コラム
ITガバナンスとは？
新型コロナウイルスの流行やITテクノロジーの発達に伴い、デジタル化・DX（デジタルトランスフォーメーション）が注目されるようになってきました。デジタル化やDX、あるいは会計監査に関するニュースや記事を読んでいると、「ITガバナンス」というワードをよく目にすると思います。
この「ITガバナンス」とは一体どういう意味なのでしょうか。
ITガバナンスを理解することは、デジタル化・DXにおいてどう重要なのかを具体的に説明していきます。
ITガバナンスの定義
経済産業省の定義
ITガバナンスとは、実は公式に政府から定義が発表されたのは、1999年に経済産業省(当時は通商産業省)が発表したものでした。1999年に通商産業省（現経済産業省）と日本情報処理開発協会が発行した、『企業のITガバナンス向上に向けて』というレポートの中で、
「企業が競争優位性構築を目的に、IT戦略の策定・実行をコントロールし、あるべき方向へ導く組織能力」
と定義し、それ以降はITガバナンスの公式定義として汎用されてきました。
しかしながら、もちろんITガバナンスという言葉自体は先ほどの経済産業省の定義をもっても広義であり、各種協会や企業によってより細かく定義されていることもあります。
ITガバナンス協会の定義
ITガバナンス協会も定義を公開しています。ITガバナンス協会とは、ITガバナンスの重要性を認識し、そのためのツールや考え方を普及することを目的とする米国の非営利団体です。日本にも拠点があり、「日本ITガバナンス協会」という形で活動しています。
ITガバナンス協会は、COBIT（control objectives for information and related technology）と呼ばれるIT管理フレームワークを普及させ、このフレームワークは日本の監査基準にも考え方が取り入れるなど、とても影響力をもつ組織と考えてよいでしょう。このITガバナンス協会も「ITガバナンス」について定義を発表しています。同協会の定義によると、
「IT ガバナンスは、企業のガバナンス全体の不可欠な構成要素であり、組織の ITが組織の戦略ならびに目標を維持し発展させることを保証するリーダーシップと組織構造、さらにプロセスから構成されている。」
と定義されています。経済産業省の定義と比較してみると、ITガバナンス協会は「プロセスから構成される」「発展を保証するもの」という点をより強調しているように見えます。
さらに、その他にもITガバナンスはあらゆる業種業態で注目され、それぞれの業界で詳細にITガバナンスについて定義されています。
FISCのITガバナンスフレームワーク
FISCとは、公益財団法人金融情報システムセンター（The Center for Financial Industry Information Systems、以下FISC）という組織であり、金融機関やフィンテック・クラウド事業者に対してITガバナンスを確立する上で重要なポイントをフレームワークやチェックリストとして公表しています。
筆者は4大監査法人に過去在籍しており、フィンテック企業がFISCに基づいて事業を実施していることを監査し意見を出してお墨付き与えるプロジェクトにいたこともあります。会社がこうしたITガバナンスが確立していることをアピールしていくことはデジタル化の進む中でますます重要になってくるでしょう。
また近年では、銀行が顧客の資産データをフィンテック事業者とAPIで共有する銀行オープンAPIといわれる技術が注目されています。このオープンAPIは銀行データを転送する上でセキュリティが非常に重要になるため、銀行とフィンテック事業者はお互いにシステムや組織構成、システムサーバー構成についてFISCのチェックリストを詳細に参照します。
ITガバナンスが注目されるようになった背景
それでは、ITガバナンスが注目されるようになった背景とは何でしょうか。先ほどITガバナンスの定義は1999年の通商産業省発行の『企業のITガバナンス向上に向けて』というレポートで発表されたと説明しましたが、大きくITガバナンスが注目されるようになったきっかけは2002年のみずほ銀行の大規模システム障害だと言われています。
この大規模障害は、第一勧業銀行、富士銀行、日本興業銀行の3行システムを一本化統合してみずほ銀行システムが発足した2002年4月1日に、システム統合がうまくいかず、ATM引き落とし処理が実行されない等の全国障害を引き起こしたというシステムトラブル事件です。新聞の一面にもなったこの事件について、みずほフィナンシャルグループも自社サイトで沿革を説明しているので、興味がある方は見てみてください。
『2002年～ みずほ銀行、みずほコーポレート銀行のスタート』（みずほフィナンシャルグループ）https://www.mizuho-fg.co.jp/company/info/history/trend/period_07.html
また、この大事件は書籍化され、『みずほ銀行システム統合、苦闘の19年史 史上最大のITプロジェクト「3度目の正直」』（2020年2月18日発行）はAmazon書籍で発売当初は売れ筋ランキング1位になるほどのベストセラーになりました。
ITガバナンスの具体例
ITガバナンスの具体例をケースで確認してみましょう。
【ケース】
例えば、スーパーの商品売上を作業者が、レジから出力されたpdfを見ながらExcelへデータを手入力し、店長がそれを確認しているとします。店長は売上管理や売上予測をして仕入れ量を管理したいと思い、調べてみるとレジ決済情報をExcelへ自動転記してくれるITツールがあることが分かりました。店長はこのシステムを導入することにし、その際にITガバナンスについて考えることにしました。
さて、ここでITガバナンスとはどのように重要になってくるでしょうか。どういうリスクがあるかを確認してみましょう。
ITガバナンス観点での考えられるリスク
