寓話
一日の健康診断と半年分のカルテ
城南に、官府の注文を専門に受ける糧倉がある。官府は糧倉に定期的な安全審査を受けるよう求めた。防火対策が十分か、防湿層に破損がないか、入出庫記録が追跡可能か。初年度、審査官は一日来て、消防器材の配置、防湿層の施工図面、帳簿の記録規範を検査した。一日が終わり、審査官は報告書に書いた。安全制御の設計は適合。糧倉は通行証を手に入れ、注文を受け続けた。
二年目、老いた審査官が交代した。老審査官は言った。私は図面だけを見るのではなく、過去六ヶ月の毎日の当直記録、毎週の設備巡検台帳、雨が降るたびの防湿層湿度測定データを見たい。彼は穀倉の半年分の運営記録を机に広げ、一つ一つ照合した。その結果、防湿層は設計上基準に適合していたが、過去六ヶ月のうち四回の豪雨後に湿度が二日以上超過してから処理されていた。消防器材の位置は変わっていなかったが、半分の消火器が期限切れで交換されていなかった。
老審査官は報告に二つの結論を書いた。第一：セキュリティ統制の設計は合规——第一年の結論と一致する。第二：セキュリティ統制は過去六ヶ月の運用で何度も失效した——これは第一年の報告にはなかった情報である。糧倉の通行証は降格され、整改証拠を提出してから回復できるとされた。
穀倉の主人はそこで初めて気づいた。二年前に手にしたあの「設計適合」報告書が証明していたのはただ一つ、図面が正しいということだけだった。人員が図面通りに操作していることも、設備が定期保守されていることも、雨の日に誰かが湿度を確認していることも証明していない。設計適合は運用適合ではない。
店主は痛い思いを経て、是正を二期に分けた。第一期：残りの消火器をすべて新品に替え、自動湿度警報器を追加し、設計面を非の打ちどころがないまでに補う。第二期：金をかけて専任の安全員を雇い、毎日の巡検記録、設備の期限切れ予警、雨天の緊急対応手順を専門に担当させる。第二期のコストは第一期の十倍以上だった——設備自体はそれほど高くなく、本当に高価なのは、管理措置がなお有効であることを毎日証明することだ。これは継続的な運用証拠の連鎖に頼るもので、一度きりの設計文書には頼れない。
半年後、老審査官が再び訪れ、六か月分の完全な運用記録を隅々まで調べ、報告書に最終結論を書いた：安全制御は設計面でも運用面でもコンプライアンス基準を満たしている。糧倉の通行証は回復し、さらに前年より高い等級の注文資格を獲得した。
社長が後に同業者に教訓を共有したとき、二言だけ言った：設計コンプライアンスの報告は、三日で出せる。運用コンプライアンスの報告は、半年以上の実データがなければ、誰も署名できない。
後に倉頭は二組の報告書を別の棚に保管した。設計報告には緑の札、運用報告には青の札を貼った。注文を話すとき、官府はまず青の札をめくる。緑の札しかない倉は、安全要件が最も軽い散発注文しか受けられない。