Presented by 東京海上日動システムズ ( 株 ) 生保本部ソリューションプロデューサー ISACA 東京支部基準委員会委員上山隆 Material Prepared by : 東京海上日動システムズ ( 株 ) GRC 支援部兼経営企画部上級エキスパート ISACA 東京支部基準委員会委員稲葉裕一
COBIT 5 とは 事業体の IT ガバナンスと IT マネジメン トのためのビジネスフレームワーク 効果の実現 リスクの最適化 資源の最適化とのバランスを維持し IT により最 適な価値を創り出すことを支援 営利 非営利 公的機関等 すべての規模の事業体に適用でき 有効なもの 4
COBIT 5 に至るまで スコープの進化 事業体のITガバナンス (GEIT) ITガバナンスマネジメントコントロール監査 Val IT 2.0 (2008) Risk IT (2009) COBIT1 COBIT2 COBIT3 COBIT4.0/4.1 COBIT 5 1996 1998 2000 2005/7 2012 ISACAが提供するビジネスフレームワーク www.isaca.org/cobit 2012 ISACA All rights reserved. 5
事業体 IT ガバナンス (GEIT) ガバナンス は 舵取り ギリシャ語の動詞 kubernáo( 舵を取る ) に由来 日本では 統治 が一般的 ( 押さえつけるような語感 ) IT ガバナンス IT 部門 (CIO) の視点 IT 部門中心のガバナンス 事業体 IT ガバナンス (GEIT: ガイト / ゲイトと発音 ) 経営トップ (CEO) の視点 ビジネスガバナンス ~ITが経営の中心的な役割になってきているので 6
GEIT vs. IT ガバナンス 取締役会 CEO COO,CxO 部門 部門 部門 部門 ビジネス部門 GEIT IT ガバナンス CIO IT 部門 7
COBIT 5 プロダクトファミリー COBIT 5 プロダクトファミリー COBIT 5 COBIT 5 イネーブラーガイド COBIT 5: Enabling Processes COBIT 5: Enabling Information その他のイネーブラーガイド COBIT 5 プロフェッショナルガイド COBIT 5 Implementation COBIT 5 for Information Security COBIT 5 for Assurance COBIT 5 for Risk その他のプロフェッショナルガイド COBIT 5 オンラインコラボレーション環境 出典 : COBIT 5 日本語版, 図表 11. 2012 ISACA All rights reserved. 8
COBIT 5 プロダクトファミリー日本語版 COBIT 5 プロダクトファミリー COBIT 5 済 COBIT 5 イネーブラーガイド COBIT 5: Enabling Processes 済 COBIT 5: Enabling Information その他のイネーブラーガイド COBIT 5 プロフェッショナルガイド COBIT 5 Implementation 済 COBIT 5 for Information Security COBIT 5 for Assurance 着手 COBIT 5 for Risk その他のプロフェッショナルガイド COBIT 5 オンラインコラボレーション環境 出典 : COBIT 5 日本語版, 図表 11. 2012 ISACA All rights reserved. COBIT Assessment Programme COBIT Process Assessment Model (PAM): Using COBIT 5 着手 COBIT Assessor Guide: Using COBIT 5 COBIT Self-Assessment Guide: Using COBIT 5 9
COBIT 5 プロダクトファミリー日本語版 COBIT 5 プロダクトファミリー COBIT 5 済 COBIT 5 イネーブラーガイド COBIT 5: Enabling Processes 済 COBIT 5: Enabling Information その他のイネーブラーガイド COBIT 5 プロフェッショナルガイド COBIT 5 Implementation 済 COBIT 5 for Information Security COBIT 5 for Assurance 着手 COBIT 5 for Risk その他のプロフェッショナルガイド COBIT 5 オンラインコラボレーション環境 出典 : COBIT 5 日本語版, 図表 11. 2012 ISACA All rights reserved. COBIT Assessment Programme COBIT Process Assessment Model (PAM): Using COBIT 5 着手 COBIT Assessor Guide: Using COBIT 5 COBIT Self-Assessment Guide: Using COBIT 5 12
COBIT 5 フレームワーク 正式名称 : COBIT 5 : A Business Framework for the Governance and Management of Enterprise IT COBIT 5 プロダクトの中心であり 全体を包括 構成 COBIT5 の 5 つの原則 COBIT5 の 7 つのイネーブラー COBIT5 プロセス参照モデル COBIT5 の導入ガイダンスの紹介 (COBIT 5 Implementation) COBIT アセスメントモデルの紹介 (COBIT Process Assessment Model : PAM) 13
COBIT 5 の原則 1. ステークホルダーのニーズを充足 5. ガバナンスとマネジメントの分離 COBIT 5 の原則 2. 事業体全体の包含 4. 包括的アプローチの実現 3. 一つに統合されたフレームワークの適用 出典 :COBIT 5 日本語版, 図表 2. 2012 ISACA All rights reserved. 14
