研 究 レポート 企 業 に 求 められる IT ガバナンスの 新 しいモデル * 原 田 要 之 助 Yonosuke Harada SUMMARY 現 在 企 業 はコーポレートガバナンスの 確 立 が 求 められている コーポレートガバナンスの 中 で も 重 要 となっているのが IT や 情 報 セキュリティのガバナンスである 本 稿 では 企 業 に 要 請 され る IT ガバナンスを 紹 介 し 今 までのモデルとその 限 界 を 示 し 新 しいモデルを 提 案 する 1 企 業 の 情 報 活 動 と IT 情 報 活 用 は 今 や 企 業 にとっての 企 業 価 値 と 等 価 なものとなっている そのため 企 業 にとって 情 報 の 収 集 活 用 蓄 積 転 送 廃 棄 にわたる 情 報 のライフサイクルに 対 するマネジメント 及 び 情 報 システ ムに 対 する 管 理 が 重 要 となっている 例 えば 企 業 は 個 人 情 報 の 取 り 扱 いについて 企 業 の IT で 利 用 す る 場 合 企 業 が 個 人 から 情 報 提 供 を 受 けて コンピュータに 入 力 し データベースとして 活 用 し その 個 人 の 申 し 出 やサービスの 終 了 などで 情 報 を 廃 棄 するまでのプロセスにおいて 情 報 を 正 しく 管 理 する 義 務 がある これを 実 現 するためには IT 機 器 が 必 要 となる 企 業 は 資 金 調 達 して IT に 対 する 投 資 を 行 い 機 器 及 びソフトウェアを 導 入 して 情 報 処 理 に 利 用 する これらの 機 器 についても 技 術 や 性 能 面 で 管 理 を 行 い 不 要 となった 場 合 には 適 正 に 廃 棄 することが 必 要 である 廃 棄 する 際 には 内 部 情 報 の 漏 えい が 無 いように 管 理 する 必 要 がある すなわち 企 業 は 競 争 力 をつけ 情 報 を 活 用 するために IT を 利 用 す る この 利 用 について 企 業 の 適 切 なガバナンスが 必 要 となる 企 業 の 経 営 者 ( 以 下 経 営 者 という)は この IT に 対 するガバナンスを 実 施 することが 求 められている 2 IT ガバナンスと 情 報 セキュリティガバナンス IT ガバナンスは コーポレートガバナンスと 同 様 に 経 営 者 が 経 営 的 な 観 点 から 投 資 や 活 用 について 判 断 を 下 すことを 求 めている 経 営 者 は IT 活 用 のプラスとマイナスの 両 面 すなわち IT の 様 々な 機 会 とリスクに 対 してバランスを 取 りながら 判 断 することが 要 請 されている IT についても 企 業 の 競 争 優 位 に 役 立 つよう 戦 略 的 な 思 考 と IT を 利 用 することによって 生 じるリスクへの 危 機 管 理 が 重 要 な 要 素 と
なる マイケル ポーターが 競 争 の 戦 略 で IT の 戦 略 的 な 重 要 性 を 指 摘 して 以 降 企 業 や 組 織 に とって IT の 活 用 は 経 営 者 にとって 欠 かすことのできない 重 要 な 要 素 と 考 えられるようになっている しかし IT への 負 の 側 面 への 対 応 を 間 違 えると 企 業 にとって 致 命 的 な 問 題 ともなりうる みずほ 銀 行 や 東 京 三 菱 銀 行 で IT システム 統 合 のミスによって 取 引 ができなかったこと 2006 年 のみずほ 証 券 の 誤 発 注 問 題 東 京 証 券 取 引 所 の 情 報 システムのトラブルによる 証 券 取 引 業 務 の 停 止 2008 年 の ANA の 予 約 システムのトラブルによる 航 空 便 の 遅 延 やキャンセルなど IT のトラブルが 企 業 の 大 きなリスクとなる ことが 報 告 されている 損 失 については 非 公 表 であるが 企 業 の 存 続 に 関 わる 規 模 に 至 ったと 言 えよう さらに 金 銭 的 な 面 のみならず 企 業 の 信 用 にも 大 きな 汚 点 となっている 経 営 者 は IT のプラスの 側 面 ばかりではなく IT のマイナスの 側 面 についても 十 分 に 対 応 しなければならない したがって IT についてのガバナンスを 考 えるためには IT を 利 用 するプラスの 戦 略 面 のみならず IT に 伴 うリスクをも 同 時 に 考 えておく 必 要 がある 2-1 企 業 の 会 社 法 とコーポレートガバナンス 2008 年 からはじまった 金 融 商 品 取 引 法 に 伴 う 内 部 統 制 報 告 書 の 義 務 化 では 経 営 者 は 内 部 統 制 を 確 立 し 財 務 報 告 が 正 しいことを 報 告 する 義 務 がある この 内 部 統 制 の 確 立 では 企 業 の 売 上 から 経 費 の 支 払 いに 至 るまで IT がかかわっていることから IT に 係 る 統 制 が 重 要 なテーマとなっている また 会 社 法 では 善 管 注 意 義 務 及 びリスク 管 理 が 義 務 付 けられており 企 業 の 価 値 を 向 