Vol.32, No.1

51

システム監査の視点からの企業ガバナンスの一考察

研究ノート

システム監査の視点からの企業ガバナンスの一考察

A Study of Corporate Governance from the Viewpoint of Systems Audit松田貴典

Yoshinori Matsuda
大阪成蹊大学
Osaka Seikei University

概要
企業で不祥事が発生すると、それは「ガバナンスの問題である」とか「ガバナンスが効いていない」などと指摘される。そこで、企業ではガバナンスをどのように考え、どのような管理・統制機能が設置され、位置付けされて確立（実行）されているのか、調査し考察した。調査にあたっては、主要な業種を代表する企業を Web から検索し、ガバナンスの位置付けや管理・統制機能関連のフレームワーク図を作成し俯瞰的な視点で考察した。その一方で、ガバナンスと密接に関係する IT ガバナンスと情報セキュ
リティガバナンスについても企業の Web 情報から調査し、監査の状況についても考察した。ガバナンス
については、個別の管理・統制機能をテーマにした研究は多いが、組織全体から見た管理・統制機能の位置付けやフレームワーク図からの調査研究は少ない。
キーワード：ガバナンス

IT ガバナンス

情報セキュリティガバナンス、フレームワーク

1．はじめに企業で不祥事が発生すると、それは「ガバナンス（Governance）の問題である」とか「ガバナンスが効いていない」などと指摘される。一般的に、ガバナンスは、企業における不正行為や経営陣の暴走を防ぐための管理・統制する仕組みや牽制機能を指す「コーポレートガバナンス【注 1】」を意味している。そして、経営陣による経営の私物化や不正を防ぐこと、また、企業の不祥事を防ぐことを目的として、組織等で方針やルールなどを決めて、組織内に指示徹底し実行させることである。さらに、ステークホルダー（Stakeholder: 株
主などの利害関係者）が、企業の経営を監視することになる。実用日本語辞典によれば、『ガバナンスとは、主に「統治」「支配」「管理」と和訳され、少なからず「地位の高い者が組織をうまく取り仕切る」という意味合いを含んでいる。ただし、上から下への一方的に支配という意味合いよりは、組織や社会に所属する当事者たちが、意思決定に
投稿受理日
再投稿受理日
査読完了日

2019 年 4 月 15 日
2019 年 5 月 23 日
2019 年 5 月 27 日

監査

携わる「自治」のニュアンスが強い。コーポレー
トガバナンスという語もこの意味合いを前提とする使い方がされている。』としている【1】。

企業では、これまで、不祥事を起こすと、社会的な評価や企業への影響をできるかぎり少なくするために、経営者自ら謝罪し、組織改革やガバナンス改革を実行してきた。例えば、CSR（Corporate
Social Responsibility: 企業の社会的責任）、コン
プライアンス（Compliance: 法令遵守）、リスクマネジメント、内部統制などは組織改革や組織統制等に使われた用語である。その一方で、事業継続管理や環境問題への対応としてのサステナビリ
ティ（Sustainability: 持続可能性）など次々に改革が求められて、新たな改革が生まれてきた。
しかし、実際に、企業ではガバナンスの中に、どのような管理・統制機能が位置付けされて、確立（実行）されているのか、また、ガバナンスの概念が、どのように考えられているのか、企業全体としての管理・統制機能の位置付けが、分かりに52

Mar.2019

シ ス テ ム 監 査

くい。そこで筆者は、主要な業種を代表する企業
を Web から検索して、ガバナンスの位置付けや管理・統制機能関連のフレームワーク図（以後、「管理統制フレームワーク」と言う。）を作成し、俯瞰的な視点で考察した。これらの調査や分析により企業のガバナンスに対する考え方や理念、社会に対する行動指針、さらに、セキュリティやリス
ク管理の対応など、様々な管理・統制機能を知ることができた。
一方、経済産業省は、平成 30 年 4 月 20 日にシステム監査を実施する監査人の行為規範及び監査手続きの規則を規定した「システム監査基準」、
システム監査人の判断尺度を規定した「システム管理基準」を改訂し、公表した。これまでの基準
が平成 16 年 10 月に改訂であったことから、実に 14 年経過の改訂である。
今回の改訂のポイントの一つは、IT ガバナンスの実現ための実践行動を起こすことを明確にしたことである。これまでのシステム管理基準において も、IT ガ バ ナ ン ス の 概 念 や 事 業 継 続 計 画（BCP:Business continuity planning）を定めていたが、これまで以上に、明確化し実現を求めた
背景には、IT ガバナンスについての JIQ38500
や事業継続計画についての JISQ22301 等の国際基準の制定や、米国における COBIT などとの整合性をとるためであった。特に、新たなシステム管理基準では、その主旨で、「情報システムにまつわるリスクを適切にコントロールしつつ、これまでの以上に IT ガバナンスの実現に貢献する」と明記されたことは、重要なことである。
システム管理基準の枠組みの中で、IT ガバナン
スの必要性について、「IT ガバナンスを実践する
上で、情報システムにまつわるリスクだけでなく予算や人材といった資源の配分や、情報システム
から得られる効果の実現にも十分に考慮する必要がある。
」としている。IT ガバナンスの確立に向けた原則や組織体制及び実践すべき行動基準となる管理基準の内容が 20 頁に渡って示されている【2】。
しかし、調査した企業のガバナンスの中には、IT ガバナンスは、明示的に位置付けされていない場合が多く、また、その確立を支援し担保する監査（システム監査を含む）については、ほとんど記述はされていない。
そこで、筆者は、情報システムのガバナンス（ITガバナンスや情報セキュリティガバナンス）についても、公開されている資料等を参考に、その位置付けや管理・統制機能について考察した。
2．事例からみる企業のガバナンスと管理統制フ
レームワーク
企業のガバナンスの考え方を知る手がかりとして、まず、ガバナンスについて記載内容や、全社的な管理統制フレームワークから見ることが重要である。企業の管理統制フレームワークには、統一した理論があるわけではない。むしろ、企業の業種や企業理念・方針等によって管理統制フレー
ムワークが構成されると言える。
一方、情報システムが高度化することで、ガバナンスに関連する情報システムのガバナンスについても調査した。情報システムのガバナンスには、その中核をなす IT ガバナンスと情報セキュリ
ティガバナンスがあり、ガバナンスとどのように関連付けされているかについても調査した。本稿で検討した企業は、代表的な自動車メーカ、情報テクノロジー企業、金融機関である。
①大手自動車メーカの「トヨタ自動車」【図 1】

日本を代表する自動車メーカのトヨタ自動車
におけるガバナンスは、「サステナビリティ」の下で掲げられている。最初に記載されている
取り組み姿勢の文章には、『未来がよりよい社会となるように、「環境」「社会」を重要な課題と考えています。また、お客様に信頼され続ける会社でありたい。こうした思いで、「ガバナンス・コンプライアンス・リスクマネジメント」に取り組みます。』と書かれている。トヨタ自動車のガバナンスの考え方は、自動車業界のリーダーとして、社会と共に成長することを念頭において事業活動をしており、ステークホル
ダーから信頼され続けることを最重要課題としていることである。この期待を踏まえてサステ
ナビリティ課題として特定している。サステナ【図１】 トヨタ自動車のガバナンスの位置付け【図「サステナビリティ」「社会・環境分ＥＳＧ（環境・社会・ガバナンス）に基づく取り組み
基本的な考え方ＣＳＲ方針：「社会・地球の持続的発展への貢献」他
サステナビリティ課題
パリ協定、国連ビジネスと人権に関する指導原則、
ＳＤＧｓ（持続可能な開発目標）

