「IT戦略の全体像」第5回 ITガバナンスを考えよう

皆さん、こんにちは。

今日の時点で関東以北にはまだ梅雨明け宣言が出ていないようですが、すでに暑いです。人生の大半を寒いところで暮らしてきたためか、私は暑いのが大の苦手です。今週たまたま仕事の関係で高知に行く機会があったのですが、溶けるんじゃないかと思いました。無事に生還出来てほっとしています。

さてここまで４回にわたってIT戦略の構成要素を見てきましたが、最終回となる今回はそれらの構成要素全体をまとめる概念としてのITガバナンスについてお話します。

コーポレートガバナンスコードが導入されて10年以上が経過し言葉としては定着してきた感のある「ガバナンス」ですが、ITにおけるガバナンスとはどんな意味を持つのでしょうか？　一言で表すのは難しいのですが、あえてまとめると「組織の目的達成に向けてITに関する正しい意思決定が行われる仕組みが継続的に運用されている状態を担保する活動」といったところでしょうか。なんだか分かり難いですね。

少し角度を変えて、ITガバナンスが効いた組織はどんな状態なのかを以下で少し分解して説明してみます。

経営戦略との整合

企業内のすべての活動に言えることですが、IT活用の目的や目標は自社のそれらと合致している必要があります。それを担保するのは資源投入に関する意思決定が正しく行われる仕組みであり、第３回、第４回のITマネジメントでお話した内容と重複しますので割愛しますが、以下がポイントになるでしょう。

• 経営戦略に沿った経営資源の投入が行われる
• 組織として意思決定が行われ特定の人に依存しない

リスクマネジメント

継続的に健全な経営活動を行うためにはリスクへの備えが必要です。リスクを洗い出し、対応方針を決めるのが基本線ですが、それだけでなく悪いことが起きたときに素早くエスカレーションされるような仕組みづくりや組織風土の醸成なども含め、広い構えで臨む必要があります。

• リスクが把握され、対応方針が継続的に更新されている
• 悪い情報がトップまで報告される状態ができている

なおITに関するリスクの代表格として情報/サイバーセキュリティがありますが、下記のコラムに詳細に記載していますので、ご興味があれば是非ご一読ください。

ルール整備と徹底

 “人財”なんていう言葉も聞かれるくらい従業員は自社の重要な財産なわけですが、一方で従業員が間違った行動をした場合に起き得るリスクも幅広く存在します。従業員の個性や能力を最大限に発揮してもらいつつ、様々なリスクを低減するためには共通する価値観や考え方の共有をベースに具体的なルールを整備し、それを周知徹底する必要があります。ITに関しても同様のことが言え、ITの活用やセキュリティへの対応などに関する方針や規程、基準、手順、ガイドラインなど様々な抽象度の異なる文書類を整備し、関係諸法令と併せて従業員への浸透を継続して図ることは重要です。

• 必要なルールが整備され、徹底されている
• 事業運営に関係する法令類が遵守されている

モニタリングと改善のサイクル

ルールがあってもそれらが実践されていなければ意味がありません。さらに言えば、企業はGoing Concernと言われるように継続的に改善を続け環境変化に適切に対応していくことが求められるわけで、そのためにはITに関する現状を客観的に評価し結果を分析して改善の計画を立て実行するサイクルの実践が求められます。

• 監査によって実態がチェックされている
• 改善に向けたPDCAが回っている

このサイクルは組織の成熟度を表していると言えますが、組織成熟度の代表的なフレームワークであるCMM（※）においても最上位のレベル５では継続的改善が必須要件とされています。「継続は力なり」ですね。

※CMM：Capability Maturity Model

これらがガバナンスの効いた組織の状態、つまりこれらを実践することでガバナンスを効かせていくことができ、結果として「組織の目的達成に向けてITに関する正しい意思決定が行われる」組織を築いていくことができると思います。

IT戦略の話を５回に分けて書いてきたシリーズもこれで完結です。読んで頂いた方々の業務に何らかの気づきを与えることができたなら嬉しいです。戦略策定や実施に関する実際の業務での困りごとなど、弊社でお手伝いできることもあります。お気軽に何なりとお問い合わせください。