売上管理・売上予測（組織の戦略・目標）をITツールで実現することを店長は期待しています。この時、もしコストをかけたくないからといってシステム導入前にユーザテスト（システム本番稼働前の動作確認）を怠ると、本番当日にバグなどでシステム障害が発生し、売上計算が実行されないリスクがあります。
また、システムを操作するレジ係がパスワードをメモ用紙でレジの裏に貼っていて、悪意のあるお客さんがそれを見てハッキングorなりすまし操作する可能性もあります。
このように、システムを1つ導入するだけでもITに係るリスクは数多くあるため、これらのリスクをコントロールするのが難しいように思えますよね。しかし、こうしたシステム導入におけるリスクを包括的にかつ網羅的にチェックするフレームワークを先ほどのITガバナンス協会のCOBITというフレームワークやFISCのチェックリストがサポートしてくれています。IT業界や監査業界にいる方であれば日頃こういったリファレンスを目にすることが多いとは思いますが、こうしたリファレンス及びITガバナンスはデジタル化・DXが進むにつれてより重要になっていくと筆者は考えています。
ITガバナンス観点でのリスクに対してどういった対応が必要でしょうか
先ほどのスーパーの例でいくつかリスクの具体例を挙げましたが、これらの対策としてどのようなことが考えられるか見ていきましょう。
テストを怠って本番当日でバグが発生するリスクに対しては、システムテスト（システムが要件に準拠しているかどうかのテスト）とユーザテスト（ユーザに近い環境でシステムを使うケースを実際にシミュレーションするテスト）をする必要があります。
上場企業では会計監査と内部統制監査が必須ですが、そのうち内部統制監査では、システム導入時にシステムテストの実施有無、ユーザテストの実施有無が監査対象になります。
その他のパスワードをメモ用紙に書くなど流出するリスクに対しては、従業員にIT教育をしてITセキュリティ意識を徹底する必要があります。このように、ITはシステムだけの問題ではなく、システムを使うプロセスの中で、関係するステークホルダーや組織がITガバナンスを確立するように統制する必要があります。もちろん、パスワードの管理も先ほどの内部統制監査対象です。
ITガバナンスに関するまとめ
以上、ITガバナンスの定義とITガバナンスが注目されてきた背景、さらにはITガバナンスの考え方について具体例を交えて説明しました。
これらのITガバナンスはデジタル化・DXが進むにつれより重要になり、多種多様の業界でITガバナンスは実際に皆さんの現場でもよく聞くようになっていくと思います。ITガバナンスのためにはどういう視点が重要なのか、どう考えればいいのかを理解して頂ければ幸いです。また、各種ITガバナンスに関するリファレンスも刷新されていくため、ニュースや記事などはぜひチェックしていきましょう。
内部統制・IT統制の事例紹介
キングソフト株式会社様｜資料が分かりやすくこちらの要望を理解した上で柔軟に対応いただいた
【キングソフト株式会社様 内部監査室 中村室長】ボリューム感のある内容を依頼していましたが、すんなり進めていただきました。こちらが要望していることをきちんと理解していただいて、かつ、それが正しい形で返ってきていて、それが予算内に収まっているというところが、経営層と話をする立場として非常にありがたかったです。
株式会社ASNOVA様｜コンサルの概念が覆された、こちらへ寄り添ってASNOVAメインの進め方をしていただけた
【株式会社ASNOVA 総務人事部 田中部長、口田係長】弊社の課題や”やりたいこと”と逆に”やらないこと”または”今後やりたいこと”に対して柔軟に提案してもらえたので、ぜひ一緒にやっていきたいと思いました。弊社の「できていること」「できていないこと」「今後やるべきこと」を第三者の視点からチェックしていただき、私たちが気づけていなかったことを知ることができました。
株式会社イノフィス様｜同じチームメンバーとして技術面と精神面で支えられ、会社としてはメリット・デメリットを見極めた適切な IT 投資を実現
【執行役員 人事総務部長・松原様、人事総務部・渡邉様】全体を可視化し、課題を見極めた上でシステムを導入できるようになり、適切なIT投資ができています。IT統制は指摘事項がなにもなく監査を終えることができました。
システムコンサルティングの事例紹介
平田機工株式会社様｜基幹システム選定プロジェクトを計画通りに完了、一枚岩で進めることができた
【平田機工株式会社 情報企画部 野﨑部長、日野次長、園田主任、島津様、高木様】エッグシステムさんと仕事して良かった点の1つ目が、本質的な課題を見抜く力があるということです。2つ目が、見える化です。可視化する力量がすごく、きれいに資料にまとめてくれるのが非常に良かったです。3つ目がスピード感です。私たちだけだったらおそらく1ヶ月かかったものが、2日くらいでアウトプットが出てきたり、極論ですがそういうケースもあったと思います。
チヨダウーテ株式会社様｜BIツールを活用して月次集計業務を効率化、人員を『3名→1名』へ削減
【チヨダウーテ株式会社様】予算と実績の集計をExcelを使った手作業で行っていたところ、約3ヶ月でBIツール（Tableau）を導入して月次集計業務を効率化し、当該業務の担当者を『3名→1名』へ削減しました。手作業によるミスを指摘しなくてもよくなり、管理者の精神的な負担も軽減することができました。
富士化学工業株式会社様｜こちらの意図を汲み取ってくれ、やりたいことが具現化し次々にできあがっていく
【富士化学工業株式会社 取締役 総務部長 髙橋様、総務課 課長 金子様、吉村様】高橋さんからITツールについて詳しく説明していただくことで、今後本格的に導入する際の後ろ盾になったという点は心強く感じています。ITツール導入に向けたスピード感や意識は、みんな徐々に変わってきています。