Ｅ：環境問題Ｓ：社会課題Ｇ：ガバナンス・コンプライアンス体制
・コンプライアンスの徹底
・不祥事を起こさない内部統制
・リスクマネジメント

ガバナンス

サステナビリティレ
ᵆ英文・和トップメッセージ
ＣＳＲマネジメント

コーポレートガバナンス
・持続的な成長と長期安定的な企業価値の向上
・各ステークホルダーと良好な関係を築く

コンプライアンスviva

・内外の法その精神を遵守
・内部統制の基本方針に基づく行動指針
・贈収賄防止への取組

・ＣＳＲに対する考・ＣＳＲ基本方針
・ＣＳＲ活動の目標
・人間尊重の取り・ＳＤＧｓへの取りリスクマネジメント
・リスクを予防・軽減
・情報セキュリティの取組
機密情報・個人情報等
情報資産の保護マネジメント体制
環境活動
社会貢献活動

不祥事を起こさない内部統制

参考文献：「サステナビリティ」 トヨタ自動車ＨＰより筆者作成 【２】

参考文献：「社会【図３】 みずほＦＧのガバナンスの位置付け【図ᵒ】求Vol.32, No.1

ビリティ課題の特定にあたっては、事業を取り巻く環境を「パリ協定」「国連ビジネスと人権に 関 す る 指 導 原 則 」「SDGs (Sustainable
Development Goals: 持続可能な開発目標 )」など、国際的に合意された規範を踏まえ、企業
価値の向上と経営基盤の強化、リスクマネジメ
ントの両面から検討されている。
その上で、サステナビリティ課題として、
ESG を 掲 げ て い る。ESG は、 そ れ ぞ れ 環 境（Environment）、社会（Social）、ガバナンス【図１】 トヨタ自動車のガバナンスの位置付け（Governance）の頭文字であり、ESG の取組「サステナビリティ」
みは優れた企業の証となる。社会の発展に貢献
ＥＳＧ（環境・社会・ガバナンス）に基づく取り組み
し、将来に渡って持続的に成長するという考え
基本的な考え方
ガバナンス
ＣＳＲ方針：「社会・地球のコーポレートガバナンス
方が根底にある。また、ガバナンスの中に、経持続的発展への貢献」他
・持続的な成長と長期安定的な企業価値の向上
サステナビリティ課題
営を揺るがすリスクの未然防止を目的に、「コー・各ステークホルダーと良好な関係を築く
パリ協定、国連ビジネスと人権に関する指導原則、
ＳＤＧｓ（持続可能な開発目標）
ポレートガバナンス」「コンプライアンス」「リ
リスクマネジメント
コンプライアンスviva
Ｅ：環境問題・内外の法その精神を遵守
・リスクを予防・軽減
・内部統制の基本方針に
Ｓ：社会課題・情報セキュリティの取組
スクマネジメント」とともに、「不祥事を起こ
基づく行動指針
機密情報・個人情報等
Ｇ：ガバナンス・贈収賄防止への取組
情報資産の保護・コンプライアンス体制[3]・コンプライアンスの徹底さない内部統制」を掲げている。
不祥事を起こさない内部統制
・不祥事を起こさない内部統制
・リスクマネジメント【図 2】②大手テクノロジーの企業の「富士通」
参考文献：「サステナビリティ」 トヨタ自動車ＨＰより筆者作成 【２】富士通はテクノロジーをベースとしたグロー バル ICT（Information and Communication
Technology）企業である。富士通は、「地球と社会の持続可能発展に貢献」をテーマに、「社会・【図３】 みずほＦＧのガバナンスの位置付け
環境分野の取り組み」の中のマネジメント体制
において、「コーポレートガバナンス」
「コンプ
経営体制
ＣＳＲ（企業の社会的責任）
ライアンス」「リスクマネジメント」「情報セキュ
ガバナンス
コーポレート・ガバナンス
リティ」を掲げている。また、「地球と社会のリスクガバナンス
コーポレート・ガバナンス コンプライアンス
リスクカルチャー
基本的考え
基本的考え方
リスクアペタイト マネジ
持続可能発展に貢献」の中では、「CSR
コーポレート・ガバナンスに コンプライアンス運営体制
３つの防衛線
マネー・ローンダリング等関する規程・報告書
ＩＴ戦略
防止に向けた取り組み
企業統治システム
メント」「環境活動」「社会貢献活動」なども掲
ＩＴガバナンスの強化
反社会的勢力との関係遮断
・ＩＴ構造改革の取り組み
・ＩＴサイバーセキュリティ
げており、持続可能な発展をめざした「サステ・ＩＴ次期システムの取り組み
事業継続管理リスク管理
緊急事態発生時の人材活躍促進と総合的リスク管理
ナビリティ」が重要な取り組みとなっている。
「金融決済機能維持」
信用リスク
カルチャーの確立
自然災害態勢整備
流動性リスク・カルチャーの確立
テロ・暴動・サイバー攻撃
市場リスク
前述のトヨタ自動車と特徴的な違いは、マネジ
ステークホルダー
オペレーショナルリスク管理
コミュニケーション
メント体制のなかで、「情報セキュリティ」を
参考文献：「ＣＳＲ」 みずほＦＧ ＨＰより筆者作成 【ᵒ】掲げていることである。情報セキュリティがテ
クノロジー企業として、重要な取り組みである
ことを示している。
【図５】キヤノンＭＪの情報セキュリティガバナンスとマネジメント
コーポレートガバナンスの中で、内部統制に
情報セキュリティガバナンスの「ＥＤＭモデル」を確立している事例である。
関する基本方針が示されており、企業価値の持ＣＳＲ委員会による情報セキュリティガバナンスの強化
情報管理リスクは重要な経営管理の一つであるため、経営層による情報セキュリティガバナンス
続的向上を図るための経営効率化の追求、事業のもとで、情報セキュリティマネジメントを実施しています。
すべてステークホルダー（利害関係者）
活動で生じるリスクコントロールの重要性を示
報告
経営層 経営層している。その内容では、業務執行の決定と執ᵰᶃᶎᶍᶐᶒ
監督
ᵭᶔᶃᶐᶑᶃᶃ
キヤノンᵫᵨ
行体制、リスクマネジメント体制、コンプライ
評価ᵡᵱᵰ委員会ᵣᶔᵿᶊᶓᵿᶒᶃ
アンス体制の整備が図られている。リスクマネ
方向付け
モニタリング
情報セキュリティᵢᶇᶐᶃᶁᶒ
ᵫᶍᶌᶇᶒᶍᶐ
ガバナンス
ジメント体制では、製品・サービスの欠陥や瑕
管理者層
疵に関するリスク管理体制、受注プロジェクト
情報セキュリティ管理
監査（各社各部門）ᵧᶌᶄᶍᶐᶋᵿᶒᶇᶍᶌᴾᵱᶃᶁᶓᶐᶇᶒᶗᴾᵫᵿᶌᵿᶅᶃᶋᶃᶌᶒ
ᵟᶓᶂᶇᶒ
の管理体制、セキュリティ体制及び財務上のリ
出典：キヤノンマーケティングジャパン 「情報セキュリティ報告書２０１６」 より転載【ᵗ】スク管理の整備を図っている。また、リスクマ
ネジメントのプロセスでは、事業活動に伴うリスクの抽出・分析・評価を実施し、重要なリス
クに対する回避・軽減・移転・保有などの対策
状況を確認した上で、①リスクマネジメントの方針・プロセスの決定、②プロセスの実践、③モニタリング・見直し、④継続的改善のマネジ
メントサイクルが実施され、定期的に取締役会に報告されている。
【図２】 富士通のガバナンスの位置付け「社会・環境分野の取り組み」
マネジメント体制
サステナビリティレポート
ᵆ英文・和文）トップメッセージ
ＣＳＲマネジメント
・ＣＳＲに対する考え方
・ＣＳＲ基本方針・推進体制
・ＣＳＲ活動の目標と実績
・人間尊重の取り組み
・ＳＤＧｓへの取り組み

