ITガバナンス【IT governance】ICTガバナンス

ITガバナンスとは？

ITが企業活動の根幹に組み込まれた現代では、情報システムの障害や停止が業務の停滞・損害に直結する。また、管理外の機器やソフトウェア、クラウドサービスが現場に持ち込まれる「シャドーIT」の問題や、サイバー攻撃、情報漏洩といったセキュリティリスクも深刻化している。

こうしたリスクに組織として対処するには、ITを情報システム部門や各業務部門の判断に委ねるだけでは不十分である。経営層が主体となってIT投資の方針やリスク管理の指針を示し、その執行を監督する枠組みが必要であり、これをITガバナンスと呼ぶ。

経済産業省では、ITガバナンスを「経営陣がステークホルダーのニーズに基づき、組織の価値を高めるために実践する行動であり、情報システムのあるべき姿を示す情報システム戦略の策定および実現に必要となる組織能力」と定義している。ITを単なる業務支援の手段ではなく経営資源の一つとして捉え、株主や顧客、取引先といった外部の利害関係者への説明責任を果たす観点からも、その整備が求められる。

具体的には、経営戦略に沿ったIT戦略の策定、投資効果の評価、情報セキュリティや個人情報保護を含むリスク管理、法令・社内規程の順守、システム障害や災害への備えなどの活動があり、これを経営層が主導して継続的に管理する。導入したシステムが期待した成果を上げているかを評価し、必要に応じて改善する仕組みも含まれる。

ITガバナンスは内部統制や情報セキュリティマネジメントと関連が深いが、対象と目的が異なる。内部統制はITに限らず業務全般の適正性や財務報告の信頼性の確保を、情報セキュリティマネジメントは情報資産の機密性・完全性・可用性の維持を扱う。ITガバナンスはこれらを経営の視点から統括し、経営とITの整合を図りながら価値創出とリスク管理を両立させる取り組みである。実務上の指針としては国際標準規格「ISO/IEC 38500」が広く参照されるほか、国内では経済産業省が策定した「システム管理基準」が利用されている。