ITパスポート 2017年 秋期 問49

企業においてITガバナンスを確立させる責任者は誰か。【ITパスポート 解説】

正解の理由

解法ステップ

1. 問題文のキーワードを確認：「ITガバナンス」「責任者」。ここでの「責任者」は最終的な責任（アカウンタビリティ）を問う。
2. 各選択肢の役割を短く整理する
   • 株主：会社の出資者で所有者。監督や意思決定（取締役の選任）を通じて影響は与えるが、日常のガバナンス運営の直接責任者ではない。
   • 経営者：経営方針と最終意思決定を行い、組織全体の責任を負う。
   • システム監査人：監査（点検・評価）を行う第三者的な役割で、構築の責任者ではない。
   • システム部門長：ITの実務的運用・管理の責任者であり、方針実行側。最終責任は経営にある。
3. 「最終責任」を持つのは経営者であることを確認し、選択肢から イ を選ぶ。

選択肢別の誤答解説

• ア: 株主
  株主は会社の所有者であり、重要な場面での選挙（例：取締役選出）や監督権はあるものの、日々の経営判断やガバナンス構築の実行責任者ではありません。従って「確立させる責任者」には当たりません。
• イ: 経営者
  経営方針の決定、資源配分、リスク受容の判断などを行い、組織全体のガバナンスの最終責任を負います。これが正しい理由です。
• ウ: システム監査人
  システム監査人は監査（audit：評価・点検）を行う立場です。問題点を指摘し改善を勧める役割はありますが、ガバナンスを「確立」する主体ではなく、独立した評価者です。
• エ: システム部門長
  ITの運用や実行面での責任者です。ITポリシーの実行や管理は担当しますが、方針決定や組織全体のガバナンスの最終責任は経営者にあります。つまり「実行責任」はあるが「確立させる最終責任」ではない、という違いです。

よくある誤解

1. 「IT部門長がガバナンスの責任者だ」
   誤りの多い点です。IT部門長は現場の運用や方針実行の責任（responsibility）を負いますが、最終的な意思決定責任（accountability）は経営者にあります。経営者が方針を示して、IT部門が実行する、という関係を押さえましょう。
2. 「株主が直接ガバナンスを作る」
   株主は監督する立場であって、日常のガバナンス運営者ではありません。取締役会や経営層を通じて影響を及ぼしますが、実務の確立者ではありません。
3. 「監査人がガバナンスを作る」
   監査人は評価・助言を行います。改善提案はできますが、実際の方針決定や責任は経営者側に残ります。

補足コラム

• 「責任（responsibility）」と「最終責任（accountability）」の違い
  現場が実務の責任（例：IT部門長は運用責任）を持ち、経営者が最終的な責任（方針決定、リスク受容）を持ちます。英語で整理するなら、RACI（Responsible, Accountable, Consulted, Informed：役割と責任の整理方法）という考え方があります。組織では誰が実行し、誰が最終責任を持つかを明確にすることが重要です。
• 代表的なフレームワーク
  ITガバナンス整備の参考として、COBIT（Control Objectives for Information and Related Technologies：ITガバナンスのためのフレームワーク）やISO/IEC 38500（ITガバナンスの国際規格）などがあります。これらは方針設計や責任分担の考え方を示す手助けになります。
• 実務例（簡単なイメージ）
  経営者（例えばCEO）が「顧客データの安全を最優先」と方針を決める。経営者は資源（予算、人員）配分やリスク許容度を決める。CIOやシステム部門長が方針に基づいてシステムを設計・運用し、システム監査人がその運用をチェックして改善点を報告する、という流れです。

FAQ