マネジメント体制
環境活動
社会貢献活動コーポレートガバナンス

リスクマネジメント

・コーポレートガバナンス体制
・内部統制に関する基本方針
・業務の適正に確保するための体制運用状況・リスクマネジメント方針
・事業活動に伴うリスク
・リスクマネジメント体制
・事業継続マネジメント（ＢＣＭ）ほか

コンプライアンス・経営者の取り組み・グローバルコンプライアンス・規定・手続きの整備
・教育ほか

情報セキュリティ・基本方針
事業
情報セキュリティマネジメント
・セキュリティ施策
・個人情報保護・ＧＤＰＲ他

参考文献：「社会・環境分野の取り組み」「マネジメント体制」富士通ＨＰより筆者作成 【ᵑ】

ＣＩＳＯ



53

システム監査の視点からの企業ガバナンスの一考察

リスクマネジメント体制とコンプライアンス
体制は、「内部統制体制の整備に関する基本方
針」での中心的な位置付とされており、具体的には「リスク・コンプライアンス委員会」を設【図ᵒ】求められるガバナンスのモデルフレームワーク
置し、取締役会の直属組織となっている。この経営体制
委 員 不正行為の防止・競争力・収益力の向上
会 の ガバナンス
中 に CISO（Chiefサステナビリティ
Information
戦略的・基盤的ＣＳＲ
コーポレートガバナンス
コーポレートガバナンス
Security
Officer:
人権尊重・企業倫理の遵
持続的な成長と最高情報セキュリティ責任報告書
守・地域社会への貢献
長期安定的な企業価値の向上
地球環境への配慮等
者 ) を置き、情報セキュリティ施策の策定と実コンプライアンス
リスクマネジメント
サステナビリティレポート
企業倫理
潜在化の全社リスクの把握
ＣＳＲ報告書 を基幹業行を行っている。また、該社は、ICT
行動指針・法令順守
顕在化リスクの最小化
環境報告書等
ＩＴガバナンス
務としており、「快適で安心できるネットワー
情報セキュリティガバナンス
ＩＴ・情報システムの戦略策
ᵧᵲ戦略・情報戦略
情報セキュリティ
定・実現、ＩＴ投資・効果の継続最適化、ＩＴリスク評価
ク社会づくり」
への貢献を企業理念としている。
情報資産の保護・情報リス
内部統制
ク管理、内部統制を支える
ＩＴガバナンス
報告書
そこで、マネジメント体制の中では、「情報セ
情報セキュリティ
内部統制
ガバナンス報告書
報告書
キュリティの確保」を重点課題としており、

ICT ビジネスを支える情報セキュリティガバナ
ンスの強化を図っている。情報の保護を目的とする「情報管理」、サイバー攻撃に対するシス
 【図６】
情報システムのガバナンスとマネジメントの監査
テム防御施策の「サイバーセキュリティ」、オ
株主・取引先・顧客・社会等からの評価
ステークホルダー
フィス・工場のファシリティの不正アクセスを予防する「物理セキュリティ」を重点施策とし監督（Ｏｖｅｒｓｅｅ）
経営層 情報システムのガバナンスて取り組んでいる。また、グローバルなデータ
ＣＩＯ
監査役：
ＩＴガバナンス
監査役監査
ＣＩＳＯ
情報セキュリティガバナンス（＋内部監査人や流通が進展することから、個人情報保護の強化
システム監査人）
評価が図られており、プライバシーマークを取得す
モニター
方向付け
連携
支援
管理者層
情報システムマネジメント
るとともに、2018
年 5 月 25 日より施行され
従業員層
監査部門：
た EU 一 般ＩＴマネジメント
デ ー タ 保 護 規 則（General
Data
内部監査
情報セキュリティマネジメント
Protection Regulation; GDPR）の個人情報の域外移転規制への対応として、個人データ処理

54

Mar.2019

シ ス テ ム 監 査

者 の た め の 拘 束 的 企 業 準 則（Binding
Corporate Rules for Processors : BCR-P）を
オランダのデータ保護委員会に承認申請をしている [4]。
③金融機関の「みずほファイナンシャルグループ（FG）」【図 3】
日本の大手金融機関の一つである「みずほファイナンシャルグループ」のガバナンスは、「CSR（企業の社会的責任）」の中に位置付けている。さらに、ガバナンスの中には、「コーポレー
トガバナンス」「コンプライアンス」「リスク管理」「事業継続管理」の管理・統制機能が掲げられている。併せて、経営体制の中のおいても、「コーポレートガバナンス」と「IT 戦略」を掲げている。該社は金融機関であることから、リスク管理での総合リスクとして、①信用リスク、【図１】 トヨタ自動車のガバナンスの位置付け②市場リスク・流動性リスク、③オペレーショ「サステナビリティ」
ＥＳＧ（環境・社会・ガバナンス）に基づく取り組み
ナルリスクを掲げるとともに、
さらに、オペレー
基本的な考え方ガバナンス
ショナルリスクを細分化し、システムリスク、
ＣＳＲ方針：「社会・地球のコーポレートガバナンス
持続的発展への貢献」他
・持続的な成長と事務リスク、法務リスク、人的リスク、有形資
長期安定的な企業価値の向上
サステナビリティ課題
・各ステークホルダーと良好な関係を築く
パリ協定、国連ビジネスと産リスク、規制・制度変更リスク、レピュテー
人権に関する指導原則、
ＳＤＧｓ（持続可能な開発目標）
リスクマネジメント
コンプライアンスviva
Ｅ：環境問題・内外の法その精神を遵守
・リスクを予防・軽減
ショナルリスクを掲げて、より厳格なリスク管・内部統制の基本方針に
Ｓ：社会課題・情報セキュリティの取組
基づく行動指針
機密情報・個人情報等
Ｇ：ガバナンス・贈収賄防止への取組
理がなされている。これらのリスク管理は、決情報資産の保護・コンプライアンス体制
・コンプライアンスの徹底
不祥事を起こさない内部統制
・不祥事を起こさない内部統制
して金融機関のみのリスク管理の内容ではな・リスクマネジメント
参考文献：「サステナビリティ」 トヨタ自動車ＨＰより筆者作成 【２】く、一般企業においても求められるリスク管理

の内容であるが、厳格なリスク管理を掲げているのは、金融機関としての社会的責任の表れと言える。
【図３】 みずほＦＧのガバナンスの位置付け
経営体制

ＣＳＲ（企業の社会的責任）

ガバナンス
コーポレート・ガバナンス

コーポレート・ガバナンス
リスクガバナンス

コンプライアンス

リスクカルチャー
リスクアペタイト
３つの防衛線

基本的考え
基本的考え方コーポレート・ガバナンスに コンプライアンス運営体制
マネー・ローンダリング等関する規程・報告書防止に向けた取り組み
企業統治システム
反社会的勢力との関係遮断

