情報技術のコーポレートガバナンス

情報技術（IT）ガバナンスは、コーポレートガバナンスの一分野であり、情報技術（IT）とそのパフォーマンスおよびリスク管理に焦点を当てています。ITガバナンスへの関心は、組織内で価値創造の取り組みを組織の戦略目標に集中させ、すべてのステークホルダーの利益を最優先に、この価値創造を担う人々のパフォーマンスをより適切に管理する必要性が高まっていることに起因します。ITガバナンスは、科学的管理の原則、総合品質管理、およびISO 9001品質マネジメントシステムから発展したものです。

従来、取締役会レベルの経営幹部は、重要なIT関連の意思決定を社内のIT管理部門や事業責任者に委ねてきました。適切な監督体制が確立されていない限り、IT管理責任者の短期的な目標は、他の利害関係者の利益と相反する可能性があります。ITガバナンスは、取締役会メンバー、経営幹部、従業員、顧客、地域社会、投資家、規制当局など、あらゆる関係者を体系的に巻き込むものです。ITガバナンスフレームワークは、情報および関連技術の利用を監督し、価値を創造し、情報技術の利用に伴うリスクを管理するための仕組みを特定、確立、連携させるために使用されます。

ITガバナンスにはさまざまな定義が存在する。ビジネスの世界ではパフォーマンスの管理と価値の創造に重点が置かれてきたが、学術の世界では「ITの使用における望ましい行動を促すための意思決定権と説明責任の枠組みを明確にすること」に重点が置かれてきた。^{[ 1 ]}

ITガバナンス研究所の定義は、「組織のITが組織の戦略と目標を維持および拡大することを確実にするためのリーダーシップ、組織構造、およびプロセス」である。 ^{[ 2 ]}

AS8015（情報通信技術（ICT）のコーポレートガバナンスに関するオーストラリア規格）では、ICTのコーポレートガバナンスを「ICTの現在および将来の利用を指示および管理するシステム」と定義しています。これには、組織を支援するためのICT利用計画の評価と指示、および計画を達成するための利用状況の監視が含まれます。また、組織内でのICT利用に関する戦略と方針も含まれます。^{[ 3 ]}

情報技術ガバナンスという分野は、コーポレートガバナンスの派生として1993年に初めて登場し、主に組織の戦略目標、事業目標、そして組織内のIT管理との関連性を扱います。情報および関連技術の利用における価値創造と説明責任の重要性を強調し、最高情報責任者や経営陣ではなく、統治機関の責任を明確に定めています。

情報技術（IT）ガバナンスの主な目標は、（1）情報技術の利用がビジネス価値を生み出すことを保証すること、（2）経営陣のパフォーマンスを監督すること、（3）情報技術の利用に伴うリスクを軽減することです。これは、取締役会レベルの指示、戦略目標の達成に影響を与える意思決定に対する明確な責任体制を備えた組織構造の導入、組織の戦略目標に結び付けることができる明確なプロセス成果を持つプロセスに活動を組織化することによる優良事例の制度化によって実現できます。

1980年代の企業統治の失敗を受けて、1990年代初頭には多くの国が企業統治規範を制定した。

• トレッドウェイ委員会後援団体委員会（米国）
• キャドバリー・レポート（英国）
• キング・レポート（南アフリカ）。

企業資源の活用をより適切に管理するためのこうしたコーポレートガバナンスの取り組みの結果、優れたコーポレートガバナンスを支える情報とその基盤技術の役割に特に注目が集まるようになった。情報技術はコーポレートガバナンスを可能にするだけでなく、資源として価値創造の源泉でもあり、より良いガバナンスが必要であることがすぐに認識された。

オーストラリアでは、AS8015 ICTのコーポレートガバナンスが2005年1月に発行されました。^{[ 4 ]}これは2008年5月にISO/IEC 38500として迅速に採用されました。^{[ 5 ]}

ITガバナンスプロセスは、戦略に沿ってITリソースとプロセスを企業目標に直接結びつけることを可能にします。ITガバナンスの成熟度曲線とIT全体の有効性には強い相関関係があります。

ITガバナンスは、 ITマネジメント、コンプライアンス、ITコントロールと混同されることがよくあります。ガバナンスとコンプライアンスを結びつける「ガバナンス、リスク、コンプライアンス（GRC）」といった用語によって、この問題はさらに複雑化しています。ITガバナンスの主な焦点は、組織の統治機関によって優先順位が定められた様々なステークホルダーに代わってITリソースを管理することです。ITガバナンスを簡単に説明すると、ITリソースの活用によって何を達成すべきかということです。ITマネジメントは「ITリソースの使用を計画、組織化、指示、制御する」（つまり、どのように使用するか）ことですが、ITガバナンスは、統治者によって与えられた指示に基づいてステークホルダーに価値を創造することです。ISO 38500は、企業の取締役が使用するモデルを記述することで、ITガバナンスの明確化に役立っています。

