「必要だから」では通らない、情シス予算が承認されない理由

「必要なのはわかる。でも今期は見送りで」——情報システムを預かっている方なら、経営会議でこの一言を聞いたことがあるはずです。バックアップの取り方を見直したい。十年近く使っている機器を入れ替えたい。社外から社内につなぐ経路を整理したい。どれも筋は通っているのに、毎年同じところで止まります。

妙なのは、誰も手を抜いていないことです。

担当者は資料を作り込んでいますし、経営者のほうも数字にしか興味がない人というわけではありません。両者とも自分の持ち場では合理的に動いていて、それでも話がかみ合わない。ここにあるのは「情シスの重要性が理解されていない」という精神論では説明のつかない問題、つまり経営会議という場が投資をどう選ぶかという仕組みの側の問題です。

この記事では、なぜ情報システムへの投資だけが後回しにされやすいのかを経営側の理屈から追い、そのうえで、同じ提案が通りやすくなる説明の組み立て方を示します。取締役会という、より公式な場での説明については別の記事で扱います。

先に断っておくと、経営者を丸め込む小手先の話ではありません。むしろ逆です。通らない構造を知らないままでいると、担当者は「なぜわかってもらえないのか」という不満を抱えたまま、同じ資料を同じ形で出し続けることになります。構造を把握するのは、相手を動かすためというより、自分の説明のどこを変えればいいのかを自分で見つけるためです。

投資の効果が「何も起きなかったこと」でしか測れないという壁

営業が人を増やせば、翌期の受注という形で結果が返ってきます。生産設備を入れ替えれば、つくれる量が増えたという形で見えます。情報システムへの投資だけは、うまくいったときの結果が「何も起きなかった」という状態そのものです。止まらなかった。消えなかった。外から触られなかった。成功が変化のなさとして現れるので、報告に載せる材料が手元に残りません。

経営会議は「投資した結果、何が変わったか」を確かめる場です。売上が増えた、原価が下がった、リードタイムが縮んだ——こうした報告は資料になりますが、「今期も何も起きませんでした」は担当者自身が持っていきにくい。良い仕事をしているときほど手ぶらになるという逆説が、ここにあります。しかも一度この構図にはまると、抜け出す機会が自分からはやってきません。障害が起きれば報告する材料はできますが、それは担当者にとって望ましい形ではない。かといって何も起きなければ、部門の存在感は静かに薄れていきます。毎期「成果のない部門」として扱われ続けるうちに、担当者の側も説明することを諦め始めます。予算が付かない会社のかなりの部分は、諦めた側と気づいていない側が、それぞれ静かに同じ状態を続けているだけです。

予防のための支出が数字にしにくいのは、情シスに限った話ではありません。

ただし、工場の設備が古びていくことは誰の目にも見えます。サーバーの構成やソフトの世代が古びていくことは、専門知識がなければ気づけません。効果が見えないことに加えて、対象そのものが経営陣の日常から見えない場所にある。この二重の見えにくさが、ほかの予防的な支出との違いです。

技術の言葉のまま持っていくと、判断材料にならない

結論から言えば、経営会議で落ちる情シス資料の多くは、内容ではなく語彙で落ちています。

「脆弱性」「多要素認証」「アクセス権限の棚卸し」。情シスにとっては日常語でも、同じ会議に並んでいる他の議題は「新規出店の採算」「与信枠の見直し」「人員計画」という、業務の言葉で書かれています。技術用語で組み立てた資料は、読む側にまず翻訳という余計な作業をさせることになります。

翻訳が必要な議題の扱われ方は、だいたい決まっています。「後で詳しく聞く」「担当に一任する」。先送りです。経営陣の理解力の問題ではなく、限られた時間のなかで、業務の言葉に変換されていない議題には順位のつけようがない、というだけのことです。技術的に正確な説明ほど通りにくいという逆転が、この場では起きます。

情シス側の言い分もわかります。用語を外して正確さを保つのは難しく、簡略化すれば後から「話を単純化しすぎだ」と突かれかねない。ですがこの場で問われているのは技術的な正確さではなく、判断材料としての使いやすさです。

もっと厄介なのは、専門用語で語っているほうが担当者自身にとって居心地がいいことです。用語の内側にいるあいだは間違いを指摘されにくく、責任の所在もぼやけます。業務の言葉に置き換えると主張が具体的になり、外れたときには名指しで問われます。この居心地の悪さを引き受けるかどうかが、実際の分かれ目になっています。