上 させる 義 務 がある 前 者 と しては 会 社 法 では 取 締 役 の 職 務 の 執 行 が 法 令 及 び 定 款 に 適 合 することを 確 保 するための 体 制 ( 法 362 条 4 項 6 号 )について コーポレートガバナンスの 必 要 性 を 述 べている すなわち 経 営 者 には 企 業 の 重 要 な 資 産 (IT を 含 む)を 活 用 させて 収 益 をあげる 義 務 があることになる 一 方 後 者 について は 損 失 の 危 険 の 管 理 に 関 する 規 程 その 他 の 体 制 ( 施 行 規 則 100 条 1 項 2 号 )からは リスク 管 理 体 制 の 整 備 が 要 請 されている しかし 会 社 法 では 具 体 的 に 損 失 の 危 険 の 管 理 に 関 する 規 程 その 他 の 体 制 について 規 定 されているわけではない 例 えば 日 本 監 査 役 協 会 の 内 部 統 制 システムに 係 る 監 査 の 実 施 基 準 では 監 査 役 の 責 務 として リスク 管 理 体 制 の 整 備 と 運 用 についての 監 査 やリスク 分 析 評 価 等 が 述 べられている したがって 経 営 者 には リスク 管 理 体 制 の 整 備 と 実 施 が 結 果 的 に 要 請 されていると 考 えられる これを 図 表 1に 示 す 図 表 1 会 社 法 内 部 統 制 とコーポレートガバナンスの 関 係 会 社 法 取 法 ( 情 報 に 係 る 内 部 統 制 ) 性 性 の 進 内 部 統 制 の 構 築 情 報 に 係 る 内 部 統 制 の 構 築 コーポレートガバナンス
2-2 企 業 の IT ガバナンスと 情 報 セキュリティガバナンス 企 業 の 情 報 活 動 の 観 点 に 絞 って 見 ると 会 社 法 では 効 率 的 な 企 業 の 付 加 価 値 創 造 に 必 要 となる 情 報 活 用 IT への 投 資 と 投 資 による 企 業 の 付 加 価 値 の 向 上 が 必 要 となる 企 業 の 効 率 性 向 上 のための IT 投 資 は かなりの 金 額 となる 一 方 IT は 内 部 が 見 えないため 内 部 でどのような 活 動 がなされているかにつ いて 不 明 であり 投 資 金 額 も 多 いことから ステークホルダ( 利 害 関 係 者 )への Accountability( 説 明 責 任 )が 求 められている 金 融 商 品 取 引 法 は すべての 上 場 会 社 に 対 して 2008 年 度 の 会 計 年 度 から 内 部 統 制 について 経 営 者 が 評 価 し 報 告 することを 義 務 付 けている この 内 部 統 制 の 確 立 においても IT に 対 する 内 部 統 制 (IT 統 制 )が 重 要 な 要 素 として 挙 げられている 2-1 では 会 社 法 や 金 融 商 品 取 引 法 の 観 点 から これらがコーポレートガバナンスを 重 視 すると 述 べた これを IT の 側 面 から 見 ると 資 産 に 発 生 する IT による 様 々なリスクが 存 在 し これらのリスクを 低 減 す るコントロールの 実 装 にはコストが 必 要 である すなわち 資 産 を 保 全 するための 投 資 や 人 的 資 源 が 必 要 となる これを 一 般 的 には 情 報 セキュリティガバナンスと 呼 ぶことになる この 2 つの 関 係 について IT ガバナンスと 情 報 セキュリティガバナンスは 包 含 関 係 にはない これを 図 表 2 に 示 す 図 表 2 では IT に 係 る 情 報 セキュリティについては IT ガバナンスと 共 通 するが 例 えば 入 退 出 管 理 システムによる 物 理 的 セキュリティ(この 場 合 も IT が 利 用 されていると 考 えることもできるが 目 的 が 物 理 的 セキュリティなので IT ガバナンスに 含 めることは 無 理 がある)や 企 業 で 利 用 する 紙 情 報 の 管 理 な ど が 含 ま れ る( な お こ の モ デ ル に つ い て は 日 本 が ISO に 提 案 し た 文 書 (ISO SC27 WG1 SC27N6946 Japanese National Body contribution to WG 1 Study Period on Information security governance)の 中 でモデルを 提 示 しており 今 後 国 際 標 準 の 場 で 議 論 されて 何 らかの 方 向 性 が 示 され ると 考 えられる) 図 表 2 IT ガバナンスと 情 報 セキュリティガバナンスの 関 係 コーポレートガバナンス IT ガバナンス IT セキュリティ ガバナンス 情 報 セキュリティ ガバナンス 経 営 者 の 責 任 としてのガバナンスの 観 点 からは 情 報 セキュリティガバナンスに 特 徴 的 な 物 理 的 セキュ リティや 紙 情 報 によるセキュリティに 経 営 者 が 投 資 や 運 用 から 係 わる 必 要 がある 多 くの 企 業 では 経 営 者 は 全 体 の 予 算 の 中 で IT や 情 報 セキュリティへの 投 資 を 考 えており 情 報 を 紙 で 管 理 するか IT で 4