取締役はこうした管理責任を負いますが、期待されるパフォーマンスを実現するために必要な能力を開発することが期待される経営陣（事業部門およびIT部門）にこの責任を委任することも珍しくありません。リスク管理とコンプライアンスの確保は優れたガバナンスの重要な要素ですが、主な焦点は価値の提供とパフォーマンスの管理（すなわち「ガバナンス、価値提供、パフォーマンス管理」（GVP））にあります。

業績管理や価値創造の努力にもかかわらず、UAEにおける不正行為に焦点を当てた研究では、コーポレートガバナンスは不正行為の削減に大きな役割を果たしておらず、他の従来の不正防止手法と比べて大きな違いはないことが示された。研究者らは、このような貢献の欠如から、上級管理職によるより良い監督が必要であると主張している。^{[ 6 ]}

情報技術（IT）ガバナンスの導入に役立つ参考資料は数多く存在します。その一部を以下に示します。

• AS8015-2005は、情報通信技術のコーポレートガバナンスに関するオーストラリア規格です。AS8015は、2008年5月にISO/IEC 38500として採用されました。
• ISO/IEC 38500:2015コーポレートガバナンス（情報技術）^{[ 7 ]}（AS8015-2005 に非常に近い）は、組織の最高レベルの人々が、組織における IT の使用に関して、法的、規制的、倫理的義務を理解し、履行できるよう支援するための、効果的な IT ガバナンスのフレームワークを提供します。ISO/IEC 38500 は、公的企業、民間企業、政府機関、非営利団体など、あらゆる規模の組織に適用可能です。この規格は、組織の取締役が組織内で情報技術（IT）を効果的、効率的、かつ許容できる方法で使用するための指針を提供します。
• COBITは、世界をリードするITガバナンスおよびコントロールフレームワークとみなされています。COBITは、組織で一般的に見られる37のITプロセスの参照モデルを提供します。 ^{[ 8 ]}各プロセスは、プロセスの入力と出力、主要なプロセスアクティビティ、プロセスの目標、パフォーマンス指標、成熟度モデルとともに定義されます。ISACAは2019年に「エンタープライズITのガバナンスと管理のためのビジネスフレームワーク」としてCOBIT2019を発表しました。COBIT2019は、COBIT 4.1を置き換えたCOBIT 5、Val IT、Risk ITを統合し、TOGAFおよびITILと連携して相互運用可能なエンタープライズフレームワークとして機能する単一のフレームワークに置き換えます。
• IGPMM（情報ガバナンスプロセス成熟度モデル） ^{[ 9 ]}は、情報価値、コスト、リスクの特定と管理の改善に役立つ22のプロセスを成熟させることに基づいています。CGOCは2017年3月にIGPMMを更新しました^{[ 10 ]。}これらのプロセスは、法務、記録情報管理（RIM）、プライバシーとセキュリティ、事業部門、ITなど、主要な情報ステークホルダーのニーズを反映しています。各ビジネスプロセスの成熟度は、次の4つの段階を経て進みます。
  • ステージ1：場当たり的で一貫性がない
  • ステージ2：サイロ化と手動操作
  • ステージ3：サイロ化され、一貫性があり、計測機器を備えている
  • ステージ4：統合、計測、最適化

他のフレームワークは、IT管理およびITガバナンスプロセスについて部分的な見解しか提供していません。

• CMM - 能力成熟度モデル：ソフトウェアエンジニアリングに焦点を当てる
• ITIL - ITサービスマネジメントに焦点を当てる
• ISO/IEC 20000 - ITサービスマネジメントに焦点を当てる
• ISO/IEC 27001 - 情報セキュリティマネジメントに焦点を当てる
• ISO/IEC 27005 - 情報セキュリティリスク管理に焦点を当てる
• ISO/IEC 29148およびIREB - 要求工学に焦点を当てる
• ISO/IEC 29119とISTQB - ソフトウェアテストに焦点を当てる

IT分野に特化しない利用フレームワークには、以下のようなものがある。

• PRINCE2とPMBOK - プロジェクトマネジメントに焦点を当てる
• ISO 22301 - 事業継続性に焦点を当てる
• バランススコアカード（BSC） - 組織のさまざまな分野における業績を評価する方法
• シックスシグマ- 品質保証に重点を置く
• オープングループアーキテクチャフレームワーク（TOGAF） - ビジネスとITを連携させ、有益なプロジェクトと効果的なガバナンスを実現するための方法論

• エンタープライズ情報技術ガバナンス認定資格（CGEIT ）は、 ISACAが2007年に創設した認定資格です。企業レベルでのITガバナンスとコントロールに重点を置いた管理職またはアドバイザーとして5年以上の経験を持つ、経験豊富な専門家を対象としています。また、企業IT管理に関する受験者の理解度を評価するために設計された4時間の試験に合格する必要があります。最初の試験は2008年12月に実施されました。
• COBIT5 Foundation、COBIT5 Assessor、COBIT5 Implementationは、ISACAによって2012年に創設された認定資格です。

• コンピュータセキュリティ
• データガバナンス
• エンタープライズアーキテクチャ
• 情報ガバナンス
• ITポートフォリオ管理
• プロジェクトガバナンス
• サービスガバナンス