要約

  • AFRINICの2020年理事会決議一覧が示す確定事実は限定されている。Resolution 202006.558は2020年6月、MyAFRINIC予算とインフラストラクチャー予算を原資として、単一の合計USD 71,217をRPKIプロジェクト予算へ再配分することを承認した。二つの原資からそれぞれいくら減額したかは、この記録からは分からない。
  • 予算承認は優先順位の変更を示すが、会計上の振替、支出、調達、人員配置、実装、受入れ、稼働開始、利用、経路セキュリティー上の効果のいずれも、それだけでは証明しない。各段階は個別の記録と判断基準を必要とする。
  • 最も説得力のある善意の説明は、RPKIに新規または拡大した緊急需要があり、二つの原資予算には未拘束の余力があったため、総支出を増やさず有用な経路起点情報へ資源を移した、というものだ。ただし、需要、余力、実行、成果はいずれも短い決議文からは確認できない。
  • もし承認どおり実行されたなら、再配分はまず仕事の順番と選択肢の価値を変えた。RPKIに使える予算権限が増え、従前計画に比べてMyAFRINICとインフラストラクチャーに使える予算権限が減ったことになる。しかし、実際の遅延、劣化、支出、便益までを意味しない。
  • 比例的な説明責任に必要なのは、機密情報の全面公開ではなく、変更前後の予算、正確な原資内訳、未拘束残高、承認権限、会計実行、RPKIの範囲と責任者、節目と受入れ、稼働と利用、技術指標、原資側の再設定、差異と監査を一つにつなぐ簡潔な「予算変更票」である。

L3 — USD 71,217の決定と不明な原資内訳

一つの数字が見せる選択

2020年6月に記録されたResolution 202006.558の出発点は具体的である。AFRINIC理事会は、MyAFRINICとインフラストラクチャーの予算から、RPKIプロジェクト予算へ合計USD 71,217を再配分することを承認した。ここで重要なのは、理事会が一般論として「セキュリティーを重視する」と述べたのではなく、限られた内部予算のどこに権限を置くかを金額で決めた点にある。優先順位は、声明よりも資源配分に表れやすい。したがって、この決議はRPKIに運用上の優先を与えようとした制度的行為として読むことができる。

同時に、USD 71,217という精密な数字は、知識の範囲を自動的に広げない。確定しているのは単一の合計額であり、MyAFRINICからUSD 71,217を全額移したという意味でも、インフラストラクチャーから全額移したという意味でもない。二つの原資の組合せが明記されている一方、その内訳は示されていない。したがって、半分ずつだった、片方が大部分だった、特定の比率で配分されたと推測することはできない。元の各予算額という分母もないので、割合の計算にも根拠がない。

この区別は細かな会計技術ではない。原資の内訳が分からなければ、どの仕事の選択余地がどの程度縮小したのかを評価できないからだ。MyAFRINICの予算規模に対して小さな変更だった可能性も、より重要な変更だった可能性もある。インフラストラクチャーについても同じである。しかし、元の予算、変更後の予算、既存の契約や発注、未拘束残高が示されていない以上、どちらの解釈にも進めない。正確な合計を尊重するとは、数字を大きく見せたり小さく見せたりすることではなく、合計が語る範囲と語らない範囲を分けることである。

「予算を移す」と「現金を使う」の距離

理事会の承認は、組織内部の支出権限を変更する入口である。承認後には通常、会計上の費目や原価部門の変更、発効日の確定、担当者への通知、支出計画の更新など、別の実務が続き得る。しかし、決議の存在だけから、その会計処理が実際に記帳されたとはいえない。まして、USD 71,217がすでに支払われた現金だった、特定の製品を購入した、外部業者と契約した、職員を採用した、ソフトウェアを完成させた、と読むことはできない。

予算は「何に使ってよいか」という選択肢を与える。支出はその選択肢を実行した記録であり、納品は支出が何らかの成果物に変わった状態である。受入れは成果物が合意した基準を満たしたという判断であり、稼働開始はそれが運用環境で使えるようになった状態である。利用は資源保有者や検証側ネットワークが実際に行動したことを示し、技術的結果はその利用が経路起点の判断や運用リスクにどのような変化を与えたかを測る。これらは連続し得るが、同一ではない。

したがって、本件を「RPKIにUSD 71,217を費やした」と表現するだけでも一段飛ばしになる。正確なのは「RPKIプロジェクト予算への合計USD 71,217の再配分を承認した」である。この言い方は慎重さのために弱めた表現ではない。予算統制を正しく理解するための、最も情報量の多い表現である。承認という実在する行為を明確に認めつつ、それ以後の会計・調達・技術の出来事を架空に補わないからだ。

基準線がなければ変化の大きさは測れない

再配分の分析には、変更前の基準線が必要である。MyAFRINIC、インフラストラクチャー、RPKIの三つについて、当初承認額はいくらだったのか。変更後にいくらになったのか。予算のうち既に契約、発注、採用計画、保守義務などに拘束されていた額はいくらか。期中の予備費や繰越可能額があったのか。これらが分かれば、USD 71,217が単なる未使用余力の移動だったのか、既存の仕事を再設計する必要がある変更だったのかを区別できる。

