レベル: 初級 developerWorks Rational team, editorial staff, IBM Japan
2006年 02月 09日
はじめに
公的企業であれ民間企業であれ、法的規制の順守は必須です。新しい規制に対応できない、または対応しようとしない企業は、多額の罰金や重い処罰を課せられたり集団訴訟を起こされたりすることで企業イメージを失墜させる恐れがあります。さらに幹部や役員が懲役刑に処せられることさえあります。
これらの法的規制や業界規制は、ビジネスに使用されるアプリケーションの開発や変更の方法に大きな影響を及ぼすことになります。企業はソフトウェア開発にセキュリティーやトレーサビリティー（追跡可能性）、反復可能性を備えるために、インフラストラクチャーを整備する必要があります。このことは企業が自社のソフトウェア開発のアーキテクチャーやプロセスを監査対応型にするために必要なことです。
本書では、企業が現在直面しているコンプライアンスを取り巻く状況と主な課題点について検討します。またコンプライアンスとアプリケーション開発の関係を検証し、コンプライアンスのための開発に必要な要求をまとめます。最後に、Rationalの変更管理ソリューションがいかにコンプライアンスのためのソフトウェア開発に柔軟に対応するための基盤を提供するか、また、今後ますます複雑に変化していく多くの法的規制や業界規制に対応するためにどのような支援ができるかについて説明します。
コンプライアンスを取り巻く状況
現在世の中には、全業界に共通なもの、業界に固有なもの、企業に固有なものなど、さまざまな規制が混在しており、それぞれ独自の基準やガイドラインによって構成されています。
ほとんどの大規模組織は、政府または各省庁によって義務付けられた規制の中の最低でもひとつには従わなくてはなりません。また多くの組織は複数の規制を順守しなくてはなりません。これらの規制や基準は非常に多岐にわたり、順守するために採るべき処置が明確になっていない場合もあります。実際、同じ規定に対して監査事務所によって異なるガイドラインが提供されることもあります。
規制と規格の海
また、新しい規制が次々に導入され、既存の規制も頻繁に変更されます。企業は、現行の、およびこれから施行される法律、規制、規格に対応していく必要があります。つまり、企業はコンプライアンスに対応するだけでなく、コンプライアンスを維持し続ける必要があるのです。
コンプライアンスとアプリケーション開発の関係
コンプライアンス・プロジェクトはITプロジェクトと読み替えることができます。なぜなら、ビジネス・アプリケーションをコンプライアンス対応にするということは、稼働中のアプリケーションに何らかの改訂や変更を加える必要がある場合が多いからです。規制が異なれば、開発チームに課せられる要求も異なってきます。この場合、適切な権限を持った担当者がビジネス・アプリケーションを変更し、その変更点の監査・追跡・検証が確実に実施されるように、企業が適切な管理とセーフガードを講じることが求められます。例えば、企業は監査性を考慮して財務取引や財務報告を支援するアプリケーションを設計し、コーディング、テストする必要があります。大部分の企業ですでにIT化が進んでいるため、内部統制に関するいかなる調査も、事実上、ITの監査となります。
プロセス管理や記録管理、監査証跡を人手に戻す企業が後を絶ちません。これでは開発チームに余計な要求やワークロードを増やすことになり、IT組織全体が真のビジネス価値をもたらすアプリケーションに重点を置くことが困難となります。
コンプライアンスのためのフレームワークの開発
上述の人手によるオーバーヘッドをかけることなく、コンプライアンスという課題に対処するために、企業はコンプライアンス管理に特化した機能を提供する以下のようなソフトウェア開発アーキテクチャーを導入することができます。
-
ワークフロー管理：電子署名を使用した通知プロセスや、サインオフ・プロセスを含む、アプリケーション・ライフサイクル全体にわたる一貫性のある反復可能なプロセスを実現します。
-
監査能力/追跡能力：ソフトウェア開発の過程におけるすべてのアクティビティーの起源と詳細（当該アクティビティーの実施者、日時、目的や理由）のトレースや、ソフトウェアの変更に対する許可やサインオフを検査し、記録します。
-
アクセス制御：ユーザー認証を行うことによって、許可されたユーザーだけが変更を行い、適切な「責務の分離」がなされるように役割を明確に定義します。また堅牢な中央管理型リポジトリーによって、要求からテストまでのすべての開発資産がセキュアな方法で保存され、バージョン管理されます。
開発プロセスの自動化と実行、変更の監査証跡と電子記録、およびアクセス制御を提供するソフトウェア変更管理ツールは、生産性の向上にとって不可欠であり、継続的なコンプライアンスの実現に役立ちます。
変更管理：監査対応型インフラストラクチャーのための基盤
