従業員の意識が内部統制の水準を左右するか

情報セキュリティや個人情報保護、内部統制などの有効性というか水準というものは、管理策の有無や精度だけでなく、当該の企業(事業体)の従業員(職員)の意識水準も影響を与えるのだと、私は思います。

皆で渡れば怖くないという集団的横紙破りだけでなく、ちょっとした軽い気持ちという、個人的なルール破りも困ったものだと思います。

以下は、読売新聞Webからの引用です。

挙式予定１７６０人の個人情報漏らし解雇…横浜のホテル社員
　相鉄ホテルは１６日、経営する「横浜ベイシェラトンホテル＆タワーズ」（横浜市西区）の挙式予定者１７６０人分の個人情報を外部に漏らしたとして、販売部の男性社員（４５）を１３日付で諭旨解雇したと発表した。
　漏えいした情報は、昨年７月から今年６月上旬、ホテルの式場を下見するなどした顧客の住所や氏名、勤務先などの一覧表。
　男性社員は、以前勤務していた別のホテルで同僚だった埼玉県の冠婚葬祭のコンサルタント業者の依頼を受けて、今年２月から５月に計６回に渡ってメールで挙式予定者の一覧表を送信し、謝礼として２万円を受け取った。調査に対し、男性社員は「軽い気持ちで情報提供した」と話している。　業者は「市場動向を見ただけで廃棄した」と述べ、外部流出を否定している。
　今年２月から５月に、顧客４組から「身に覚えのない貸衣装などのダイレクトメールが届いた」と連絡があり、ホテルの調査で発覚した。
��2008年6月16日20時15分 読売新聞）

このホテルのHPには、プライバシーポリシーが掲載され、事前の同意なしの個人情報の第三者提供をしないことを誓約しています。おそらく、個人情報保護に関する社内の規約やなども定められているのだと推測されます。今回のケースは、組織的なものでなく、当該社員の個人的な規約破りだと思われます。
組織的に可能な限りの管理策、内部統制を整備しても、従業員個々の意識が一定の水準にないと、対策の有効性も満足すべきものにならないということですね。
情報セキュリティや内部統制に関する教育というのは、管理策を周知徹底するものと、一般的な意識向上を図るものと、二通りを考えなければいけませんね。