コンプライアンス・プログラムを作る：Pマーク取得への道（4）（3/4 ページ）

コンプライアンス・プログラムの策定

　コンプライアンス・プログラムとはマネジメントシステムそのものを表しますので、簡単にいうとJIS Q 15001に書かれていることがすべてとなります。当然、内部規程だけでなく、教育・監査といった組織的活動およびそれらの計画書・報告書なども含まれます。JIS Q 15001の要求事項の中で、文書化が求められるものについては、文書として作成することが必要です。

　明確に文書化しなければならない内部規程は、以下のような要求事項を満たしている必要があります。

　また、監査ガイドラインでは、内部規程の維持管理として、文書管理について触れていますので、文書管理ルールを定めることも必要です。

　なお、文書化についてJIS Q 15001では、特にどのようにまとめるかについての要求事項はありません。１つの文書「個人情報保護マニュアル」としてまとめてしまうのもよいでしょうし、何について定めたのかが明確になるように分割してもよいでしょう。規程類を分割した場合の例を挙げてみます。

　では、「文書化」という記述がないものは、文書にする必要がないのでしょうか。例えば、JIS Q 15001の要求事項の中には、「××の手順を確立し、実施し、維持しなければならない」という記述があります。ここから文書化について考えてみましょう。

1．「手順を確立する」

　手順を確立するということは、業務手順（ルール）を定めてそれを文書化する、と考えることができます。組織的な活動が求められるマネジメントシステムの中では、担当者任せの業務手順は「手順を確立した」ということにはならないのです。

　個人情報保護の観点から適切な手順を検討し、決定したルールを文書化することをもって、「手順を確立した」といえます。もし、現在の作業が担当者任せであっても、その業務手順に問題がなければ、それを今後のルールとして採用することも問題ありません。

　ここで気を付けなければならないのが、文書化した内容が守られなければ意味がないということです。「規程」の中で定めるルールは、基本的に全社に適用できるルールである必要があります。業務ごとにより具体的な手順書が必要となる場合もありますが、それは業務手順書として別途作成した方がいいでしょう。

2．「実施する」

　定められたルールどおりに運用することが求められています。これを証明するためには、報告書などの帳票が大きな意味を持ちます。ルールを定める際には、適切に実施されたことを確認できる手順も考慮しましょう。

3．「維持する」

　個人情報保護活動を維持していくことが求められています。実施したことについて実施状況を確認し、見直し、必要があれば改善をします。

　内部規程は、プライバシーマーク審査の文書審査の対象となります。上記のような「手順を確立する」「実施する」「維持する」といった要求事項に関する記述を、文書中に表現しなくてはなりません。文書を作成する際には、JIS Q 15001が何を要求しているのかを理解し、それを満たす文書とすることが必要です。