Instiq
第5章 · 情報セキュリティ運用と供給者管理·v1.0.0·更新 2026/7/11·読了目安 約15分

変更要約: 初版

5.4サービスの監査・是正・継続的改善

この節の要点

サービスマネジメントを回し続けて良くする仕組み--不適合を検出する内部監査、指摘への是正処置(応急でなく根本原因への恒久対策)、CSI(継続的サービス改善)PDCAサイクル、そして改善を数値で導くKPI/メトリクス--を、指標に基づいてサービスを改善するサービスマネージャの判断として学びます。

サービスマネジメントは一度仕組みを作れば終わりではなく、定期的に自らを点検し、見つかった問題を根本から直し、指標に基づいて継続的に良くしていく営みです。内部監査で不適合を洗い出し、単なる応急処置ではなく是正処置として根本原因を潰し、PDCA(計画・実行・点検・処置)のサイクルとCSI(継続的サービス改善)の枠組みで改善を回し続けます。その際、改善を思い込みや声の大きさで進めるのではなく、KPI/メトリクスという客観的な数値で現状を測り、効果を検証することが要点です。この節では、これら「回して良くする」仕組みを、指標に基づいて判断するサービスマネージャの視点で学びます。

5.4.1内部監査と是正処置

  • 内部監査=自組織のサービスマネジメントが定めた手順や要求事項(例:JIS Q 20000-1)に照らして適合しているかを、独立した立場で定期的に点検する活動。不適合(ルールと実態のずれ)を検出し、改善の起点をつくる。監査は「粗探しで罰する」ためではなく、改善の機会を見つけるために行う。
  • 是正処置=検出された不適合に対し、根本原因を特定して取り除き、再発を防ぐ処置。目の前の症状を一時的に抑える応急処置(修正)とは区別され、真因まで遡って恒久的に断つのが是正処置である。この考え方は問題管理(根本原因分析・恒久対策)と同じ発想で、「同じ指摘が二度と出ない状態」を目指す

5.4.2CSI・PDCAとKPI/メトリクス

  • PDCA(Plan-Do-Check-Act)=計画し、実行し、結果を点検し、必要な処置を打って次の計画へ回す、継続的改善の基本サイクル。CSI(継続的サービス改善)は、このサイクルをサービスマネジメント全体に対して継続的に回し、サービスとプロセスの品質を段階的に高めていく枠組み(ITILの継続的改善・7ステップ改善等)。一度きりの改善ではなく回し続ける点が本質。
  • KPI/メトリクス=改善を客観的に導くための数値指標。例:インシデントの平均解決時間(MTTR)、SLA達成率、初回応答時間、変更成功率、繰返しインシデント件数など。測れないものは管理・改善できないため、まず現状を数値で把握(ベースライン)し、改善施策の前後で比較して効果を検証する。ただし指標は目的達成の手段であり、数値合わせ(測定のための測定)に陥らないよう、顧客価値・SLA目標に紐づく意味のある指標を選ぶ。
試験ポイント

「内部監査=独立した立場で適合性を点検し改善機会を見つける」「是正処置=応急処置(修正)と区別し根本原因を潰して再発防止」「PDCA/CSI=一度きりでなく継続的に回して品質を段階的に高める」「KPI/メトリクス=測れないものは改善できない、ただし数値合わせに陥らず顧客価値/SLAに紐づく指標を選ぶ」が最頻出です。是正処置は問題管理と同じ「根本原因への恒久対策」の発想、が要点。

あるサービス運用組織の内部監査で、「変更管理の記録に、切り戻し計画が記載されていない変更が多数見つかった」という不適合が指摘されたとします。監査後のレビューでは、担当者の一人が「忙しくて記載を忘れただけなので、今回見つかった分に切り戻し計画を後追いで書き足せば対応完了ではないか」と主張しました。しかしサービスマネージャは、それは目の前の記録を繕う応急処置(修正)にすぎず、是正処置にはなっていないと判断します。同じ指摘が次の監査でも繰り返されるのを防ぐには、なぜ切り戻し計画の記載が漏れるのかという根本原因を突き止める必要があります。分析すると、変更申請フォームに切り戻し計画の記入欄が必須項目になっておらず、記載しなくても申請が通ってしまう仕組みだったことが真因と判明しました。そこでサービスマネージャは、フォームで切り戻し計画を必須入力にし、未記載の変更はCABの承認に進めないよう運用を是正しました。これが根本原因を断つ是正処置です。さらにこの改善をPDCAで回すため、「切り戻し計画の記載率」というKPIを設定し、是正前のベースライン(例:60%)と是正後の推移を測定して、施策が実際に効いているかを客観的に検証することにしました。ここで重要なのは、監査指摘を「その場しのぎの修正」で閉じず、根本原因への恒久対策(是正処置)とし、効果をメトリクスで測ってPDCA/CSIとして回し続けることです。声の大きさや思い込みではなく、数値(KPI)で現状と効果を捉えて継続的に改善するのが、監査・是正・改善におけるサービスマネージャの判断です。

区別応急処置(修正)是正処置
対象目の前の症状・個別の不適合そのもの不適合を生んだ根本原因
目的とりあえず今の状態を繕う再発を防ぎ同じ指摘が二度と出ないようにする
残るリスク原因が残り次の監査でも同じ指摘が再発効果はKPIで検証しPDCA/CSIで回し続ける
注意

ひっかけ: 「監査で見つかった不適合は、その場で記録を書き足す等の応急処置をすれば対応完了」は誤りです--それは修正にすぎず、根本原因を潰す是正処置をしなければ次の監査で同じ指摘が再発します(問題管理と同じ発想)。また「改善は現場の熱意や声の大きさで進めればよく、数値は不要」も誤り=測れないものは改善できないため、KPI/メトリクスでベースラインと効果を客観的に測り、PDCA/CSIとして回し続けるのが正しい。ただし数値合わせに陥らず顧客価値/SLAに紐づく指標を選ぶこと。

監査からCSIへの図。
回して良くし続ける

5.4.3この節のまとめ

  • 内部監査は独立した立場で適合性を点検して不適合(改善機会)を洗い出し、是正処置は応急処置(修正)と区別して根本原因を潰し再発を防ぐ
  • PDCACSI(継続的サービス改善)は一度きりでなく継続的に回し、サービスとプロセスの品質を段階的に高める
  • 改善は思い込みでなくKPI/メトリクスでベースラインと効果を客観的に測って導く。ただし数値合わせに陥らず顧客価値/SLA目標に紐づく指標を選ぶ

進捗の記録にはログインが必要です。

理解度チェック

(軽い確認用)

Q1. 内部監査で「変更記録に切り戻し計画が記載されていない変更が多数ある」と指摘された。担当者は「見つかった分に後追いで切り戻し計画を書き足せば対応完了」と主張している。サービスマネージャの是正として最も適切なものはどれか。

Q2. サービス改善(CSI)を進めるにあたり、施策の効果を判断する方法として最も適切なものはどれか。

Q3. 内部監査の位置づけと、応急処置(修正)と是正処置の違いに関する説明として最も適切なものはどれか。

理解度を確認第5章「情報セキュリティ運用と供給者管理」の問題を解く

学習の記録を残しませんか

参考書はすべて無料で読めます。無料登録すると、問題集での演習・既読と進捗の記録・間違えた問題の復習・ハイライトが使えます。