京セラコミュニケーションシステム（KCCS）は、米ニューヨーク証券取引所に上場する京セラの連結対象子会社として2004年1月から米SOX法の対応を進めており、07年には対応を果たしている。その実績に裏打ちされたソリューションは、多くの企業から注目されている。市場から求められているIT統制について、専務取締役・ICT事業統括本部・副統括本部長の佐々木節夫氏に話を聞いた。

企業本来の姿を実現する「KCCS内部統制ソリューション」

システムの入り口であるID管理の重要性

　米SOX法は、企業活動においてコンプライアンスに即した業務の執行や財務報告の正当性保証を求めている。この部分においては日本版SOX法も変わらない。ただし、日本版SOX法ではCOSOフレームワークの内部統制の構成要素に「ITへの対応」を追加している。財務諸表にかかわる多くの業務がIT上で稼働している現在、業務の統制だけでなくITの有効性や整合性を図るIT統制が必須になっているためだ。

　この実績は、同社の提供する『KCCS内部統制ソリューション』にも活かされている。それだけに、多くの企業が同社のソリューションに注目している。

　「さまざまな切り口でセミナーを開催していますが、毎回多くの方にご参加いただいています。その中で感じたことですが、多くの企業様が業務プロセスなどの文書化には着手しているものの、IT全般統制までは着手できていないということです」と、専務取締役・ICT事業統括本部・副統括本部長の佐々木節夫氏は語る。

　IT統制を実現するためには、アプリケーションにかかわるIT業務処理統制とネットワークやサーバー環境といったITインフラにかかわるIT全般統制が必要となる。その中で、設定変更やアクセス権限の管理などが正しいルールとプロセスに基づき行われ、その証跡を確保することが求められる。つまり、社内にどんなシステムがあって、誰が出入りできるのか、システムの入り口ともいえるIDを適切にコントロールできているかが、まず問われるのである。

　ITの統制や内部統制の強化を図るためには「誰が」「いつ」「何をしたか」を把握・管理しなければならない。その中でIDが果たす役割は大きい。もしもID・アクセス権限の管理が不適切であれば、内部統制の強化を図ることはとてもできない。最も基盤となるソリューションがID管理システムである。

　企業で稼働しているシステムは1つではない。業務システム、グループウェア、Webサーバー、電子メールシステムなど数えあげたらきりがない。作業効率や生産性の向上を狙った新しいシステムも次々と導入されている。それらのシステムすべてについて、IDの追加やアクセス権の設定などのメンテナンスをし続けなければならない。また、雇用形態も多様化しており、社員だけではなく、アルバイトや派遣社員・契約社員なども、システムのユーザーとして正社員同様の管理をする必要がある。システムの増加、雇用形態の多様化などにより、人事異動時のID・アクセス権限の管理における作業量は増加の一途をたどっているのが実状だ。

　このような環境だからこそ、ID・アクセス権限を一元管理する必要性はより高まっているといえよう。KCCSではこのような課題を解決すべく「GreenOffice Directory（グリーンオフィス ディレクトリ）」を開発。日本の企業風土に根付く、情報の運用・管理を支援する国産のID管理システムとして注目されている。

　「GreenOffice Directory」は、組織・役職・事業所など職制を含めたユーザーの属性情報に基づいて、ユーザーをグルーピングできる。グルーピングのルールを権限情報として情報システムに割り当てることができるため、ID・アクセス権限の厳格な管理が実現できるのである。欧米などでは、個人に業務が割り当てられるが、日本では組織や役職などに基づき業務が割り当てられることが多く、ID管理の考え方が根本から異なる。海外製のID管理製品を日本企業が活用しきれない要因は、日本の企業風土という抜本的な部分にあったのだ。

　また、「GreenOffice Directory」は、現場の管理者の作業工数を低減させるだけではなく、企業内に散在しているシステムが、どれくらい使われているのかといった可視化も可能となるため、マネジメントという観点からも十分活用可能なシステムである。

　「マネジメントの観点から見ると、可視化できれば何らかのアクションをとることができます。そうすれば、企業が活性化していきます。このように、当社のソリューションは、現場、管理者、マネジメントそれぞれを意識した作りとなっているのが特長の1つといえるでしょう」（佐々木氏）。

内部統制を支えるIT統制基盤の重要性

　ID管理とともに重要となるのが、IT統制のシステムを管理・運用する基盤である。複雑化するシステム、増大するIT機器を管理しきれないために起こる情報漏えい問題や、大地震や大規模停電などのリスクに対する事業継続計画（BCP）などの課題に、多くの企業が直面している。

　そこで注目されているのが、データセンターへの運用アウトソーシングである。KCCSは、99年にKDDIとともに「D@TA Center（データセンター）」を設立。以来コロケーションから、ホスティングといった一般的なデータセンターサービスのほか、システムインテグレーション、BPOまで一体化したサービスを提供している。特にIT統制の基盤としては、物理的なセキュリティ対策に加え、内部統制に求められるコンフィグレーション管理やオペレーション管理などの運用面のノウハウも提供している。

 

　「KCCSでは、“運用の自動化・効率化”“運用プロセスの可視化”“セキュアな運用管理”の3つをポイントにした情報システムを構築し、米国SOX法の監査基準をクリアしています。この実績とノウハウをベースに、“IT 全般統制”や“IT業務処理統制”にとどまらず、“IT 基盤”や“経営管理の仕組み”なども含めたトータルソリューションを提供しています」（佐々木氏）。

　内部統制をあらゆる方面から支援するKCCSへ期待を寄せる企業は多い。


京セラコミュニケーションシステム＝http://www.kccs.co.jp/