IT業界の二匹目のドジョウ

　こんにちは、丸山満彦です。去年の今頃は、個人情報保護法関連の話ばかりでしたが、最近少なくなってきましたね。論点はいっぱいあるのにね。そういう論点をあまり気にしないIT業界は、とりあえず次の稼ぎ口を気にしなければなりません（株式会社は、営利社団法人ですから当然です）。　で、最近脚光を浴びているのが、e文書法ではなくて・・・・

　
　内部統制ですね・・・

　コンプライアンスを意識した経営をしなければならないので、新たな法律ができると、IT業界が盛り上がる場合があります。個人情報保護法がそうでしたね。コンピュータからの情報漏えい・・・それを防止するための様々なソフトウェアが開発されましたね。需要が供給サイドを刺激し、技術の進歩（すごい進歩ではないかもしれないけど、新しい機能とか価格が安くなるとか・・・そういうのも含めて）を促した良いパターンでした。

　一方、e文書法は盛り上がりませんでしたね。佐藤さんのブログにも書いているけど当然で、「～することができる。」という法律だからですね。個人情報保護法は「～しなければならない」という法律ですから、自ずと違ってきますよね。

　で、次に盛り上がっているのが、日本版サーベンス・オクスリー法関係ですね。（IT弁護士さんは、去年の今頃から予想していましたね。）
　現在、金融庁企業会計審議会内部統制部会で検討されていますね。日本にもサーベンス・オクスリー法のような法律をつくり、粉飾決算を無くそう・・・という話です。そのために、財務諸表を作成する全てのプロセスのチェック体制（正確にいうと内部統制）を経営者が評価して、監査法人が監査する仕組みを法改正を行ってしようという話です。
　会計処理は今やコンピュータなしではできませんので、会計処理をするコンピュータ環境も内部統制の評価対象となります。で、ここに内部統制がないとまずいんです。ということで、IT業界が新しい製品を売り出していますね。

　たとえば、「材料を購入する場合、承認され登録されている仕入先からのみ購買できるように、購買伝票を入れるシステムの購買先欄がプルダウンメニューからしか選ばれないようになっている。」というのも統制活動として評価対象だし、そのような統制活動を保証するための、「購買システムのプログラムは、承認されたもの以外が変更できないようにアクセス制御がされている」ということも評価対象となります。さらに、「アクセス制御をするための手続きが整備され、承認されたもの以外にアクセス権が付与されないようになっている」というのも、評価対象となりえますね。

　その他、開発・保守、システム運用、アクセス権の付与、物理的セキュリティっといった部分も関係してきますね。

　まだ公開草案の回答もでていないし、そもそも法改正の具体的な話もみえてきていないので、なんともいえないところです。ただ、米国のSOX法と同じと思えば、やることは大体見えてきますね。

　まぁ、「個人情報保護法完全対応！×××システム」ってノリで、「日本版SOX完全対応！○○○システム」ってのがたくさん出てくるのでしょうね。これで技術進歩が進めばまぁよいですが、行き過ぎた宣伝は良くないので、その点にはご注意を・・・

　ということで、二匹目のドジョウはいるか？

---

このブログの中の意見は私見であり、所属・関係する組織の意見ではないことをご了承ください。