「うちの業務システムにもクラウドを導入して、ITでイノベーションを加速するのだ！」こんな経営者のカタカナキーワード経営方針に、多くのシステムセキュリティ担当者と法務担当者が悩まされていることと思います。

クラウドサービスを使ってセキュアなシステムを構築するのはシステム部門の仕事ですし、その法的リスクへの対策を検討するのは法務部門の仕事です。しかしながら、経営者の皆さん自身は、クラウドを導入することが自分たちにどのような経営責任を生じさせるのかを吟味した上で、彼らに導入の指示を出しているのでしょうか？おそらく、多くの経営者が「セキュリティリスクができるだけ低いクラウドサービスをシステム部門に選ばせればいいだろう」「それでも低減・回避できないリスクは契約で移転させる、それは法務部がちゃんとチェックしている」ぐらいに思っているのでは。

そんな“おまかせモード”な経営者のみなさんは、試しにこんな質問を投げかけたら、答えられるでしょうか。
「監査役や外部監査人から、クラウド周りの監査において損失の危険の管理に関する体制をどのように構築しているか質問されても、答えられる自信がありますか？」
「株主に対し、内部統制に関する責任を負う者として、リスクを犯してでもクラウドを導入する合理性を自分の言葉で語れますか？」

答えられなさそうな方に、この本をご紹介します。

Auditing Cloud Computing: A Security and Privacy Guide
著者：Ben Halpert
販売元：Wiley
(2011-08-09)
販売元：Amazon.co.jp



以下裏表紙にあるsynopsesより。

Designed to help you audit the security and privacy of your hosted services, Auditing Cloud Computing answers your Cloud-related questions, including:

• Is the Cloud secure enough to house my data?
• What kind of data shouldn't be stored in the Cloud?
• What are the key regulatory issues?
• Why do I need to establish a governance model before using the Cloud?
• What steps do I need to take to remain in compliance?
• What are the causes and effects of regulation?
• What are the real and perceived risks and benefits?
• How do I balance business risk and business opportunity with the appropriate internal audit?
• What are the traditional lifecycle management techniques?
• What are the Cloud's benefits over traditional IT outsourcing?
• How do I manage my company's service agreements?
• What is the future of regulation?
• What's holding Cloud Computing back?

これまでのオンプレミスな業務システムの監査では、あくまで主は社内にあり、従者としての業務委託先の選定基準・支払い・個人情報の取扱いの適法性程度の監査項目しかなかったものと思いますし、その程度であれば部門監査レベルで済み、取締役の経営責任・内部統制システム構築義務と直接紐付けて問われるものではなかったと思います。しかし、クラウドの全社導入ともなれば、業務システムと情報資産の大部分を他者に預けることとなるわけで、取締役会としての「重要な業務執行の決定」が必要と言わざるを得ないでしょう。
この点、先日ご紹介した『クラウドと法』にも、

クラウドの導入については、法律実務家レベルでは、内部統制体制の整備に関する事項として（会社法362条4項6号・5項、会社法施行規則100条1項）、取締役会決議が必要と考える方が多いようです。（P96）

と言及されています。
多額の固定資産・ソフトウェアを購入してシステム構築していた時代は、その金額インパクトである程度意識できていたことが、クラウドがすべてをランニングコスト化してしまうことで、見えなくさせてしまっている気がするのですが…。


日本語で読める文献ではまだクラウド導入に対する監査の目線を詳しく述べた本が見当たらず、血眼になって探してようやく見つけたのがこの本。おそらく、日本語でこの手の本が出版されるのはもうちょっと先でしょうから、今からこの本で予習しておかれるのが吉かと。



社内にシステムを抱えるより初期費用・人件費が安く済む、スケーラビリティが確保できる、社外からのシステムへのアクセスが容易になる・・・クラウドがもたらすメリットの大きさにすぐに飛びつきたくなる気持ちは分かりますが、その代償として自らの経営責任が重く問われるということを自覚し、冷静に検討する時間をお持ちになってもよろしいのではないかと存じます。