プライバシーマークコミュのコンサルを使わない取得

皆さんの話を聞いていると、コンサルを使わないでPマーク取得を目指している方が多いようです。

コンサルを使う場合は、適切なコンサルを選ぶことと、そのコンサルを適切に使いこなすことが課題になりますが、都度アドバイスが得られるはずなのであまりこのコミュネタにはならないかもしれません。

一方、コンサルおを使っていない場合は、それこそ始終迷うことがあると思いますので、そういったことを披露していただければ、共有して前に進むネタも得られるのではないでしょうか。

そう考えて、このタイトルを立ててみました。

※このコミュに集まっている方の中にはきっとコンサルさんもいらっしゃるようですが、別に商売の邪魔をしたいわけではありません。最終的には自社内でＰＤＣＡをまわすと思うと、そのためにも、「自社での取り組み」に向けた情報は大切と思います。（コンサルさんにとっては、手離れの良い客作りにつながると思います。）

コメント(11)

最初
全て
最新の40件

[1] mixiユーザー 08月21日 12:16

まず、自分がどういう立場（社内の位置）でこの課題に取り組むのか、が、ポイントだと思っています。

社長さんの場合
役員さんの場合
事務局の長になる（なりそうな）場合
事務局内のコアなメンバになる場合
単に、関われ、といわれてやる場合
その他一般的な従業員だが会社でやる、というので情報収集中の場合
他の立場もあると思いますが、皆さんはどんな立場でこの課題に取り組もうとされていますか？　または現在進行形で取り組んでおられますか？

[2] mixiユーザー 08月21日 12:23

どこから手をつける？　というのもありますね。

大切なのは、なんのためにＰマーク取得を目指すの？　という目的の確認です。自分自身の中の目的も大切ですし、会社としての目的の確認も大事。それによってどこから手をつけるかが違ってくると思います。

一般的には、体制作りからスタートするのではないかと思います。でも、体制作りをするためには、社内のオーソライズを得る、ということも必要になります。あなたが社長さんだったらこれは簡単かもしれませんが、単なる社員などの場合は、体制作りの前が相当大変かもしれません。

そのための予備的調査も必要でしょう。予備的調査、というのにも２通りあって、

●そもそもＰマークってなに？　どうやってやっていけばいいの？　どんな費用や手間がかかりそう？
といったことと、

●社内でどんな個人情報をどれだけ（どうやって）持っているの？

という現状調査とがあると思います。

いずれにせよ、スタート位置は、立場によって結構違いがあると思います。

[3] mixiユーザー 08月21日 12:33

コンサルを使わないにしても、相談相手は必要でしょう。

業界で取得した仲間とか、経験者が近くにいて、すぐ相談ができるような関係の方がいれば理想的でしょう。

しかし、一方では（例えば）数百万のコンサル費用がかかるのに、単に親しいだけで、タダで教えろ、という話はないと思います。

逆に言えば、相談相手に対して報酬を考えないのであれば、そうとう自らが勉強したうえで、本当にこれがわからないと先に進めないゾ、という最小限に絞ってから相談しないと、相手に失礼だし、迷惑をかけることになります。

あとは、無料～多少の費用、のセミナーに出かけてその講師の方に相談する、とか。でも、タダほど高いものはないわけで、コンサル受注活動としてのセミナーだったりしますので、そのあたりにはご注意を。いや、ダメという意味ではありませんが、このトピからは外れてしまいます。

自分の業界の団体とかが、多少この課題に熱心だと、業界団体としてのセミナーをやっていたりしますので、そのあたりを確認されるといいと思います。ただ、ここも一般的にはコンサルさんと結託していたりしますので、そこは理解しておいてください。

あとは、回数は少ないですが、ＪＩＰＤＥＣの主催するセミナーとかもありますね。そういう機会は最大限利用すべきでしょう。
http://www.congre.co.jp/privacy/

[4] mixiユーザー 08月21日 23:27

どんなメンバで事務局を構成するかを考えてみましょう。

もちろん会社規模によります。

まず、法律系に明るい人が必要です。ポリシーや規程を作ったり（たとえ市販本の雛形を流用するにしても）、個人情報の取扱いに関連する法令やその他の規範を特定して自社ルールにはめ込む、なんてことも必要です。

ルールを作ったらその教育、ということで教育担当者。ただし、講師、というよりは、１００％全員が教育を受けたかをフォローする担当者、というのかな、これが会社規模にはよりますが手間のかかるテーマとなります。

また、インハウスの個人情報の扱いは、お客様の個人情報の扱いとは異なる部分があるため、人事の担当者の関与も必要でしょう。社員の採用時や退職時は誓約を、なんてこともあります。もちろん社員の方の情報を会社として一定の範囲で利用する、ということに関する同意の取り付けもあります。

情報セキュリティ面については、技術的な方面に明るい人が必要です。社内のネットワークの状況とか、サーバーの設置・設定に明るい人。ｗｅｂで個人情報を収集している場合は、その方面に明るい人も必要です。