リスク管理

ＩＴ戦略
ＩＴガバナンスの強化
・ＩＴ構造改革の取り組み
・ＩＴサイバーセキュリティ
・ＩＴ次期システムの取り組み

事業継続管理人材活躍促進とカルチャーの確立

緊急事態発生時の総合的リスク管理「金融決済機能維持」
信用リスク
自然災害態勢整備
流動性リスク
テロ・暴動・サイバー攻撃
市場リスク
オペレーショナルリスク管理

・カルチャーの確立

ステークホルダー
コミュニケーション

参考文献：「ＣＳＲ」 みずほＦＧ ＨＰより筆者作成 【ᵒ】 また、該社は、日本を代表する、グローバルで開かれた金融総合グループとしての社会的責
任と公共的使命としての重みを常に認識し、「法【図５】キヤノンＭＪの情報セキュリティガバナンスとマネジメント
情報セキュリティガバナンスの「ＥＤＭモデル」を確立している事例である。
令・諸規則を遵守し、社会的規範に悖ることのＣＳＲ委員会による情報セキュリティガバナンスの強化ない誠実かつ公正な企業活動を実践すること」
情報管理リスクは重要な経営管理の一つであるため、経営層による情報セキュリティガバナンスのもとで、情報セキュリティマネジメントを実施しています。
をコンプライアンスと考えている。コンプライ
すべてステークホルダー（利害関係者）
アンスの徹底を、経営の基本原則として位置付
経営層
報告
経営層
ＣＩＳＯ

1．2 事例からみるガバナンスの考察（1）経営理念による管理統制フレームワークの違い

ガバナンスの管理統制フレームワークには、共通的な項目として、コーポレートガバナンスとコンプライアンス、リスクマネジメント（リスク管理）が挙げられるが、これら以外の項目は、経営理念や方針により異なっており、以下のことが言【図２】 富士通のガバナンスの位置付けえる。
「社会・環境分野の取り組み」①ガバナンスは、経営理念のもとで、持続的な成マネジメント体制
長、社会の発展に貢献、企業価値の向上の実現
サステナビリティレポート
コーポレートガバナンス
リスクマネジメント
ᵆ英文・和文）・コーポレートガバナンス体制 ・リスクマネジメント方針をめざして取り組むこととしている。そして、
トップメッセージ
・内部統制に関する基本方針 ・事業活動に伴うリスク
ＣＳＲマネジメント
・業務の適正に確保するため ・リスクマネジメント体制
・ＣＳＲに対する考え方
会計上の利益のみならず、CSR
や環境問題への体制運用状況
・事業継続マネジメント
・ＣＳＲ基本方針・推進体制（ＢＣＭ）ほか
・ＣＳＲ活動の目標と実績
コンプライアンスの対応、地域（地元）への貢献度、高齢化問題
・人間尊重の取り組み
情報セキュリティ
・経営者の取り組み
・ＳＤＧｓへの取り組み
・基本方針
・グローバル
マネジメント体制など様々な取り組みにおいて、ステークホル
事業
情報セキュリティマネジメント
コンプライアンス
環境活動
・規定・手続きの整備 ・セキュリティ施策
社会貢献活動
・個人情報保護・ＧＤＰＲ他
・教育ほか
ダーから社会的評価を受けることも重要な企業
価値の一つとしている。
参考文献：「社会・環境分野の取り組み」「マネジメント体制」富士通ＨＰより筆者作成 【ᵑ】②企業は、ガバナンスを CSR やサステナビリティの中に掲げている、これは、企業が、永続的に生き、持続的に発展するためには、経済活動のみならず、企業と社会がともに成長し、社会貢【図ᵒ】求められるガバナンスのモデルフレームワーク
献、地球環境問題に取り組み、法定遵守することや企業倫理を遵守するなど、社会的責任の果
経営体制
ガバナンス
サステナビリティ
不正行為の防止・競争力・収益力の向上
すことであるとしている。これをCSR 経営、
戦略的・基盤的ＣＳＲ
コーポレートガバナンス
コーポレートガバナンス
人権尊重・企業倫理の遵
持続的な成長とサステナビリティ経営として前面に打ち出して報告書
守・地域社会への貢献
長期安定的な企業価値の向上
地球環境への配慮等いる。
コンプライアンス
リスクマネジメント
サステナビリティレポート
企業倫理
潜在化の全社リスクの把握
ＣＳＲ報告書
行動指針・法令順守
顕在化リスクの最小化③業種によっても、ガバナンスの中での管理・統環境報告書等
ＩＴガバナンス
情報セキュリティガバナンス
ＩＴ・情報システムの戦略策
制項目は異なっている。これは、業種により、
ᵧᵲ戦略・情報戦略
情報セキュリティ
定・実現、ＩＴ投資・効果の継続最適化、ＩＴリスク評価
情報資産の保護・情報リス
ステークホルダーに示すべき管理・統制の考え
内部統制
ク管理、内部統制を支える
ＩＴガバナンス
報告書
方が異なっているからと言える。ITや情報通
情報セキュリティ
内部統制
ガバナンス報告書
報告書
信の企業では、コーポレートガバナンス、コン
プライアンス、リスクマネジメントの他に、情報管理（個人情報・知的財産保護、情報セキュ
リティ等を含む）、内部統制などが掲げられて 【図６】
情報システムのガバナンスとマネジメントの監査おり、これらの項目は、企業活動（行動指針）
株主・取引先・顧客・社会等からの評価
ステークホルダーと密接に関連していると言える。
④事例企業の中では、IT
ガバナンスや情報セキュ
監督（Ｏｖｅｒｓｅｅ）
経営層 情報システムのガバナンス
ＣＩＯ
監査役：
ＩＴガバナンス
リティガバナンスを、ガバナンスやコーポレー
監査役監査
ＣＩＳＯ
情報セキュリティガバナンス

監督

評価ᵭᶔᶃᶐᶑᶃᶃ

キヤノンᵫᵨ
ᵡᵱᵰ委員会評価ᵣᶔᵿᶊᶓᵿᶒᶃ

方向付けᵢᶇᶐᶃᶁᶒ

管理者層

ᵰᶃᶎᶍᶐᶒ

けている。
経営体制の中に IT 戦略を掲げており、さらに、IT 戦略の中に IT ガバナンスの強化、IT サ
イバーセキュリティ及び IT 次期システムの取り組みを掲げている（図 3）。これらの項目は、
まさしく、IT ガバナンスと情報セキュリティ
ガバナンスに関するものであり、如何に重要な経営課題として捉えているかが伺える [5]。