COBIT 5 のイネーブラー 2. プロセス 3. 組織構造 4. 文化 倫理および行動 1. 原則 ポリシーおよびフレームワーク 5. 情報 6. サービス インフラストラクチャおよびアプリケーション 7. 人材 スキルおよび遂行能力 資源 Source: COBIT 5, figure 12. 2012 ISACA All rights reserved. 出典 : COBIT 5 日本語版, 図表 12. 2012 ISACA All rights reserved. 15
COBIT 5 プロセス参照モデル 事業体 IT ガバナンスのためのプロセス 評価 方向付けおよびモニタリング EDM01 ガバナンスフレームワークの設定と維持の確保 EDM02 効果提供の確保 EDM03 リスク最適化の確保 EDM04 資源最適化の確保 EDM01 ステークホルダーへの透明性の確保 整合 計画および組織化 APO01 IT マネジメントフレームワークの管理 APO08 関係管理 APO02 戦略管理 APO09 サービス契約の管理 APO03 エンタープライズアーキテクチャ管理 APO10 サプライヤーの管理 APO04 イノベーション管理 APO11 品質管理 APO05 ポートフォリオ管理 APO12 リスク管理 APO06 予算と費用の管理 APO13 セキュリティ管理 APO07 人材の管理 モニタリング 評価およびアセスメント MEA01 成果と整合性のモニタリング 評価およびアセスメント 構築 調達および導入 BAI01 プログラムとプロジェクトの管理 BAI02 要件定義の管理 BAI03 ソリューションの特定と構築の管理 BAI04 可用性とキャパシティの管理 BAI05 組織の変革実現の管理 BAI06 変更管理 BAI07 変更受入と移行の管理 MEA02 内部統制システムのモニタリング 評価およびアセスメント BAI08 知識の管理 BAI09 資産の管理 BAI10 構成の管理 提供 サービスおよびサポート DSS01 オペレーション管理 DSS02 サービス要求とインシデントの管理 DSS03 問題管理 DSS04 継続性管理 DSS05 セキュリティサービスの管理 DSS06 ビジネスプロセスのコントロールの管理 MEA03 外部要求へのコンプライアンスのモニタリング 評価およびアセスメント 事業体の IT マネジメントのためのプロセス 出典 : COBIT 5 日本語版, 図表 16. 2012 ISACA All rights reserved. 16
COBIT 5 Implementation Source: COBIT 5 日本語版図表 17. 2012 ISACA All rights reserved. 17
COBIT 5 プロセスアセスメントモデル ( プロセス能力モデル ) Source: COBIT 5 日本語版図表 19. 2012 ISACA All rights reserved. 18
COBIT 5 の原則 1. ステークホルダーのニーズを充足 5. ガバナンスとマネジメントの分離 COBIT 5 の原則 2. 事業体全体の包含 4. 包括的アプローチの実現 3. 一つに統合されたフレームワークの適用 出典 :COBIT 5 日本語版, 図表 2. 2012 ISACA All rights reserved. 20
原則 1. ステークホルダーのニーズを充足 事業体はそのステークホルダーの価値を創出するために存在する ステークホルダーのニーズ 推進 ガバナンス目標 : 価値創出 効果の実現リスク最適化資源最適化 出典 : COBIT 5 日本語版, 図表 3.. 2012 ISACA All rights reserved. 21
原則 1. ステークホルダーのニーズを充足 ステークホルダーのニーズを事業体の戦略に変換 COBIT 5の達成目標のカスケード ( 展開 ) ステークホルダーのニーズから 事業体の達成目標 IT 達成目標 イネーブラーの達成目標へ展開する ステークホルダーのドライバー ( 環境 技術革新 ) ステークホルダーのニーズ 効果の実現 リスク最適化 事業体の達成目標 IT 達成目標 影響 資源最適化 カスケード ( 展開 ) カスケード ( 展開 ) カスケード ( 展開 ) イネーブラーの達成目標 出典 : COBIT 5 日本語版, 図表 4. 2012 ISACA All rights reserved. 22
原則 1. ステークホルダーのニーズを充足 出典 : COBIT 5 日本語版, 図表 5. 2012 ISACA All rights reserved. 23
原則 1. ステークホルダーのニーズを充足 事業体の達成目標とのマッピング COBIT 5 では P( 主要 ) と S( 副次 ) で事業体達成目標とのマッピングを示している (COBIT 5 日本語版図表 22 参照 ) 出典 : COBIT 5 日本語版, 図表 6. 2012 ISACA All rights reserved. 24
原則 1. ステークホルダーのニーズを充足 出典 : COBIT 5 日本語版, 図表 6. 2012 ISACA All rights reserved. 出典 : COBIT 5 日本語版, 図表 23. 2012 ISACA All rights reserved. 25
COBIT 5 の原則 1. ステークホルダーのニーズを充足 5. ガバナンスとマネジメントの分離 COBIT 5 の原則 2. 事業体全体の包含 4. 包括的アプローチの実現 3. 一つに統合されたフレームワークの適用 出典 :COBIT 5 日本語版, 図表 2. 2012 ISACA All rights reserved. 26
原則 2. 事業体全体の包含 事業体全体にわたる包括的な視点から 情報とそれに関連する技術のガバナンスとマネジメントを取り扱う 事業体の中の全ての部門 全てのプロセスをカバー 事業体 IT ガバナンス (GEIT) はコーポレートガバナンス ( ビジネスガバナンス ) そのもの 27
原則 2. 事業体全体の包含 ガバナンスのアプローチ ガバナンス目標 : 価値創出 効果の実現 リスク最適化 資源最適化 ガバナンスイネーブラー ガバナンススコープ 役割 アクティビティ 関係性 出典 : COBIT 5 日本語版, 図表 8. 2012 ISACA All rights reserved. オーナーおよびステークホルダー 役割 アクティビティ 関係性 委任方向付け指示 整合ガバナンスマネジメント主体説明責任モニター報告 運営 実行 出典 : COBIT 5 日本語版, 図表 9. 2012 ISACA All rights reserved.