管 理 するかなどの 運 用 面 については 事 業 の 執 行 にまかされているとも 考 えられる すなわち IT と 情 報 セキュリティは IT が 共 通 項 であり これらについてのガバナンスは 共 通 するところが 多 いが これを 分 けて 議 論 する 場 合 と 共 通 に 議 論 する 場 合 があることになる 本 稿 では 経 営 者 の 立 場 から IT ガバナンスと 情 報 セキュリティガバナンスは 共 通 する 点 が 多 いこと から 共 通 する IT ガバナンスについて 述 べることとする( 付 録 に 経 済 産 業 省 が 検 討 中 の 情 報 セキュリ ティガバナンスを 紹 介 する) 3 IT ガバナンスの 現 状 現 在 多 くの 企 業 で IT ガバナンスの 実 施 が 行 われている これを 検 証 するために 以 下 では 2008 年 に IT ガバナンス 協 会 ( 以 下 ITGI という)と PWC(プライス ウォータハウス クーパース: 米 国 の 4 大 監 査 法 人 の1 社 )が 全 世 界 の 企 業 に 対 し 調 査 して 23 カ 国 739 社 から 回 答 を 得 た 調 査 結 果 を 紹 介 する 3-1 IT の 重 要 性 の 認 識 図 表 3 は 世 界 の 主 要 企 業 を 対 象 に 企 業 にとって IT の 重 要 性 について 認 識 調 査 したものである 企 業 では 極 めて 重 要 ある 程 度 重 要 と 回 答 した 企 業 の 比 率 は 2007 年 では 63% 30% となってい る 合 計 すると 93% の 企 業 が IT を 重 要 なものと 認 識 している(このような 調 査 に 回 答 するという 観 点 からも 当 然 の 結 果 である) また 極 めて 重 要 は 2003 年 2005 年 2007 年 と 増 加 しているが ある 程 度 重 要 と 極 めて 重 要 の 合 計 については 2003 年 の 91% が 2005 年 には 87% に 減 少 した しか し 2007 年 には 合 計 が 93% となっていることから 一 時 的 な 停 滞 であり 増 加 傾 向 にあると 考 えられ る すなわち IT は 企 業 にとって 極 めて 重 要 な 存 在 となっていることがわかる 図 表 3 世 界 の 企 業 における IT の 重 要 性 () 70 60 50 40 30 20 39 30 30 52 57 63 2003 2005 2007 10 0 1 0 0 1 3 1 7 10 6 て 重 要 でない 重 要 とない からない る 度 重 要 めて 重 要 出 所 : IT Governance Global Status Report, IT Governance Institute, 2008
3-2 企 業 の 取 締 役 会 (ボード)での IT が 議 論 される 頻 度 IT ガバナンスの 重 要 な 議 題 としては IT への 投 資 が 挙 げられる 図 表 4 は 企 業 のボードで IT が 議 題 として 論 じられているかについての 頻 度 を 調 査 した 結 果 である ここでは 日 常 的 常 時 と 回 答 した 企 業 の 比 率 は 2007 年 では 38% 32% となっている 合 計 す ると 70% の 企 業 が ボードで IT について 議 論 されていることがわかる ボードで 議 論 されるのは IT への 導 入 や 改 修 などの IT への 投 資 や IT 導 入 の 効 果 の 検 討 などである 図 表 4 では 2003 年 の 調 査 で 日 常 的 常 時 の 合 計 が 58% 2005 年 は 63% と 増 加 していることが 分 かる さらに 2007 年 の 調 査 では ボード 時 で IT について 論 じたことが なし の 企 業 は 全 体 の 1% となっている すなわち IT は 企 業 にとって 極 めて 重 要 となっていることが 分 かる これは 企 業 の 全 体 の 投 資 の 中 で IT の 占 める 割 合 が 増 え ボードでの 重 要 な 議 題 となっていることが 分 かる すなわち 企 業 にとって IT ガバナンスは 経 営 者 にとって 今 後 の 経 営 で 重 要 なものとして 扱 われていることが 分 かる 図 表 4 世 界 の 企 業 におけるボードで IT が 議 題 となる 頻 度 () 40 35 30 25 20 15 37 33 27 38 38 36 22 25 32 2003 2005 2007 10 5 0 5 3 1 なし のースにる 出 所 : IT Governance Global Status Report, IT Governance Institute, 2008 次 に 図 表 5 に 企 業 のボードでの IT が 議 題 となる 頻 度 と 企 業 での IT 戦 略 の 重 要 性 についてのクロス 分 析 の 結 果 を 示 す ここでは IT 戦 略 がある 程 度 重 要 IT 戦 略 が 極 めて 