宮崎県のサイバーセキュリティベンチャー企業が国際企業認証 B Corp 認定を受けるまで～株式会社クラフエバンジェリスト村上瑛美インタビュー

「一番弱い者が死なずにすむために社会というのはある（山口 晃）」 宮崎県のサイバーセキュリティベンチャー企業、株式会社クラフが中小企業に向けて無償で提供する脆弱性管理プラットフォーム「S4（エスフォー）」のエバンジェリストをつとめる村上 瑛美（むらかみ えいみ）は小中高と勉強ができる方だった。器用で要領もよく大人の期待に応えた。 理系の大学に進み卒業すると村上は、日本人なら老若男女知らぬ者のない大手製造業系企業の研究所に研究職として入社した。時は何度目かの就職氷河期を迎えていた頃。親も親戚も村上の進路を大いに喜んだ。 小中高から学生、社会人初期のキャリアをふり返って村上はこう思う。ほんとうに惨めな歳月だった。 常に「安全で」「リスクのない」「無難な」「最大公約数的」「いわゆる正解」を、器用にそつなく選び続けただけの人生だった。何かを変えようと思ったこともなく、志（こころざし）など我が生涯に一片も存在しない。そんな正解の積み重ねの先に待っていた末路が、社会に貢献している自覚も実感もゼロの悲惨な心の廃墟だった。もし心がまだあったとしたら。 「良いお勤め先ですね」と人からも言われたし、過酷なノルマや圧力もない職場だった。これまでのように会社と組織の同調圧力に屈した演技をきちんとしていれば、あとはタイムカードを毎日押しさえすれば、労働法に守られ解雇の恐れはほぼ存在せず、定年まで勤めたあかつきには n 千万円の退職金が出る。 村上が数少ない自分に誇れることがあるとしたら 6 年でそこを退職したことだ。脱け出す度胸と気概を自分が持っていたことを証明した。 村上は、学生のときは見向きもしなかったような新進ベンチャー企業 株式会社SHIFT に転職し、やがてその子会社である株式会社SHIFT SECURITY に転じた（現在は株式会社SHIFT SECURITY と、株式会社クラフの提供するサービス「S4」のエバンジェリストを兼務）。 テストエンジニアやプロダクトマネジャー、プリセールスなど、様々な仕事を SHIFT 社で経験した村上だが、生まれて初めて仕事を面白いと感じたのは、人や顧客と向き合うことだった。 SHIFT 社は完成度の高い教育研修体制が整備された珍しいベンチャーである。「CAT 検定」というコンピュータ・ベースド・テストを Web に一般公開し、高得点者を面接し採用、そして研修訓練を経てソフトウェアテストのテスターに育て上げる。その後も、社内資格試験とその結果に基づいた昇給昇進制度もある。 「人材育成のための教育研修」と、もうひとつ「業務標準化」が同社を支える柱となっており、教育と標準化のふたつの柱は同社の競争力の源泉となっている。 ある日村上は、SHIFT 社が誇る業務標準化というインフラを、脆弱性診断事業へ移植することに成功し、急成長を遂げつつあった子会社の存在を知る。株式会社SHIFT SECURITY と株式会社クラフである。 セキュリティ診断は、職人的な才能とセンスが求められる業務領域とされ、その技術者育成は困難と考えられてきた。SHIFT SECURITY は脆弱性診断業務の標準化を行うことでそれに挑戦した。粗いたとえになるが、それまで高い技倆を持つ職人が一台一台手で製造していた自動車を、Ｔ型フォードのように作業を分解し流れ作業で大量生産する「工場」を作ることに取り組んだ。 脆弱性診断で行われる目視等による確認作業や、さまざまな判断作業を何段階も何段階も細かく分解し、最終的に「ＹＥＳ」または「ＮＯ」以外の判断しか存在しないところまで、診断実務の腑分けが行われた。 それによって、理系教育を受けていない者や、コンピュータプログラミングの経験等が皆無の者、それどころか入社時点で PC 操作の経験すら浅い多様な年齢層と性別、職歴の人たちが、一定期間の訓練を経さえすれば、Web アプリの脆弱性診断を高い網羅性で、短納期かつ適正価格で、診断者による品質のバラツキなく提供できるところまで標準化が完成された。 SHIFT SECURITY に入社する当日の朝まで都内のコンビニで店長を務めていた 40 歳を超えた競馬好きのおじさんが、この仕組で育成され、二子玉川の IT プラットフォーマーの Web アプリケーション診断担当になった話は、以前本誌が書いた通りだ。 村上が SHIFT SECURITY とクラフに注目した点がもうひとつあった。それは両社がまるまる 2 ヶ月間という、長い「オフ・ザ・ジョブ・トレーニング」を行うことだった。