COBIT 5 の原則 1. ステークホルダーのニーズを充足 5. ガバナンスとマネジメントの分離 COBIT 5 の原則 2. 事業体全体の包含 4. 包括的アプローチの実現 3. 一つに統合されたフレームワークの適用 出典 :COBIT 5 日本語版, 図表 2. 2012 ISACA All rights reserved. 29
原則 3. 一つに統合されたフレームワークの適用 最新の関連する他の標準やフレームワークと整合 事業体 : COSO, COSO ERM, ISO/IEC 9000, ISO/IEC 31000 IT 関連 : ISO/IEC 38500, ITIL, ISO/IEC 27000 シリーズ, TOGAF, PMBOK/PRINCE2, CMMI ガバナンスとマネジメントのフレームワークを統合するものとして利用可能 30
COBIT 5 の原則 1. ステークホルダーのニーズを充足 5. ガバナンスとマネジメントの分離 COBIT 5 の原則 2. 事業体全体の包含 4. 包括的アプローチの実現 3. 一つに統合されたフレームワークの適用 出典 :COBIT 5 日本語版, 図表 2. 2012 ISACA All rights reserved. 31
原則 4. 包括的アプローチの実現 COBIT 5 のイネーブラー 事業体の IT に関するガバナンスとマネジメントに対して 個々にかつ集合的に 影響を与える要因 目標のカスケード ( 展開 ) により推進される 7 つのカテゴリーで記述 32
原則 4. 包括的アプローチの実現 COBIT 5 の事業体のイネーブラー 2. プロセス 3. 組織構造 4. 文化 倫理および行動 1. 原則 ポリシーおよびフレームワーク 5. 情報 6. サービス インフラストラクチャおよびアプリケーション 資源資 7. 人材 スキルおよび遂行能力 出典 : COBIT 5 日本語版, 図表 12. 2012 ISACA All rights reserved. 33
原則 4. 包括的アプローチの実現 1. 原則 ポリシーおよびフレームワーク 要求される行動を日々のマネジメントの実践的なガイダンスに変換する手段 2. プロセス 文書化され組織化された 確かな目標を達成し IT 関連目標をサポートするアウトプットの集合を生み出すための実践と活動の組織化された集合を記述 3. 組織構造 組織における重要な意思決定の実体 ( エンティティ ) 4. 文化 倫理および行動 各個人のものであり 組織のもの 多くの場合 ガバナンスとマネジメントの活動の成功要因として過小評価されている 5. 情報 いかなる組織でも全体に深く浸透しているもの 事業体で生み出され使用されている全情報が取り扱われる 情報はその組織の運営を維持し うまくガバナンスされるために必要とされるが 運用レベルでは 多くの場合 情報が事業体そのものの重要な生産物 6. サービス インフラストラクチャおよびアプリケーション 情報技術処理とサービスを事業体に提供するインフラストラクチャ 技術およびアプリケーション 7. 人 スキルおよび遂行能力 人とリンクし 全ての活動がうまく完了し 正しい意思決定を行い 是正措置を行うために必要 34
原則 4. 包括的アプローチの実現 相互接続されたイネーブラー インプット十分に効果的であるために他のイネーブラーからのインプットが必要 例えば プロセスは情報が必要であり 組織構造はスキルと行動が必要 アウトプット他のイネーブラーへ効果をもたらすアウトプットを提供 例えば プロセスは情報を提供し スキルと行動はプロセスを効率化 35
イネーブラーのパフォーマンスの管理 イネーブラーの特質 原則 4. 包括的アプローチの実現 イネーブラーの特質 共通で シンプルで構造化された方法を提供する 複雑な相互作用をマネジメントすることを可能とする 成果達成を手助けする ステークホルダー 内部のステークホルダー 外部のステークホルダー 達成目標 本質的な品質 状況に応じた品質 ( 適切性 有効性 ) アクセスビリティとセキュリティ ライフサイクル 計画 設計 構築 / 調達 / 作成 / 導入 利用 / 運用 評価 / モニター 更新 / 廃棄 優れた実践手法 実践事例 作業成成果物 ( インプット / アウトプット ) ステークホルダーのニーズに対応しているか? イネーブラーの達成目標が達成されているか? ライフサイクルが管理されているか? 優れた実践手法が適用されているか? 達成目標の達成度に関する測定指標 ( 遅行指標 ) 実践手法の運用に関する測定指標 ( 先行指標 ) 出典 : COBIT 5 日本語版, 図表 13. 2012 ISACA All rights reserved. 36
COBIT 5 の原則 1. ステークホルダーのニーズを充足 5. ガバナンスとマネジメントの分離 COBIT 5 の原則 2. 事業体全体の包含 4. 包括的アプローチの実現 3. 一つに統合されたフレームワークの適用 出典 :COBIT 5 日本語版, 図表 2. 2012 ISACA All rights reserved. 37
原則 5. ガバナンスとマネジメントの分離 ガバナンスとマネジメントの間に明確な区別 異なるタイプの活動を包含する 異なる組織構造を必要とする 異なる目的を持つ ガバナンス ほとんどの事業体において ガバナンスは取締役会の責任であり その取締役会議長のリーダーシップのもとにある マネジメント ほとんどの事業体において マネジメントは経営幹部の責任であり 最高経営責任者 (CEO) のリーダーシップのもとにある 38
原則 5. ガバナンスとマネジメントの分離 ガバナンスとは バランスが取れ合意された達成すべき事業体の目標を決定するために EDM サイクルを回すこと ステイクホルダーのニーズや 条件 選択肢を評価 (Evaluate) 優先順位の設定と意思決定によって方向性を定め (Direct) 合意した方向性と目標に沿って成果や準拠性をモニター (Monitor) マネジメントとは 事業体の目標の達成に向けてガバナンス主体が定めた方向性と整合するように PBRM アクティビティを実行すること 計画 (Plan) 構築 (Build) 実行 (Run) モニター (Monitor) 39
原則 5. ガバナンスとマネジメントの分離 ビジネスニーズ ガバナンス 評価 方向付け マネジメントフィードバック モニター マネジメント 計画 (APO) 構築 (BAI) 実行 (DSS) モニター (MEA) 出典 : COBIT 5 日本語版, 図表 15. 2012 ISACA All rights reserved. 40