重 要 の 2 つの 回 答 を 図 表 4 のボードでの IT が 議 論 される 頻 度 で 示 したものである IT 戦 略 がある 程 度 重 要 とする 企 業 では IT がボードで 議 論 されたことが なし が 最 も 多 く 74% となり 日 常 的 に 議 論 されている 企 業 の 比 率 は 15% となっている 一 方 IT 戦 略 が 極 めて 重 要 としている 企 業 については IT がボードで 議 論 されたことが なし が 最 も 少 なく 14% で 日 常 的 に 議 論 されている 企 業 の 比 率 は 84% となっ ている すなわち IT 戦 略 を 重 要 視 している 企 業 は 日 常 的 にボードで IT が 議 論 され IT の 重 要 性 が 認 識 されていることが 分 かる 一 方 IT 戦 略 がそれほど 重 要 ではない 企 業 は IT が 十 分 に 活 用 されていな いとも 言 えよう
図 表 5 ボードでの IT の 取 扱 いと IT 戦 略 の 重 要 性 の 関 係 () 90 80 70 60 74 63 84 50 40 30 39 46 33 IT 戦 略 が る 度 重 要 IT 戦 略 が めて 重 要 20 10 14 15 0 なし のースにる 出 所 : IT Governance Global Status Report, IT Governance Institute, 2008 3-3 IT ガバナンスと 企 業 価 値 の 創 造 IT は 企 業 にとって ビジネスの 効 率 化 を 高 め 収 益 を 保 証 するものでなければならない 図 表 6 は 企 業 にとって IT が 企 業 価 値 の 向 上 にとって 役 立 っているかについて 調 査 した 結 果 である この 結 果 か らは 十 分 な 価 値 につながっている が 53% と 価 値 に 一 部 つながっている が 35% で 合 計 すると 88% の 企 業 が 企 業 価 値 の 向 上 につながっていると 答 えている 価 値 につながっていないとも 言 えない 企 業 は 2% である すなわち IT を 導 入 している 多 くの 企 業 は IT の 及 ぼす 効 果 について 認 知 している ことが 分 かる 換 言 すれば 企 業 にとって もはや IT をビジネスに 利 用 することの 正 当 化 についての 議 論 でなく 価 値 をより 高 める 効 率 性 に 移 ったと 言 いえよう () 60 50 図 表 6 世 界 の 企 業 のうち IT ガバナンスが 価 値 の 創 造 につながっているか 53 40 35 30 20 10 10 0 0 価 値 に つながらない 2 価 値 につながって いないとない ちらと ない 価 値 に 一 部 つながっている な 価 値 に つながっている 出 所 : IT Governance Global Status Report, IT Governance Institute, 2008 7
3-4 IT のリスクマネジメント( 情 報 セキュリティガバナンスの 重 要 性 ) IT を 導 入 すると 価 値 の 面 ばかりではない IT のマイナスの 面 についても 目 を 向 ける 必 要 がある 図 表 7 は 世 界 の 企 業 が IT リスクマネジメントについて どのように 考 えているかについて 調 査 した 結 果 である この 結 果 からは 極 めて 重 要 と ある 程 度 重 要 を 合 わせると 80% の 企 業 が 重 視 していると 答 えている 重 要 とは 言 えない 企 業 は 5% である すなわち ほとんどの 企 業 が IT のリスクマネジメ ントについて 重 視 していることが 分 かる 図 表 7 世 界 の 企 業 のうち IT リスクマネジメントの 重 要 性 認 識 () 50 45 40 35 30 25 20 15 10 5 0 0 5 13 重 要 でない 重 要 とない からない る 度 重 要 めて 重 要 出 所 : IT Governance Global Status Report, IT Governance Institute, 2008 33 47 3-5 企 業 の IT リスクマネジメントと IT ガバナンスの 関 係 図 表 8 は 企 業 の IT リスクマネジメントの 重 要 性 と IT ガバナンスの 段 階 についてのクロス 分 析 をし たものである IT ガバナンスと 測 定 のプロセスがある IT ガバナンスプロセスがあり 性 能 面 での 測 定 が 実 施 されている IT ガバナンスが 最 適 化 され 結 果 の 性 能 面 の 測 定 が 実 施 されている の 3 つ を IT リスクマネジメントが 極 めて 重 要 ある 程 度 重 要 分 からない 重 要 とは 言 えない 全 く 重 要 ではない のどの 段 階 かを 分 析 した 図 表 8 からは IT ガバナンスが 最 適 化 され 結 果 の 性 能 面 の 測 定 が 実 施 されている 企 業 は IT リスクマネジメントが 極 めて 重 要 ある 程 度 重 要 が 8% 7% となっている しかし 