- ITガバナンスというのは、会社のIT投資やシステム運用が、経営の目標からズレないように方向づけし、監視する仕組みのことなんだ。
- 現場任せでバラバラに進むIT活用を、経営の視点から手綱を握って統制するイメージだと考えるとわかりやすい。
- これが効いている会社は、無駄なシステム投資や情報漏洩のリスクを抑えながら、ITで競争力を高められるようになります。
【深掘り】これだけ知ってればOK！
ITガバナンスを理解する近道は、似た言葉のITマネジメントと並べてみることです。マネジメントが決められた計画を現場で正しく実行する活動だとすれば、ガバナンスはそもそも何を目指し、どこに投資し、どう評価するかを経営として決め、守らせる枠組みにあたります。車にたとえるなら、マネジメントはアクセルとブレーキの操作、ガバナンスは目的地の設定とルート選び、そして運転がルール通りか見張る役目です。両方そろって初めて、ITは経営に貢献する道具になります。
なぜ経営課題なのか。現代の企業活動は、基幹システムからクラウド、セキュリティ対策まで、ITなしには一日も回りません。ところがIT投資は金額が大きく、効果が見えにくく、専門性も高いため、現場任せにすると投資対効果の不透明化やセキュリティの穴が生まれやすいのです。経済産業省が公表する各種ガイドラインでも、ITガバナンスは経営者が主体的に関与すべきテーマとして位置づけられています。
実効性を持たせるには、いくつかの定番の枠組みが役立ちます。IT全般の管理プロセスを体系化したCOBIT、ITサービス運用のベストプラクティスを集めたITIL、情報セキュリティ管理のISMSなどです。これらをそのまま導入するのではなく、自社の規模やリスクに合わせて取捨選択することが肝心になります。重要なのは、評価・指示・モニタリングのサイクルを回し続けること。一度仕組みを作って終わりではなく、事業環境の変化に合わせて見直していく姿勢が求められます。
よくある誤解
ITマネジメントと同じものだという混同
この二つはしばしば混同されますが、役割が異なります。ガバナンスは方向づけと監視という経営層の機能であり、マネジメントは計画の実行という現場運用の機能です。経営が方向を示さないままマネジメントだけ頑張っても、努力が経営目標とズレてしまう恐れがあります。
ルールを増やすほど良くなるという思い込み
統制を強めようとして規程やチェック項目を際限なく増やすと、かえって現場が窒息し、形骸化を招きます。良いガバナンスは、リスクの大きさに応じて統制の強弱をつけるものではないでしょうか。守るべき要所を押さえつつ、現場の自律性とのバランスを取る設計が理想です。
会話での使われ方
来期のIT予算、各部署の要望を足し上げたら膨らむ一方です。ITガバナンスの観点で、経営目標への貢献度で優先順位をつけ直しましょう。
情報システム部長が経営会議で、役員に向けて投資方針を提案している場面です。
シャドーITが増えてて、現場が勝手にクラウドツール契約しちゃうんですよ。ガバナンスどう効かせればいいんですかね。
中堅のインフラ担当が、社外の勉強会で同業の知人に相談している、ざっくばらんなトーンです。
監査法人から、ITガバナンスの整備状況について説明を求められています。COBITをベースに現状を棚卸ししたいので、支援をお願いできますか。
クライアントの内部監査担当が、商談でコンサルタントに依頼している場面です。
【まとめ】3つのポイント
- 経営とITの架け橋：ITガバナンスとは、IT投資と運用を経営目標に沿わせ、方向づけ・監視する経営者主体の仕組みです。
- 実行ではなく方向づけ：現場が実行するITマネジメントに対し、ガバナンスは何を目指しどう評価するかを決める上位の枠組みになります。
- 形骸化を避ける設計：COBITやITILなどの枠組みを自社に合わせて取捨選択し、評価と見直しのサイクルを回し続けることが鍵です。
よくある質問
-
QITガバナンスは具体的に何から始めればいいですか？
-
A
まずは自社のIT資産とIT投資の現状を棚卸しすることから始めてください。どこに何のシステムがあり、いくら使い、誰が管理しているかを可視化しないと、統制のしようがありません。現状把握ができて初めて、優先順位づけやルール整備に進めます。
-
QCOBITやITILとは何ですか？
-
A
これらはITガバナンスやIT運用を体系化したフレームワークです。COBITはIT管理全般を経営視点で整理した枠組み、ITILはITサービス運用のベストプラクティス集を指します。ゼロからルールを考えるより、こうした既存の型を土台にする方が効率的です。
-
Q中小企業でもITガバナンスは必要ですか？
-
A
規模を問わず必要だと言えます。むしろ専任のIT部門を持たない中小企業ほど、IT投資の判断やセキュリティ対策が属人化しやすく、リスクが潜んでいます。大企業のような分厚い規程は不要ですが、最低限の方針と責任分担を決めておくことが重要です。
-
QITガバナンスとコーポレートガバナンスとの違いは何ですか？
-
A
対象範囲が異なります。コーポレートガバナンスは企業経営全体の統治を指す広い概念で、ITガバナンスはその中のIT領域に特化した部分です。つまりITガバナンスは、コーポレートガバナンスを構成する一要素という関係になります。
【出典】参考URL
経済産業省 システム管理基準: ITガバナンスの定義・枠組みの根拠 https://www.meti.go.jp/
ISACA COBIT: COBITフレームワークの解説 https://www.isaca.org/
IPA 独立行政法人情報処理推進機構: IT統制・セキュリティ管理の指針 https://www.ipa.go.jp/
コメント