プロセス : イネーブラーの 1 つ COBIT 5 の事業体のイネーブラー 2. プロセス 3. 組織構造 4. 文化 倫理および行動 1. 原則 ポリシーおよびフレームワーク 5. 情報 6. サービス インフラストラクチャおよびアプリケーション 資源資 7. 人材 スキルおよび遂行能力 出典 : COBIT 5 日本語版, 図表 12. 2012 ISACA All rights reserved. 42
COBIT 5: Enabling Processes COBIT 5 プロダクトファミリー COBIT 5 日本語化済 COBIT 5 イネーブラーガイド COBIT 5: Enabling Processes 日本語化済 COBIT 5 プロフェッショナルガイド COBIT 5: Enabling Information その他のイネーブラーガイド COBIT 5 Implementation 日本語化済 COBIT 5 for Information Security COBIT 5 for Assurance 日本語化着手 COBIT 5 for Risk その他のプロフェッショナルガイド COBIT 5 オンラインコラボレーション環境 出典 : COBIT 5 日本語版, 図表 11. 2012 ISACA All rights reserved. COBIT Assessment Programme COBIT Process Assessment Model (PAM): Using COBIT 日本語化 5 着手 COBIT Assessor Guide: Using COBIT 5 COBIT Self-Assessment Guide: Using COBIT 5 43
COBIT 5: Enabling Processes COBIT 5: Enabling Processes は COBIT 5 を補完し COBIT 5 プロセス参照モデルに定義されているプロセスに関する詳細な参照ガイドである 第 1 章はじめに 第 2 章事業体と IT 関連の達成目標のカスケード ( 展開 ) と測定指標 第 3 章 COBIT 5 プロセスモデル 第 4 章 COBIT 5 プロセス参照モデル ( プロセス参照モデルが図解されている ) 第 5 章 COBIT 5 プロセス参照ガイド (COBIT 5 全 37 プロセスの詳細プロセス情報が記述されている ) 44
COBIT 5: Enabling Processes 事業体の IT ガバナンスのためのプロセス 評価 方向付けおよびモニタリング EDM01 ガバナンスフレームワークの設定と維持の確保 EDM02 効果提供の確保 EDM03 リスク最適化の確保 EDM04 資源最適化の確保 EDM01 ステークホルダーへの透明性の確保 整合 計画および組織化 APO01 IT マネジメントフレームワークの管理 APO08 関係管理 APO02 戦略管理 APO09 サービス契約の管理 APO03 エンタープライズアーキテクチャ管理 APO10 サプライヤーの管理 APO04 イノベーション管理 APO11 品質管理 APO05 ポートフォリオ管理 APO12 リスク管理 APO06 予算と費用の管理 APO13 セキュリティ管理 APO07 人材の管理 モニタリング 評価およびアセスメント MEA01 成果と整合性のモニタリング 評価およびアセスメント 構築 調達および導入 BAI01 プログラムとプロジェクトの管理 BAI02 要件定義の管理 BAI03 ソリューションの特定と構築の管理 BAI04 可用性とキャパシティの管理 BAI05 組織の変革実現の管理 BAI06 変更管理 BAI07 変更受入と移行の管理 MEA02 内部統制システムのモニタリング 評価およびアセスメント BAI08 知識の管理 BAI09 資産の管理 BAI10 構成の管理 提供 サービスおよびサポート DSS01 オペレーション管理 DSS02 サービス要求とインシデントの管理 DSS03 問題管理 DSS04 継続性管理 DSS05 セキュリティサービスの管理 DSS06 ビジネスプロセスのコントロールの管理 MEA03 外部要求へのコンプライアンスのモニタリング 評価およびアセスメント 事業体の IT マネジメントのためのプロセス 出典 : COBIT 5 日本語版, 図表 16. 2012 ISACA All rights reserved. 45
COBIT 5: Enabling Processes COBIT 5 プロセス参照モデルは 事業体における IT 関連の実践と活動を 2 つの主要領域に分割 ガバナンスドメインは 5 つのガバナンスプロセスで構成される 各プロセスの中に 評価 方向付け モニタリング (EDM) の実践が定義されている 4 つのマネジメントドメインは 計画 構築 実行およびモニター (PBRM) の責任領域に対応している 46
COBIT 5 Implementation COBIT 5 プロダクトファミリー COBIT 5 日本語化済 COBIT 5 イネーブラーガイド COBIT 5: Enabling Processes 日本語化済 COBIT 5 プロフェッショナルガイド COBIT 5: Enabling Information その他のイネーブラーガイド COBIT 5 Implementation 日本語化済 COBIT 5 for Information Security COBIT 5 for Assurance 日本語化着手 COBIT 5 for Risk その他のプロフェッショナルガイド COBIT 5 オンラインコラボレーション環境 出典 : COBIT 5 日本語版, 図表 11. 2012 ISACA All rights reserved. COBIT Assessment Programme COBIT Process Assessment Model (PAM): Using COBIT 日本語化 5 着手 COBIT Assessor Guide: Using COBIT 5 COBIT Self-Assessment Guide: Using COBIT 5 48
経営者の認識 COBIT 5 Implementation 事業体の IT ガバナンス (GEIT) の改善は 事業体ガバナンスにとって必須の部分 情報と情報技術 (IT) は ビジネスと社会生活の全ての局面でますます拡大 IT 投資からより多くの価値を生み出したい 増大する IT 関連リスクをしっかり管理したい 情報をビジネスで利用することにかかわる規制と法律の増大にしっかり対応したい 49
COBIT 5 Implementation COBIT 5 は 良い GEIT を導入するためのフレームワーク ベストプラクティス 標準である フレームワーク ベストプラクティス 標準は効果的に選択 適用されるべき 成功のためには 乗り越えるべきチャレンジと課題がある COBIT5 Implementation は これらを効果的に行うためのガイダンス COBIT 5 を活用した GEIT の導入ガイダンス ~COBIT 5 の導入ガイダンスではない 50
