ISMS規格4.2.4 「ISMSの維持及び改善」が可愛そう？

箇条４でISMSのプロセス/活動全体（ＰＤＣＡ）についての要求事項を最上位の階層とし、必要がある箇所については後続の箇条5～8に詳細に定められています。

この規格4.2.4 a)～d)の規定は、この規格のフレームワーク、つまりPDCAモデルの「A」に関して定められていますが、内容としては箇条8（8.1継続的改善、8.2是正処置、8.3予防処置）に定められた具体的な規定に導く形を取っています。従って、読み手としては、この4.2.4項は目次であるのか、それ以上のものを求めているのか、目次であれば、箇条8との違いはなにかが分からず、結果的に、捨て置かれたような存在になっています。

しかし、「PDCA」モデルの中においては非常に重要な「Action」、つまり改善プロセスですから、PDCAサイクルのことを理解されればもっとも役立つ項番だと思います。それは日本の企業は、最初「D」だけだった、次に、「DC」で作業の質を高めました。そして先進的な思考をもった組織が「P」の必要性に気づきました。しかし「A」は頭では理解していても有効に機能しているとは言いがたく、多くの企業はこれからではないでしょうか。

例えば、「P」の中にもまた「PDCA」が存在することがあり、さらにその中の「P」でも「PDCA」を回すということがあります。決して、期初に「P」をやって、期中を通して「D」を行って、時々「C」としてチェックして、期末に「A」を行うだけではありません。

いくつかの「P」は、期初（本当は、前期の終盤）に立案しますが、多くは期中に開始されるものが多いと思います。　それぞれ修正・訂正・改善や状態の更新を行いながら、計画完了直前まで続くことがあります。同様に「A」も計画の完了に際しては必須ですが、「C」を行えば、発生する可能性があります。

PDCAモデルの「A」の行為やプロセスの大半は箇条８ですが、規格は、PDCAモデルの「A」の役割をここで述べたかったのかも知れません。　しかし、規格項番のシーケンスが順序よくPDCA順つまり、4.2.1、4.2.2、4.2.3、4.2.4となっていることから、その中からサブルーティンコールのように箇条５～８を呼ぶという、親切すぎる規格のフレームワームが仇となっているのかもしれません。

マネジメントシステムですから、「静的」な活動ではなく、「動的」活動です。また、プロアクティブ（proactive）な活動を行うことで、リスクを減少させることができます。しかし、「4.2.4や是正処置、予防処置を行わなければならないのは現状問題があるからだ」との考えが多いことがマイナスイメージにつながり、隠れた活動になっているようです。

ISMSは、「防御のためのコスト」ではなく、持続的成功を維持するための「投資」であり、その大きな役割、機能が4.2.4であると考えたいものです。