4.1ITガバナンスとCOBIT

システム監査人が「ITガバナンスを監査する」というとき、それは個々のサーバやプログラムの動作確認ではなく、IT投資や情報システムの活用が経営目標の達成にきちんと結びつくよう、経営陣が方向付け・監視する仕組みが働いているかを評価する作業です。ここで問われるのは技術の巧拙ではなく、IT戦略が経営戦略と整合し、責任と説明責任（アカウンタビリティ）が明確で、成果が測定されているかという統制の枠組みです。この節では、ITガバナンスの本質とその統制目標を体系化したCOBITを踏まえ、監査人がどの視点で「ガバナンスが機能しているか」を診断するかを養います。

4.1.1ITガバナンスとは

• ITガバナンス＝企業が競争優位の構築を目指してIT戦略の策定・実行をコントロールし、あるべき方向へ導く組織能力（JIS Q 38500 等の定義に基づく）。その第一義的な責任は経営陣（取締役会・経営者）にあり、IT部門やCIOに丸投げして済むものではない。ITの利活用が経営目標の達成に貢献しているかを経営陣が方向付け・監視・評価する点が核心。
• ITガバナンスの要点はIT戦略と経営戦略の整合（アラインメント）にある。どれほど高度な情報システムを導入しても、それが経営目標に結びついていなければガバナンス上は問題とされる。監査人は「最新技術を導入したか」ではなく、IT投資が経営目標に沿って優先順位付けされ、成果がモニタリングされているかを評価する。

4.1.2COBITの位置づけ

• COBIT（Control Objectives for Information and related Technology）＝ISACAが策定した、ITガバナンスとITマネジメントのための統制目標のフレームワーク。ITに関わる目標・プロセス・統制目標・成熟度モデルを体系化し、「あるべき統制状態」の物差しを提供する。監査人はCOBITを、被監査組織のIT統制の整備状況を評価する際の参照基準（ベンチマーク）として用いる。
• COBITは「ガバナンス（方向付け・監視）」と「マネジメント（計画・構築・運用・監視）」を明確に分離している点が特徴で、前者は経営陣、後者は執行部門の役割に対応する。監査人はこの分離を踏まえ、経営陣のガバナンス機能（EDM：評価・方向付け・監視）と、IT部門のマネジメント機能のどちらに不備があるかを切り分けて評価できる。

あるシステム監査人が、製造業A社のITガバナンスを評価しているとします。A社のIT部門は最新のクラウド基盤やAI分析ツールを次々に導入しており、技術的には先進的です。しかし監査人がヒアリングを進めると、それらのIT投資がどの経営目標（例：生産リードタイム短縮、不良率低減）に貢献するのかが経営会議で議論・承認されておらず、導入後の効果も測定されていないことが分かりました。CIOは「現場が使いたいと言ったから導入した」と説明します。ここで監査人が下すべき判断は、「最新技術を導入しているのだからITガバナンスは良好」ではありません。ITガバナンスの本質はIT戦略と経営戦略の整合であり、経営陣がIT投資を経営目標に沿って方向付け・監視しているかが評価軸です。この事例では、個々のシステムは動作していても、経営陣のガバナンス機能（COBITでいうEDM：評価・方向付け・監視）が働いておらず、投資の妥当性判断と効果測定という統制が欠落しています。したがって監査人は「IT投資の意思決定プロセスに経営目標との紐づけと効果測定の仕組みがない」という整備上の不備を指摘し、経営会議でのIT投資評価プロセスの整備を勧告すべきです。ここでのひっかけは、監査の焦点を「技術の新しさ」や「IT部門の運用の巧拙」に置いてしまうことです——ITガバナンスの監査対象は経営陣の方向付け・監視の仕組みであり、技術評価やIT部門の作業品質の監査とは階層が異なります。

4.1.3この節のまとめ

• ITガバナンスの第一義的責任は経営陣（取締役会）にあり、本質はIT戦略と経営戦略の整合である
• COBITはISACAが策定したITガバナンス/マネジメントの統制目標フレームワークで、監査の参照基準となる
• 監査人は技術の新しさやIT部門の作業品質ではなく、経営陣の方向付け・監視の仕組みが機能しているかを評価する