モニター

方向付け

モニタリングᵫᶍᶌᶇᶒᶍᶐ

情報セキュリティ
ガバナンス

管理者層
従業員層

情報システムマネジメント
ＩＴマネジメント
情報セキュリティマネジメント

情報セキュリティ管理（＋内部監査人やシステム監査人）

連携
支援
監査部門：
内部監査

Ｇ：ガバナンス・コンプライアンス体制
・コンプライアンスの徹底
・不祥事を起こさない内部統制
・リスクマネジメント

基づく行動指針
・贈収賄防止への取組

マネジメント体制
環境活動
社会貢献活動

不祥事を起こさない内部統制

参考文献：「サステナビリティ」 トヨタ自動車ＨＰより筆者作成 【２】 No.1
Vol.32,

・情報セキュリティの取組
機密情報・個人情報等
情報資産の保護・グローバルコンプライアンス・規定・手続きの整備
・教育ほか

・基本方針
事業
情報セキュリティマネジメント
・セキュリティ施策
・個人情報保護・ＧＤＰＲ他

参考文献：「社会・環境分野の取り組み」「マネジメント体制」富士通ＨＰより筆者作成 【ᵑ】システム監査の視点からの企業ガバナンスの一考察55

トガバンスの項目として掲げている企業はな【図３】 みずほＦＧのガバナンスの位置付け【図ᵒ】求められるガバナンスのモデルフレームワーク
い。富士通は情報セキュリティガバナンスを情
経営体制
経営体制
ＣＳＲ（企業の社会的責任）
報セキュリティの基本方針の中で記載されておガバナンス
サステナビリティ
不正行為の防止・競争力・収益力の向上
り、みずほファイナンシャルグループは、IT
戦略的・基盤的ＣＳＲ
ガバナンス
コーポレート・ガバナンス
コーポレートガバナンス
コーポレートガバナンス
リスクガバナンス
人権尊重・企業倫理の遵
持続的な成長と報告書
コンプライアンス
コーポレート・ガバナンス
ガバナンスをIT 戦略の一項目として掲げてい守・地域社会への貢献
リスクカルチャー
長期安定的な企業価値の向上
基本的考え
地球環境への配慮等
基本的考え方
リスクアペタイトコーポレート・ガバナンスに コンプライアンス運営体制
３つの防衛線コンプライアンス
リスクマネジメント
る。 関する規程・報告書 マネー・ローンダリング等
サステナビリティレポート
企業倫理
潜在化の全社リスクの把握
ＩＴ戦略
防止に向けた取り組み
ＣＳＲ報告書
企業統治システム
行動指針・法令順守
顕在化リスクの最小化
ＩＴガバナンスの強化
環境報告書等
反社会的勢力との関係遮断（2）多様化するガバナンスの考え方
・ＩＴ構造改革の取り組み
・ＩＴサイバーセキュリティ
ＩＴガバナンス
情報セキュリティガバナンス
ＩＴ・情報システムの戦略策
・ＩＴ次期システムの取り組み
事業継続管理ᵧᵲ戦略・情報戦略
リスク管理
情報システムが高度化し多様な不祥事が続く
情報セキュリティ
定・実現、ＩＴ投資・効果の継緊急事態発生時の人材活躍促進と総合的リスク管理
続最適化、ＩＴリスク評価「金融決済機能維持」
情報資産の保護・情報リス
信用リスク
カルチャーの確立
内部統制
中、企業のガバナンスの考え方や仕組みは、少し
自然災害態勢整備
ク管理、内部統制を支える
流動性リスクＩＴガバナンス・カルチャーの確立
テロ・暴動・サイバー攻撃
報告書
市場リスク
ステークホルダー
情報セキュリティ
内部統制
オペレーショナルリスク管理
ずつ変化し進化している。また、ガバナンスは、
コミュニケーション
ガバナンス報告書
報告書
参考文献：「ＣＳＲ」 みずほＦＧ ＨＰより筆者作成 【ᵒ】
コーポレートガバナンスと同義に使われることが一般的となり、
リスクガバナンス、IT ガバナンス、

3．情報システムのガバナンスの位置付け
情報セキュリティガバナンス等の言葉が使われる
3．
1 情報システムのガバナンスの定義とフレー
 【図６】ようになってきた。ガバナンスは、一般的には、
情報システムのガバナンスとマネジメントの監査【図５】キヤノンＭＪの情報セキュリティガバナンスとマネジメント
ムワーク
情報セキュリティガバナンスの「ＥＤＭモデル」を確立している事例である。
経営方針や理念等と同じ位置付けのように考えら
株主・取引先・顧客・社会等からの評価
ステークホルダー
情報システムのガバナンスの中核となるのがＣＳＲ委員会による情報セキュリティガバナンスの強化れがちであるが、実際にはそのような位置付に
情報管理リスクは重要な経営管理の一つであるため、経営層による情報セキュリティガバナンスのもとで、情報セキュリティマネジメントを実施しています。
「IT経営層ガバナンス」と「情報セキュリティガバナンス」
監督（Ｏｖｅｒｓｅｅ）
情報システムのガバナンス
なっていない。 すべてステークホルダー（利害関係者）
ＣＩＯ
監査役：
ＩＴガバナンスである。IT
ガバナンスの定義は諸団体により異な一方、近年、IT
ガバンスや情報セキュリティガ
監査役監査
ＣＩＳＯ
情報セキュリティガバナンス
報告
経営層 経営層（＋内部監査人やᵰᶃᶎᶍᶐᶒ
り、経済産業省のIT
ガバナンスの定義は、「経営
監督
システム監査人）
バナンスは、情報戦略や情報セキュリティの中に評価ᵭᶔᶃᶐᶑᶃᶃ
キヤノンᵫᵨ
陣がステークホルダーのニーズに基づき、組織の
評価
モニター
方向付け
連携
ᵡᵱᵰ委員会
位置付けられるようになってきており、経済産業ᵣᶔᵿᶊᶓᵿᶒᶃ
支援
管理者層 情報システムマネジメント
価値を高めるために実践する行動であり、情報シ
方向付け
モニタリング
従業員層
省が示すコーポレートガバンスの中でのIT
ガバナ
情報セキュリティ
監査部門：ᵢᶇᶐᶃᶁᶒ
ᵫᶍᶌᶇᶒᶍᶐ
ＩＴマネジメント
ガバナンス
ステムのあるべき姿を示す情報システム戦略の策
内部監査
ンス及び情報セキュリティガバナンスの位置付け
情報セキュリティマネジメント
管理者層
情報セキュリティ管理
監査
定及び実現に必要となる組織能力とその仕組み」【6】（各社各部門）ᵧᶌᶄᶍᶐᶋᵿᶒᶇᶍᶌᴾᵱᶃᶁᶓᶐᶇᶒᶗᴾᵫᵿᶌᵿᶅᶃᶋᶃᶌᶒ
と異なっている。概して言えることは、ガバナ
ᵟᶓᶂᶇᶒである【2】。また、日本監査役協会 IT ガバナンス
出典：キヤノンマーケティングジャパン 「情報セキュリティ報告書２０１６」 より転載【ᵗ】ンスの下で共通して置かれている管理・統制項目

委員会は、「IT ガバナンスとは、コーポレートガ
は、多様化しており、その結果、ガバナンスは、コー
バナンスの一側面であって、企業価値の向上を目
ポレートガバナンス、コンプライアンス、リスク
指しつつ企業の社会的責任を果たし、かつ事業継
マネジメント（リスク管理）に加えて、IT 戦略、続と業務の有効性及び効率性を達成するために、情報管理（個人情報・無形資産の保護）、
情報セキュ
IT の戦略的利活用とそれに伴うリスクに対して、
リティ、事業継続管理、内部統制を包含した統治
全社的に対処するための取締役の職能と責任の明の仕組みとなっている。そして、ガバナンスは、
 確化、及びそれを独立した立場から監視・検証す「CSR・環境・社会貢献」や「CSR」、「経営方針」
る監査役の職能と責任を通じて、企業グループ全などの中に位置付けられており、ステークホル体としての IT 利活用の適切な推進と IT 利活用を
ダーや社会に分かりやすい言葉を使っている。
めぐるリスク対処を効果的にするための仕組みな
図 4 は、事例を参考にして筆者が考える「求めいしは活動をいう。」としている【7】。さらに、情られるガバナンスのモデルフレームワーク」であ報 シ ス テ ム コ ン ト ロ ー ル 協 会（ISACA） と ITる。IT が企業の中で戦略上、重要な役割を果たしGovernance Institute は、「IT ガバナンスは取締ているというならば、IT ガバナンス及び情報セ役会および経営陣の責任である。それは企業ガバ
キュリティガバナンスは前面に押し上げて掲げる
ナンスの不可欠な部分で、リーダーシップおよびべきである。IT ガバナンスの基で、情報システム
組織的な構造、および組織の IT がその組織の戦戦略が立案・開発推進され、情報セキュリティガ
略および目的を保持し拡張することを保証するプバナンスの基で情報セキュリティが実行されるのロセスから成る」としている【8】。三者の定義のポである。そして、企業が IT マネジメントや情報
イントは、経済産業省は「組織能力と仕組み」を
セキュリティマネジメントを推進する上で、経営言い、日本監査役協会は「IT 利活用とリスク対処
陣から見た行動指針やそのための必要な仕組みをの仕組み」を言い、ISCA は「プロセス」を主張明確化することが重要なのである。
している。
ＣＩＳＯ