COBIT 5 Implementation COBIT 5 Implementation の内容 事業体内におけるGEITの位置付け GEIT の改善に向けての第 1 歩を踏み出すこと 改善への挑戦と成功要因 GEITに関連する組織および行動の変革の実現 変革実現とプログラム管理が含まれる継続的改善の導入 COBIT 5 とその構成要素の利用 51
COBIT 5 Implementation Source: COBIT 5 日本語版図表 17. 2012 ISACA All rights reserved. 52
COBIT 5 プロダクトファミリー日本語版 COBIT 5 プロダクトファミリー COBIT 5 済 COBIT 5 イネーブラーガイド COBIT 5: Enabling Processes 済 COBIT 5: Enabling Information その他のイネーブラーガイド COBIT 5 プロフェッショナルガイド COBIT 5 Implementation 済 COBIT 5 for Information Security COBIT 5 for Assurance 着手 COBIT 5 for Risk その他のプロフェッショナルガイド COBIT 5 オンラインコラボレーション環境 出典 : COBIT 5 日本語版, 図表 11. 2012 ISACA All rights reserved. COBIT Assessment Programme COBIT Process Assessment Model (PAM): Using COBIT 5 着手 COBIT Assessor Guide: Using COBIT 5 COBIT Self-Assessment Guide: Using COBIT 5 54
アセスメントモデルとアセッサーガイド プロセス参照モデル 測定指標フレームワーク プロセスアセスメントモデル 初期入力情報 アセスメントプロセス 出力情報 役割と責任の定義 Source: COBIT Process Assessment Model: Using COBIT 5 2012 ISACA All rights reserved. 55
COBIT 5 プロセス能力モデル Source: COBIT 5 日本語版図表 19. 2012 ISACA All rights reserved. 56
アセスメント指標 能力軸 最適化されたプロセス革新されたプロセスコントロールされたプロセス測定されたプロセス展開されたプロセス定義されたプロセス実行を管理作業成果物を管理実行されたプロセス プロセス能力属性測定指標基づく プロセス実行測定指標基づく 一般実践手法 一般作業成果物 基本実践手法作業成果物 COBIT 5 プロセス軸 Source: COBIT 5 日本語版図表 19. 2012 ISACA All rights reserved. 57
58 新 COBIT アセスメントプログラムとは COBIT 4.1 COBIT 5 EDM ドメイン追加など プロセス参照モデル COBIT 4.1 プロセス参照モデル (4 ドメイン 34 プロセス ) COBIT 5 プロセス参照モデル (5 ドメイン 37 プロセス ) 従来のアセスメント アセスメント可 アセスメントモデル プロセス成熟度モデル (CMM:COBIT Maturity Model) 成熟度レベル評価 ISO15504 に準拠 プロセスアセスメントモデル (PAM:Process Assessment Model) 能力度レベル評価
アセスメントモデル比較 COBIT 4.1 COBIT 5(ISO/IEC 15504) 成熟度モデルレベルに基づいたプロセス能力 5 レベル 5: 最適化されている最適化しているプロセス 4 レベル 4: 管理され 測定可能である予測可能なプロセス 3 レベル 3: 定義されたプロセス確立されたプロセスレベル 2: 管理されたプロセス 2 繰返し可能だが直感的レベル 1: 1 実施されたプロセス初期 / アドホック 0 レベル 0: 存在しない不完全なプロセス コンテキスト 事業体の視点 企業の知識 インスタンスの視点 個人の知識 Source: COBIT 5 日本語版図表 19. 2012 ISACA All rights reserved. 59
COBIT 5 実践事例による解説 COBIT 5 を理解する最善の方法 - それは実践事例による解説ではないか 保険グループにおける IT サービス会社の事例を紹介 COBIT 5 を参考にし 部分的に適用して GRC 態勢を構築 COBIT 5 の ひとつの使い方事例 として 62
保険グループの IT サービス会社 保険グループ内部統制管理態勢 法律 規制等 F S A 法規制 監督 監督 経営管理 経営管理 ホールディング会社 損害保険会社 IT サービス業務委託契約 IT サービス会社 経営管理 生命保険会社 IT サービス業務委託契約 63
IT サービス会社の GRC の概念 G ガバナンス ( 価値の創出 ) 保険グループ内部統制フレームワーク (GRC への統合的対応 ) R リスク管理 ( リスクの最適化 ) コンプライアンス ( ルールの遵守 ) C 64
保険グループの内部統制フレームワーク グループ各社の内部統制領域 内部統制領域 AAAAAAAA 内部統制領域 BBBBBBBB 各イネーブラーの達成目標を設定 内部統制領域 YYYYYYYY 内部統制領域 ZZZZZZZZ 内部統制に関する基本方針の雛形 [ グループ会社名 ] に関する基本方針 内部統制に関する基本方針体系 AAAAAAA に関する基本方針 各内部統制領域に関する基本方針を明確化 BBBBBBB に関する基本方針 内部統制基本方針 YYYYYYY に関する基本方針 ZZZZZZZ に関する基本方針 第 1 条 ( 目的 ) 第 2 条 ( 定義等 ) 第 3 条 ( 基本的考え方 ) 第 4 条 ( 態勢の整備 ) 第 5 条 ( 子会社としての役割 ) 第 6 条 ( 改廃 ) 65
IT サービス会社の GRC 領域 内部統制領域 (GRC 領域 ) 内部統制 (GRC) 適正性 適合性 リスク管理 効率性 グループ会社経営管理 IT サービス業務 経理 情報開示 グループ内取引等管理 コンプライアンス 顧客保護等 情報セ反社会的キュリティ勢力等へ管理の対応 内部監査 リスク管理 危機管理 IT ガバナンス 人事 利益相反取引等の管理 外部委託管理 個別リスク 経営リスク 流動性リスク レピュテーショナルリスク 事務リスク システムリスク 情報漏えいリスク 法務リスク 事故 災害 犯罪リスク 人事労務リスク 66
