CPE監査

CPE監査の対象(2回目)になったのを機会に、改めて継続教育プログラム(CPE)という制度について、考えてみました。
このCPEという制度、名称は多少異なっても、ISACA固有の制度ではありません。CISSPやCIAを認定している機関でも同様の制度を持っています。いずれも米国発の制度ですが、日本国内の認定制度でも、最近は似たような仕組みを取り入れる例が見けられます。
日本セキュリティ監査協会(JASA)で認定する公認情報セキュリティ監査人(CAIS)制度でも、
資格維持には資格維持プログラム運営基準に定める資格維持ポイントの獲得を義務付けています。改めて、その意義について考えてみることも無駄でないと思います。

CISAもCIAもCISSPも米国発の認定制度です。元々、米国では永久免許とか永久資格認定という発想そのものがないのですね。例えば、医師免許でも日本では永久免許制度ですが、米国は有効期限制度なのですね。
この医師免許制度を比較すると、日本は大学医学部在学中、もしくは卒業後に医師国家試験を受験、合格すると本人が返上しない限り、効力は永久に継続します。
米国は、週毎に制度が微妙に異なるので、一概に比較できないのですが、概ね下記の手続は各州共通だそうです。
1 USMLE（United States Medical Licensing Exam）を受験、合格すること。このUSMLEに合格しても、直ちに医師免許が交付されるのではなく、医師登録できる資格が認定される。(USMLEの詳細は省略)
2 USMLE合格後、所定の条件を満たした施設、医療機関での研修を1～2年程度経験すること
3 臨床実習の必要時間を充足していること
上記の三つが揃って、初めて医師免許の応募をすることが出来ます。医師免許は、登録制であり、本人が必要条件を満たしていることを証明し、医師免許が交付されます。
医師免許には有効期限があり、定められた年数毎に更新手続が必要で、それも更新申請すれば、無条件に認められるのではなく、生涯教育制度（CME:Continuous Medical Education）と呼ばれるポイントを獲得する必要があります。CMEは、州毎に制度が異なるようです。また、免許の有効期限にも異なるようですが、更新制であることは共通です。
医学とは、日々進歩するものであり、その免許も進歩に対応しない限り、継続させないというのは、米国社会の共通認識、お約束事のようです。
日本は、医師免許は合格さえすれば、永久に効力が継続し、本人がそのスキルを維持しているか問われません。
米国の医師免許制度、CISAやCISM、CGEITの認定制度、更新制度に似ています。例え試験に合格しても、関連する5年の職務経歴の申告が必要で、3年に120CPE以上の継続教育ポイントの獲得も必要です。システム監査技術者試験のように永久に効力は、ありません。
日本の資格や認定制度の多くは更新制をとっていません。が、最近は更新制を取り入れる傾向にありますし、教員免許のように制度を改革、無条件な継続を改める動きがあります。確かに、確かに免許はあるが、何年も実務から離れた、もしくは経験のないペーパー教師や医師を信頼しろと言われても抵抗がありますね。
振り返ってみれば、日本でも自動車運転免許は更新制です。3年乃至5年毎に更新申請とし、所定の講習や視力のチェックを受ける訳ですから、人の命や教育に携わる医師や教員の免許が無条件に継続するのは如何なものでしょうか、という疑問が起きてきます。
自動車運転免許の更新は、様々な利権もあり、綺麗事ばかりでないしょうが、更新時の道交法の改正点の講習とか視力の検査には一定の合理性があるように思います。逆に無条件に継続させることの合理的説明を求めたいですね。
CPE制度も良いことばかりではなく、その申請の有効性の確保が問題でしょう。そして、その有効性を確保する手段として、CPEの監査制度があるのは間違いありません。いつ監査対象なるか分からないという状況を設定することで、虚偽の申請を牽制し、制度の有効性を維持する、確かに3年間に2度も監査の対象になれば、牽制効果は十分です。
プロゴルフの選手、一定の条件(優勝回数)を満たした場合は、永久シード権が認められています。また、指定された試合に優勝すれば、複数年のシード権が与えられます。同じように、一定の条件を充足すれば、更新条件を緩和することも必要かと思います。例えば、僻地医療に従事している場合、継続条件を満たすことは難しいので、一部緩和すること必ずしも非合理的とは思われません。
システム監査もしくは情報セキュリティの研究や制度設計、基準作成などに従事した場合に継続条件の緩和など望みたいです。
CPEという制度、改めて考えてみると、なるほど合理的な理由があるなと思いますし、制度の有効性を維持するためには、CPE監査制度も必要です。が・・・・　何故、自分が2度もその対象となってしまうか・・・・　3度目がないこと祈るばかりです。