いまだに続く大手ITベンダーの論点の矮小化

かれこれ４年間啓蒙活動に参加して来て、ようやく「リスクマネジメント」の言葉が普通のウェブサイトでも毎日見かけるようになりました。J-SOXの次はエンタープライズリスクマネジメントの充実だと、CIOフォーラムのアンケート調査などでも経営者の意識が高くなりつつあることが判ります。

ここで問題なのが、多くのＩＴベンダーが「リスクマネジメント」という言葉を広告の”つかみ”に使いながら、極めて狭い範囲の、つまり、自分の製品に関係する部分だけの議論に強引に持っていこうとしている事です。ＩＤ管理とか、メールアーカイブとか、情報システムのBCM/BCPとか。これらは、会社として行うべきリスクマネジメントの項目の、ごく一部です。これらをやればリスクマネジメントのほとんどができるような、錯覚を狙っているように見えます。

どこかで見たような構図ですね。

そう、「内部統制」という言葉で広告を打ち、多くのセミナーや展示会で多大な出費をしたあげく、期待したほど大きなビジネスになっていないＩＴベンダーさん達が「内部統制」を「リスクマネジメント」に置き換えているだけです。

ＩＴの事だけではなく、天災、火災による資産の損壊や役員や従業員のコンプライアンス違反、投資リスクも含めて全てのリスクに対応する「エンタープライズリスクマネジメント」が重要との認識が広まっているのですが、どうも勘違いしている大手ＩＴベンダーが多いようです。

ところで、多くの中堅企業での金融商品取引法対応がようやく始まりました。対応のための時間は少なく、全般統制、業務処理統制、ＩＴ統制の全てに対応できるコンサルタントは殆ど売り切れ状態なので、少なくとも業務処理統制の部分（主として文書化）はツールを使わないと対応は無理ですね。

私はお客様に、ビジネスモデルコンサルティングのプレジスト

http://www.b-modeling.com/products_services/products.html

を、勧めています。

現状分析から、文書化、ウォークスルー、内部監査支援まで効率的にできることと、組織変更などに対するメンテも容易なので。

お客様の時間もエネルギーも節約できるし、コンサルの立場にしても非常に楽ですし。

そこで余裕が出たエネルギーをエンタープライズリスクマネジメントの構築に使えば良いでしょう。後で別にやるより、同時にやった方が効率が良いし、現場の理解が得られるので。

元来、内部統制とエンタープライズリスクマネジメントとは表裏一体の事なのですが、経済産業省がERMの提唱、金融庁が金融証券取引法制定と金融検査マニュアル、法務省が会社法の施行と別々に動いているので、法制度の面から見るとバラバラです。企業経営者の立場としては、全て実行しなければいけないのですが。

上記ＩＴベンダーの広告は、J-SOX、会社法、コーポレートガバナンス、ERMを良く勉強している企業経営者にとっては、あまりに枝葉の事ばかりを言っていて、空しく映るでしょう。