リスクを取り込まない適用範囲

リスクを取り込まない適用範囲にお目にかかると非常に残念です。

リスク受容基準を高くして問題を顕在化させない。問題を検出できない内部監査。報告に終始するマネジメントレビュー。リスク対応計画が周知事項伝達事項のみ。弱点を報告しないあるいは収集しない。いろいろ考えますが、これらは全て目的を忘れて、空回りさせるだけのPDCA。

しかし、もっと酷いのは適用範囲そのものをリスクのない領域に設定している組織。

よく耳にするのが、最初のシステム構築はモデルシステム～リードシステムとして進めたいから、問題の無いところで設定したい。その後、PDCAを回しつつ準じ拡大していきたいとする考え。しかし、翌年も翌々年も遂には更新のときも、当初のモデルのまま。何も変わらずに。でもその会社は認証取得していますと世間には言う訳だ。これが一番危ない。錯誤を生むことにもなるから。

※

組織の長が一方的に悪いのではない。審査員の方も適切な方向を示すべきだし、コンサルは更に具体的手順を示すべきだ。

見ていると、審査員は青二才。経験も年齢もないから、指導的な幅のあるコメントは示せない。ただの事務処理をやっているだけにしか見えない。コンサルも余計な口出しをして仕事を失いたくないのだろう。

仮にこういう事例ならどうだろう。本社には集中管理されたデータ。しかし、現場にはその元データである個人情報が、社員、アルバイト入り乱れて作成、処理されている。全国に散らばる現場。組織人数も大半が現場。其れなのに適用範囲は本社だけ。最高責任者は組織のトップではない。

スコープの記載も曖昧になるだろう。本社の人間、会社を代表する人間の名刺にはロゴマークが入る。意図的な錯誤誘発行為に見える。