56

シ ス テ ム 監 査

一方、経済産業省の情報セキュリティガバナン
スの定義は、「社会的責任にも配慮したコーポレー
トガバナンスと、それを支えるメカニズムである
内部統制の仕組みを、情報セキュリティの観点か
ら企業内に構築・運用すること」であるとしており、情報セキュリティガバナンスの対象は、IT の
みならず、組織の「情報資産」であり、その目的
は企業価値を高める IT 及び情報システムの戦略的活用とその情報資産の保護のセキュリティ確保である。情報システムのガバナンスは、情報システム部門に閉じた課題ではなく、企業全体の経営課題であるとしている【6】。
そこで、重要となるのが、IT ガバナンスや情報
セキュリティガバナンスの位置付けと推進体制である。そして、実務上は多くの社員が両方の業務に携わることになり、フレームワークは整合性のとれたものでなければならない。また、経済産業省が推進する情報セキュリティガバナンスのフレームワークは、IT ガバナンスの国際標準である「ISO/IEC 38500:2008(Corporate Governance ofInformation Technology)」【注 2】を参照している。
このことから、筆者は、経営レベルの IT ガバナン
スと情報セキュリティガバナンスは統合した組織で所管し、推進されるべきであると主張している。
3．2 IT ガバナンスと情報セキュリティガバナ
ンスの位置付けの問題
経済産業省は、「IT ガバナンス」と「情報セキュ
リティガバナンス」は、コーポレートガバナンスの一環として位置付けている。また、IT ガバナン
スと情報セキュリティガバナンスを一方が他方を包含する関係ではなく、一部を重複する明確に異なる関係になるとしている【6】。この関係は概念の位置付けと言えるが、前章の事例では、IT ガバナ
ンス及び情報セキュリティガバナンスをコーポ
レートガバナンスの中に位置付けていない。
コーポレートガバナンスは、一般的には、①「企業の不正行為の防止」と②「競争力・収益力の向上を総合的にとらえ、長期的な企業価値の増大に向けた企業経営の仕組み」であるとしている。近年、不祥事が多発するなかで、企業経営で注目すべきこととして、2015 年 6 月から上場企業に導入された JPX( 東京証券取引所）の「コーポレー
トガバナンス・コード」がある。本コードでは、「会
社が、株主をはじめ顧客・従業員・地域社会等の立場を踏まえた上で、透明・公正且つ迅速・果断

Mar.2019

な意思決定を行うための仕組みを意味する。」としており、コーポレートガバナンス・コードの基
本原則は、①株主の権利・平等性の確保、②株主
以外のステークホルダーとの適切な協働、③適切な情報開示と透明性の確保、④取締役会等の責務、⑤株主との対話の 5 つである【8】。
本コードであっても、IT ガバナンス及び情報セ
キュリティガバナンスを、基本原則のなかで位置付けしていない。もちろん、企業が本コードを適用する義務はない。独自のコーポレートガバナン
スの基準を制定することは可能であるが、その場合にはステークホルダーへの説明責任を果たすことが必要である。
3．3 国際標準の情報セキュリティガバナンスを位置付けた企業
IT ガ バ ナ ン ス の 国 際 標 準 で あ る「ISO/IEC
38500」を基に、IT ガバナンス及び情報セキュリ
ティガバナンスを確立している企業は少ない。しかし、通信企業の NTT と先進的な「イメージン
グと IT」のソリューションカンパニーであるキヤ
ノン MJ グループは、情報セキュリティマネジメ
ント体制を構築し、情報セキュリティガバナンスを確立している企業である。図 5 は、キヤノン
MJ グループの情報ガバナンスとマネジメント体制である。
該社では、「CSR・環境」の中に、「情報セキュリティ」を位置付けている。また、「情報セキュ
リティガバナンスとマネジメント」なかで、『「セキュアな社会の実現」に寄与するために、経営層による「情報セキュリティガバナンス」に基づき、「情報セキュリティマネジメント」を推進し、情報セキュリティ成熟度の向上に取り組んでいます。』と記載している。また、情報セキュリティの取り組みは、コンプライアンスや環境対応、事業継続、品質管理などの社会要請への対応と密接に関連するとしている【10】。

情報セキュリティガバナンスの所管は、「キヤノン MJCSR 委員会」とし、その中で経営陣が情報セキュリティガバナンスを取り組んでいる。そして、この委員会で、情報セキュリティ方針や戦略などの決定「方向付け（Direct）」を行い、定期的に経営環境やリスクの変化、目標の達成状況などを「確認（Monitor）」し、「評価（Evaluate）」
するサイクルを回している。その上で、これらの一連のガバナンスと、そのもとで取り組まれていコーポレート・ガバナンス

リスクカルチャー
リスクアペタイト
３つの防衛線

基本的考え
基本的考え方コーポレート・ガバナンスに コンプライアンス運営体制
マネー・ローンダリング等関する規程・報告書防止に向けた取り組み
企業統治システム
反社会的勢力との関係遮断

ＩＴ戦略
ＩＴガバナンスの強化
・ＩＴ構造改革の取り組み
・ＩＴサイバーセキュリティ
・ＩＴ次期システムの取り組み

事業継続管理リスク管理

緊急事態発生時の総合的リスク管理「金融決済機能維持」
信用リスク
自然災害態勢整備
流動性リスク
テロ・暴動・サイバー攻撃
市場リスク
オペレーショナルリスク管理

Vol.32, No.1

コーポレートガバナンス
報告書

リスクガバナンス

コンプライアンス

情報セキュリティガバナンスの「ＥＤＭモデル」を確立している事例である。
ＣＳＲ委員会による情報セキュリティガバナンスの強化
情報管理リスクは重要な経営管理の一つであるため、経営層による情報セキュリティガバナンスのもとで、情報セキュリティマネジメントを実施しています。

すべてステークホルダー（利害関係者）

ＣＩＳＯ

報告
ᵰᶃᶎᶍᶐᶒ

監督
ᵭᶔᶃᶐᶑᶃᶃ

キヤノンᵫᵨ
ᵡᵱᵰ委員会評価ᵣᶔᵿᶊᶓᵿᶒᶃ

方向付けᵢᶇᶐᶃᶁᶒ

モニタリングᵫᶍᶌᶇᶒᶍᶐ

情報セキュリティ
ガバナンス

管理者層

情報セキュリティ管理

監査（各社各部門）ᵧᶌᶄᶍᶐᶋᵿᶒᶇᶍᶌᴾᵱᶃᶁᶓᶐᶇᶒᶗᴾᵫᵿᶌᵿᶅᶃᶋᶃᶌᶒ

ᵟᶓᶂᶇᶒ

出典：キヤノンマーケティングジャパン 「情報セキュリティ報告書２０１６」 より転載【ᵗ】
4．情報システムのガバナンスの確立と監査
4．1 情報システムの構築構造と情報システムのガバナンス
情報システムなしには経営は成り立たない。そこで、情報システムを活用して経営戦略を実現するために、「IT ガバナンス」を確立し、推進する
組織能力とその仕組みが必要となる。一方、その情報システムを安全に信頼して活用できるように、「情報セキュリティガバナンス」を確立し推進する組織能力とその仕組みが重要となる。情報システムの構築構造は、まず、経営戦略や情報戦
略の「経営」から、情報の有効活用や管理の「情報」になり、そして「情報システム」が構築される。
しかし、情報システムが構築されると、情報が作成されて、活用され、情報を経営戦略の実現に活用することで競争優位が展開できる。この情報システムから経営戦略の実現への流れを、IT 活用の側面から「IT ガバナンス」の確立が求められ、情報資産の保護の側面から「情報セキュリティガバ
ナンス」が確立され、推進することになる。この「経営 - 情報 - 情報システムの構築」の方向付けの流れと「情報作成 - 活用 - 経営戦略の実現」の流れが、スムースになるように情報システムのガバナンスの確立が求めれる。
4．2

