優れた匠はその道具の質で認められる

ITガバナンスの実践とは、経営とITのコントロールだ

最近注目を集めている「ITガバナンス」だが、日本ではまだしっかりと認識・実施されるには至っていないようだ。一体ITガバナンスはどうすれば実践できるのか。日本ITガバナンス協会の事務局長、梶本氏に聞いた。

公開 2008年09月25日 00時00分

更新 2012年09月06日 13時00分

[吉田育代]

印刷する

今日、企業活動とITは不可分の関係にある

　ITは企業にとって事業遂行のための道具であり、企業を成長に導く強力な武器でもある。その一方で、思慮深く利用することを怠ると制御不能のコストイーターに化けやすく、底知れぬリスクを内包している「もろ刃の剣」といえるかもしれない。それを象徴的に示したのが、先日起きた全日本空輸（ANA）の搭乗手続き管理システム障害だろう。急きょ手荷物預かりなどを手作業に切り替えたものの処理が追い付かず、全国規模で国内空港は終日混乱し、発着の大幅な遅延や欠航という事態を招いてしまった。

　ITは適切にコントロールする必要がある。社会的に要請が高まっている企業の内部統制においても、その6つの基本的要素の1つに「ITへの対応」がある。その説明には「組織目標を達成するためにあらかじめ適切な方針および手続きを定め、それを踏まえて、業務の実施において組織の内外のITに対し、適切に対応すること（例えば、ITの保守・管理部門によって行われる財務関連の元データ情報の更新に関して、更新履歴を正確に記録すること、情報システムの構築や情報管理規定の策定など）をいう」とある。

ITガバナンスが注目を集めるも、その理解は進んでいない

　そこで今注目を集めているのが「ITガバナンス」だ。ガバナンスとは「統治」を意味する。日本語に訳すと「情報技術統治」になるが、これは一体どういうことを意味しているのだろうか。

　米国に、ISACA（情報システムコントロール協会）という団体がある。同団体はITガバナンスの重要性を早くから認識し、そのためのツールや考え方などを普及させるために、1998年にITガバナンス協会（ITGI：IT Governance Institute）を設立した。その日本支部として2006年に誕生したのが、日本ITガバナンス協会（ITGI Japan）だ。ITGI Japanの事務局長である梶本政利氏は、ITガバナンスを以下のように説明する。

　「ITガバナンスとは、経営陣および取締役会が担うべき責務で、ITが組織の戦略と目標を支え、あるいは強化することを保証するために、リーダーシップを確立したり、組織構造とプロセスの構築を行ったりするものです」

　そして、ITガバナンスの目的は、ITにかかわる「努力」の方向性を決定し、ITの成果が以下の目的を達成することを保証することにあるという。

ITと企業、約束された利益を実現することの間に整合性を持たせる
ITを利用して好機を利用し、利益を最大化することで事業を可能にする
IT資源の責任ある利用
IT関連リスクの適切な管理

　ITガバナンスを実践できれば、それを通じて企業は情報を最大限に利活用でき、便益の最大化、ビジネス機会に対する投資、競争優位性の確保を実現できる。米国ではITガバナンスの重要性は既に約10年前から叫ばれているが、残念ながら日本ではまだしっかりと根付くまでには至っていないようだ。「企業の間でITガバナンスという言葉の解釈に誤解が生じていることが何よりの証拠です」と梶本氏は語る。

　ITガバナンスは内部統制と同義として語られることが多いが、それは決して間違いではない。しかし、「統制」という言葉はあまりふさわしくないと梶本氏は指摘する。「『統制』という言葉には『押しつけ』『制限』といったマイナスのイメージがあります。内部統制を英訳すると『Inner Control』。コントロールできるということは、基準があって、第三者がチェックできることです。さらに言えば、目的達成のための行為であり、記録されるものでなければならない。ITガバナンスとはコントロールであるべきなのです」

経営戦略がなければIT戦略は見えない

　ITガバナンスは、IT達成目標が満たされ、ITリスクが軽減されることで、ITが企業を維持し成長させる価値を提供することを保証するものである。また、ITと経営戦略との整合を推進し、成果を測定するものでなくてはならない。ITGIではITガバナンスの進め方として、以下のステップを推奨している。

ITガバナンスの進め方

ガバナンスの組織的フレームワークを設定する
ITとビジネスの目標との整合を図る
リスクを理解し定義する
対象領域を決定する
現在の能力を分析し、ギャップを特定する
改善の戦略を策定する
結果を測定する
2から7のステップを定期的に繰り返す

　そして、ITガバナンスは経営戦略と決して切り離せないものだと梶本氏は補足する。経営戦略のないところに経営課題はない。経営課題が見えていなければITによる解決法など思い付くことはない。そしてITの課題が見えなければ、ITはコントロールできない。つまり、ビジネス上の具体的到達イメージがあって初めてITがもたらすべき解決策があり、そのためのコントロールと目指すべき具体的到達イメージが見えるのだ。