IT サービス会社の GRC 態勢 株主 お客様 (IT サービス提供先会社 ) ステークホルダーニーズ 効果の実現 お客様価値の提供 ガバナンス目標 : 価値創出 資源の最適化 達成目標企業価値の創造 リスクの最適化 内部統制整備 運用 ガバナンス層 取締役会 取締役 評価 (Evaluate) お客様価値提供の状況 説明責任 業務遂行状況報告企業価値創造の状況 内部統制整備 運用の状況 方向付け (Direct) 内部統制達成目標企業コンセプト内部統制基本方針 ( 経営理念 ビジョン ) 評価改善活動 (PDCA Cycle) モニタリング (Monitor) お客様価値提供の状況 業務遂行状況報告企業価値創造の状況 内部統制整備 運用の状況 マネジメント層執行役員 本部長 部長等業務遂行 ( 内部統制基本方針に従い7つの態勢構成要素を駆使 ) 内部統制フレームワーク 方針 規程等 業務プロセス 組織体制 文化 倫理 行動 情報 社員 スタッフ パートナー会社 サービス システム基盤 アプリケーション 人材 スキル コンピテンシー 67
IT サービス会社の GRC 態勢 株主 お客様 (ITサービス提供先会社) ガバナンス目標 : 価値創出 ステークホルダーニーズ資源の効果の実現ガバナンス目標 : 価値創出最適化 効果の実現 お客様価値の提供 お客様価値 資源の最適化 達成目標企業価値の創造 リスクの最適化 内部統制整備 運用 の提供取締役会 取締役の創造方向付け (Direct) プロジェクトサービスイン SLA 達成など 企業コンセプト ( 経営理念 ビジョン ) ステークホルダーニーズ 内部統制達成目標 達成目標 企業価値 人材育成 業務領域拡大など 方向付け (Direct) 内部統制基本方針 内部統制達成目標 内部統制フ企業コンセプト内部統制基本方針レームワーク ( 経営理念 ビジョン業務プロセス ) 組織体制方針 規程等 リスクのガバナンス層最適化取締役会 取締役 内部統制整備 運用 イネーブラー達成目標を具体的に表現 評価 (Evaluate) 評価改善活動 (PDCA Cycle) マネジメント層 執行役員 本部長 部長等業務遂行 ( 内部統制基本方針に従い 7 つの態勢構成要素を駆使 ) 文化 倫理 行動 お客様価値提供の状況 プロジェクトサービスイン SLA 達成など 社員 スタッフ パートナー会社 説明責任 お客様価値提供の状況 企業価値 説明責任 業務遂行状況報告 業務遂行状況報告企業価値内部統制整備創造の状況 運用の状況 取締役会 取締役創造の状況 運用の状況モニタリング (Monitor) 人材育成 業務領域拡大など 業務遂行状況報告お客様価値企業価値モニタリング提供の状況創造の状況 (Monitor) 業務遂行状況報告 内部統制整備 内部統制 リスク管理をしっかりと 内部統制 リスク管理をしっかりと 内部統制整備 運用の状況 お客様価値サービス シス企業価値内部統制整備人材 スキル 提供の状況情報創造の状況テム基盤 アプ 運用の状況コンピテンシーリケーションステークホルダーニーズの充足状況イネーブラー達成目標の達成状況ライフサイクルの管理状況 68
原則 1. ステークホルダーのニーズを充足 事業体はそのステークホルダーの価値を創出するために存在する ステークホルダーのニーズ 推進 ガバナンス目標 : 価値創出 効果の実現リスク最適化資源最適化 出典 : COBIT 5 日本語版, 図表 3.. 2012 ISACA All rights reserved. 71
原則 1. ステークホルダーのニーズを充足 ステークホルダーのニーズを事業体の戦略に変換 COBIT 5の達成目標のカスケード ( 展開 ) ステークホルダーのニーズから 事業体の達成目標 IT 達成目標 イネーブラーの達成目標へ展開する ステークホルダーのドライバー ( 環境 技術革新 ) ステークホルダーのニーズ 効果の実現 リスク最適化 事業体の達成目標 IT 達成目標 影響 資源最適化 カスケード ( 展開 ) カスケード ( 展開 ) カスケード ( 展開 ) イネーブラーの達成目標 出典 : COBIT 5 日本語版, 図表 4. 2012 ISACA All rights reserved. 72
原則 1: ステークホルダーニーズの充足 適用 株主 お客様 (ITサービス提供先会社) ガバナンス目標 : 価値創出 ステークホルダーニーズ資源の効果の実現ガバナンス目標 : 価値創出最適化 効果の実現 お客様価値の提供 お客様価値 資源の最適化 達成目標企業価値の創造 リスクの最適化 内部統制整備 運用 の提供取締役会 取締役の創造方向付け (Direct) 企業コンセプト ( 経営理念 ビジョン ) ステークホルダーニーズ 内部統制達成目標 達成目標 企業価値 方向付け (Direct) 内部統制基本方針 内部統制達成目標 内部統制フ企業コンセプト内部統制基本方針レームワーク ( 経営理念 ビジョン業務プロセス ) 組織体制方針 規程等 リスクのガバナンス層最適化取締役会 取締役 内部統制整備 運用 評価 (Evaluate) 評価改善活動 (PDCA Cycle) マネジメント層 執行役員 本部長 部長等業務遂行 ( 内部統制基本方針に従い7つの態勢構成要素を駆使イネーブラーの達成目標 ) 文化 倫理 行動 情報 社員 スタッフ パートナー会社 ガバナンス目標 : 価値創出説明責任 効果の実現 ステークホルダーニーズ リスク最適化 お客様価値提供の状況 事業体の達成目標 モニタリング (Monitor) お客様価値提供の状況 IT 達成目標 サービス システム基盤 アプリケーション 業務遂行状況報告企業価値カスケード内部統制整備 ( 展開 ) 創造の状況 運用の状況 業務遂行状況報告企業価値創造の状況 推進 資源最適化 カスケード ( 展開 ) 内部統制整備 運用の状況 カスケード ( 展開 ) 人材 スキル コンピテンシー 73
原則 2. 事業体全体の包含 事業体全体にわたる包括的な視点から 情報とそれに関連する技術のガバナンスとマネジメントを取り扱う 事業体の中の全ての部門 全てのプロセスをカバー 事業体 IT ガバナンス (GEIT) はコーポレートガバナンス ( ビジネスガバナンス ) そのもの 75
原則 2. 事業体全体の包含 ガバナンスのアプローチ ガバナンス目標 : 価値創出 便益の実現 リスク最適化 資源最適化 ガバナンスイネーブラー ガバナンススコープ 役割 アクティビティ 関係性 出典 : COBIT 5 日本語版, 図表 8. 2012 ISACA All rights reserved. オーナーおよびステークホルダー 役割 アクティビティ 関係性 委任方向付け指示 整合ガバナンスマネジメント主体説明責任モニター報告 運営 実行 出典 : COBIT 5 日本語版, 図表 9. 2012 ISACA All rights reserved.
