4.1ITガバナンスとCOBIT

システム監査人が「ITガバナンスを監査する」というとき、それは個々のサーバやプログラムの動作確認ではなく、IT投資や情報システムの活用が経営目標の達成にきちんと結びつくよう、経営陣が方向付け・監視する仕組みが働いているかを評価する作業です。ここで問われるのは技術の巧拙ではなく、IT戦略が経営戦略と整合し、責任と説明責任（アカウンタビリティ）が明確で、成果が測定されているかという統制の枠組みです。この節では、ITガバナンスの本質とその統制目標を体系化したCOBITを踏まえ、監査人がどの視点で「ガバナンスが機能しているか」を診断するかを養います。

4.1.1ITガバナンスとは

• ITガバナンス＝企業が競争優位の構築を目指してIT戦略の策定・実行をコントロールし、あるべき方向へ導く組織能力（JIS Q 38500 等の定義に基づく）。その第一義的な責任は経営陣（取締役会・経営者）にあり、IT部門やCIOに丸投げして済むものではない。ITの利活用が経営目標の達成に貢献しているかを経営陣が方向付け・監視・評価する点が核心。
• ITガバナンスの要点はIT戦略と経営戦略の整合（アラインメント）にある。どれほど高度な情報システムを導入しても、それが経営目標に結びついていなければガバナンス上は問題とされる。監査人は「最新技術を導入したか」ではなく、IT投資が経営目標に沿って優先順位付けされ、成果がモニタリングされているかを評価する。

4.1.2COBITの位置づけ

• COBIT（Control Objectives for Information and related Technology）＝ISACAが策定した、ITガバナンスとITマネジメントのための統制目標のフレームワーク。ITに関わる目標・プロセス・統制目標・成熟度モデルを体系化し、「あるべき統制状態」の物差しを提供する。監査人はCOBITを、被監査組織のIT統制の整備状況を評価する際の参照基準（ベンチマーク）として用いる。
• COBITは「ガバナンス（方向付け・監視）」と「マネジメント（計画・構築・運用・監視）」を明確に分離している点が特徴で、前者は経営陣、後者は執行部門の役割に対応する。監査人はこの分離を踏まえ、経営陣のガバナンス機能（EDM：評価・方向付け・監視）と、IT部門のマネジメント機能のどちらに不備があるかを切り分けて評価できる。