に有利な人材がいます。
それは、

・メーカー出身者

です。もちろん、ITILを学んだ人も有利です。
同様に、ISO構築チームに、メーカー出身者がいたら、同じくらい重宝されると思います。

ISOの基本は、ISO9000です。ものづくりの品質管理の世界。
このベースとなる考え方、言葉は、ITベンチャーには正直、馴染みがないのです。
「開発？やってないよ、うちは運用だけだよ」という会社はなおさら。
ちなみに、ここで言うメーカーは、開発を含みます。
開発は立派なものづくりだからです。
開発のマネジメントを規定した「PMBOK」とISO20000が一緒に語られること、なんとなく多いと思いませんか？

取得のときを振り返ると、要求事項書いてある「間接費の配賦」の"配賦"読み方を、隣の席の人と「ハイフ？ハイブ？」と悩んでみたり。
「目標」を立てても、学校の「めあて」とか「スローガン」とか、それに近いものだったり。
うーん、なんか違う（というか大間違い）。
「基本は9000だよ」とセミナーで聞いた足で、
品質管理関連の入門書を読みあさることになりました。

取得を目指される方は、まず、ISO27001や20000関連の「図解」から入ると思うのですが、もう一冊、品質管理の図解も本棚にぜひ加えてください。
要求事項（特に前半のマネジメントシステムの部分）がよくわかるようになります。

先日、ソフトウェアのQAの仕事をされていたエンジニアさんが、
ご入社されたのですが、まるで留学中に日本人に会ったかのような感動を覚えました。
「間接費の配賦は・・・」と聞くと、「ハイブorハイフ論」より先に、
「データセンターは○○で、回線は××で、工数は▼▼で管理して、顧客ごとにこんな風に...」
と予実管理をしている資料を見せてくれました。
わぁ、話が早い！！

「ものづくり」では、体系化された考え方があり、管理手法があります。
メーカー出身の方は、それを普通に使いこなしているのだな、と頭が下がりました。
ISO20000はITサービスの「品質管理」なので、ISO27001以上に、
ISO9000で定義されているような、QCDや顧客要求事項、という考え方が重要です。

ISOの構造としては、どの規格も共通で、
・「マネジメントシステム」の要求
・「個別の分野の要求（品質、環境、セキュリティ、サービスetc）」の要求
の2つで構成されています。プライバシーマークも同じですね。
マネジメントシステムの要求に、個人情報保護に特化した要求が乗っかっています。

ITILを学んだ人が重宝されるのは、後者の部分。
メーカー出身者が重宝されるのは、前者の部分。
そんなイメージです。

ISO20000の構築・運用に関わられている方は、プロジェクトチームの編成や、
日頃のプライベートのおつきあいを、こんな視点で見直されてみてはいかがでしょうか？

ITベンチャーがISOやプライバシーマークを取得、運用していく上で、
注意しなければいけない点＝新米事務局の失敗をお話したいと思います。

反省(1)「雛形通りに作るのは10年早い」

「さぁ、マネジメントの仕組みを作るぞ！」と意気込んで、
（※まったく、今思うと恥ずかしい意気込みです）
参考書を開くと、帳票例がいっぱい出てきます。
帳票例の押印欄が、5つ、6つ設けられていて戸惑うわけです。
「え！私の上には部長と社長の2人しかいないのに！？」と。

間違いなく、参考書はある程度の規模の会社を想定しています。
この通りに作成すると、担当者は紙の管理だけで1日業務が終わってしまいます。

業務を再設計する際は、
今ある業務と、あるべき姿を照らし合わせて、ない部分をどう実現するかを考えます。
自分は要求事項をもとに、付け足す作業をしたわけですが、
そのない部分を付け足す際に、雛形をそのまま採用しそうになりました。
すると雛形だけで何十という書式を、新たに管理する事態に・・・

雛形は一旦横において、斜めから眺めながら、
「もっとカンタンな方法はないかな？コンパクトにならないかな？」
と一捻りさせなければ、と心得ました。

コンパクトにすると統制のレベルが下がるのでは、と心配される向きもあると思うのですが、
ISO27001ですが、以前、関係者の方がこんなことを仰っていました。

「御社は紙の文化ですか？印鑑が好きなのですか？（笑）
　ITの会社なんだから、電子データで管理したらどうですか？
　電子印鑑がない？では、共有ドライブに適切に担当者と責任者を分けて権限管理をすることで、
　責任者が承認した、とみなすこともできるのではないですか」