重 要 とは 言 えない が 10% ある IT ガバナンスプロセスがあり 性 能 面 での 測 定 が 実 施 されている 企 業 は IT リスクマネジメントが 極 めて 重 要 ある 程 度 重 要 が 25% 12% となっていて 重 視 している 企 業 が 若 干 多 いことが 分 かる IT ガバナンスと 測 定 のプロセス がある 企 業 は IT リスクマネジメントが 極 めて 重 要 ある 程 度 重 要 が 30% 33% となってい る すなわち IT ガバナンスと 測 定 のプロセスがある だけの 企 業 では IT リスクマネジメントの 重 要 視 の 程 度 については ほとんど 差 が 見 られない 一 方 IT ガバナンスプロセスがあり 性 能 面 の 測 定 が 実 施 されている 及 び IT ガバナンスが 最 適 化 され 結 果 の 性 能 面 の 測 定 が 実 施 されている 企 業 で は IT リスクマネジメントを 重 視 する 傾 向 にある
図 表 8 世 界 の 企 業 のうち IT ガバナンスのレベルと IT リスクマネジメントの 重 要 性 認 識 の 一 致 度 () 35 33 30 30 30 25 25 20 20 22 15 10 9 10 12 8 5 4 5 7 0 0 0 重 要 でない 重 要 とない からない る 度 重 要 めて 重 要 IT ガバナンスとのセスがる IT ガバナンスセスが 性 のが 実 施 されている IT ガバナンスが 化 され の 性 のが 実 施 されている 出 所 : IT Governance Global Status Report, IT Governance Institute, 2008 以 上 ITGI の 調 査 結 果 からは 世 界 の 企 業 では IT ガバナンスが 広 がりつつあることが 分 かる さら に 企 業 では IT リスクマネジメントの 実 施 についても IT ガバナンスと 相 関 が 高 く IT ガバナンスと 合 わせて 情 報 セキュリティガバナンスも 重 視 していることが 分 かった 4 企 業 の IT ガバナンスの 構 築 について 本 章 では IT ガバナンスの 構 築 について 述 べる 4-1 IT ガバナンスの 5 つの 重 要 な 要 素 ITGI のモデルでは IT ガバナンスとは 経 営 者 の 責 務 であり 企 業 のコーポレートガバナンスに とって 不 可 欠 な 要 素 であり 透 明 性 が 必 要 な 部 分 であり IT ガバナンスフレームワークと 整 合 している 必 要 がある 経 営 者 は 情 報 セキュリティにより 発 生 する 事 故 によるサービス 中 断 や 情 報 漏 えい 機 密 性 に 対 応 する 責 任 がある また 取 締 役 会 は 情 報 セキュリティを 企 業 ガバナンスの 取 り 組 みの 中 心 的 な 部 分 として IT ガバナンスの 目 標 と 整 合 し 資 源 を 管 理 するために 実 施 するプロセスと 統 合 する 必 要 があ る (ISACA/ITGI 取 締 役 のための IT ガバナンス V2 を 一 部 修 正 )と 定 義 して IT ガバナンスを 支 え る 5 つの 要 素 として 戦 略 との 整 合 価 値 の 提 供 リスクの 管 理 資 源 の 管 理 成 果 の 測 定 を 必 要 不 可 欠 なものとして 列 挙 している( 図 表 9) マイケル ポーターも 競 争 の 戦 略 では 戦 略 面 を 重 要 視 して 他 の 要 素 と 区 別 しているように 経 営 者 から 見 ると 企 業 の 戦 略 や 収 益 に 直 結 する 価 値 の 実 現 を 優 先 しが ちである ITGI では これらの 5 つの 要 素 を 等 しく 重 要 なものとして 扱 っている 9
図 表 9 IT ガバナンスの 5 つの 要 素 戦 略 との 価 値 の の リスクの の 出 所 : ISACA/ITGI 取 締 役 のための IT ガバナンス V2 2007 年 さらに ITGI では 経 営 者 が IT ガバナンスを 実 施 するためのモデルとして 図 表 10 を 示 している こ のモデルでは 経 営 者 は 組 織 に 対 して 目 標 を 与 え IT による 具 体 的 な 行 動 (IT アクティビティ)に 対 して 指 針 を 与 え 結 果 としての 成 果 の 測 定 を 行 い 目 標 との 乖 離 を 比 較 する 乖 離 が 大 きけれ ば その 原 因 を 分 析 し 目 標 に 合 うように 指 針 を 修 正 する この 際 の 目 標 の 設 定 は 具 体 的 に 組 織 が 行 動 できるためのものでなければならない このときの 目 標 には 図 表 9 の 価 値 の 提 供 リスクの 管 理 と この 2 つをビジネスの 目 標 と 整 合 するように 戦 略 を 決 める 戦 略 との 整 合 が 用 いられる 図 表 10 IT ガバナンスの 実 施 のための 経 営 者 の 行 動 をる 標 の IT 戦 略 をジネスとさる IT がジネス 標 を 実 現 し をさる IT をる IT に 係 るリスクをる IT の 活 動 動 化 (ジネスの 化 ) コストの( 企 業 の) リスク(セキュリティ 性 法 の 準 ) の 出 所 : ISACA/ITGI 取 締 役 のための IT ガバナンス V2 を 一 部 修 正 10
