IT資産処分がコストから事業戦略へ大転換。海外の常識「ITAD」とは？
写真提供：UggBoy♥UggGirl
日本の企業ではIT機器の廃棄処分が単なる作業として考えられる事が多いですが、欧米では事業戦略の一環としてより高いステージで捉えられています。
ジョーシスでは「ITAD」と呼ばれるこの取組について、シリーズで紹介していきます。初回は欧米で重要視されている4つのポイントを詳しく解説していきます。
はじめに～ITADという言葉が欧米では一般的
こちらの記事をお読みになっている情報システム部門、SIer、経営者の皆さんは、「ITAD」という言葉を聞いたことがあるでしょうか？ 外資系企業の情報システム部にお勤めの方は、もしかするとお聞きになられた事があるかも知れません。
ITADとは、「IT Asset Disposition」 の略語で、IT資産の処分という意味になります。ちなみに読み方は「アイタッド」と発音されます。 欧米では、広く浸透している言葉で、日本の企業が意味するIT機器処分とは若干ニュアンスが異なります。ITADという言葉をキーワードに欧米のIT資産処分の現状を考察してゆき、このコラムが、皆さんの会社でのIT資産処分のあり方・考え方の参考になれば幸いです。
欧米と日本のIT資産処分、その前提の違い
日本でも最近、増えてきましたが、Chief Information Officer （以下CIO※1）という役職や役員のポストが、欧米の大企業では一般的です。経営戦略に沿った効率的なIT投資や情報戦略の重要性が認識されているので、責任の明確化の為、このようなポストがあるのだと考えられます。日本でも、一部の大手企業では違うのでしょうが、情報戦略と経営戦略が合致している企業も少なく、IT投資はまだまだコストとして捉えている経営者も多いのではないかなと感じます。そのあたりが、情報システム部門の方々は、ジレンマとして感じられているのではないのでしょうか？そのような考えの元、欧米では、ITADも単なる機器の廃棄処分というものでなく、事業戦略の一環として考えられており、重要性の認識が日本より高い位置づけにあります。
ITADで重要視されているポイント
IT資産処分に関して、欧米で重要視されているポイントは4点あります。
- コンプライアンスとガバナンス
- 情報管理セキュリティ
- サスティナビリティ
- ROI（return on investment）
1.コンプライアンスとガバナンス
日本でも、様々な法令に従って、IT資産処分を行っています。法令に関しては、（1）情報管理に関するもの（個人情報保護法、金融商品取引法）（2）環境に関するもの（廃棄物の処理及び清掃に関する法律、資源有効利用促進法）の2種類に分かれ、皆さんも様々な法規制を勘案しながら、IT資産の処分を行われていると思います。最近では、マイナンバー制の導入に伴い機器処分方法の相談も多くなってきています。
欧米でも同様にITADに影響する法律があります。情報管理を含む法律の代表的なものとして、SOX法（サーベンス・オクスリー法）やHIPAA（米国における医療保険の相互運用性と説明責任に関する法令）、やthe EU Data Protection Regulation（EUの情報管理の法律）などです。特にthe EU Data Protection Regulationに関しては、欧州のデータ漏洩だけでなく、グローバルの拠点で情報漏洩が発生すると、その罰則がその会社の営業利益の5％（最大１億ユーロ）とかなり厳しいものになっています。
環境に関する法令ですが、アメリカでは連邦レベルでの法律はありませんが、州ごとで定められているようです。欧州ですが、EUでは、廃電気電子機器（WEEE）に関する指令案や各国のリサイクル法などが施行されています。
コンプライアンスの部分は、欧州の情報漏洩の罰則は厳しいものの、全体では日本と比較してもそう大きな差がないといえます。
2.情報管理セキュリティ
3.サスティナビリティ
大企業にとって法令遵守は当然の事であり、各国企業では独自のセキュリティポリシーや環境保全ポリシーを制定し、情報漏洩や環境保全に努めています。
日本でも、プライバシーマークやISO27001（ISMS）、ISO14001などの認証がIT資産処分に関わる企業の認証資格としてメジャーですが、欧米では、ISOに加えさらに多くの認証規格が存在しています。
代表的な認証規格としては、リサイクルに関連する認証規格であるe-stewards・R2・RIOS、機密情報処分の認証であるNAID、資産処分のデータ処理に関する認証であるADISA、クレジットカード業界におけるグローバルセキュリティ基準PCI DSS、労働安全衛生管理のOHSAS18001などがありますが、やはりメジャーなのは各種ISO（環境マネジメントシステムのISO14001、情報セキュリティマネジメントシステムのISO27001、品質管理のマネジメントシステムISO9001）となります。