コンプライアンス
企業倫理
行動指針・法令順守

情報セキュリティガバナンス
情報セキュリティ

ク管理、内部統制を支える・カルチャーの確立

ステークホルダー
コミュニケーション【図５】キヤノンＭＪの情報セキュリティガバナンスとマネジメント

経営層

リスクマネジメント
潜在化の全社リスクの把握
顕在化リスクの最小化

ＩＴガバナンスᵧᵲ戦略・情報戦略

人材活躍促進と情報資産の保護・情報リス
カルチャーの確立
システム監査の視点からの企業ガバナンスの一考察

参考文献：「ＣＳＲ」 みずほＦＧ ＨＰより筆者作成 【ᵒ】る情報セキュリティマネジメントの状況は、「情報セキュリティ報告書」
を通じて、社内外のステー
クホルダーに「報告（Report）」されている【図 5】。

経営層

コーポレートガバナンス
持続的な成長と長期安定的な企業価値の向上

情報システムのガバナンス確立の組織体制
IT ガバナンスは、経営陣がステークホルダーのニーズに基づき、組織の価値を高めるために実践する行動であり、情報システムのあるべき姿を示す「情報システムの戦略策定と実現」である。一方、情報セキュリティガバナンスを確立するには、経情報セキュリティ
ガバナンス報告書

内部統制

人権尊重・企業倫理の遵
守・地域社会への貢献
地球環境への配慮等
サステナビリティレポート
ＣＳＲ報告書
環境報告書等

ＩＴ・情報システムの戦略策
定・実現、ＩＴ投資・効果の継続最適化、ＩＴリスク評価
ＩＴガバナンス
報告書

57

内部統制
報告書

営陣は、情報資産に係る機密性、完全性、可用性
の観点からリスクを見直す必要がある。そのためには、情報資産に係るリスク管理を狙いとして、
情報セキュリティに関わる意識、取り組み及びそ【図６】 情報システムのガバナンスとマネジメントの監査れに基づく業務活動を組織内に徹底させる仕組み
株主・取引先・顧客・社会等からの評価
ステークホルダーを作る必要がある。
監督（Ｏｖｅｒｓｅｅ）
情報システムのガバナンス
IT ガバナンス、情報セキュリティガバナンスと
経営層
ＣＩＯ
監査役：
ＩＴガバナンス
もに、経営戦略・情報戦略から落とし込まれるも
監査役監査
ＣＩＳＯ
情報セキュリティガバナンス（＋内部監査人やシステム監査人）のであり、その推進体制は、経営陣から選任され
評価
モニター
方向付け
連携
た CIO
や CISO 等とともに経営戦略から情報戦略
支援
管理者層 情報システムマネジメント
従業員層への立案を推進する経営企画、情報企画部門等及監査部門：
ＩＴマネジメント
内部監査
び情報システムを開発する主要メンバーから構成
情報セキュリティマネジメント
された「情報システムのガバナンス委員会（仮称）」 等が現実的である。実務的には、多くの社員が両方の業務を携わることになり、IT ガバナンスと情報セキュリティガバナンスとともに、「情報システムのガバナンス委員会（仮称）」が、その確立の責務を負うことになる。中小企業の場合には、経営者が委員長となって、構成することも考えられる。事例であげたキヤノン MJ グループの「CSR委員会」の所管組織が「情報システムのガバナン
ス委員会（仮称）」と同じ位置付けと言える。
4．3 情報システムのガバナンスの監査の課題と実施
これまで IT ガバナンスが適切に実現されたのかどうか、あるいは、実現を支援する監査（システム監査を含めて）が実施されてきたのか、その事例はほとんど見受けられない。一般社団法人日本内部監査協会が 2019 年 2 月に発行した「監査白書 2017 年」によると、監査役による IT ガバ
ナンスを対象とした監査は実施されていない。しかし、同白書の「情報システム監査」において、監査対象に「情報システム戦略の全体的方針と整合性」があげられており、情報システム監査を実施している企業の中で、55.8% の企業が、この監査対象の監査を実施している。「情報システム戦
略の全体的方針と整合性」は、新たなシステム管理基準が最初に掲げている「情報システム戦略の方針及び目標選定」の中で、「経営陣は、経営戦略の方針に基づいて情報システム戦略・目標設定
及び情報システム化基本計画を策定し、適宜に見直しを行っていること。」に該当し、このことか
ら IT ガバナンスの監査が実施されていないとは言えない。ただし、この監査は内部監査人よる IT
ガバナンス関連項目の監査である。

58

また、監査対象に情報セキュリティ（ウイルス対策・個人情報保護等）管理やシステムの企画・【図２】 富士通のガバナンスの位置付け
設計・開発管理が実施されており、これらの内部監査において、経営陣が評価し、方向付け・モニ「社会・環境分野の取り組み」
マネジメント体制
タリングされているならば、IT
ガバナンスの情報
サステナビリティレポート
コーポレートガバナンス
リスクマネジメント
ᵆ英文・和文）セキュリティ（ITガバナンスがカバーしている範・コーポレートガバナンス体制 ・リスクマネジメント方針
トップメッセージ
・内部統制に関する基本方針 ・事業活動に伴うリスク
ＣＳＲマネジメント
・業務の適正に確保するため ・リスクマネジメント体制
囲の情報セキュリティを言う）が確立できている・ＣＳＲに対する考え方の体制運用状況
・事業継続マネジメント
・ＣＳＲ基本方針・推進体制（ＢＣＭ）ほか
・ＣＳＲ活動の目標と実績ことになる。ただし、その実現の適切性等の評価
コンプライアンス
・人間尊重の取り組み
情報セキュリティ
・経営者の取り組み
・ＳＤＧｓへの取り組み
・基本方針
・グローバルや保証は監査の実施によって担保されるのである
マネジメント体制
事業
情報セキュリティマネジメント
コンプライアンス
環境活動
・規定・手続きの整備 ・セキュリティ施策
が、それは監査役による監査でもなく、保証型の社会貢献活動
・個人情報保護・ＧＤＰＲ他
・教育ほか
監査でもない。
参考文献：「社会・環境分野の取り組み」「マネジメント体制」富士通ＨＰより筆者作成 【ᵑ】（1）情報システムのガバナンスの監査の実施 
情報システムのガバナンスの監査は、原則的には監査役により実施され、指摘事項があれば改善が求められる。また、監査の結果は、外部のステー
クホルダーへの報告と評価を受けることになる。
【図ᵒ】求められるガバナンスのモデルフレームワーク
このことから、監査とともに外部評価による指摘
・
経営体制
ガバナンス
改善が発生することから「監督（Oversee）」とサステナビリティ
不正行為の防止・競争力・収益力の向上
戦略的・基盤的ＣＳＲ
コーポレートガバナンス【図6】
コーポレートガバナンス
なる。また、前述の事例「図5人権尊重・企業倫理の遵
キヤノン MJ
持続的な成長と報告書
守・地域社会への貢献
長期安定的な企業価値の向上
地球環境への配慮等の情報セキュリティガバナンスとマネジメント」
コンプライアンス
リスクマネジメント
サステナビリティレポート
企業倫理
潜在化の全社リスクの把握
ＣＳＲ報告書の中で監査と監督の位置付けが示されている。
行動指針・法令順守
顕在化リスクの最小化
環境報告書等
ＩＴガバナンス
そこで、現実的な問題として、専門性の高い情報
情報セキュリティガバナンス
ＩＴ・情報システムの戦略策
ᵧᵲ戦略・情報戦略
情報セキュリティ
定・実現、ＩＴ投資・効果の継続最適化、ＩＴリスク評価システムのガバナンスの監査・監督は、監査役の情報資産の保護・情報リス
内部統制
ク管理、内部統制を支える
ＩＴガバナンス
報告書
みでできるのか、また、監査の対象や監査のポイ
情報セキュリティ
内部統制
ガバナンス報告書
報告書
ントはどこになるのかと言った問題が起こってくる。筆者は、情報システムのガバナンスの監査・監督は以下のように考える。

