なぜ、チェックシートは『答えたくない』と思われるのか

もし今、取引先へのチェックシートの回収や催促を自分たちで回しているなら、この問題はすでに自社の中で起きている。

メールを開くと、件名に「セキュリティチェックシートのご回答依頼」とある。
 
添付されたExcelファイルは100項目以上。期限は2週間後。
送り主は取引先の担当者で、悪意はないとわかっている。
それでも、どこかで思ってしまう。「また来たか」と。
 
これは、回答者の怠慢ではない。チェックシートという業務が持つ、構造的な重さだ。

回答者がチェックシートを前にして感じる負荷は、一種類ではない。
 
設問の意味がわからない
「貴社における情報セキュリティポリシーの整備状況についてお答えください」。
整備状況とは何を指すのか。有無なのか、内容なのか、運用状況なのか。
設問が抽象的なまま出されると、回答者は「何を求められているのか」から考えなければならない。
 
何に使われるかわからない
この回答がどう評価され、どう使われるのか。
説明がなければ、回答者は用途を推測するしかない。
用途がわからなければ、どの粒度で答えればよいかも判断できない。
 
回答に責任が発生しそうで怖い
「Yes」と答えたことで、後から問題が発覚したらどうなるのか。
その不安が、回答者の指を止める。
確信が持てない項目ほど、回答は慎重になるか、曖昧になるか、空欄になる。
 
同じような質問を何度も聞かれる
取引先が増えるほど、似たようなシートが何度も届く。
設問の文言は微妙に違うが、聞いていることはほぼ同じ。
それでも毎回、ゼロから答えなければならない。
 
必要な情報が社内に散らばっている
自分一人では答えられない項目がある。
情シスに確認し、法務に確認し、担当部署に確認する。
その調整コストが、回答を後回しにさせる。
 
誰が答えるべきかわからない
セキュリティ、法務、営業、情シス。項目によって担当が違う。
しかし、シートは一枚で届く。
「とりあえず転送」が繰り返され、回答は止まる。
 
自由記述が多く、負荷が高い
選択肢があれば迷わず選べる。
しかし「具体的にご記入ください」という欄が続くと、回答者は文章を考えなければならない。
時間と労力がかかる。
 
期限だけ切られて、背景が説明されていない
なぜこの時期に、なぜこの項目を確認するのか。
背景がわからないまま期限を告げられると、優先度の判断がつきにくい。
結果として、他の業務の後回しになる。

こうした負荷が積み重なると、回答者の行動は変わっていく。

• 後回しになる。締め切り直前に慌てて対応する。
• 時間がないから、確認が甘くなる。
• 確信が持てない項目には、確認が不十分なまま「Yes」と入れる。
• 前回送ったシートをコピーして、中身を更新しないまま返す。
• 詳しそうな人に転送して、そこで止まる。
• 法務・情シス・営業の間をたらい回しになり、誰も最終的に回答しない。

これらは、回答者が手を抜いているのではない。
答えにくい設計が、こうした行動を引き出している。

回答品質が下がると、困るのは依頼側だ。

• 未回答が増え、催促のメールを送る手間が増える。
• 回答が届いても、内容が曖昧で再確認が必要になる。
• 根拠の薄いYesが並ぶシートからは、取引先の実態が見えにくい。
• 評価の判断が遅れ、承認プロセスが止まる。

管理する側から見れば、「どの取引先の回答が止まっているか」「どの項目に懸念があるか」が把握できないまま、時間だけが過ぎていく。これはオペレーションの問題であると同時に、リスク管理の問題でもある。

回答者が悪いのではない。答えにくい設計が、回答品質を下げている。

• 設問が明確であれば、回答者は迷わずに答えられる。
• 用途が説明されていれば、粒度の判断がつく。
• 選択肢があれば、考える負荷が下がる。
• 確認すべき相手が明示されていれば、社内調整がスムーズになる。

設計を決めているのは依頼側である以上、この問題は構造的に依頼側が生み出している。
チェックシートは「聞き方」で精度が変わる。
そして、回答しやすさは、依頼側の管理品質でもある。
だから、設計を見直す必要がある。

設問をわかりやすくする。選択肢を整える。背景を説明する文を加える。
それだけで、回答品質はある程度改善する。
 
しかし、設計を改善した後にも、業務は残る。

• 誰に送ったか。
• いつ送ったか。
• どこまで回答されているか。
• 未回答はどこか。
• 催促はしたか。
• 回答内容に疑義が生じたとき、誰がどう確認したか。

これらの管理が、メールとExcelの往復で行われている限り、担当者の記憶と手作業に依存し続ける。

取引先が10社なら回る。30社になると怪しくなる。50社を超えると、どこかで必ず漏れる。
設計が良くなっても、運用のボトルネックは構造として残る。

運用が属人化すると、ある種の見えなさが生まれる。
 
シートは送った。返事は来ていない。催促もした。しかし、なぜ止まっているのかが分からない。
担当者が変わったのか。社内で確認中なのか。そもそも届いていないのか。
メールの履歴を掘り返しても、全体像はつかめない。
 
形式上は「対応中」になっているが、実態は不明。
誰も最終的な責任を持たないまま、期限だけが過ぎていく。
取引先のリスク評価が完了しないまま、取引が先に進む。
これは管理の問題であると同時に、判断の空白でもある。

設計を見直し、運用も改善する。その先に残る問いは、構造の問題だ。
 
チェックシート業務を、担当者の記憶と手作業で回し続けるのか。
それとも、回収・催促・確認・評価の流れを仕組みとして持つのか。
 
取引先が増えるほど、前者の限界は早く来る。
そのまま人力で回し続ける限り、どこかのタイミングで”管理できていない状態”が必ず表面化する。
どちらを選ぶかは、業務量の問題ではなく、リスク管理の方針の問題だ。
 
こうした業務を個人の作業ではなく、仕組みとして持つという選択肢もある。
マモリスは、その選択を現実的に成立させるための一つの方法として設計されている。
 
→ https://www.mamorisu.jp/