|
審査してた頃も、コンサルや雛形を使った
CP(コンプライアンス・プログラム)
に出くわすことが多かったのですが、
CP の出来の悪い事業者だと、コンサルや雛形の誤字脱字のまま使っていたり、
事業者名がサンプルのままだったりとか、社内の実態と全然合っていなかったりとか、
中には“形だけの”CP で審査を乗り切ろう、とミエミエの事業者もいました。
CP を運用したり、監査したり、苦情を受けたり、結果責任をとるのは
コンサルではなく、事業者自身であるはずです。
中には「現地調査に(保護者として)コンサルや外部監査員を同席させていいか」
と聞いてくる呆れた事業者もいたりしました。
それ以外にも、現地調査の場面では、
「何故そうしたのですか？」との質問に
「コンサルがこれでいいと言ってたから」と、
自分で何も考えないで、根拠も示せず人の言葉を鵜呑みにした回答をしまったら、
そこで審査は打ち切りになる可能性もあります。
運用面を考えないで情報システムを導入してしまい、結局使わず仕舞いになったという、
IT 化の失敗例を思い起こさせます。
プライバシーマーク でも同様で、
万が一認定まで至ったとしてもその後維持や継続的改善ができなくて、
更新辞退
というケースも少なくないと思います。
会社は利益追求の組織であると思うので、
何かしらの事業を行っているかと思います。
事業を始めるにあたって、コンサルや雛型を活用したか？
チェーン店でもない限り、たぶん答えは No のような気がします。
自社の業務フローや文化は他の会社と全く同じではなく、
自社で構築されたものだと思います。
共通部分も幾分あるかもしれませんが、
個々の会社の体質は「オンリーワン」であり、
自社の状況にぴったり合った CP を作るには、
最後の最後は自分で考えるしかないようにも思えます。
そもそも CP 策定にあたり、コンサルを頼もうとしている事業者は、
「目的は何なのか？」と言う事をもう一度考えていただきたいと思います。
マネジメントシステム的に考えると、
保護者なしで、自立的に(自律的に)リスクを感知し、認識し、
対処できることが必要かと思います。
個人的にはコンサルを使うことを否定はしませんが、
コンサルと言えど、
“委託”をしていることになるかと思いますので、
結局、「わかって使う」ということになるかと思います。
「本末転倒」にならないように、目的や
「どこまで頼んで、どこから自社でやるのか」などを明確にし、
それらに沿った“外部委託”をすべきであるかと思います。
事業内容や規模、個人情報を取り扱う形態や量など、
事業者によってまちまちですから、自社の責任で、
自社に合った CP に仕上げる必要があるかと思います。
問い合わせや
説明会
でよく言っていたことは、
- 最初は既製服(雛型)でもオーダーメイドでも構わないが、
自分の身の丈に合った服に補正しましょう。
- 自分のサイズに合わない靴は、大きくても小さくても歩きにくく、
素早く行動することはできないはずです。
- ジャストフィットまで行かなくても、現場が動きやすいようにしましょう。
意味のないオーバーヘッドが大きすぎると形骸化します。
- できないことを CP に書くのは、形骸化の第一歩です。
コンサルや雛形の利用は、使い方によっては効果的です。
“時間を金で買う”という考えもありますが、
CP 構築時の試行錯誤的なノウハウは何物にも代え難いものがあるかとも思います。
コンサルや雛形に限らず一般的なこととして、
ということになるでしょうか。
当サイトでは、
個人情報保護基本規程
と 個人情報保護基本方針
のサンプルを公開しましたが、
最上位の文書を以って全体の フレームワーク を示すという目的であり、
細則や手順書・マニュアルなどの下位規程は自ら作らなければならず、
既に下位規程が存在するのであれば、見直しが必要です。
そういう意味で言うと、教える方もコンサルというより、
今はやりの「コーチング」的な教え方が必要になってくるような気がします。
|