COBITとは？こびっと
COBIT（Control Objectives for Information and related Technology）は、ISACA（情報システムコントロール協会）が策定したITガバナンスとITマネジメントのフレームワーク。事業体のITに関する経営者の活動をガバナンス（統制）とマネジメント（管理）に分け、具体的な目標と工程をプロセスとして定義している。
最終更新：2026-10-07
この語が出る過去問を解く →背景
ITへの投資が正しく統制されているかを経営者が判断しようとしても、判断の物差しが社内にしかなければ「うちではこれで十分」と言い切られて終わる。外部の監査人や取締役会が同じ土俵で議論するには、業種や企業規模に依存しない共通の目標体系と、達成度を段階で表す尺度が要る。COBITはその共通言語を提供するものであり、だからこそ監査の場面で参照される。午前I（科目A-1）では、他のガイドラインとの区別を問う選択肢の1つとして繰り返し登場する。
具体例
ISACAはCOBIT 5（2012年）でプロセスを37と定義し、COBIT 2019（2018年）でこれを40に改めた。午前I（科目A-1）でも平成29年秋の選択肢は「37のプロセス」、令和3年秋は「40のプロセス」と、改訂に合わせて数字が差し替わっている。どちらの版でも、評価・方向付け・モニタリングを担う5つのプロセスをガバナンス側に置き、計画・構築・提供・監視のプロセスをマネジメント側に置くという二層構造は変わらない。この分け方があるので、監査人は「変更管理はどの能力レベルか」を目標水準と突き合わせて改善提案に落とせる。
試験での引っ掛け
ITILとの役割の違いが問われる。ITILはITサービス運用のベストプラクティス集、COBITは統制目標とガバナンスの枠組みである。さらに上位に全社的内部統制の枠組みであるCOSOがあるという層の関係も押さえたい。また「経営者が認識すべき3原則と重要10項目」はサイバーセキュリティ経営ガイドラインの説明であってCOBITではなく、この2つを入れ替えた選択肢が実際に出題されている。
関連用語
出た過去問
出典：平成29年度 春期 高度試験 午前Ⅰ 問14（IPA）解説で登場
経済産業省とIPAが策定した“サイバーセキュリティ経営ガイドライン（Ver1.1）”の説明はどれか。
正解：企業がIT活用を推進していく中で，サイバー攻撃から企業を守る観点で経営者が認識すべき3原則と，情報セキュリティ対策を実施する上での責任者となる担当幹部に，経営者が指示すべき事項をまとめたもの
要点：経営ガイドラインは3原則と重要10項目で経営者の関与を促す
サイバーセキュリティ経営ガイドラインは、経営者向けに、セキュリティを経営課題として認識するための3原則と、CISOなど対策の責任者に指示すべき重要10項目を示したものである。技術者向けの手引ではなく、経営層の関与を促すことに主眼がある。ISMS規格やCOBIT、サイバーセキュリティ基本法とは位置付けが異なる。
出典・参考
公式シラバスの6 サービスマネジメント ＞ 2. 内部統制 ＞ (2) IT ガバナンスに掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。