他部署の投資は売上に紐づくが、情シスの投資は紐づかない

経営会議で投資が承認される最大の後押しは、それが売上や利益にどうつながるかという見通しです。営業の増員は受注増と、生産設備の更新は生産性と、細いなりに一本の線でつながっています。

守る投資には、その線が引けません。守ることは何かを新しく生むことではなく、いま持っているものを失わずに済ませることだからです。増やす提案と、失わない提案を同じ会議の同じ議題として並べた瞬間、前者のほうが説得力を持って見えてしまう。経営者の視野が狭いからではなく、投資判断という行為そのものが「増える見込み」に強く反応するようにできています。

この非対称は、担当者が頑張っても埋まりません。埋めるには、提案の側を「守ることで避けられる業務停止」という、他部署と同じ土俵の言葉に置き換えるしかありません。

もうひとつ違うのは、失敗したときの損失の見積もりやすさです。新規出店が振るわなければ、その店舗にかけた支出の範囲で損失が確定します。情報システムを守らなかった結果として業務が止まった場合の損失は、止まる前には範囲が見えません。範囲の見えない話は議題として扱いにくく、扱いにくいものは後回しになります。止まったときに何が起きるかをあらかじめ言葉にしておく作業の意味は、ここにあります。

「去年何も起きなかった」が、翌年の予算を削る根拠に使われる

前の年に何も問題が起きなかった。この事実は、対策が機能していた結果かもしれません。ところが経営会議では、しばしば逆に読まれます。「去年も何もなかったのだから、今年もこの水準で足りるはずだ」

因果の取り違えです。ただ、「対策のおかげで何も起きなかった」ことを証明する手立ては、実務上ほとんどありません。証明できない側の説明は、証明を求めない側の説明に押し切られます。うまくいっている投資ほど翌年削られやすいという皮肉な循環は、こうして生まれます。

この循環は、回り始めると自力では止まりません。支出を減らした翌年も何も起きなければ、その判断は正しかったことになります。何も起きない年が続くほど、さらに減らす方向への圧力は強まる。そして実際に何かが起きるのは、たいていその圧力が数年分積み重なった後です。起きたときには何年も前の判断が問われますが、当時それを決めた人がまだその席にいるとは限りません。決めた人はいなくなり、削られた状態だけが残る。予算の話でありながら、どこかで人事の話にもなっているのは、このためです。

自社の情シス予算が今の水準になっている理由を、社内の誰かが説明できるでしょうか。何年か前に一度決まり、以来ほぼ前年並みで更新されてきただけだとしたら、その水準は誰も判断していないことになります。

通る説明には型がある——止まったときに何が起きるかを時間軸で書く

守ろうとしている対象を、技術の言葉ではなく、業務が止まったときに何が起きるかという時間軸の言葉で書き直す。通る資料は、ほぼこの形をしています。

受発注の仕組みが止まったとします。技術的には「基幹システムの停止」ですが、時間軸に沿って業務の言葉に置き換えると、まるで違う資料になります。数時間なら現場は様子見で済ませられる。1日を超えると受注が取れなくなり、3日を超えると出荷の予定が組めなくなり、1週間を超えると請求そのものが出せずに、資金繰りへ直接響き始めます。この時間軸が、そのまま経営会議の判断材料になります。

この表は、情シスだけでは書けません。1日止まったときに現場がどう凌ぐかを本当に知っているのは、受注を受けている人と、出荷を組んでいる人です。書き始める前にその二人から十五分ずつ話を聞いておくと、表の中身は一気に具体的になります。聞くのは「止まったら困りますか」ではなく、「止まった半日、実際には何をしますか」です。

この形の資料は、読む側に翻訳を強いません。受注・出荷・請求は、情シス抜きでも会議に出ている全員が毎日使っている言葉だからです。

書くときのコツは、最悪の想定から始めないことです。いきなり「1週間止まったら会社が傾きます」と書けば、大げさに聞こえて信用を落とします。まず1日止まった場合の、ごく地味な影響から書く。時間が延びるにつれて影響の質がどう変わっていくかを積み上げていけば、読み手は自然にその流れを追えます。積み上げていくと、どこかで「現場の頑張りではもう吸収できない」という線が現れます。その線がどこにあるのかを見つけることが、この作業の本当の目的です。線の手前と向こうでは、経営として取るべき手がまるで変わります。

