第5章 · 情報セキュリティ運用と供給者管理·v1.0.0·更新 2026/7/11·読了目安 約15分
変更要約: 初版
5.4サービスの監査・是正・継続的改善
この節の要点
サービスマネジメントを回し続けて良くする仕組み--不適合を検出する内部監査、指摘への是正処置（応急でなく根本原因への恒久対策）、CSI（継続的サービス改善）、PDCAサイクル、そして改善を数値で導くKPI/メトリクス--を、指標に基づいてサービスを改善するサービスマネージャの判断として学びます。
サービスマネジメントは一度仕組みを作れば終わりではなく、定期的に自らを点検し、見つかった問題を根本から直し、指標に基づいて継続的に良くしていく営みです。内部監査で不適合を洗い出し、単なる応急処置ではなく是正処置として根本原因を潰し、PDCA（計画・実行・点検・処置）のサイクルとCSI（継続的サービス改善）の枠組みで改善を回し続けます。その際、改善を思い込みや声の大きさで進めるのではなく、KPI/メトリクスという客観的な数値で現状を測り、効果を検証することが要点です。この節では、これら「回して良くする」仕組みを、指標に基づいて判断するサービスマネージャの視点で学びます。
5.4.1内部監査と是正処置
- 内部監査＝自組織のサービスマネジメントが定めた手順や要求事項（例：JIS Q 20000-1）に照らして適合しているかを、独立した立場で定期的に点検する活動。不適合（ルールと実態のずれ）を検出し、改善の起点をつくる。監査は「粗探しで罰する」ためではなく、改善の機会を見つけるために行う。
- 是正処置＝検出された不適合に対し、根本原因を特定して取り除き、再発を防ぐ処置。目の前の症状を一時的に抑える応急処置（修正）とは区別され、真因まで遡って恒久的に断つのが是正処置である。この考え方は問題管理（根本原因分析・恒久対策）と同じ発想で、「同じ指摘が二度と出ない状態」を目指す。
5.4.2CSI・PDCAとKPI/メトリクス
- PDCA（Plan-Do-Check-Act）＝計画し、実行し、結果を点検し、必要な処置を打って次の計画へ回す、継続的改善の基本サイクル。CSI（継続的サービス改善）は、このサイクルをサービスマネジメント全体に対して継続的に回し、サービスとプロセスの品質を段階的に高めていく枠組み（ITILの継続的改善・7ステップ改善等）。一度きりの改善ではなく回し続ける点が本質。
- KPI/メトリクス＝改善を客観的に導くための数値指標。例：インシデントの平均解決時間（MTTR）、SLA達成率、初回応答時間、変更成功率、繰返しインシデント件数など。測れないものは管理・改善できないため、まず現状を数値で把握（ベースライン）し、改善施策の前後で比較して効果を検証する。ただし指標は目的達成の手段であり、数値合わせ（測定のための測定）に陥らないよう、顧客価値・SLA目標に紐づく意味のある指標を選ぶ。