リソース Blogs 【ゲストブログ】 IT GRC でグローバル展開する企業の情報漏洩リスクを管理する前編

【ゲストブログ】 IT GRC でグローバル展開する企業の情報漏洩リスクを管理する前編

投稿日: 02/18/2016

NANAROQ 株式会社の榎本です。去る 2 月 4 日に東京・日本橋で開催された、「グローバル・海外事業におけるリスクマネジメント戦略フォーラム2016」（主催: リバイバルマネージメントフォーラム）にて登壇し、NANAROQ が AvePoint のツールを使って展開しているコンプライアンスソリューションについてお話させていただきました。今回はその内容の一部をご紹介させていただきたいと思います。

グローバル展開する企業のコンプライアンス対策のベストプラクティスを共有

今回のフォーラムは、グローバルに展開している企業のコンプライアンス担当者や、コンプライアンス関係の法務担当者を対象にクローズドセミナーとして開催されました。各企業を代表して登壇されたスピーカーの方々からは、グローバル展開する各社のコンプライアンス対策の実情や直面している課題、それに対するベストプラクティスや、特に注力している問題と対策などが共有されました。

当然のことながら、国が変われば法律も変わります。グローバル事業展開している企業では、展開しているすべての国や地域でコンプライアンス遵守の体制を取ることができるよう、例えば独占禁止法などの法令順守、贈収賄防止、グローバルレベルでの全社員へのコンプライアンス意識の喚起など、ひとつの国家・地域の中でさえ難しい課題を、グローバルレベルで解決していかなくてはならないという大きな課題を抱えることになります。

このような問題をテクノロジーの側面から解決する方法として、AvePoint から発売されているのが Compliance Guardian (コンプライアンスガーディアン) であり、NANAROQ でもこのツールを活用してお客様へのコンサルティングを行っています。

今回の私の講演では、ガバナンス・リスク管理・コンプライアンス (GRC) 総合対策の観点から、IT 担当者はもちろんのこと、法務・内部統制担当者が必ず知っておきたい IT 関連のリスクについて、「IT GRC」というコンセプトを基軸にしてご説明しました。

IT GRC とは？

GRC とは、「ガバナンス (Governance)」の G、「リスク管理 (Risk Management)」の R、「コンプライアンス (Compliance)」の C の 3 つの頭文字を組み合わせたもので、これら 3 要素に対する包括的・総合的な対策を意味します。主に内部統制やリスクマネジメントの文脈でよく使われる用語です。

企業の直面するリスクは、例えば情報流出のリスク管理は IT 部門、知的財産の管理は法務部門、ハラスメント対策は人事部門と、性質によって全く異なる部門が対応するケースが多くあります。GRC は、これらの多様なリスクに対して各部門が個別に対策を行うのではなく、関係部門間の連携を一元管理で徹底することを目指します。

その中でも、特に ITの側面にフォーカスし、IT / 情報システム部門が主体となってシステム関連リスクを統合管理するソリューションを「IT GRC」と呼びます。

何らかの情報流出関連事故が報道されない週はないほど、情報流出が深刻な問題となっている現在だからこそ、しっかりとした IT GRC 対策の導入が求められているともいえます。

IT GRCでできること

では、IT GRC 対策を導入することには、どのような利点があるのでしょうか。一般的な統合 IT GRC ソリューションは、「ポリシー管理」「リスク管理」「コンプライアンス管理」「インシデント管理」の 4 要素から構成されています。それぞれの特徴を大まかにまとめると、おおよそ以下のようになります。

ポリシー管理: 外部規制や企業集団としての方針・規定・規則・マニュアルの体系の整理
リスク管理: リスクの認識・低減、移転などの対応、およびポリシーに則った残存リスクの評価
コンプライアンス管理: リスク対処の方法が継続的に運用されているかのモニタリング
インシデント管理: インシデント予兆情報の収集、かつリスク認識体制の向上

これらを全社的に実行することにより、例えばマニュアル管理や業務フローの管理などの文書整理、関連法令順守体制をつくり上げる規制対応などを組織全体でまとめ上げ、一元管理することが可能になります。つまり、リスク管理を全社向けに最適化し、会社に襲いかかるリスクやインシデントに会社全体の統一された体制で立ち向かうことにより、リスクやインシデントに強い組織の構成が可能になるということです。