Rational変更管理ツールは、アプリケーションのライフサイクル全般に渡って変更管理を効率化し、自動化します。Rational ClearCaseはソフトウェア開発資産の管理と制御を行います。Rational ClearQuestはワークフロー管理を自動化します。これらの製品を使用すれば、ソフトウェア・ライフサイクルを自動化し、チームの生産性を向上させ、プロジェクトの状況を把握しやすくし、開発プロセス全般に渡る制御をすることができます。またこれらの製品により、コンプライアンスに対する経費削減に役立つ監査対応型インフラストラクチャーの基盤も提供されます。
-
企業全体にわたるワークフロー管理
Rational ClearQuest は、一貫性のある、反復可能なプロセスを実現するために、ワークフロー管理を自動化したり、カスタマイズする機能を提供します。Rational ClearQuestを使用して、ユーザーは変更管理に関するポリシーを定義し、実行することができます。アラートや通知機能により、変更または更新が行われた際にチームのメンバーにそれを知らせることができます。また、アクティビティーの終了させるために承認や通知を必要とするワークフローを設定することができます。
-
監査証跡と追跡可能性
IBMの変更管理製品では、ソースコードはもとより、要求、設計文書、モデル、テスト計画、テスト結果、または他のプロジェクトに関連する情報といったソフトウェア資産に対する変更を完全に監査および追跡することができます。
Rational ClearQuest は、広範囲な監査証跡機能を提供します。開発チームは、ソフトウェア資産が作成または更新された時に、自動的にその監査証跡を取得するための記録情報に正確にアクセスすることができます。データが変更される際に、Rational ClearQuestは変更を行ったユーザーと変更内容、変更日時、変更理由を追跡し記録します。
電子署名は、権限の許可や承認のしくみを確立する際に不可欠です。Rational ClearQuestでは、アプリケーションの開発ライフサイクルのキーとなるステップで権限許可とサインオフの記録を残すことができるように電子署名を提供します。
Rational ClearCaseは、リポジトリーに格納されたオブジェクトに対する操作を自動的に記録します。履歴タブなどの追加機能によって、開発プロセス中に実行されたさまざまなアクティビティーを表示することができます。この自動履歴レポートは、フォルダーやファイルに対して利用できます。
Rational変更管理製品はビルド監査機能も提供します。この機能により、アプリケーションの作成に使用されたファイルや、実動環境にディプロイされたコードのバージョンに関する記録を作成することができます。
-
文書およびファイルのバージョン管理
Rational ClearCaseは、要求からテストまで、開発ライフサイクル全体を通じて作成されるアプリケーション資産を格納するために、バージョン管理されたセキュアなリポジトリーをソフトウェア開発チームに提供します。チェックアウト/編集/チェックインの各プロセスの際に、資産に対する変更の監査証跡（変更日時、変更者など）が自動的に作成されます。
-
アクセス制御
Rational変更管理製品は、LDAPサーバーやMicrosoft® Active Directoryなどの業界標準の認証サービスを介してアクセス制御を行います。アクセス許可を制御するために、Rational ClearCaseはRational ClearCaseがインストールされているオペレーティング・システムを活用します。つまり、ご使用のオペレーティング・システムで既に設定されているユーザーとグループを利用して、Rational ClearCase用の許可規則を設定することができます。Rational ClearQuestには、許可制御用の独自のユーザー・データベースがあります。また、重要なセキュリティー・チェックポイントへのアクセス制御をスクリプトでカスタマイズすることもできます。これらの機能によって、許可されたユーザーのみが変更を行うことができるようになります。
また、Rational ClearCaseではアクセスをファイル・レベルまで制御でき、開発チームのどのメンバーが特定のファイルにアクセスでき、そのファイルに対してどのような操作を行えるかを詳細に設定することもできます。開発チームは、Rational ClearQuestの電子署名を使用して特定の操作に対する許可を承認することができます。
-
リアルタイム・レポート
Rational ClearQuestでは、開発プロセス中のほぼあらゆる時点で実行されたアクティビティーと変更についてのレポートを作成することができます。Rational ClearQuestは、広範囲の照会機能をサポートし、また特定のアクセス権を持つ担当者が使用できる、カスタマイズ可能で柔軟性のある多様なグラフ作成機能とレポート作成機能を提供します。これらの機能を使用すると、プロジェクトに対する理解が深まり可視性が増すことによって、意思決定をさらに効率よく行うことができるようになります。