4-2 IT ガバナンスの 国 際 標 準 化 IT ガバナンスの 構 造 として ISO/IEC38500 では ITGI の 図 表 9 と 図 表 10 に 対 応 するものとして 図 表 11 のモデルを 提 示 している この 標 準 は 2006 年 にオーストラリアの 国 内 基 準 である AS8500 をベース に ISOSC7 に 早 期 標 準 化 提 案 されたものである ISO/IEC38500 では 企 業 の 経 営 者 が 実 施 するべき 行 動 として 1 指 示 (Direct) 2 評 価 (Evaluate) 3モニタ(Monitor) がある 経 営 者 は ビジネス 環 境 からの 要 求 や 市 場 に 合 わせて 企 業 としての 方 針 を 決 定 する 企 業 の 執 行 部 門 からの 活 動 をモニタして 目 標 との 乖 離 を 調 べる その 結 果 と 執 行 部 門 からの 提 案 を 統 合 的 に 評 価 して 実 施 部 門 に 対 して 指 示 を 行 う ここで 重 要 なのは 経 営 者 は IT の 投 資 や 利 用 について 決 定 し その 結 果 をモニタして 改 善 を 行 う ことが 求 められている さらに IT ガバナンスを 実 現 するための 6 つの 原 則 が 述 べられている これらは 1 IT に 対 する 責 任 を 明 確 にする 原 則 (Responsibility) 2 IT は 組 織 の 目 的 を 最 大 限 支 援 する 原 則 (Strategy) 3 IT の 有 効 性 を 高 め る 適 用 原 則 (Acquisition) 4 IT の 可 用 性 を 高 め る 性 能 原 則 (Performance ) 5 IT が 法 令 や 企 業 の 内 部 の 取 決 めに 準 拠 する 準 拠 原 則 (Conformance) 6 IT は 人 的 要 素 を 考 慮 する 人 的 行 動 原 則 (Human behavior)である これらの 原 則 については ITGI の 取 締 役 のため の IT ガバナンス V2 と 同 様 ISO の 標 準 というものの 抽 象 的 な 表 現 となっている 今 後 ISO では この 標 準 の 具 体 化 とともに 企 業 に 実 現 するための 導 入 ガイドラインなどの 標 準 を 追 加 予 定 である ISO の 国 際 標 準 ではあるが 企 業 がこのガイドラインに 従 うための 認 証 システムにつながるかは 現 状 で は 明 らかではない ITGI では IT ガバナンスについて 企 業 の 努 力 目 標 としての 概 念 フレームワークを 提 示 しているのみであり COBIT などのコントロールを 導 入 する 際 のフレームワークとしているわけでは ない あくまでも 企 業 の 経 営 者 に 向 けた IT を 正 しく 利 用 するための 考 え 方 を 提 示 しているにすぎない しかし IT ガバナンスが ISO で 標 準 とされたことにより 今 後 ステークホルダは 企 業 や 組 織 に 対 し て IT の 適 正 な 利 用 を 確 約 するためのものとして 要 請 するようになる 可 能 性 がある 企 業 としても 様 々なステークホルダに 対 して それぞれの 要 求 事 項 を 満 足 するよりも 国 際 的 なガイドに 従 うほうが 実 施 が 簡 単 ということもある 標 準 がどこまで 具 体 的 に 規 定 するかによって 今 後 の 展 開 が 変 わるものと 考 えられる ITGI の 図 表 10 に 示 すモデルと ISO/IEC38500 のモデルは 経 営 者 が IT について 戦 略 的 に 判 断 し その 成 果 をモニタリングして 評 価 する 観 点 では 共 通 している 原 則 などについても 共 通 するところが 多 い 今 後 この 2 つのモデルは 共 通 化 されるか あるいは マッピングという 形 で 関 連 性 が 示 されるこ とになると 考 えられる(マッピングとは 多 数 の 類 似 した 標 準 間 で 共 通 する 点 異 なる 点 を 比 較 した 表 を 提 示 することをいう これによって 一 つのガイドラインに 準 拠 していることが 他 の 基 準 では どの ように 準 拠 しているか 読 み 替 えることができる) 11