守る対象は金額ではなく、「止まると困る業務の順位」で並べる

守るべきものの並べ方も、よくつまずくところです。情シス側は「サーバーの価値」「これまで構築にかけてきた支出」といった、積み上げの大きさで順位を語りがちです。経営会議が知りたいのは、その資産にどれだけかけてきたかではなく、止まったときに事業のどこが最初に苦しくなるかという順位です。

この二つは、しばしば食い違います。最も支出をかけてきた仕組みが、止まっても手作業で代替できる業務だったり、ほとんど手をかけずに動かしてきた小さな仕組みが、止まった途端に会社全体の入金を止めてしまったりします。守る順位は、構築にかけた支出の大きさからではなく、止まったときに誰がどれだけ困るかという事業側の視点から引き直す必要があります。

順位を業務側の言葉で引き直すと、どこにどれだけ割くかという判断も自然に変わります。すべての業務に同じ水準の備えをする必要はなく、止まると困る度合いの高いものから枠を厚くしていけばよくなります。順番が肝で、投資の規模を先に決めてから対象を選ぶのではなく、対象の順位を決めてから、その順位に応じて枠を割り当てます。

この順位付けを情シスだけで完結させるのは、もったいない。どの業務が止まると本当に困るかは、現場を持つ営業や製造、経理の責任者のほうが体で知っています。情シスが原案を作り、各部門の責任者に「この順位に違和感はないか」と一度だけ確認して回る。他部門の責任者が一度でも同意した順位表は、経営会議の場でも異論が出にくくなります。

やらない場合に誰が責任を負うのかを明示し、「決めてください」と持っていく

最後は、資料の持っていき方そのものです。多くの情シス提案は「やったほうがいいと思います」というお願いの形で経営会議に出されます。お願いは断りやすく、断っても誰の責任にもなりません。

切り替えるのは一点だけです。対策をしない場合に何が起きるかと、そのときの説明を誰が担うのかをセットにして、判断を仰ぐ形にする。「この規模を見送った場合、先ほどの時間軸で示した影響が起きる可能性が残ります。見送るという判断は経営として十分にあり得ますが、その場合、影響が出たときに取引先へ説明するのは誰になるのかを、この場で決めてください」。脅しではありません。判断の主体が経営の側にあることを、正しい形で確認しているだけです。

この言い方は、一度使うと社内での立ち位置が変わります。お願いをする人から、判断を求める人になるからです。

ここに第三者の手による材料が加わると、扱いが変わります。同じ内容でも、社内の人間が言えば要望に聞こえ、外の人間が言えば事実として扱われる。この非対称は不当ですが、使えます。ペネトレーションテストのように、実際に侵入を試みて弱点を確かめる診断は、担当者の主観ではなく確認された事実として資料に載せられます。構成によって必要な規模は変わるため、まずは個別にご相談とお見積りを、という進め方が現実的です。

判断そのものを先送りにしないことも、同じくらい効きます。「持ち帰って検討する」という結論は、実質的に前年と同じ水準を続けるという判断です。それで構わない場合もありますが、それが積極的に選んだ結果なのか、決めることを避けた結果なのかは、議事録に残しておく価値があります。取締役会という、より重い場でこの種の判断をどう記録し、どう説明責任を果たすかについては、別の記事で扱います。

担当者の立場から見ると、この持っていき方には副次的な効果もあります。判断を仰ぐ形で出し、経営として見送るという結論が出たなら、その責任は担当者から経営へ移ります。責任逃れのためのテクニックではありません。逆です。所在が曖昧なままだと、何かが起きたときにまず押し付け合いから始まり、初動が遅れます。誰が決めたのかがはっきりしている会社ほど、起きた後の動き出しが速い。

参考になる公的資料

社内で説明の土台を作るときに、次の公開資料が参考になります。いずれも企業の担当者向けに書かれており、経営者への説明にもそのまま使える構成になっています。

• 経済産業省・IPA「サイバーセキュリティ経営ガイドライン」
• IPA（情報処理推進機構）「中小企業の情報セキュリティ対策ガイドライン」
• 中小企業庁「中小企業BCP策定運用指針」
• NISC「サイバーセキュリティ関係法令Q&Aハンドブック」
• 警察庁「サイバー空間をめぐる脅威の情勢等」