現時点で確認できる記録には、その基準線が含まれていない。これは基準線が組織内に存在しなかったことを意味しない。公開された短い記録からは確認できない、という意味にとどまる。証拠が見当たらないことと、出来事が存在しなかったことを混同してはならない。説明責任の議論は、空白を非難の材料にするのではなく、評価に必要な接続点を明示するために行うべきである。

基準線が特に重要なのは、名目額だけでは機会費用の強さが分からないからである。もしMyAFRINIC側に大きな未拘束余力があり、予定していた主要機能を変えずに拠出できたなら、原資側の実質的影響は小さかったかもしれない。反対に、既に予定していた節目の順番を変える必要があったなら、金額以上に時間や調整の費用が生じた可能性がある。どちらも論理的には考えられるが、どちらも決議だけでは確定しない。

機会費用は損害の同義語ではない

承認どおり再配分が実行された場合、最初に変わるのは、三つの仕事領域に与えられた選択肢である。RPKI側は従前の計画より多くの支出権限を得る。MyAFRINICとインフラストラクチャー側は、合計として同額だけ予算権限を失う。ただし、二つの原資間の内訳は分からない。ここで生じる機会費用とは、移さなければ原資側で選べた可能性が、移した後には狭くなるという意味である。

その機会費用を、ただちにサービス遅延や設備劣化に置き換えることはできない。予算権限が減っても、価格低下、別財源、余剰、作業範囲の合理化などによって当初の成果を保てる場合がある。そもそも未拘束で低優先の項目だった可能性もある。逆に、後になって追加予算が必要になったり、予定を変更したりした可能性も論理上はある。しかし、改訂されたMyAFRINIC計画、インフラストラクチャー計画、実績支出、納期、サービス指標がなければ、実際の犠牲を認定できない。

したがって、「RPKIを選んだためMyAFRINICが遅れた」「インフラが弱くなった」という因果の断定は避ける必要がある。同じ理由で、「何の影響もなかった」ともいえない。問うべきなのは、原資側がどのように再設定され、その後の実績が新しい基準線に対してどうだったかである。機会費用を正確に扱うと、批判は強くなる。なぜなら、具体的な遅延を想像する代わりに、どの選択肢が消え、どの選択肢が残り、実際の納品に何が起きたかを追えるからだ。

最も強い善意の説明

この再配分には、十分に合理的な説明が成り立ち得る。2020年のある時点で、RPKIに当初想定していなかった要件が生じたか、既存の要件が拡大したのかもしれない。経路起点の正当性を示すための証明基盤は、ネットワーク運用者に有用な判断材料を与え得る。MyAFRINICとインフラストラクチャーの予算に、既存の約束を損なわない未拘束額があったなら、総支出を増やすより、内部で資源を組み替える方が速く経済的だった可能性がある。

この善意の説明は、批判を避けるための譲歩ではない。予算判断を公正に評価するための最良の反対仮説である。限られた資源を持つ組織では、年度途中の再優先化自体は異常ではない。新しい技術要件、脅威認識、供給条件、実装上の知見が現れれば、最初の計画に固執するより変更する方が合理的な場合がある。総額を増やさずに高い限界便益を持つ仕事へ移すことは、責任ある管理にもなり得る。

ただし、この説明が強いのは、確認できる変更記録が伴う場合である。RPKIの追加需要は何だったのか。なぜその時点で必要だったのか。代替案は検討されたか。二つの原資額は未拘束だったか。どの権限に基づいて決めたか。どの会計日に実行したか。何を、誰が、いつまでに納める計画だったか。原資側の仕事はどのように組み直したか。これらを示すことは、善意の説明を疑う行為ではなく、善意の説明を検証可能にする行為である。

数字から成果へ飛ばないための読み方

RPKIという言葉には強い技術的含意があるため、予算の行き先を見ただけでセキュリティー改善を連想しやすい。だが、目的の価値と実施結果は分けなければならない。RPKIの証明は、経路起点に関する有用な証拠を提供し得る。一方、資源保有者が必要な情報を整備し、検証側が情報を取得し、運用者が検証結果を方針に組み込み、例外や障害を扱って初めて、経路受入れの実務に影響する。予算科目には、そのどの行為も記録されていない。

ここでの慎重さは、RPKIの価値を否定するものではない。むしろ、有用なセキュリティー手段だからこそ、予算から効果までの因果を明確にする必要がある。目的が善いほど、投入を成果と呼びやすくなる。予算が確保された、契約が結ばれた、機能が公開された、証明書やオブジェクトが増えた、検証側で利用された、誤った起点情報の受入れリスクが変わった、という段階を混ぜると、何が成功し、どこに改善余地があるかが見えなくなる。

Resolution 202006.558の最も確実な読み方は、RPKIへ重点を移そうとする優先順位の記録である、というものだ。それは制度上意味のある事実である。しかし、優先順位が実現したか、技術的便益へ変わったかを判断するには、次の層へ進み、承認後の各接続点を個別に調べる必要がある。