多くの企業は通常、長くても一ヶ月程度の研修を終えると現場に配属され、仕事をしながら業務を覚える「オン・ザ・ジョブ・トレーニング」へと移行する。直接的な企業活動や利益につながらない研修を、まる 2 ヵ月というのは、営利企業ではあまり見ない長さである。 ろくに人を育てもせず収穫だけを早々に求める態度を村上は深く嫌悪していた。そんな大人の期待に応え続けた自分自身を思い出し自分にも吐き気をもよおした。その都度視界が暗くなるような不快感を味わった。 標準化の完成度の高さ、研修や教育の形での「会社からの従業員に対する貢献」、これらが村上に SHIFT SECURITY への異動を決意させた理由となった。SHIFT SECURITY に入社した村上は脆弱性診断士の教育研修と、そのトレーニングの仕組み作りに尽力するようになる。 そんな村上に、新しいクラウドサービスを立ち上げるプロジェクト参加の打診があったのは、2021 年 6 月のことだった。 新しいクラウドサービスの名称は「S4（エスフォー）」。その名の由来は「4 カテゴリのステークホルダーにスマイルを届ける」云々と聞いたが、そんな御託（ごたく）は正直村上にはどうでもよかった。そのサービスのもつ斜め上を目指す理念に村上はショックを受けた。 S4 は簡単に言うなら資産管理ソフトであり、そのフル機能を永遠に無償で中小企業に提供する。一方で大企業ユーザーは有償となる。ファーストクラスの乗客が存在することで庶民でも買える価格帯の航空券が発売できるように、持てる者が持たざる者を支援する構造がビルトインされている。 つまり S4 は、SKYSEA Client View や LANSCOPE を買うことができる国内の全法人の 1 ％以下の大企業や予算が潤沢な企業ではなく、法人税の支払いすら必要ないようなカツカツの中小企業までも対象ユーザーとする。サイバーセキュリティクラウド社のマーケティング担当なら S4 にこんなサービス名をつけるに違いない。「IT 資産管理 無料くん」と。 S4 は、お金のある者だけしかセキュリティ製品やサービスを満足に利用できない事態を、リテラシーや企業努力の不足とは考えず、貧困や差別と同じ「社会課題」と認識し、セキュリティベンダーがこれまでかえりみなかった層に手を差し出すサービスとして構想された。 SHIFT SECURITY とクラフは 2023 年 6 月現在、脆弱性診断未経験の人材を中心に雇用し、267 名の脆弱性診断技術者を擁している。下請け孫請けの業務実施もある業界で、両社の診断員は全員が直接雇用。親会社が上場しているため具体的な数字は非公開だが、診断件数や受注額で恐らく、すでに中堅を超えて準大手と目される規模となっていることが推定される。その両社が新たに目指す価値が、セキュリティ予算のない中小企業に向け、無償でセキュリティサービスを提供することだった。 S4 には正解がない。むしろ、自分たちが何が正解なのか実験し検証していくような仕事である。 当分の間赤字を出し続ける事業となるだろうが、村上はそれで上等だと思った。村上は、そのとき正解とされる選択を積み重ねた結果を知りつくしていた。正解だけを選んだ先には突然変異もイノベーションもなくただ衰退が待っている。出口のない経済停滞がこれからも続く日本の未来が目に見える気がする。 一方で、このスマイルだか何だかのサービスなら、少なくともこれまで正解とされた方向とは全く違う斜め上を目指している。そこが気に入った。 初めて村上は、自分が美しいと思える仕事に関わろうとしていると感じた。もうからないし 100 人中 99 人にはろくに理解されない。社内でも肩身は狭いかもしれない。しかしこの事業は美しい。自分にこんな感受性がまだあったことに驚いた。やさぐれた自分の頭の中に「美しい」などという言葉の在庫が残っていることに驚いた。 村上は 2022 年 9 月から S4 の実質的リーダーに就任した。広報担当の西本による企画検討にはじまり、操作性のバリアフリーを実現しようとするデザイナーかめもときえの尽力、クラウドファンディングを行ったものの試みが新しすぎてほぼ誰にも理解されず成立しなかったこと、プロジェクトの個性に直面し苦しむディレクター山田の爆死に次ぐ爆死など、サービスリリースまでの S4 の道のりは本誌がこれまで複数回取材し記事にした。 その S4 開発という難事業と並行して村上が進めていたのが、今回の取材のテーマとなった国際企業認証 B Corp の申請手続きだった。 B Corp（ビーコープ）とはアメリカ発の国際企業認証である。2006 年に米国で設立された B Lab（ビーラボ）が認証機関となって認定が行われる。