IT資産処分がコストから事業戦略へ大転換。海外の常識「ITAD」とは？

1.コンプライアンスとガバナンス
日本でも、様々な法令に従って、IT資産処分を行っています。法令に関しては、（1）情報管理に関するもの（個人情報保護法、金融商品取引法）（2）環境に関するもの（廃棄物の処理及び清掃に関する法律、資源有効利用促進法）の2種類に分かれ、皆さんも様々な法規制を勘案しながら、IT資産の処分を行われていると思います。最近では、マイナンバー制の導入に伴い機器処分方法の相談も多くなってきています。
欧米でも同様にITADに影響する法律があります。情報管理を含む法律の代表的なものとして、SOX法（サーベンス・オクスリー法）やHIPAA（米国における医療保険の相互運用性と説明責任に関する法令）、やthe EU Data Protection Regulation（EUの情報管理の法律）などです。特にthe EU Data Protection Regulationに関しては、欧州のデータ漏洩だけでなく、グローバルの拠点で情報漏洩が発生すると、その罰則がその会社の営業利益の5％（最大１億ユーロ）とかなり厳しいものになっています。

環境に関する法令ですが、アメリカでは連邦レベルでの法律はありませんが、州ごとで定められているようです。欧州ですが、EUでは、廃電気電子機器（WEEE）に関する指令案や各国のリサイクル法などが施行されています。
コンプライアンスの部分は、欧州の情報漏洩の罰則は厳しいものの、全体では日本と比較してもそう大きな差がないといえます。

2.情報管理セキュリティ
3.サスティナビリティ
大企業にとって法令遵守は当然の事であり、各国企業では独自のセキュリティポリシーや環境保全ポリシーを制定し、情報漏洩や環境保全に努めています。
日本でも、プライバシーマークやISO27001（ISMS）、ISO14001などの認証がIT資産処分に関わる企業の認証資格としてメジャーですが、欧米では、ISOに加えさらに多くの認証規格が存在しています。
代表的な認証規格としては、リサイクルに関連する認証規格であるe-stewards・R2・RIOS、機密情報処分の認証であるNAID、資産処分のデータ処理に関する認証であるADISA、クレジットカード業界におけるグローバルセキュリティ基準PCI DSS、労働安全衛生管理のOHSAS18001などがありますが、やはりメジャーなのは各種ISO（環境マネジメントシステムのISO14001、情報セキュリティマネジメントシステムのISO27001、品質管理のマネジメントシステムISO9001）となります。
特徴的なのは、環境関係、セキュリティ関係共に、日本より認証規格の数が多い事と、データ削除に関わる規格が日本に比べると一般的である事です。ある調査によると大企業の36％の企業が、データ消去の規格（NAIDやADISA）を満たしているのを条件にしている事からも分かります。
欧米の各企業は、自社でそのような認証を取得したり、そのような認証資格を持つ事業者にITADのプロセスを依頼し、情報の漏えい防止や環境保全に努めています。

4.ROI（return on investment）
ITADで重視されている点の最後は、ROI（投下資本利益率）があります。
ROIには2点の側面があり、（1）ITの導入投資に対してのROI　と（2）IT資産処分のコストに対してのROI　の2点に分けられます。

（1）ITの導入投資に対してのROI
こちらで重視される事は、IT資産の購入時のコストに対しての売却益が重視されます。オペレーティングリースの様に、企業でもある程度の売却金額を見込みながらの導入投資が行われることもあります。
ポイントとしては、より高額で売却する事が重要ですので、企業独自で競争入札を行ったりする事もあります。

（2）IT資産処分のコストに対してのROI
売却益を見込まない、計画していない場合は、IT資産に対しての処分の費用やコストに対してのROIの観点があります。ITADが、セキュアでサスティナブルに処分できる事に対しての投資が有効かどうかで判断されます。
IT資産処分時のコストとしては、運搬費用・保管費用・データ消去費用・廃棄費用など直接的なコストと、企業の作業コストといった間接的なコストがあります。作業コストとしては、リストアップや資産台帳との突合・検品コスト、処分品を集約する伝達コスト、データ消去の作業コストなどがあり、こういった見えないコストに対しても注意が払われています。

まとめ

ITADを行う上で持つべき視点は、コンプライアンスとガバナンス、情報管理セキュリティ、サスティナビリティ、ROIの4点になります。IT機器処分を行う際、この4つのポイントが常に満たれているかを検証する事が、適切で効果的なITADを実現できるかと思います。
欧米と比較すると、日本では、まだまだITADへの意識が低く未成熟であると言えます。

次回は、具体的なITADのプロセス、ITADでの実務を考察していきたいと思います。

※1　CIO 【 Chief Information Officer 】 最高情報責任者 / 情報統括役員。
CIOとは、企業内の情報システムや情報の流通を統括する担当役員。「最高情報責任者」「情報統括役員」などと訳される、企業の情報戦略のトップである。元は米国の企業で用いられていた呼び名だが、情報戦略に注目が集まるにつれて日本でも採用する企業が増えつつある。情報システムの構築や運営に関する技術的な能力だけでなく、そうして得られた情報を基にCEO（最高経営責任者）ら経営陣に対して適切な報告・助言を行うことも求められ、経営戦略に関する深い理解と能力も必要とされている。
IT用語辞典　e-Wordsより（http://e-words.jp/w/CIO.html）

※2　PCIデータセキュリティスタンダード（PCI DSS：Payment Card Industry Data Security Standard）は、 クレジットカード情報および取り引き情報を保護するために2004年12月、JCB・American Express・Discover・マスターカード・VISAの国際ペイメントブランド5社が共同で策定した、クレジット業界におけるグローバルセキュリティ基準である。
Wikipediaより

※3　ROIとは、投資した資本に対して得られる利益の割合。対象から得られた利益を投資額で割ったもの。一般的には割合の値に100を乗じてパーセンテージとして表すことが多い。
事業や資産、設備の収益性を測る指標として一般的なもので、投資に見合った利益を生んでいるかどうかを判断するための重要な指標である。広告などの場合には、収益を費用で除した割合のことを指す場合もある。
IT用語辞典　e-Wordsより（http://e-words.jp/w/ROI.html）