ITガバナンス・ITへの対応とは？あいてぃーがばなんす・あいてぃーへのたいおう
ITガバナンスは、取締役会などの経営層がステークホルダのニーズに基づき、組織のIT利活用のあるべき姿（IT戦略と方針）を定め、その実現を監督する活動（JIS Q 38500）。「ITへの対応」は金融庁の実施基準が定める内部統制の6つの基本的要素の1つで、IT環境への対応とITの利用（全般統制・業務処理統制）から成る。支援士では情報セキュリティガバナンスをITガバナンスの一部として位置づける。
最終更新：2026-10-06
情報処理安全確保支援士を最短で暗記・合格する →背景
米国COSOの内部統制フレームワークは5つの要素だったが、日本は財務報告がITに依存している実態から「ITへの対応」を6番目の要素として加えた。ITの統制を情報システム部門に任せきりにすると、経営者が責任を果たしていないことになるため、取締役会がIT活用の方向性を決めて監督する仕組みが必要になった。支援士の午後では、情報セキュリティ方針の策定に経営者を関与させる根拠として問われる。
具体例
JIS Q 38500（ISO/IEC 38500）はITガバナンスの6原則（責任・戦略・取得・パフォーマンス・適合・人間行動）を定め、ISACAのCOBITが評価の枠組みとして使われる。実務ではCIOとCISOを置き、取締役会が主要なIT投資とセキュリティ方針を決議し、その運用状況を定期報告させる。
試験での引っ掛け
内部統制と取り違えやすい。内部統制は経営者が業務の適正を確保するために社内へ及ぼす仕組み、ITガバナンスは経営陣がIT活用の方向性を定め監督する仕組みで、責任主体は情報システム部門ではなく経営者。「ITガバナンスの構築はCIO配下の情報システム部門の役割」という記述は誤り。情報セキュリティガバナンスはISMSの運用（管理層）とは層が違い、経営層が方向づけと監督を行うこと。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。