明治安田生命事件から情報セキュリティのマネジメント体制を考える

明治安田生命のWebサイトの「個人情報保護方針」の中に、「当社ではお客さまに関する情報の保護・管理強化に向け、情報管理を専門に担当する部署および「情報保護推進委員会」を設置し、全社横断的な取り組みを推進しております。」とある、「情報セキュリティポリシー」が公開はされていないので、この体制が個人情報に特化している可能性はあるとしても、マネジメント体制は構築してある！ということにはなる。
しかし、チェックする組織があるのか？また、チェックするタイミングがあるのか？は書かれていない。
十字架を背負うことにはなるが、明治安田生命くらいの大企業では、それくらい書くべきだし、それを実践していて然るべきと思う。
マネジメント体制は作ることに意味があるのではなく、その体制の元、マネジメントを実行し、トップダウンで情報セキュリティポリシーが守られなければ、なんの意味もなさないはず。
第一、明治安田生命のサイト、個人情報、内部統制はあるが、こららのベースであるはずの、情報セキュリティポリシー(方針)については、どこにもないが、情報セキュリティポリシー(方針)がないのだろうか？