セキュリティのもうひとつの課題が、入退場関係や鍵（建物、オフィスルーム、机やキャビネットなど）の管理とか。これは、総務部門かな。社内ルールの周知徹底についても、教育とは別に、総務部発信の社内通達、というのが、案外と会社を動かすものです。

お客様への収集目的等の告知の仕方を考えるには、営業スタッフの関与が必要でしょう。「同意を得てその範囲で個人情報を使う」最大の役割は、なんといっても営業部門でしょう。ＪＩＳの要求する告知の必須アイテムを、いかにあたり良くお客様に伝えるか、はなかなか重要なテーマとなります。

苦情や相談については、個人情報に限らず従来から対応している部門があるでしょうから、そこのスタッフにも参加してもらうといいでしょう。

委託先の管理については、各発注部門が行う場合と、資材部門が総括する場合とがあるでしょう。その方面に明るいスタッフも必要でしょう。個々の委託先とは基本契約を更改するか、個人情報保護に関する覚書を締結するか。また、委託先の選定基準を確立して、満たない会社があった場合はどう対策を打つべきか、とか。

こうした多方面の人材をまとめる、事務局の中のコアなメンバが、一番重要です。例えば１年間とか、本当にフルに活動しないと、本当はＪＩＳの求めるコンプライアンスプログラムの構築は難しいです。会社規模によっては、上記のうちのいくつかの役割を兼ねていることも多々あるでしょう。だから、人数が何人が適正、ということではありません。ただ、長丁場をこなすわけなので、あまりにも少ないと、少々辛いだろうな、とは思います。

忘れているわけではないけれど、事務局と別に監査チームの立ち上げも必要ですね。監査の独立性の問題もありますが、会社規模によっては事実上事務局が監査方法を立案して実施して、ということもありえます。しかし、事務局そのものを誰が監査するのかという課題もありますので、そこが思案のしどころ。

以上、理想的には、社内のそれぞれの部門から選りすぐりメンバを集めてチーム編成をしたいところです。それが可能かどうかは、まさしくトップがＰマーク取得に賭ける意気込み次第ということになります。しかし、現実的な壁もありますから、必ずしもベストな編成ができるとは限りません。優秀な人は当然ながら忙しいものです。名目だけでは動きませんから、２番手でもやる気のある人材のほうが、育成し甲斐がある、というものです。

[5] mixiユーザー 08月22日 18:01

究極の「コンサルを使わない取得」って、どうすればいいと思いますか？

答えは３０秒後、といいたいところですが。

自らがコンサルになっちゃえばいいんです。

このコミュに参加している方のうち、クライアントをコンサルしている以外の方は、自社の中のＣＰ作成に、否応なく関わらされているんじゃないでしょうか。それぞれの会社のタイミングにはいろいろ違いはあるかもしれませんけど。

そのとき、「いやなんだけど、上司の指示で、とんでもなく大変なことをやらされている」と考えますか？

それとも、「ありがたい。この機会に勉強させてもらえる。経験も得られる。」と考えますか？

「コンサルを使うと高いそうですよ。聞くところでは数百万かかるらしいです。そんなにかかりませんから、私が勉強するのに少し費用を回してください。がんばります！」という手もあるんじゃないでしょうか。

しかも、勉強したノウハウがちゃんと身につけば、場合によっては、本当に社外に向けてのコンサルになれちゃうかもしれないじゃないですか。しかも、自社で苦労した、という経験付きです！

コンサルをされている方は、きっと、もともと他のコンサル経験があって、それに加えて個人情報保護のコンサルもやれる、という持ち味があるはずです。それとは異なるかもしれませんが、自社でＰマークを取得した、というＣＰ構築の経験は、かなりの強みになると、私は思いますけどね。

[7] mixiユーザー 08月23日 22:41

まちゃさん　コメントありがとうございます。

ゴールの考え方ですが、もちろん実現可能な範囲で、「いつまでにＰマークを取得する」というのが、例えばあると思います。

一般的にはＰＤＣＡのサイクル一回りまわすのに、１年程度かかるとすると、例えば１年後に申請を目指す、というのが仮の目標となるかもしれません。

しかし、どの会社もせっかちですから、そんなに先の目標じゃ困る、と押し切ることがあります。実際にやっていくと、結構（時間が）かかるものなんですけどね。

ＰＤＣＡの１回目を半年でまわせれば、その分申請までは短縮できますし、もっと短縮することも不可能じゃないです。

そういうことも、経験がないと予想も立てられないでしょうが、コンサル、または経験者なら、「この人数の会社だと教育でどのくらい、監査でどのくらい日数がかかるから．．．１サイクル目を○ヶ月でなんとかやれる」などと、ある程度読めるものです。

