日本の大企業がなぜ GMail など SaaS の利用を嫌がるか。原因はいろいろあるが、中でも特筆すべきは「何かあったときに叩かれる」というリスクが極めて大きい、という点である。
実際のところ、GMail を使おうと使うまいと、事故が起きる確率は大して変わらない。また、事故が起きたときに顧客や消費者に迷惑をかけるリスクも大して変わらない。ところが、「誰かに叩かれる」リスクだけは恐ろしく高くなるのだ。「それ見たことか」「だから言ったのに」としたり顔で批判する社内勢力、「管理体制に問題があったと言えそうです」と報じるマスコミ、絶好の叩きネタと狂喜する炎上大好きネット住人、天下りを押し込む好機と見る監督官庁などなど。こういったリスクは大企業ほど大きい。
そのため日本の大企業は、業務を効率化して株主価値を生み出すためでなく、顧客・消費者利益に貢献するわけでもなく、「叩かれるのを防ぐ」ことに注意を集中しがちである。これがコンプライアンスという言葉の実態である。

GMail でなく閉鎖型の社内システムを使っても、事故が起きる確率は大して変わらないし、顧客に迷惑をかける度合いも大して変わらない。しかし、事故が起きたときに「これだけセキュリティに気を遣っていて事故ったんだから仕方ないですよね」と言い訳ができれば、大企業自体が受けるダメージは大幅に低減できる。日本の大企業においてセキュリティという言葉は、だいたいそのような意味で使われている。
この「言い訳できるよう準備しておく」というのは、何か価値を生み出すわけでもなく、生産的と言いがたい作業なのだが、日本社会においては重要なプロセスである。情報セキュリティ以外でもそうしたプロセスはよく見られるし、それによって雇用が維持されている側面もある。オープンソースより「保証のある」プロプライエタリなソフトウェアが好まれるのも同じ原理だと私は見ている。