図 表 11 ICT ガバナンスの 構 造 ジネスからの 要 求 IT ガバナンス 価 ー モ ジクトの IT IT をした 業 営 ジネスセス 出 所 :ISO38500 4-3 IT ガバナンスの 進 め 方 IT ガバナンスや 情 報 セキュリティガバナンスを 構 築 して 企 業 の IT を 進 めるためには 経 営 者 は 図 表 9 と 図 表 10 を 組 み 合 わせて 図 表 12 のように 進 めることになる まず ビジネスの 戦 略 と 整 合 した IT の 戦 略 を 策 定 ( 図 表 12 戦 略 の 定 義 )して 実 施 することが 必 要 である ここで 新 しい 価 値 の 提 供 ( 図 表 12 価 値 の 創 出 )と 企 業 のリスクの 管 理 ( 図 表 12 価 値 の 保 全 )をバランスさせる 必 要 があ る この 2 つの 領 域 を 進 める 中 で 経 営 資 源 ( 図 表 12 資 源 の 管 理 )の 配 分 を 行 い 2 つの 活 動 を 統 合 して 改 善 ( 図 表 12 継 続 的 な 改 善 )を 行 い その 結 果 を 測 定 ( 図 表 12 成 果 の 測 定 )して 評 価 す る 経 営 者 は この 評 価 に 基 づき 戦 略 の 見 直 しや 新 しい 戦 略 の 策 定 を 行 う なお 価 値 の 提 供 とリスク 管 理 を 経 営 者 が 戦 略 に 基 づいてバランスさせながら 展 開 していく 観 点 が 重 要 である これは 経 営 者 が 企 業 戦 略 を 例 えば リスク 管 理 だけに 注 力 すると リスクの 低 減 にのみ 目 が 行 き リスクを 低 減 するための 投 資 ばかりするようになり 企 業 の 経 営 としてバランスを 欠 くものとなって しまうからである すなわち 企 業 戦 略 では 必 ずしも 価 値 の 提 供 だけやリスク 管 理 の 視 点 のみで 進 め てはならない 経 営 者 は 企 業 の 戦 略 の 中 で 収 益 を 上 げ かつ リスクを 最 適 化 して 結 果 として ス テークホルダに 理 解 されることが 重 要 である ここで 注 意 しなければならない 点 は 図 表 12 の 流 れでは 経 営 者 が IT 戦 略 で 価 値 の 創 出 と 価 値 の 保 全 を 決 めれば あとは 単 に その 目 的 に 従 って 進 めていくように 読 める 価 値 の 創 出 をするため に 自 動 化 されていないビジネスプロセスに IT 投 資 を 行 って 自 動 化 するケースを 考 えてみよう まず ビジネスに IT を 応 用 するために BPR などによってビジネスプロセスを 見 直 し 最 適 な IT を 導 入 するであろう この 際 ビジネスに IT を 導 入 することによって ビジネスリスクが 持 ち 込 まれる さら 12
に 導 入 した IT が 停 止 したり 誤 動 作 したりするリスクを 考 えなければならない 一 方 価 値 の 保 全 と して IT リスク 管 理 を 実 施 する 場 合 には リスク 対 応 をすることによってビジネス 機 会 が 増 すこともある ( 一 般 に 機 会 リスク と 呼 ばれる) 例 えば 情 報 セキュリティ 対 策 が 十 分 に 完 備 された 在 庫 管 理 システ ムを 関 連 会 社 に 利 用 させて 企 業 グループの 情 報 セキュリティ 対 策 を 強 化 することができる また このシ ステムを 外 販 して 収 益 につなげることもできる すなわち 機 会 リスクは 企 業 のさらなる 価 値 の 向 上 につ なげることができる 価 値 の 創 出 と 価 値 の 保 全 は 相 対 する 二 つのプロセスであるが それぞれのプロセスの 中 に 機 会 とリスクが 存 在 する すなわち 価 値 の 創 出 の 中 のリスク 対 策 と 価 値 の 保 全 のリスク 対 策 のコント ロールは 結 果 的 に 同 じものとなる 可 能 性 がある したがって リスク 対 策 については 両 方 のプロセス に 最 適 なものとする 必 要 がある これは 機 会 リスクと 価 値 の 創 出 をうまくマッチさせることにつなが る 図 表 12 では このプロセスが 十 分 に 述 べられていない 図 表 12 IT ガバナンスの 構 築 の 進 め 方 戦 略 の 戦 略 との 価 値 の 価 値 の 創 価 値 の いとの いとの 機 会 の 活 題 の の な 題 の リスクの の CIT 文 の 一 つでるIT ガバナンスガドにる 図 をに 一 部 出 所 : 日 本 IT ガバナンス 協 会 COBIT 実 務 者 のためのハンドブック 日 経 BP 2008 年 図 表 12 のモデルに 機 会 リスクと 価 値 の 創 出 を 含 めると 具 体 的 には 図 表 13 のようなモデルとなる と 考 えられる 図 表 13 では 経 営 者 の 役 割 を 価 値 の 提 供 とリスクの 管 理 までとし リソースの 配 分 につ いては 戦 略 レベルにとどめ 具 体 的 な 展 開 は 管 理 者 層 に 任 せることになる また 価 値 の 提 供 とリスクの 管 理 について 上 記 の 複 合 的 な 要 素 を 考 慮 し 価 値 の 提 供 IT の 導 入 リスクの 発 生 については リス クの 管 理 にフィードバックできるようにしている 同 様 に リスクの 管 理 で 生 じたリスク 機 会 について は 価 値 の 提 供 にフィードバックしている 図 表 13 では フィードバックの 効 果 を 考 慮 した 最 適 化 のプ ロセスを 図 表 12 に 追 加 している 最 適 化 については 与 えられた 価 値 の 提 供 リスクの 管 理 の 総 合 的 な 実 現 であり 管 理 者 が 実 施 すべきものである ここを 管 理 者 に 任 せることにより 現 場 の 総 意 工 夫 を 促 し て 企 業 にとっての 価 値 を 最 大 化 できる 経 営 者 は その 結 果 としての 成 果 を 測 定 評 価 することになる 13