従業員の福利厚生、サプライチェーン管理、原材料の調達等々のさまざまな要素に関して、優れた行動をとり、説明責任を果たし、情報の透明性等を実現しているかどうか審査が行われる。 B Corp は、企業が営利の追求だけでなく、社会にとって公益性の高い企業であるかを測定し認証する基準だ。2010 年代、アメリカで「ベネフィットコーポレーション」という企業形態が誕生した。これはビジネスを通じて社会課題や環境課題を解決する企業を法的に保護する仕組みで、ベネフィットコーポレーションは株主だけでなくステークホルダーの利益も考慮する。それを全世界に向けて認証制度として拡張したのが B Corp である。 本稿執筆の 2023 年 10 月時点で世界には約 7,000 社の B Corp が存在し、日本の B Corp の数は 約30 社。7,000社の B Corp のうち主な企業は、試みに日本での知名度がある名を挙げればアウトドアブランドの Patagonia や化粧品の THE BODY SHOP など。日本ではダノンジャパン株式会社や株式会社シグマクシス・ホールディングスなどが B Corp 企業である。 B Corp は、会社経営陣を企業に巣くう寄生虫とみなし、株主利益だけを考える施策を強引に実行せんとする苛烈な新自由主義経済へのカウンターとして生まれた制度と見ることができるかもしれない。 通常、新自由主義経済下では、株主利益を最大化して、竹中平蔵的富裕層をさらにより一層金持ちにすることが企業の一義的存在意義となる。経営者、従業員の労働衛生環境や健康、顧客、そしてその企業が所在する地域や社会、自然環境は、法律に触れるギリギリのラインまで無視し蹂躙することが前提とされ、そういう行動を積極的にとる経営者が礼賛される。 一方で B Corp は、活動の持続可能性の点から事業の収益性や利益を重要視するのだが、そこで働く労働者や、その事業所が置かれたコミュニティ、自然環境、事業の顧客に配慮し、そして企業倫理やトランスペアレンシー等のガバナンスに対しても同様に重きを置く。私見だが、渋沢栄一が考えた会社の理念と B Corp はかなり近いと記者は感じる。 B Corp 認定までの流れは 7 段階あり、以下の通り。（1）申請（B Impact Assessment Answering &amp; Submission）（2）評価待ち（Evaluation Queue）（3）評価（Evaluation）（4）検証待ち（Verification Queue）（5）検証（Verification）（6）改善（Improvement [Only if Needed] ）（7）検証後（Post-Verification） 各種資料を参照した村上は最長 21 ヶ月、2 年弱に及ぶプロジェクト期間を設定した。 最初のプロセスである「申請」は、B Lab の提供するポータルサイトにログインし、企業自身で「アセスメント」と呼ばれる質問への問いに対する答を記入する。すべて自己申告。質問項目の 90 ％以上に回答し、スコアが 80 点を超えたことを確認したら「申請」を行う。2022 年 6 月から 8 月の期間、約 3 ヶ月間をかけて、村上はこの申請プロセスを完了した。 申請を行った後は、申請内容を精査し判断する、B Lab のアナリストのアサイン待ちとなる。待ち行列は最長 7 ヶ月とされる。申請から約 3 ヶ月後の 2022 年 11 月 23 日に、村上のもとに B Lab の担当アナリストから連絡が届いたのは想定より随分早かったと言える。 アナリストがアサインされたら次は「評価」段階だ。株式会社クラフの基本情報や、申請時の各質問への回答内容確認などのやりとりが何度もくり返され、次の「検証」に進めるかどうか確認が行われる。 この段階でスコアが 80 点以下に下がれば、もう一度「申請」からの再挑戦となる。約半年で村上はこの評価ステージをクリアした。 次の「検証待ち」は、検証直前の段階で、B Lab 側へ財務諸表や就業規則、従業員研修体制、組織図等々の、会社を裸にされるような各種ドキュメントや情報の提出を求められる。無事「検証待ち」は通過し、株式会社クラフは最後の「検証」に進んだ。 「検証」はオンライン会議で行われた。検証者はマレーシアの若い女性だった。権威的高圧的な空気は皆無で、何かクラフの面々に困っていることがないか気遣ってくれる配慮を終始村上は感じたという。2023 年 8 月 21 日、オンライン会議が約 90 分間行われ、その後情報のやり取りが 8 月 25 日まで続いた。 検証の結果、80 点を超えていればクラフは晴れて B Corp と認定されることになる。