原則 2: 事業体全体の包含 の適用 77 IT ガバナンス人事効率性リスク管理危機管理リスク管理利益相反取引等の管理外部委託管理コンプライアンス顧客保護等情報セキュリティ管理反社会的勢力等への対応内部監査適合性グループ会社経営管理 IT サービス業務経理情報開示グループ内取引等管理適正性経営リスク流動性リスクレピュテーショナルリスク事務リスクシステムリスク個別リスク情報漏えいリスク法務リスク事故 災害 犯罪リスク人事労務リスク内部統制 (GRC) 事業体の中の全ての部門 全てのプロセスをカバー
原則 2: 事業体全体の包含 の適用 オーナーおよびステークホルダー 事業体全体にわたる包括的な視点から 情報とそれに関連する技術のガバナンスとマネジメントを取り扱う 説明責任 モニター 報告 ガバナンス主体 マネジメント運営 実行 委任方向付け 指示 整合 役割 アクティビティ 関係性 ステークホルダーニーズ ガバナンス目標 : 価値創出資源の最適リスクの効果の実現化最適化 お客様価値の提供 方向付け (Direct) 内部統制フレームワーク 方針 規程等 達成目標企業価値の創造 業務プロセス 株主 お客様 (IT サービス提供先会社 ) 内部統制整備 運用 内部統制達成目標企業コンセプト内部統制基本方針 ( 経営理念 ビジョン ) 業務遂行 ( 内部統制基本方針に従い 7 つの態勢構成要素を駆使 ) 組織体制 ガバナンス層取締役会 取締役 評価 (Evaluate) 評価改善活動 (PDCA Cycle) マネジメント層執行役員 本部長 部長等 文化 倫理 行動 情報 社員 スタッフ パートナー会社 モニタリング (Monitor) サービス シス テム基盤 アプ リケーション 説明責任 業務遂行状況報告 お客様価値提供の状況 企業価値創造の状況 内部統制整備 運用の状況 業務遂行状況報告お客様価値企業価値提供の状況創造の状況 内部統制整備 運用の状況 人材 スキル コンピテンシー 78
原則 3. 一つに統合されたフレームワークの適用 最新の関連する他の標準やフレームワークと整合 事業体 : COSO, COSO ERM, ISO/IEC 9000, ISO/IEC 31000 IT 関連 : ISO/IEC 38500, ITIL, ISO/IEC 27000 シリーズ, TOGAF, PMBOK/PRINCE2, CMMI ガバナンスとマネジメントのフレームワークを統合するものとして利用可能 80
原則 3:1 つに統合されたフレームワークの適用 の適用 全ての GRC 領域 (= 内部統制領域 ) に 保険グループの内部統制フレームワークを適用 グループ各社の内部統制領域 内部統制領域 AAAAAAAA 内部統制領域 BBBBBBBB 各イネーブラーの達成目標を設定 内部統制に関する基本方針の雛形 内部統制領域 YYYYYYYY 内部統制領域 ZZZZZZZZ [ グループ会社名 ] に関する基本方針 内部統制に関する基本方針体系 AAAAAAA に関する基本方針 各内部統制領域に関する基本方針を明確化 BBBBBBB に関する基本方針 内部統制基本方針 YYYYYYY に関する基本方針 ZZZZZZZ に関する基本方針 第 1 条 ( 目的 ) 第 2 条 ( 定義等 ) 第 3 条 ( 基本的考え方 ) 第 4 条 ( 態勢の整備 ) 第 5 条 ( 子会社としての役割 ) 第 6 条 ( 改廃 ) 81
原則 3:1 つに統合されたフレームワークの 適用 の適用 保険グループの内部統制フレームワークを使い 各 GRC 領域ごとに基本方針を定義 これら基本方針の下 配下の規程 基準に COBIT 5 等を参考として活用 保険グループ内部統制フレームワーク COBIT 5 Framework (GRC 全体 ) ITIL (IT サービス業務 : 運用 ) COBIT 4.1 PRM 成熟度モデル (IT ガバナンス領域 ) COBIT 5 Enabling Processes ( モニタリング ) CMMI (IT サービス業務 : 開発 ) PIMBOK ( プロジェクト管理 ) 82
原則 4. 包括的アプローチの実現 COBIT 5 の事業体のイネーブラー 2. プロセス 3. 組織構造 4. 文化 倫理および行動 1. 原則 ポリシーおよびフレームワーク 5. 情報 6. サービス インフラストラクチャおよびアプリケーション 資源資 7. 人材 スキルおよび遂行能力 出典 : COBIT 5 日本語版, 図表 12. 2012 ISACA All rights reserved. 84
原則 4: 包括的なアプローチの実現 の適用 株主 お客様 (IT サービス提供先会社 ) ステークホルダーニーズ 効果の実現 ガバナンス目標 : 価値創出 資源の最適化 リスクの最適化 ガバナンス層 取締役会 取締役 説明責任 お客様価値の提供 達成目標企業価値の創造 内部統制整備 運用 評価 (Evaluate) 2. プロセス 3. 組織構造 4. 文化 倫理および行動 お客様価値提供の状況 業務遂行状況報告企業価値創造の状況 内部統制整備 運用の状況 方向付け (Direct) 内部統制達成目標企業コンセプト内部統制基本方針 ( 経営理念 ビジョン ) 5. 情報 1. 原則 ポリシーおよびフレームワーク 評価改善活動 6. サービス インフラストラクチャおよびアプリケーション (PDCA Cycle) 資源 7. 人材 スキルおよび遂行能力 モニタリング (Monitor) お客様価値提供の状況 業務遂行状況報告企業価値創造の状況 内部統制整備 運用の状況 マネジメント層執行役員 本部長 部長等業務遂行 ( 内部統制基本方針に従い7つの態勢構成要素を駆使 ) 内部統制フレームワーク 方針 規程等 業務プロセス 組織体制 文化 倫理 行動 情報 社員 スタッフ パートナー会社 サービス システム基盤 アプリケーション 人材 スキル コンピテンシー 85
原則 4: 包括的なアプローチの実現 の適用 各イネーブラー目標を内部統制 基本方針や配下規程 基準に盛り込む 2. プロセス 3. 組織構造 4. 文化 倫理および行動 に関する基本方針 1. 原則 ポリシーおよびフレームワーク 第 1 条 ( 目的 ) 内部統制の目的 5. 情報 6. サービス インフラストラクチャおよびアプリケーション 資源 7. 人材 スキルおよび遂行能力 第 2 条 ( 定義等 ) 言葉の定義 第 3 条 ( 基本的考え方 ) カルチャー プリンシプル等を定義 第 4 条 ( 態勢の整備 ) 第 5 条 ( 子会社としての役割 ) 組織体制 方針 規定等 評価改善活動等を定義 親会社への事前承認事項 報告事項等 第 6 条 ( 改廃 ) 86
