問題 No.5043
A社は、プライバシーマーク制度の付与適格決定を受けており、JIS Q 15001に準拠した個人情報保護マネジメントシステム（PMS）を構築・運用している。ある日、営業部門の社員が顧客リストを記載した紙媒体の書類を紛失するというインシデントが発生した。この事態を受け、PMSの継続的改善プロセス（PDCAサイクル）に基づいて再発防止策を講じることとした。このとき、PMSの要求事項における「改善」の段階の活動として、最も適切なものはどれか。
【正解の解説】
発生したインシデントの原因を分析し、個人情報保護方針や規程類の見直しを行って、類似の事故を防ぐための新たな対策を組織全体に展開する。
これはテストの苦手分野を分析して次の試験で間違えないように勉強方法を根本から変えるようなものです。PMSの「改善」フェーズでは、起きてしまった失敗を単なる不運で終わらせず、ルールそのものをバージョンアップして組織全体の免疫力を高めることが本質となります。
スポンサーリンク
【その他の選択肢の解説】
発生したインシデントの被害を受けた顧客に対し、速やかに謝罪文を送付するとともに、損害賠償に向けた個別交渉の窓口を設置する。
これは交通事故を起こした際に、まず相手の救護や警察への連絡を行う現場の応急処置に相当します。被害者への誠実な対応は企業として必須ですが、PMSの枠組みにおける「根本的な原因を突き止めて再発を防ぐ改善活動」とはフェーズが異なります。
発生したインシデントの影響範囲を特定するため、全従業員を対象とした個人情報の取り扱いに関する臨時の内部監査を実施する。
これは自分の部屋が散らかっている原因を調べるために、いきなり抜き打ちの部屋チェックを家族に行うようなものです。内部監査は現状の違反を見つける「健康診断」のような役割であり、そこから見つかった弱点を治療して仕組みを直す「改善」とは区別して考える必要があります。
発生したインシデントの責任を明確にするため、当該部門の責任者を解任し、社内規程に基づいて厳格な懲戒処分を適用する。
これは失敗した部員をただ怒鳴りつけてレギュラーから外すだけで、なぜミスが起きたかの戦術を見直さない古い指導スタイルに似ています。犯人探しや処罰だけを目的としても組織のセキュリティレベルは1ミリも上がらないため、PMSが目指す継続的改善の本質から外れてしまいます。