この方がおっしゃっていたのは、こんな感じです。

手順「責任者は『承認前申請書フォルダ』の申請書を確認したら、
　　『承認後申請書フォルダ』に申請書を移す」
┌────┐　　　　　　　┌────┐
│承認前　│　　　　　　　│承認後　│
│申請書　│──────→│申請書　│
│フォルダ│　　　　　　　│フォルダ│
└────┘　　　　　　　└────┘
担当者：作成・更新可　　　　担当者：作成・更新不可
責任者：作成・更新可　　　　責任者：作成・更新可

※等幅フォント以外でご覧の方は崩れて見えます。ごめんなさい。

客観的に「責任者が見ている」ということがわかればいいわけです。
「紙、いらないんだ！」これは目からウロコでした。

組織のマネジメントシステムですから、要求事項は一緒でも、
業種・業態・規模によって、それをどう実現するかは、千差万別になるはずです。
あくまで雛形は、ITベンチャーにとって10年以上先のあるべき姿と心得て、
次の更新審査（3年先）のあるべき姿を追うくらいが、
ちょうどよいのかなぁ、と思う今日この頃です。

(2)以降はまた次回お話します。

ITベンチャーがISOやプライバシーマークを取得、運用していく上で、
注意しなければいけない点＝新米事務局の失敗をお話したいと思います。

反省(1)「雛形通りに作るのは10年早い」

「さぁ、マネジメントの仕組みを作るぞ！」と意気込んで、
（※まったく、今思うと恥ずかしい意気込みです）
参考書を開くと、帳票例がいっぱい出てきます。
帳票例の押印欄が、5つ、6つ設けられていて戸惑うわけです。
「え！私の上には部長と社長の2人しかいないのに！？」と。

間違いなく、参考書はある程度の規模の会社を想定しています。
この通りに作成すると、担当者は紙の管理だけで1日業務が終わってしまいます。
世の中には、ISO事務局のアウトソーシングなんてビジネスもあるそうです。

業務を再設計する際は、
今ある業務と、あるべき姿を照らし合わせて、ない部分をどう実現するかを考えます。
自分は要求事項をもとに、付け足す作業をしたわけですが、
そのない部分を付け足す際に、雛形をそのまま採用しそうになりました。
すると雛形だけで何十という書式を、新たに管理する事態に・・・

雛形は一旦横において、斜めから眺めながら、
「もっとカンタンな方法はないかな？コンパクトにならないかな？」
と一捻りさせなければ、と心得ました。

コンパクトにすると統制のレベルが下がるのでは、と心配される向きもあると思うのですが、
ISO27001の関係者の方が、以前こんなことを仰っていました。

「御社は紙の文化ですか？印鑑が好きなのですか？（笑）
　ITの会社なんだから、電子データで管理したらどうですか？
　電子印鑑がない？では、共有ドライブに適切に担当者と責任者を分けて権限管理をすることで、
　責任者が承認した、とみなすこともできるのではないですか」

この方がおっしゃっていたのは、こんな感じです。

手順「責任者は『承認前申請書フォルダ』の申請書を確認したら、
　　『承認後申請書フォルダ』に申請書を移す」
┌────┐　　　　　　　┌────┐
│承認前　│　　　　　　　│承認後　│
│申請書　│──────→│申請書　│
│フォルダ│　　　　　　　│フォルダ│
└────┘　　　　　　　└────┘
担当者：作成・更新可　　　　担当者：作成・更新不可
責任者：作成・更新可　　　　責任者：作成・更新可

※等幅フォント以外でご覧の方は崩れて見えます。ごめんなさい。

客観的に「責任者が見ている」ということがわかればいいわけです。
「紙、いらないんだ！」これは目からウロコでした。

組織のマネジメントシステムですから、要求事項は一緒でも、
業種・業態・規模によって、それをどう実現するかは、千差万別になるはずです。
あくまで雛形は、ITベンチャーにとって10年以上先のあるべき姿と心得て、
次の更新審査（3年先）のあるべき姿を追うくらいが、
ちょうどよいのかなぁ、と思う今日この頃です。

(2)以降はまた次回お話します。