リスク分析規程には業務フロー図は不要？
プライバシーマーク（JIS１５００１）には、リスク分析規程を内部規定として設けることを要求しています。しかし、JIS要求事項には、業務フロー図の作成なんて求められていないんですよね。もちろん、個人情報保護法や経済産業省ガイドラインなどにもリスク分析のための業務フロー図作成なんて求めていません。事実、ウチのプライバシーマーク取得支援のコンサルティングでもお客さんに業務フロー図を作ってくれとは頼みませんし、その方法でプライバシーマークが取得できなかったこともないんですよ。
けれども、ちまたのプライバシーマーク関連の書籍や、コンサルティング会社のWebサイトでは、（私が調べた範囲で）ほぼ全て「業務フロー図を作成します（必要です）」とうたってるんですよね。たぶん、プライバシーマーク審査員が作れという風に指導したのが切っ掛け（業務フロー図があれば審査時に指摘しやすいので）だと思うんですよね。で、それを誰かがノウハウとして世間に公表したから定着してしまったのかなと思います。
さて、リスク分析規程の業務フロー図に焦点を絞って書いてきましたが、この業務フロー図作成が楽な作業ならウチの帳票に組み込んでもいいんですけど、業務フロー図作成って作業量が多い割に作るのが難しいという２重苦なんですよ。想像してみて下さい。個人情報を利用している仕事の流れをWORDのオートシェイプを使って取得から廃棄（または消去）までフロー図に書きます。どうでしょう？かなり複雑な図になるはずです。そして、フロー図を作成する工数（時間）も相当必要になるはずです。この作業を、会社で取り扱っている（保護対象とした）個人情報全てに対して実施します。全ての部門・部署を回って個人情報の取扱いの流れをヒアリングして、それをひたすらWORDに入力して業務フロー図を作り上げていきます。決して、無理な作業ではないですが、非常につらい作業になります。なので、ウチではお客さんに業務フロー図の作成は依頼しません。
じゃ、どうすれば業務フロー図抜きでリスク分析規程を終わらせれるのか？といったお話はまた次回。
当ブログの本文は著作権により保護されていますが、商用利用を除きご自由に転送、転載していただいて構いません。できればトラックバックまたは出典を明らかにして頂ければ幸いです。
コメント