もしここで 75 点から 80 点未満だった場合「改善」プロセスで再挑戦することが可能。なお、75 点未満の場合はここで終了し、もし再挑戦したいならまたゼロからのスタートとなる。 合否連絡のメッセージは 8 月 30 日に B Lab のポータルサイトに到着した。そこには「株式会社クラフは B Corp に認証される」と書かれていた。クラフによる認証への署名が完了したのは 9 月 1 日。こうして株式会社クラフは日本で最初のサイバーセキュリティ事業領域の B Corp 認証企業となった。 KRAF, Inc. - Certified B Corporation - B Lab Global https://www.bcorporation.net/en-us/find-a-b-corp/company/kraf-inc/ B Corp の評価は企業活動の 5 つの領域に対して行われる。株式会社クラフの各領域毎のスコアは下記の通りだ。ちなみに満点は 100 ではない。 ガバナンス 13.1 従業員 56.8 コミュニティ 13.7 環境 5.9 顧客 4.2 合計 93.8（註）（註：上記数値の総和は93.7だが B Lab ポータル上では93.8とスコア表示された。小数点2位以下の数値の影響と推定される） 株式会社クラフは突出して「従業員」のスコアが高いという結果になった。県民所得が高くない、むしろ下位から数えた方が早い宮崎県で、未経験者がキャリアアップでき、かつプライベートとの両立がしやすい雇用を生み出し、地元で 250 名規模（SHIFT SECURITY 社との合計数値）の直接雇用を行った実績と、さらに従業員数 1,000 名を目指す目標が評価された。 とりわけ村上の印象に残った、従業員に関する B Corp 申請時の質問があった。それは「あなたの会社にはこれまで雇用の機会に恵まれなかった従業員はどのぐらいいますか」という問いだ。多い方が評価が高い。通常、ほとんどの企業の人事部の仕事は、「雇用機会に恵まれている人の中のさらに雇用機会に恵まれている人」をいかに採用し倒すかだと断言してよい。B Corp はそれと正反対の価値観を企業に求める。雇用機会に恵まれている人とは村上のことだ。塾に通い必死に勉強して気づいたらいつの間にかそういう輩（やから）になり果てていた。自分が存在することは B Corp の価値では組織の評価を下げることとも言える。村上は自分が裁かれているような気がしてならなかった。なぜだか救われた気がした。 村上にとって B Corp 認定のプロセスは、自身が S4 で取り組んでいることが B Lab にどう評価されるのか、S4 は本物なのかを問う旅でもあったという。B Lab への申請時点では、まだ S4 が正式リリースされてはいなかったものの、いくつかの回答項目で S4 の取り組みに言及した。B Corp 認定されたとき初めて社会的に S4 というプロジェクトが認められたと思った。それが国内ではなく海外の基準であったことが興味深いと思った。 気がつくと B Corp 認定プロジェクトに着手して 1 年 3 ヶ月が経っていた。S4 の開発プロジェクトと併行し夢中で駆け抜けた歳月だった。いかに心がすさんだ村上でも、それが惨めな時間だったなどとは露ほども思わない。 村上はずっと、自身の「リーダー」「エバンジェリスト」という役割に疑問を持っていた。新しい事業に関わることには戸惑いはなかったものの、リーダーとして目を輝かせ明るい未来を仲間に指し示すなど柄でもなかったし、特にエバンジェリストなどという仕事は、頭からつま先まで重油をかぶったように真っ黒な自分ではなく、もっと「瞳の澄んだ」「手が汚れていない」人物がするべきことと思っていた。しかし最近になって、リスクを取らずそのとき正解とされた選択肢を器用に選び続け、結果人生の最もかけがえのない時期をドブに捨てた愚か者の自分にこそこの仕事がふさわしいのかもしれないと思うようになった。ドブネズミにこそわかる美しさがある。 S4 登録者のうち 7 ％が有償ユーザーであった点は評価できるものの、S4 の登録ユーザーはまだ 3 桁にすら届いていない。持ち出し費用として発生する S4 の累積赤字は 1 億円をとうに超えている。ベテランプログラマーの怒号が飛び交う寸前にまで緊迫した会議を経てオープンソース化された S4 だが、それが活用されているとはいいがたい。開発初期に S4 の活用に興味を示した SIer があったもののその後音信不通。今回認定された「B Corp」も知っている人はごく少ないはずだ。村上にとってこの仕事はまだ始まったばかり、長い道の半ばである。元の記事を読む