ITガバナンスとは？あいてぃーがばなんす
ITガバナンスとは、組織のITの使い方について、経営陣が方向を示し、実行状況を監視し、成果とリスクを評価する責任の仕組み。投資が事業目標に見合っているか、抱えるリスクが受け入れられる水準かを取締役会の議題として扱う点に本質がある。システムを日々動かすマネジメントとは、責任を負う主体そのものが異なる。
最終更新：2026-10-06
この語が出る過去問を解く →背景
ITが事務の効率化の道具だった時代は、情報システム部門に任せておけば済んだ。事業そのものがシステムの上で動くようになると、投資判断の誤り、システム障害、情報漏えいが企業の存続に直結し、経営が対外的な説明責任を負う対象になった。そこで方向づけ・モニタリング・評価という経営の関与の形を定義し、現場の運用管理と切り分けたのがITガバナンスで、JIS Q 38500がその枠組みを示している。
具体例
取締役会が「3年以内に基幹業務をクラウドへ移す」と方針を決め、四半期ごとに進捗と情報漏えいリスクの報告を受け、必要なら投資額や計画を見直す。この一連の関与がITガバナンスで、移行計画づくりと実際の運用はマネジメントの側が担う。経済産業省の「サイバーセキュリティ経営ガイドライン」も、経営者が認識すべき原則として同じ考え方を置いている。
試験での引っ掛け
情報システム部門が主体という誤解が多い。方向づけと監視は経営陣の責務で、システム部門は実行を担うマネジメント側にあたる。選択肢は「誰が責任を負うか」で切り分ける。またシステム監査は、ガバナンスやマネジメントが機能しているかを独立した立場で点検する別の営みで、ガバナンスそのものではない。
関連用語
出た過去問
出典：平成29年度 秋期 情報セキュリティマネジメント試験 午前 問39（IPA）
システム監査基準（平成16年）における，組織体がシステム監査を実施する目的はどれか。
正解：情報システムにまつわるリスクに対するコントロールの整備・運用状況を評価し，改善につなげることによって，ITガバナンスの実現に寄与する。
要点：システム監査はコントロールを評価しITガバナンスに寄与する
システム監査は、情報システムにまつわるリスクに対するコントロールが適切に整備・運用されているかを独立した立場で評価し、問題があれば改善につなげることを目的とする。これによりITガバナンスの実現に寄与する。
出典：平成30年度 秋期 情報セキュリティマネジメント試験 午前 問8（IPA）
JIS Q 27014:2015（情報セキュリティガバナンス）における，情報セキュリティガバナンスの範囲とITガバナンスの範囲に関する記述のうち，適切なものはど…
正解：情報セキュリティガバナンスの範囲とITガバナンスの範囲は重複する場合がある。
要点：情報セキュリティガバナンスとITガバナンスは一部が重複する
情報セキュリティガバナンスはIT以外の資産（紙媒体、人、施設など）も対象に含むため、ITガバナンスの範囲に完全には収まらない。一方でITガバナンスにも情報セキュリティ以外の観点（投資対効果、サービス品質など）があるため、どちらか一方が他方を包含する関係にもならない。両者は一部が重なり合う関係にある。
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。