ITガバナンスとは？あいてぃーがばなんす

背景

IT投資の可否を現場の判断に任せると、部門ごとに最適でも全体としては重複と偏りが生まれ、誰も全社の資源配分を説明できなくなる。決めるのは経営陣であり、決めた以上は結果を見て直すところまでが責任だと明示したのがこの考え方。監査ではこの循環が回っているかが検証の対象になる。

具体例

IT投資の優先順位を経営会議で決め、実行状況と成果を定期的に報告させ、想定した効果が出ていない案件は継続の可否を含めて見直す。経済産業省の「システム管理基準」も、この評価・指示・モニタの構造に沿って点検項目を並べている。

試験での引っ掛け

主体が経営陣である点が分岐点になる。「情報システム部門が自部門の管理を徹底すること」はITマネジメントであってガバナンスではない。資源管理に関する監査では、経営陣が配分の方針を示さず現場任せにしている状態そのものが指摘事項になる。

関連用語

• システム監査基準・システム管理基準
• 内部統制
• サイバーセキュリティ経営ガイドライン
• 監査報告書
• 職務の分離
• COBIT
• COSOフレームワーク
• 内部統制報告制度（J-SOX）
• リスクアプローチ（リスクベース監査）
• 監査計画（中長期計画・年度計画・個別計画）
• 就業規則と労使協定（36協定）
• 資金決済法（暗号資産・前払式支払手段）
• 特定商取引法・景品表示法
• キャッシュレス決済（電子マネー・コード決済）
• 個別監査テーマ（マスタファイル・ISMS・物理セキュリティ）
• 刑法（不正指令電磁的記録に関する罪・電子計算機使用詐欺）
• 不正競争防止法（営業秘密・限定提供データ）
• 受注伝票入力の監査手続（網羅性・正確性の確認）
• 電子帳簿保存法・インボイス制度
• JIPDEC（日本情報経済社会推進協会）

出た過去問

• 出典：令和5年度 春期 ITサービスマネージャ試験 午前Ⅱ 問14（IPA）

  システム管理基準（平成30年）に基づく、ITガバナンスにおける情報システムの資源管理の監査で判明した経営陣の対応のうち、監査人が、指摘事項として監査報告書に記載…

  正解：内部人材の数とスキルが不足していたが、情報システム戦略において外部資源の活用について考慮していなかった。

  要点：内部資源が不足するなら外部資源の活用検討が求められる

  システム管理基準では、情報システム戦略の策定において、内部資源だけで賄えない場合に外部資源の活用を検討することが求められる。人材の数とスキルが不足しているのに外部資源の活用を検討していない状態は、この要求を満たしておらず、監査人が指摘事項として報告すべき事象である。他の3つは方針の承認や適切な考慮がなされている例であり、指摘の対象にならない。

  この問題の解説ページを見る →