経 営 者 が 与 えた 価 値 の 提 供 と リスクの 管 理 の 目 標 戦 略 のバランスについて 得 られた 成 果 に 問 題 があるときには 戦 略 面 でのバランスを 見 直 すことになる 図 表 13 リスク 機 会 を 考 慮 した IT ガバナンスのモデル ジネス 戦 略 IT 情 報 セキュリティ 戦 略 のとポートリ 価 値 の リスクの IT の リスク の IT コントール( 情 報 セキュリティコントール)の 企 業 のリース( 情 報 )の リスクの 機 会 の IT コントール( 情 報 セキュリティコントール)の 化 IT 情 報 セキュリティのの なお 図 表 13 のモデルでは IT や 情 報 セキュリティの 側 面 についての 考 察 だけであり IT を 導 入 し たことによるビジネスの 変 化 や 従 業 員 に 与 える 影 響 についても 十 分 な 考 察 が 必 要 となる これは 今 後 の 課 題 である 5 まとめ 本 稿 では 企 業 の IT ガバナンスと 情 報 セキュリティガバナンスについて 論 じている とくに IT ガバ ナンスは 世 界 中 の 企 業 において 経 営 者 が 注 目 するようになっていることを 2008 年 に 実 施 された 調 査 報 告 から 示 した すなわち 日 本 の 企 業 にとっては 会 社 法 や 財 務 報 告 による 内 部 統 制 の 導 入 での IT に 対 する 原 則 として IT ガバナンスが 目 標 となると 考 えられる 既 に 導 入 の 済 んだ 企 業 にも 次 なる 目 標 になる 本 稿 では 企 業 に 要 請 される IT ガバナンスと 情 報 セキュリティガバナンスの 構 造 を ITGI 及 び ISO のモデルを 参 考 に 考 察 した 従 来 型 のモデルでは 機 会 リスクを 説 明 できない そこで フィー ドバック 効 果 を 考 慮 に 入 れた 企 業 の IT ガバナンスを 実 現 するための 新 しいモデルを 示 した 14
付 録 経 済 産 業 省 では 平 成 17 年 度 より 情 報 セキュリティガバナンスについて 検 討 を 行 い 下 記 のモデル を 提 示 している ここでは 経 営 者 は リスク 管 理 を 実 施 して ステークホルダに 対 して 説 明 責 任 を 持 つ というものである 取 業 社 会 報 価 経 営 方 モリン 役 会 報 企 業 価 値 の 取 締 役 会 社 会 の 行 リスク 企 業 活 動 の 企 業 の 活 動 者 業 情 報 セキュリティ 法 情 報 業 関 係 者 の 活 動 企 業 経 営 が 取 情 報 に 係 るリスクを 者 業 が 取 実 なに 化 ると 情 報 に 係 る 法 情 報 業 にる 構 造 役 会 取 締 役 会 に 会 会 社 のを 価 のに からの 要 のを 情 報 に 者 の 情 報 の 活 いを リスクのリスクに 法 からるリスクを 図 の 法 を 出 所 : 企 業 における 情 報 セキュリティガバナンスのあり 方 に 関 する 研 究 会 報 告 書 経 済 産 業 省 平 成 17 年 3 月 参 考 文 献 1 筆 者 IT ガバナンスと 情 報 セキュリティガバナンスの 構 築 に 向 けて 日 経 BP セミナー 発 表 原 稿 2008 年 8 月 2 コーポレートガバナンスの 財 務 的 側 面 に 関 する 委 員 会 報 告 (Report of the Committee on the Financial Aspects of Corporate Governance) キャドバリー レポート(Cadbury Report) 1992 年 ) 3 ISO SC27 WG1 SC27N6946 Japanese National Body contribution to WG 1 Study Period on Information security governance 2008 年 10 月 4 IT ガバナンス 協 会 取 締 役 のための IT ガバナンス V2 2007 年 5 日 本 IT ガバナンス 協 会 編 COBIT 実 務 者 のためのハンドブック 日 経 BP 2008 年 6 ISO/IEC 38500:2008, Corporate governance of information technology 2008 年 7 AS8015 2005, Corporate governance of information and communication technology 8 IT Governance Global Status Report, IT Governance Institute, 2008 * 情 報 通 信 総 合 研 究 所 主 席 研 究 員 (ISACA/ITGI 国 際 本 部 副 会 長 ) 15