-
ソフトウェア資産と記録の保護
システムやネットワークの障害、または自然災害などの不測の事態によってソフトウェア資産と変更記録が損失し、企業が監査証跡の全面的な補修を余儀なくされるという悲惨な結果に陥る場合があります。Rational変更管理製品を使用すれば、ソフトウェア資産と構成を自動的に複製および同期することによって、このような災害に見舞われた際にも業務を中断することなく継続でき、被害を最小限に食い止めることができます。
 |
完全統合型コンプライアンス・ソリューションの基盤
Rational ClearCaseとRational ClearQuestは、シームレスに連携して動作し、完全で自動化された変更管理ソリューションを実現します。これらを使用することで、エンタープライズ・クラスのソリューションに必要な柔軟性、拡張性、安全性、および信頼性を実現できます。
Rational Team Unifying PlatformとRational Suiteの統合により、開発作業の全分野にわたるライフサイクルがサポートされます。要求からテストまでのソフトウェア資産を管理して、変更がもたらす影響をチームのメンバーに知らせることができます。
Rational ClearCaseとRational ClearQuestは、アプリケーションのライフサイクル・マネジメントのための、実績のあるオープンなモジュール型ソリューションであるIBM Rational Software Development Platformのコア・コンポーネントです。アプリケーションのライフサイクル・マネジメント・ツールと統合することで、Rational ClearCaseとRational ClearQuestはより広範なライフサイクル・ソリューションの基盤を提供します。また、ソフトウェアのライフサイクル全体にわたる変更に対するワークフロー管理と監査証跡が提供されることで、コンプライアンスをより簡単に実現することができます。
まとめ
規制を取り巻く状況は常に変化し続けているため、企業はコンプライアンスに対する現在の取り組みを再検討することを余儀なくされています。特定の部門やビジネス・プロセスを扱う単発プロジェクトごとに、企業がコンプライアンス要求に対処していくという考え方は、既に遠い過去のものとなりました。現在では、企業全体に及ぶ安定して柔軟性のある持続的なプロセスを元に、コンプライアンスを主導していく必要があります。そしてこのアプローチにより、単に罰則を回避するためにコンプライアンスに対処するという考えから、市場競争において優位性を得るためにコンプライアンスを活用するという考えに企業は移行することができます。
コンプライアンスの成熟過程
Rational ClearCaseとRational ClearQuestの変更管理ソリューションにより、監査対応型および不正利用防止型のソフトウェア開発環境の基盤を得ることができます。また、ビジネス・アプリケーションへのすべての変更が、変更権限を与えられた担当者により規定の方針に従って実行されるように、確実に管理することができます。この結果、開発プロセスにおける柔軟性が増し、管理方法が改善され、コンプライアンスに関する費用を削減することができるのです。
詳細情報の参照先
※ Rational ClearCaseとRational ClearQuestが、どのように生産性を向上させ、複雑で変化し続けるコンプライアンスという課題への対応に役立つかということに関しては、
変更と構成の管理のサイト
をご覧ください。
※ IBM Rational Software Development Platformを使用したコンプライアンスの管理方法について詳しくは、
コンプライアンスのサイト
をご覧ください。
本Webページの記載は、情報の提供のみを目的とするものであり、本Webページ上の金融商品取引法、会社法その他内部統制に係る法令等（基準、実務指針、ガイドライン等を含み、以下「日本版SOX法」と総称します。）に対する言及は、日本版SOX法の解釈についての意見や助言とみなされるべきものではありません。日本IBMは、本Webページの内容に関して、その正確性、完全性または有用性について保証するものではありません。
お客様の日本版SOX法の順守はお客様の責任において行っていただきます。日本IBMは、日本版SOX法を含むあらゆる法令、基準、実務指針、ガイドライン等（以下「法令等」といいます。）がお客様のビジネスに影響を与えるかどうかの解釈、またはお客様がそれらの順守のために何らかの対応が必要かどうかの解釈とその対応の内容その他法律、会計、経理または監査についていかなる助言も行なわず、日本IBMがご提供するサービスまたは商品は、そのご提供によりいかなる法令等についてのお客様の順守性を保証するものでもありません。
参考文献
著者について | | | developerWorks Rational team |
記事の評価
| 
