文書化の程度（PartⅢ）

今回は弊社が認証をお手伝いさせていただいた事例です。
弊社は2011年12月に設立・創業しました。
創業する際、SES（システム・エンジニアリング・サービス）だけでなく、同業他社を支援できる企業を目指そうということでいくつかの事業を考え、その中の一つに当時IT・ソフトウェア開発業界で取り組む事例が増えていたISOの認証を開始しました。

当時、大手・中堅企業はほぼ認証されており、今後は小規模企業が中心になるだろうと想定し、ISO認証コンサルティングのターゲットを従業員50名以下のIT・ソフトウェア開発企業、規格はISO27001としました。

この規模の企業の特徴はメインの事業がSESです。SESとは、自社またはパートバー企業の技術者をお客様先に派遣し、お客様が指定する場所でシステム開発、運用、保守といった業務を行うことです。派遣という言葉を使いましたが、契約形態は派遣だけでなく、準委任や受託などがあります。また、新型コロナ以降、勤務形態はテレワークやハイブリッドなどあります。

SES事業者は認証の対象となる自社の事務所で行われる業務は営業活動やバックオフィス（人事労務、経理、総務）のみで、開発業務はありません。

ISOマネジメントシステム構築という視点でみると、至ってシンプルです。また、仮に従業員が50名としても、技術者はお客様先常駐で業務を行っているため、前述のバックオフィス業務を担当するのは社長を含め、5名程度。文書も多くを必要としません。

前々回、書いたかつてISO27001:2013で認証し、一旦認証を返上、再度ISO27001:2022で取り組んだ企業もまさにこのケースに該当します。このような会社に5センチのバインダーにマニュアル、規程を綴り、さらに書式類でもう1冊なんて必要だと思いますか？
仮に運用したとして、文書の改訂などできると思いますか？

内容は規格要求事項をオウム返し、ひどいとコピペしたようなマニュアルや規程。
何でも記録の残さなければならないような数多くの書式。

とエラソーに書きましたが、実は私もかつては規格要求事項をオウム返ししたマニュアルや規程を提供していました。もっとも、5センチのバインダーの綴るほどの量ではありませんが。

そんな私がなぜ、シンプルを追及したか、は次回とさせていただきます。