東証とベンダーである富士通のサービス契約がどのような内容のものかは、外部に公開されていません。

　しかし通常、ITシステムの開発・運用契約においては、ベンダーは障害に関して「最大限の努力義務」は負っているものの、不具合の可能性をゼロにする義務を負うとは記述されていません。

　これはITシステムの性格上、すべての検証・テストケースを網羅することが事実上不可能であるため、重要なケースのみを検証するという一種の「許容範囲設計」という哲学にのっとって開発が行われているためだと考えられます。その結果、ITシステムとは製品上「不具合は避けられない」という常識が世界中にはびこり、一種のビジネス慣行にまでなりました。そして上述したように、契約上も「最大限の努力義務」という表現がまかり通っています。筆者はこれを「ベンダーおとがめなしの法則」と呼んでいます。

　例えば今回取り上げた東証のITシステム障害においても、ベンダーの富士通に東証などから損害賠償請求などがなされた形跡はありません。せいぜい富士通の社長と担当役員の減給処分が発表され、「世間にご迷惑をおかけしました」という程度のベンダーの声明文が発表されているだけです。

　今回の東証IT障害でも「ベンダーおとがめなしの法則」は生きていた訳です。

　実際、幾つかの民間先進企業においては、開発と運用を長く委託しているベンダーに障害時に多少のペナルティを課している例はありますが、本格的な損害賠償や休業補償まで求めている例はほとんどありません。

東証が次世代ITシステムを公開入札にした意味

　東証だけでなく日本の大手の金融機関やメーカーなどは、数社の特定ベンダーとの間で実質的にはお互いが持ちつ持たれつの事実上の指名入札＝「系列取引」が行われてきました。これが一種のビジネス慣行になっていました。そして多くのベンダーも企業のITシステム部門もこの種のビジネス慣行に甘えていました。その結果、ベンダー側に「発注書に書いてないからテストを実施しなかった！」という信じられない御用聞きスタイルを生み出しました。

　今回、東証が指名入札を行わず公開入札に踏み切ったのは、事実上の既存ベンダーに対する不信感の表明であると考えられます。

　これによりITシステムの開発・運用契約における既存国産ベンダーの「最大限の努力義務」に対して、東証は「受け入れられない」と暗に不満を表明した訳ですね。

　しかし、はたしてそれだけで事は収まるべき性格のものでしょうか？

　確かに昔はベンダーの「最大限の努力義務」で収まる程度の小規模のITシステムが多かったのも事実です。しかし近年、ITシステムの規模の巨大化とともにその障害時の潜在リスクが飛躍的に増大しているということが、東証の障害を契機に各方面から指摘されています。

　筆者は東証の姿勢はまだ不十分だと思っています。

J-SOX法の内部統制下、「ベンダーおとがめなしの法則」は許されるのか？

　2007年4月から実質的な運用が始まるJ-SOX法下の内部統制運用においても、従来型の「ベンダーおとがめなしの法則」は生き残るのでしょうか？

　筆者は基本的かつ重要なIT障害に関しては、「ベンダーおとがめなしの法則」はビジネス慣行として消えていくと見ています。東証の例で言えば、たとえ東証が誤発注時のテスト・検証をベンダーに要求しなかったとしても、ベンダーは自らの判断で基本的なテストを実行しなければならなくなるでしょう。これまでのベンダーの「御用聞きスタイル」は、次第に許されなくなります。重大なリスクに関わる基本的な機能に関しては、これは当然のことだと思います。これはリスク管理上の基本問題です。

　今後はまず東証のような公開入札方式が相当程度、広まると考えられます。また契約内容においても「基本かつ重要なリスク」に関しては、ベンダーの責任が明確にされる方向が打ち出されると考えられます。21世紀には裁判所の判例も次第にそちらの方向に向かうと予想されます。内部統制重視の時代は、重大なリスクの洗い出しを促進しています。その時に新規上場ジェイコム株の誤発注問題のような「ITシステムの基礎的不具合」に、単なるベンダーの努力義務を課すだけでは極めて不十分です。このような誰も責任を明確にしないあいまいな状況は社会的に許されなくなると考えられます。現在では設計技法としてEA、運用技法としてITILなどの手法が進化しています。そうなれば説明責任上、言い訳ができません。

「ベンダーおとがめなしの法則」は、リスク上はそれほど障害の影響が大きくない、いわば端々のIT障害に対してのみ生き残るでしょう。

　開発・運用技法が進み、内部統制によるリスク管理の重要性が叫ばれる中、「ベンダーおとがめなしの法則」は次第に消えていく運命にあります。これはWeb2.0的ではないということなのでしょうか。

（野村総合研究所　社会ITマネジメントコンサルティング部　上席研究員　山崎秀夫）