情報システムを、経営から現場まで見る
ITガバナンスとは？
「誰が何を決め、誰が実行するか」から理解する
システム監査は、セキュリティ設定や操作ログだけを確認する仕事ではありません。会社が何を目指してITに投資し、現場がどのように運用し、事故を防ぐ仕組みが働いているかまで確かめます。そのうち、経営が方向と責任を決める仕組みがITガバナンスです。
予約システムを導入したのに、病院の待ち時間が減らない
ある病院が予約システムに大きな予算をかけました。ところが患者の待ち時間は減らず、医師と受付の負担も増えています。「予約システムは正常に動いています」という報告だけでは、この投資が適切だったか判断できません。
経営の問い
何のために導入した？
患者の待ち時間を減らすという目標を明確にしたか
運営の問い
どう使えるようにする？
診療科との調整、予算、教育、運用担当を整えたか
現場の問い
安全に正しく動く？
二重予約を防ぎ、権限を制限し、障害に備えているか
どれか一つだけが良くても、病院全体の成果にはつながりません。だから監査は、ITを取り巻く仕組みを幅広く確認します。
三つの言葉は、扱う判断の階層が違う
病院の予約システムを上から下へたどる
ガバナンス — 方向を決め、監督する
主に経営・統治の層「待ち時間を30%減らすためにITを使う」「誰が投資の成果に責任を持つか」を決め、達成状況を監督する。
マネジメント — 方針を具体化し運営する
主に管理・実行の層導入計画を作り、人員・予算・日程・委託先・教育・障害対応を管理する。
コントロール — 問題を防ぎ、見つける仕組み
業務・技術の統制受付担当だけが予約を変更できるアクセス権、変更履歴、二重予約チェックなどの統制を実装・運用する。
※ 実務では担当組織や活動が重なることもあります。三つは会社の部署名ではなく、監査するときの観点です。
意思決定だけではなく、責任の所在を明らかにし、報告を受け、目標に沿っているかを評価・監督するところまで含みます。システムの稼働率だけでなく、投資が病院の目的に貢献したかを問います。
何を確かめれば「監査」になるのか
「適切に管理されていますか？」と質問して「はい」と返ってきただけでは、根拠のある判断になりません。監査人は一定の基準に照らし、証拠を確認して評価します。
| 観点 | 確認すること | 証拠の例 |
|---|---|---|
| ガバナンス | 投資目的、責任、経営による監督 | 経営会議議事録、目標指標、投資判断資料 |
| マネジメント | 計画、予算、担当、問題対応 | プロジェクト計画、課題管理表、運用手順 |
| コントロール | 誤操作・不正・障害を抑える統制 | 権限一覧、操作ログ、復旧テストの結果 |
たとえばログが完璧でも、経営層が導入効果を一度も検証していないなら、ガバナンスの観点で課題が残るかもしれません。一方、経営が立派な方針を作っていても、現場で権限の管理がされていなければ、コントロールの課題があります。
コンプライアンス、モニタリング、レジリエンスとの違い
似た言葉は、三つの観点と同じ階層の分類ではありません。どれも重要ですが、何を説明する言葉なのかが違います。
コンプライアンス
法令・規則・契約などを守ること
個人情報保護のルールに適合しているか。ガバナンスや各管理・統制の中でも確認する。
モニタリング
状態を継続的に観察・把握する活動
アクセスログや稼働状況を定期的に確認する。監督にも管理にも統制にも関係する。
サイバーレジリエンス
攻撃・障害を受けても耐え、回復・適応する力
ランサムウェア被害後も重要業務を継続・復旧できるか。統制や管理を通じて高める。
監査の対象を表す三つの観点と、遵守すべき事項・監視活動・復旧能力とを混ぜないことが大切です。
操作ラボ：監査する立場で、何が足りないか見つける
実際の状況と収集できた証拠を切り替えてみましょう。設備が正常に動いていても、経営判断や管理体制に問題があれば監査の見方は変わります。
監査シミュレーター
問題の根っこを見極める
同じシステムでも、どの仕組みが欠けているかで監査の対象が変わります。まず状況を選んでください。
監査の対象となる状況
予約システムの障害はほぼゼロ。しかし導入時の目標と成果を経営会議で検証していない。
最初に、どの観点を重点的に調べる？
監査の根拠となる資料を集める
収集した資料を選択。資料を持っていることと、実際に内容を確かめたことは別です。
今回の中心となる観点「ガバナンス」について、まだ直接の資料がありません。結論を急がず、必要な証拠を収集します。
※ 学習用の簡略化した例です。実際の監査では三つの観点が重なり、監査基準・対象範囲・証拠の信頼性などを総合して判断します。
この設問が確かめていること
令和5年のシステム監査基準に沿った問いでは、情報システムについて監査人が点検・評価・検証する対象として、ガバナンス、マネジメント、コントロールが挙げられています。
ここでガバナンスは、情報システムが組織の目的に沿って方向付けられ、責任と監督が機能しているかを見る観点です。「操作が正しいか」だけではなく、「そもそも正しい目的に向かっているか」まで確認します。
単語の並びを暗記するより、「経営の方向付け → 管理・運営 → 現場で働く統制」という関係を理解しておくと、実際の監査の説明にもつながります。