ITガバナンスに向けてのサイクル。ビジネスがしっかりとコントロールできていなければITのコントロールなどできない

CIOが職務を全うできる土壌整備を

　日本でITガバナンスが進まない大きな理由の1つとして、梶本氏は人的要因を挙げる。真の意味で企業ITを統括できるCIOたるべき人材が育成されておらず、CIOという職務そのものもまだよく理解されていないらしい。「ミドルクラス、シニアクラスでもテクノロジーの詳細に明るい人材はいます。しかし、CIOはそれだけでは務まらないのです。マクロの視点でITを見ることができ、企業経営の観点からそれがどうあるべきかをトップに進言できる人でなければなりません」（梶本氏）

　梶本氏によれば、日本企業にもそういう資質を持った人材がいるのだが、予算交渉権や人事権などといった十分な権限が与えられず、CIOとしての職務を果たせていない場合が多いようだ。「まだまだ企業とIT、そしてITガバナンスのあるべき姿が認識されているとはいえません」（梶本氏）

ITガバナンス実践法の指標となる「COBIT」

　ITガバナンスを実現するための準拠すべき優れた実践方法として、ITGIが推すのが「COBIT」（Control Objectives for Information and related Technology）である。COBITとは、世界中の組織にITガバナンスのための明確な方針とよりよい実務を提供するために、その枠組みと詳細なコントロール目標のガイドを示す一連の資料やツールのことだ。起源は1994年に米国EDP監査人財団（EDPAF）が編集・発行したコントロール目標（control objectives）で、当時は主に企業監査を対象にしたものだった。それが企業活動へのITの浸透が進むにつれて、コントロール領域、管理領域へと進化を重ね、現在では広くガバナンスをカバーした「COBIT 4.1」がリリースされている。

　IT管理の手法としては、ほかに米国のトレッドウェイ委員会組織委員会が公表した内部統制フレームワーク「COSO」（the Committee of Sponsoring Organization of the Treadway Commission）や英国政府が策定したITIL（Information Technology Infrastructure Library）なども知られているが、前者は主に財務報告と生産、販売、受注、請求といった業務を担当する組織の統制に対応し、後者はコンピュータシステムの運用・管理業務の統制に対応している。それに比べるとCOBITは、購買管理、生産管理、在庫管理、会計管理などの業務処理を行うソフトウェアとそのサーバ、またOS、ネットワーク、データベースといったITインフラの統制を担っており、適用範囲が広く実務管理にとどまらないため、ほかの各種の標準や基準の「傘」的なフレームワークとして活用できるという。

　COBITでは、ITガバナンスの重点領域を以下の五角形で表している。

ITガバナンスの重点領域（出典：「COBIT 4.1」日本語版）

　この中で、COBITは「成果の測定」を主にサポートしている。「成果の測定」とは、ITプロセスが何を提供する必要があるのか（プロセスの結果）、そのITプロセスがいかに結果を提供しているのか（プロセスの性能）という観点から、測定可能な対象物を設定し、モニタリングすることである。つまり、ITのコスト、価値、リスクを透明化することであり、その透明性の確保はITガバナンスが求められる重要な要因の1つである。

　ここではCOBITの詳細を解説することはできないが、ITGI JapanのWebサイトからCOBITの日本語版をダウンロードできる。ITガバナンスの実践に悩む経営者やITマネジャーは、一度目を通してみてはいかがだろうか。

ITガバナンスの実践でITとビジネスとの間に真の整合性が

　ITガバナンスのフレームワークとしてCOBITを導入することで、次のような利点を享受できると梶本氏は言う。

ビジネス重視による、ITとビジネスとの整合性の向上
マネジメント層の、ITの役割に関する理解の促進
プロセス重視に基づく、オーナシップ（所有者）と責務の明確化
サードパーティー（第三者組織）や監督機関による全般的な受容性の向上
共通の用語に基づく、すべての利害関係者による理解の共有
IT統制環境に関するCOSO要件の達成

　一般的に、日本人は高いところに目標を設定する国民性があるのか、セミナーなどでCOBIT活用によるITガバナンス実践を紹介すると「直ちに最高レベルの成熟度を目指す」と宣言する企業が多いと梶本氏は語る。しかし、実践してみると一筋縄で行かないものであることに気付くのだ。確かに、簡単に実行できるようならITガバナンスがここに来て注目を集めることもないだろう。

　その一方で、「意欲が高いということはそれだけ希望もあるということです。勤勉で努力をいとわない日本人および日本企業がいったん本気になれば、ITガバナンスは意外と浸透するのではないでしょうか」と梶本氏は語る。また、梶本氏自身、CIO育成プログラムや各種セミナーの開催など、これからさらに啓発活動を強化させていきたいと意気込んでいる。今後の展開に期待することにしよう。

印刷する