原則 5. ガバナンスとマネジメントの分離 ビジネスニーズ ガバナンス 評価 方向付け マネジメントフィードバック モニター マネジメント 計画 (APO) 構築 (BAI) 実行 (DSS) モニター (MEA) 出典 : COBIT 5 日本語版, 図表 15. 2012 ISACA All rights reserved. 88
原則 5: ガバナンスとマネジメントの分離 株主 お客様 (IT サービス提供先会社 ) ステークホルダーニーズ 効果の実現 お客様価値の提供 ガバナンス目標 : 価値創出 資源の最適化 達成目標企業価値の創造 リスクの最適化 内部統制整備 運用 ガバナンス層 取締役会 取締役 評価 (Evaluate) お客様価値提供の状況 説明責任 業務遂行状況報告企業価値創造の状況 内部統制整備 運用の状況 方向付け (Direct) 内部統制達成目標企業コンセプト内部統制基本方針 ( 経営理念 ビジョン ) 評価改善活動 (PDCA Cycle) モニタリング (Monitor) お客様価値提供の状況 業務遂行状況報告企業価値創造の状況 内部統制整備 運用の状況 マネジメント層執行役員 本部長 部長等 業務遂行 (PBRM= 内部統制の整備 運用 ) 内部統制フレームワーク 方針 規程等 業務プロセス 組織体制 文化 倫理 行動 情報 社員 スタッフ パートナー会社 サービス システム基盤 アプリケーション 人材 スキル コンピテンシー 89
COBIT 5: Enabling Processes 事業体の IT ガバナンスのためのプロセス 評価 方向付けおよびモニタリング EDM01 ガバナンスフレームワークの設定と維持の確保 EDM02 効果提供の確保 EDM03 リスク最適化の確保 EDM04 資源最適化の確保 EDM01 ステークホルダーへの透明性の確保 整合 計画および組織化 APO01 IT マネジメントフレームワークの管理 APO08 関係管理 APO02 戦略管理 APO09 サービス契約の管理 APO03 エンタープライズアーキテクチャ管理 APO10 サプライヤーの管理 APO04 イノベーション管理 APO11 品質管理 APO05 ポートフォリオ管理 APO12 リスク管理 APO06 予算と費用の管理 APO13 セキュリティ管理 APO07 人材の管理 モニタリング 評価およびアセスメント MEA01 成果と整合性のモニタリング 評価およびアセスメント 構築 調達および導入 BAI01 プログラムとプロジェクトの管理 BAI02 要件定義の管理 BAI03 ソリューションの特定と構築の管理 BAI04 可用性とキャパシティの管理 BAI05 組織の変革実現の管理 BAI06 変更管理 BAI07 変更受入と移行の管理 MEA02 内部統制システムのモニタリング 評価およびアセスメント BAI08 知識の管理 BAI09 資産の管理 BAI10 構成の管理 提供 サービスおよびサポート DSS01 オペレーション管理 DSS02 サービス要求とインシデントの管理 DSS03 問題管理 DSS04 継続性管理 DSS05 セキュリティサービスの管理 DSS06 ビジネスプロセスのコントロールの管理 MEA03 外部要求へのコンプライアンスのモニタリング 評価およびアセスメント 事業体の IT マネジメントのためのプロセス 出典 : COBIT 5 日本語版, 図表 16. 2012 ISACA All rights reserved. 91
COBIT 5 プロセス参照モデルの適用 業務遂行状況報告 ( ステークホルダーレポート ) お客様価値提供の状況 企業価値創造の状況 内部統制整備 運用の状況 COBIT 5 プロセス参照モデルの考え方を適用 業務遂行状況報告 ( マネジメントレポート ) お客様価値提供の状況 企業価値創造の状況 内部統制整備 運用の状況 IT 領域特有の考え方 すべての領域共通な考え方 92
ステークホルダーニーズ 効果の実現 お客様価値の提供 方向付け (Direct) 内部統制フレームワーク 方針 規程等 プロセス参照モデルの適用 ガバナンス目標 : 価値創出 資源の最適化 達成目標企業価値の創造 リスクの最適化 内部統制整備 運用 内部統制達成目標企業コンセプト内部統制基本方針 ( 経営理念 ビジョン ) 業務プロセス 株主 お客様 (IT サービス提供先会社 ) ( 内部統制基本方針に従い 7 つの態勢構成要素を駆使 ) 組織体制 ガバナンス層 取締役会 取締役 評価 (Evaluate) 評価改善活動 (PDCA Cycle) マネジメント層 文化 倫理 行動 お客様価値提供の状況 お客様価値提供の状況情報 社員 スタッフ パートナー会社 説明責任 お客様価値提供の状況 取締役会 取締役創造の状況 運用の状況モニタリング (Monitor) サービス シス企業価値創造の状況テム基盤 アプリケーション 説明責任 業務遂行状況報告 ステークホルダーレポート 企業価値 業務遂行状況報告企業価値内部統制整備創造の状況 運用の状況 業務遂行状況報告お客様価値企業価値モニタリング提供の状況創造の状況 (Monitor) 執行役員 本部長 部長等業務遂行業務遂行状況報告マネジメントレポート 内部統制整備 内部統制整備 運用の状況 内部統制整備人材 スキル 運用の状況コンピテンシー 93
Implementation の適用 GRC 態勢初期導入時には適用なし ( 存在を知らない ) 継続的改善サイクルの中で GRC 委員会を設立 第 3 章 GEIT に向けた最初のステップ で IT エグゼクティブ戦略委員会の設置をガイダンス 振り返ってみると GRC 態勢構築はまさに GEIT の導入 変革の実現 試行錯誤により構築してきた 最初に Implementation を知っていれば もっと効率的に構築できたのに 進め方や 直面した課題と試行錯誤でおこなってきた原因究明 解決策が COBIT 5Implementation に書いてある! 7 つのフェーズごとの 課題 とその 根本原因 解決策 95
プロセスアセスメントモデルの適用 プロセスアセスメントモデル ( プロセス能力モデル ) は適用していない ( 従来から IT 関連内部統制領域について グループ標準の成熟度モデルに対応 ~COBIT 4.1 成熟度モデルに基づく ) ガバナンスプロセス モニタリングプロセスで適用可能性を展望 ( 不断の改善努力の一つとして ) 新しいプロセスアセスメントモデルは複雑で対応ロードがかかりすぎると感じられた 利用を躊躇した要因のひとつ 理解を深めるにつれて むしろ 標準化され客観性が高くわかり易いもの 97
COBIT 5 を使ってみよう ガバナンス目標は価値創出 ~ 組織は何のため IT 中心のCIO 視点から 会社経営目線のCEO 視点へ (ITガバナンスからGEITへ) ITだけではない~Non ITにも適用可 ( ビジネスガバナンス ) つまみ食いで良い~わかるところ 使えるところから利用する 変革の実現 困った時のCOBIT 5 Implementation さあ 始めよう! 99