特徴的なのは、環境関係、セキュリティ関係共に、日本より認証規格の数が多い事と、データ削除に関わる規格が日本に比べると一般的である事です。ある調査によると大企業の36％の企業が、データ消去の規格（NAIDやADISA）を満たしているのを条件にしている事からも分かります。
欧米の各企業は、自社でそのような認証を取得したり、そのような認証資格を持つ事業者にITADのプロセスを依頼し、情報の漏えい防止や環境保全に努めています。
4.ROI（return on investment）
ITADで重視されている点の最後は、ROI（投下資本利益率）があります。
ROIには2点の側面があり、（1）ITの導入投資に対してのROI と（2）IT資産処分のコストに対してのROI の2点に分けられます。
（1）ITの導入投資に対してのROI
こちらで重視される事は、IT資産の購入時のコストに対しての売却益が重視されます。オペレーティングリースの様に、企業でもある程度の売却金額を見込みながらの導入投資が行われることもあります。
ポイントとしては、より高額で売却する事が重要ですので、企業独自で競争入札を行ったりする事もあります。
（2）IT資産処分のコストに対してのROI
売却益を見込まない、計画していない場合は、IT資産に対しての処分の費用やコストに対してのROIの観点があります。ITADが、セキュアでサスティナブルに処分できる事に対しての投資が有効かどうかで判断されます。
IT資産処分時のコストとしては、運搬費用・保管費用・データ消去費用・廃棄費用など直接的なコストと、企業の作業コストといった間接的なコストがあります。作業コストとしては、リストアップや資産台帳との突合・検品コスト、処分品を集約する伝達コスト、データ消去の作業コストなどがあり、こういった見えないコストに対しても注意が払われています。
まとめ
ITADを行う上で持つべき視点は、コンプライアンスとガバナンス、情報管理セキュリティ、サスティナビリティ、ROIの4点になります。IT機器処分を行う際、この4つのポイントが常に満たれているかを検証する事が、適切で効果的なITADを実現できるかと思います。
欧米と比較すると、日本では、まだまだITADへの意識が低く未成熟であると言えます。
次回は、具体的なITADのプロセス、ITADでの実務を考察していきたいと思います。
※1 CIO 【 Chief Information Officer 】 最高情報責任者 / 情報統括役員。
CIOとは、企業内の情報システムや情報の流通を統括する担当役員。「最高情報責任者」「情報統括役員」などと訳される、企業の情報戦略のトップである。元は米国の企業で用いられていた呼び名だが、情報戦略に注目が集まるにつれて日本でも採用する企業が増えつつある。情報システムの構築や運営に関する技術的な能力だけでなく、そうして得られた情報を基にCEO（最高経営責任者）ら経営陣に対して適切な報告・助言を行うことも求められ、経営戦略に関する深い理解と能力も必要とされている。
IT用語辞典 e-Wordsより（http://e-words.jp/w/CIO.html）
※2 PCIデータセキュリティスタンダード（PCI DSS：Payment Card Industry Data Security Standard）は、 クレジットカード情報および取り引き情報を保護するために2004年12月、JCB・American Express・Discover・マスターカード・VISAの国際ペイメントブランド5社が共同で策定した、クレジット業界におけるグローバルセキュリティ基準である。
Wikipediaより
※3 ROIとは、投資した資本に対して得られる利益の割合。対象から得られた利益を投資額で割ったもの。一般的には割合の値に100を乗じてパーセンテージとして表すことが多い。
事業や資産、設備の収益性を測る指標として一般的なもので、投資に見合った利益を生んでいるかどうかを判断するための重要な指標である。広告などの場合には、収益を費用で除した割合のことを指す場合もある。
IT用語辞典 e-Wordsより（http://e-words.jp/w/ROI.html）
アセット・ビジネス・カンパニー長として数多くのリユースの現場に携わる。環境省使用済製品等のリユース促進事業研究会委員を務めるなど、社外での活動にも積極的に参加。渡航経験も豊富に持ち、海外のIT機器リユース事情にも精通する。