逆にいうなら、コンサルなしの場合、（企業としては少々難しいですが）あまり自信の持てないような具体的すぎるスケジュールは立てない、というか、もちろん区切りの都度の進捗チェックは重要ですがスケジュール変更が柔軟にできるようにしておかないと、厳しいかも。

[8] mixiユーザー 08月23日 23:02

まちゃさんにご指摘いただいたもうひとつ、５番についてです。

私は、ノウハウの得方として、家庭教師型と、学校型、というモデルをあてがってみたいと思います。

家庭教師は高いですが、その分、ひとり（１社）に対して合ったモノを教えてくれるハズであります。

学校型は、ひとりひとり（１社ごと）に対して合った指導がされるとは限りません。しかし、学校のいいところは、クラスメイトが得られること。他社や異業種との交流も行いながら、自社としての進め方を考えていけるなら、学校型にもメリットがありますし、かつ、授業料は相対的には安いわけです。

私の５番発言は、Ｐマーク取得せよ、と指示された担当者の視点から見て書いていますが、会社（経営者）の視点からだと、どちらがいいかは一概には言えなく、それぞれの会社の状況によると思います。

なお、コンサルが、本当にＰマーク申請のサポートの経験をどれだけ持っているか、によっては、学校型では得られないサポートがある可能性があります。

例えば、申請書類として気を配るべきこと、とか、現地審査ではこのように審査員と接する、とか、指摘事項に対してはこう対処すればＰマークがもらえる、といったあたり、なるべく余計なコストを掛けたくない企業にとってはありがたい福音ともなりえると思います。したがって、そういうノウハウあるコンサルならば、お願いする価値があります。

一方、単に養成コースを修了（一応試験も通っているとはいえ）しているだけで、実際の取得経験がないコンサルならば、自分が同じ養成コースにいったほうが、よっぽど直接的にノウハウが得られる、というものです。しかも、よほど安いハズ。

これは、コンサルを使わない取得を考える、というよりは、良いコンサルの選び方、という議論になりそうですが、ご理解いただけるかな。

[9] mixiユーザー 08月27日 13:24

コンサルを使わない取得を考えた場合、ある意味オーソドックスな取り組みをすればいいと思います。

プライバシーマークのホームページを丹念に読めば、それなりにどうすればいいかが書かれているので、まずはそこからはじめることですね。

一旦申請書の一式をためしに書いてみれば、どういう書類が必要か、それを作成するためにはどういう取り組みが必要か、ある程度わかります。

もともとの審査の基準はＪＩＳＱ１５００１ですから、とうぜんそれも読む必要があり、そこに書かれたことをやっていけばいい、というわけです。

規定類の整備はちょっと大変かもしれませんが、数千円程度の市販の本を原型にしていけば、なんとかやれると思います。

教育も大変ですが、これまた市販本を使ってできます。

監査はすごく大変かもしれませんが、Ｐマークのページに監査ガイドラインがあるので、これをしっかり勉強すれば、まぁ、できるわけです。

申請書類の一式が作成できれば申請はできますし、不備があれば指摘してくれるので直せばいい。

また、申請が受理されれば現地審査になりますが、現地審査の結果で不十分なところは、これまた指摘事項となりますから、それを手直しすればいい。

というように、オーソドックスに取り組む分には、特段難しいことはないと思います。

以上のようなオーソドックスな取り組みに比べて、「早めたい」とか、「ゴールを明確にしておきたい」とかいうと、コンサルが必要になる感じ、という感じでしょうか。

[11] mixiユーザー 10月24日 12:26

やれやれ、ここにもコンサルの犠牲者さんが、という感じですね。

あえて言えば、コンサルの使い方が悪かったのではないか、ということを申し上げておきます。これも、まちゃさんがよく書いていますが、「Ｐマーク取りたいのでいくら？」と迫られたコンサルは苦し紛れに「大丈夫、いくらでやれます。」方式の応対をしかねません。

そうなると、委託する企業にしてみれば、「いくらでやってもらえるんだから、（極論すれば）あとはおまかせで、自社としてはなにもやらなくていいはずだ。」という悲しい誤解が生じます。（ごめんなさい、MIYUKIさんのところがそうだ、というのではありません。あくまで一般的によくある話、ということです。）

本当は、会社の中に、個人情報保護を一生懸命推進すべきだ、という熱意のある担当者がいて、しかしなかなか上に話が通せない、というときにこそ、コンサルの出番があります。（担当者がコンサル費用を捻出できるのか??という疑念はちょっと横に置かせてください。）

どんな会社にも、いわゆる抵抗勢力、というものはあるものです。そういうところをどうつぶしていくか、というところに活用できるなら、コンサルも悪くはありません。というかコンサルが悪者を引き受けてくれる、といいますか。

熱意ある担当者とて、個人情報保護推進のための知識や力が万全というわけではないので、そこを手助けしてくれるコンサルなら、価値があるわけです。

ログインすると、みんなのコメントがもっと見れるよ