ITガバナンスで経営陣が担う評価・指示・モニターを整理する
ITパスポート試験 令和8年度 問35 ／ システム監査 › 内部統制
過去問にチャレンジ
情報システムの企画、開発、運用、保守に関わるマネジメントとプロセスに対して、ITガバナンスにおける経営陣の活動として、評価、指示、モニターを実施する必要がある。ITガバナンスにおける経営陣の活動に関する記述として、適切なものだけを全て挙げたものはどれか。 a 外部のコンサルタントに責任と権限を委譲し、戦略立案からモニタリングまで全面的に任せる。 b 情報システム戦略で想定した効果が、どの程度達成されているか確認するための情報を収集する。 c 情報システム戦略を実現するために、必要な責任と要員を組織に割り当てる。 d 情報システムの複数の将来像を想定し、外部の情報システムの専門家に比較分析を依頼して評価する。
- ア
a，b，c
- イ
a，c
- ウ
b，c
- エ
b，c，d
会話形式の解説
講師今回はITガバナンスの問題です。ITガバナンスは、組織がITを今どう使い、これからどう使っていくかを指示し、管理する仕組みのことです。経営陣の活動は評価・指示・モニターの3つです。4つの記述がそれぞれどの活動に当たるか、あるいはどれにも当たらないかを見分けていきましょう。
受験者カタカナ語が多くて少し混乱しそうです。まず、効果がどの程度達成されたかを確かめる情報を集める記述は、結果を見張る活動なのでモニターだと考えました。
講師そのとおりです。戦略で想定した効果を測るための情報を集めることは、モニターに当たります。では、戦略を実現するために責任と要員を組織に割り当てる記述はどうでしょうか。
受験者誰が何を担当するかを決めて動かすので、指示だと思います。
講師はい、指示に当たります。ここまでの2つは適切です。迷いやすいのは残りの2つで、どちらにも「外部」が出てきます。
受験者私は、外部に頼っている時点で経営陣の活動とは言えないと思い、2つとも不適切にしかけました。
講師そこがこの問題の引っかけです。コンサルタントに責任と権限を委譲し、戦略立案からモニタリングまで全面的に任せる記述は不適切です。ITの利用に関する最終責任は経営者にあり、責任と権限を外部へ丸ごと移すことはできません。これは経営陣の責任を放棄することになります。
受験者では、複数の将来像を想定して、外部の専門家に比較分析を頼む記述はどう考えればよいですか。
講師こちらは、外部に頼んでいるのは比較分析だけです。その結果をもとに評価するのは経営陣自身です。外部の分析を助言として活用し、最終判断を経営陣が行うのであれば問題ありません。将来の選択肢を比べて判断するので、評価に当たります。
受験者整理すると、情報収集がモニター、責任と要員の割当てが指示、将来像の比較が評価で、責任ごと外部に任せる記述だけが不適切ということですね。そうすると、適切な3つがそろっていて、不適切な記述を含まない組合せが正解になります。
講師そのとおりです。ほかの組合せを見ると、全面委任の記述を含んでいるもの、適切な記述が足りないものに分かれます。特に、モニターと指示の2つだけの組合せは、外部の専門家に分析を頼む記述まで外してしまった場合に選びやすいので注意してください。
講師判断の目安は、外部に渡しているのが作業や助言なのか、それとも責任そのものなのかです。「外部」という言葉だけで判断せず、最終判断を誰が行っているかに注目すると、似た問題にも対応できます。
まとめ
ITガバナンスで経営陣が行う活動は、評価・指示・モニターの3つです。戦略の効果を測る情報を集めることはモニター、責任や要員を割り当てることは指示、将来の選択肢を比較して判断することは評価に当たります。外部の専門家に分析を頼んでも、最終的に評価するのが経営陣であれば適切です。一方、ITの利用に関する最終責任は経営者にあるため、責任と権限まで外部に委譲して全面的に任せるのは不適切です。「外部」という言葉だけで判断せず、外部に渡しているのが助言なのか責任なのかを見ることがポイントです。
解答・解説
正解はエです
この問題のテーマ
ITガバナンスで経営陣が担う「評価・指示・モニター」の3つの活動を理解しているかを問う問題です。あわせて、外部専門家をどこまで活用してよいかという線引きも問われています。
解き方の考え方
まず、記述a〜dが評価・指示・モニターのどれに当たるか、または当たらないかを1つずつ判断します。bの「効果の達成度を確かめる情報収集」はモニター、cの「責任と要員の割当て」は指示、dの「複数の将来像を比較して評価する」は評価に当たります。aは、責任と権限まで外部に渡して全面的に任せている点が問題です。ITに関する最終責任は経営者にあるので、aは不適切です。以上から、適切な記述はb、c、dの3つになります。
選択肢ごとの解説
- ×ア a，b，ca、b、cの組合せですが、不適切なaを含んでいます。また、適切なdが入っていません。aは外部コンサルタントに責任と権限を委譲して丸ごと任せる内容で、経営陣の責任を放棄することになります。
- ×イ a，ca、cの組合せです。cの責任と要員の割当ては指示に当たるので適切ですが、不適切なaを含んでいます。さらに、モニターに当たるbと評価に当たるdも抜けています。
- ×ウ b，cb、cはどちらも適切ですが、dが抜けています。dは外部の専門家に比較分析を頼んでいますが、評価するのは経営陣自身です。このように、助言として外部を活用することは問題ありません。
- ○エ b，c，db（モニター）、c（指示）、d（評価）の3つがそろい、不適切なaも含んでいません。経営陣の3つの活動にそれぞれ対応する組合せなので、これが正解です。
補足
「外部の専門家」という言葉があるだけで不適切と判断するのは、よくある引っかけです。外部の分析や助言を参考にし、最終的な判断を経営陣が行うのであれば適切です。不適切になるのは、責任そのものを外部に移してしまう場合です。
POINT
- ITガバナンスは、組織のITの現在と将来の利用を指示し、管理する仕組みです。
- 経営者がITを統制する活動は、評価・指示・モニターの3つです。
- 戦略の効果を測る情報を集めることはモニター、責任や要員を割り当てることは指示、将来の選択肢を比較して判断することは評価に当たります。
- ITの利用に関する最終責任は経営者にあり、責任と権限を外部へ全面的に委譲することはできません。