少し前に、ある中堅企業のCIOから電話があった。サーベンス・オクスリー法（SOX法）への対応についてアドバイスが欲しいとのことだった。わたしはまず、SOX法対応で悩まずに済むように、上場廃止の道を選ぶよう会社を説得すべきだと冗談で応じた。もちろんその選択肢はありえなかったので、われわれはSOX法対応とそのためのプロセスについて突っ込んで話した。

　SOX法は、ITのプロセスと手続きに直接影響する。われわれのほとんどは業績を集計して報告するために、売り上げや給与などの会計システムを使っているからだ。

目的ではなく結果

　わたしのSOX法対策は、標準に基づく高品質なITプロセスを実施すれば、おのずとSOX法を遵守できるというものだ。以下では、こうした良きガバナンスの3つの側面を紹介しよう。

変更管理

　IT部門が実施しなければならないコアプロセスの1つとして、変更管理がある。変更管理は、新しいアプリケーションやOSパッチ、アップグレードソフトを実環境に適切に導入するために実施するものだ。SOX法がなくても、IT部門は変更管理に取り組むべきだ。変更を検討して承認する正式なプロセスを実施することで、わたしはシステムの信頼性と、IT部門の信用を大きく高めることができた。また、IT部門は変更管理を行うことで、SOX法に明記されているリスクの1つである、実システムに不正な変更が加えられる可能性を抑制できる。

ユーザーアクセスポリシー

　ユーザーアクセスについても同じことが言える。ユーザーアクセスの管理では、IT部門はどのユーザーがどのシステムにアクセスできるかを、ポリシーに基づいてきちんとチェックしなければならない。例えば、社員の業務が変わるときには、IT部門は、その社員のシステムアクセス権を新しい職責に対応したものにする必要があり、従来の業務に関連するアクセス権を解除しなければならない場合もある。ユーザーアクセスポリシーに基づく管理プロセスは、SOX法の遵守に役立つ。

ガバナンスモデル

　ユーザーアクセスポリシーに加えて、ビジネスの戦略および戦術に合致したガバナンスモデルも持たなければならない。ガバナンスモデルはガバナンスの構造（集中型、分散型、連邦型）を規定し、プロジェクトの評価、ポートフォリオ管理、プロジェクトの管理とコミュニケーションにおけるガバナンスの規範となる。優れたガバナンスを実践すれば、SOX法対応のために何か特別なことをする必要はない。

ギャップを埋める

　電話をかけてきたCIOにこれらの考え方を説明してから、わたしは彼がSOX法に早く対応できるように（期限は企業規模と報告要件によって異なる）、Control Objectives and related Information（COBIT）や、IT Infrastructure Library（ITIL）、Microsoft Operations Framework（MOF）といった中から標準やフレームワークを選択し、現在のIT業務のやり方とこれらが推奨しているやり方とのギャップを分析することを提案した。わたしのお勧めはITIL（およびITILと密接に関連するMOF）だ。ITILは多くの先進的なIT活用企業のベストプラクティスから作成されたものだからだ（MOFには、マイクロソフトのWebサイトから無料で入手できるという利点もある）。このギャップ分析により、どのITプロセスを実施する必要があるか、どのITプロセスを改善する必要があるかが分かる。

　高品質なITプロセスを実施することは、IT部門のSOX対策の前進とパフォーマンスの改善につながる。また、ベストプラクティスに基づく業務方法（「統制」の方法など）を文書化することで、IT部門はシステムやレスポンスタイム、信用の向上という明確かつ大きな成果を上げることができる。こうした文書化を要求するSOX法は、それだけでもIT部門にとって大いに有益だ。

本稿筆者のニール・ニコライセン氏はCIO経験者で、現在はエネルギー関連製品や建材を提供するヘッドウォーターズの戦略企画担当副社長を務めている。