付け

ンス

向上
な関係を築くマネジメントを予防・軽減キュリティの取組
情報・個人情報等
資産の保護

部統制



付け

営体制

ート・ガバナンス
バナンス

チャー
タイト
衛線

ンスの強化
改革の取り組みーセキュリティ
システムの取り組み

促進と
ーの確立

ーの確立

ホルダー
ミュニケーション

シ ス テ ム 監 査 【図６】 情報システムのガバナンスとマネジメントの監査とマネジメント事例である。
ステークホルダー

株主・取引先・顧客・社会等からの評価

キュリティガバナンス

経営層
ＣＩＯ
ＣＩＳＯ

情報システムのガバナンス
ＩＴガバナンス
情報セキュリティガバナンス

監督

評価ᵭᶔᶃᶐᶑᶃᶃ

モニター

方向付け
管理者層
従業員層

情報セキュリティ
ガバナンス

情報システムマネジメント
ＩＴマネジメント
情報セキュリティマネジメント

監督（Ｏｖｅｒｓｅｅ）
監査役：
監査役監査
（＋内部監査人やシステム監査人）

連携
支援
監査部門：
内部監査

監査
ᵟᶓᶂᶇᶒ

①監査を実施する主体は監査役であるが、情報シ

ステムマネジメント及び情報セキュリティマネ
ジメントの監査を実施したシステム監査人や内部監査人の支援や連携体制による監査となる。
そこで、監査役は監査責任者となる。この体制をとることで、監査役としての監査責任は保たれ、専門性の高い有効な監査が実施できる。
②監査対象組織は「情報システムのガバナンス委

Mar.2019

員会（仮称）」とし、委員会組織の取組み内容
や役員会等での報告を対象に、経営者が EDM（評価・方向付け・モニタリング）モデルによる取り組むべき事項、内容についても監査・監督を実施する。
③監査のポイントは、経営陣に代わる「情報システムのガバナンス委員会（仮称）」が、IT ガバ
ナンスを策定・確立し、IT ガバナンスに基づいた情報システムが戦略的で効果的な情報シス
テムを構築しているか、IT 投資は適切で投資効果は有効であるか、また、情報セキュリティ
ガバナンスに基づいた情報セキュリティは有効に機能しているか、情報セキュリティ投資は適切で投資効果は有効であるか、等が挙げられる。
さらに、ステークホルダーへの報告と評価を「情報システムのガバナンス委員会（仮称）」で、充分に討議し改善に繋げているか、と言ったことは、経営陣の視点で E（評価）、D( 方向付け )、M（モニター）されているかがポイントとなる。
これらの監査のポイントは、あくまで「情報システムのガバナンス委員会（仮称）」が経営陣に代わって実行されるもので、最終的な責務は経営陣自身であることが意識の中になければな
らない、その意識付けは監査役の責務である。
5．おわりに筆者は、企業のなかでコンピュータ犯罪や事故でのセキュリティ対策やシステム監査の研究をしてきた。しかし、近年、企業で不祥事が発生し、そのたびにガバナンスの問題が指摘されるようになった。そこで、ガバナンスの確立に、システム
監査やセキュリティ監査がどのように関わることができるのか、高い視点（俯瞰的な視点）で見る必要がある。ガバナンスの確立が経営陣の行動に関わるからである。いみじくも、昨年に「システム管理基」が改訂・公表され、経営陣による IT
ガバナンスの確立の重要性を強調した。
本稿は、企業のガバナンスの考え方を知る手がかりとして、まず、主要企業のガバナンスについて調査し、その結果、企業組織全体からのガバナ
ンスの位置付け及びガバナンスの内容として掲げられた管理統制フレームワークを作成し、その位置付けを明らかにすることができた。
一方、情報システムが高度化することで、情報システムのガバナンスの確立に貢献するシステム
監査が非常に重要となってきた。

Vol.32, No.1

システム監査の視点からの企業ガバナンスの一考察

しかし、情報システムのガバナンスの確立は、第一義的には、経営陣により方向付けされるものであり、監査は、監査役が実施する業務監査の一貫として位置付けられており、システム監査が貢献するには、より実践的なアプローチが必要である。その具体的な手法や手続きは、今後の研究課題と考えている。
【注】【注 1】文献や企業のホームページ等では、コー
ポレートガバナンスとコーポレート・ガバナンスの用語が使われている。本稿では、コーポレー
トガバナンスに統一した。
【注 2】ISO/IEC38500（IT ガバナンス）
本規格は、ISO（国際標準化機構）と IEC（国際電気標準会議）の総会で承認された「SC40専門委員会（IT サービスマネジメントと IT ガ
バナンス）」において、IT ガバナンスおよび IT
サービス管理に関する標準、ツール、フレームワークである。組織のガバナンスを実施する経営者層に対し、①評価（Evaluate）②方向付け（Direct）③モニター（Monitor）の 3 つを実践することが経営者としての役割、と定義している。情報システムマネジメントしての PDCA サ
イクルによるマネジメントモデルの上位に、ガバナンスモデルとして EDM モデルが位置付けられる。なお、日本では 2015 年 7 月に「JISQ 38500:2015 情報技術 IT ガバナンス」のみが JIS 化されている。
【参考・引用文献】【1】「 ガ バ ナ ン ス 」 実 用 日 本 語 辞 典 https://www.weblio.jp/content/ （2019 年 4 月 9 日）
【2】経済産業省（2018）「システム管理基準」
平成 30 年 4 月 20 日
【3】
「ガバナンス」トヨタ ホームパージ （2018年 11 月 13 日）
https://global.toyota/jp/sustainability/esg/【4】「社会・環境分野の取り組み」 富士通ホーム
ページ https://www.fujitsu.com/jp/about/csr/（2019. 年 4 月 9 日）
【5】「CSR（企業の社会的責任）」「経営体制」
みずほファイナンシャルグループ ホームペー
ジ（2018 年 11 月 13 日）
https://www.mizuho-fg.co.jp/company/
structure/index.html

59【6】経済産業省「企業における情報セキュリティ
ガバナンスのあり方に関する報告書」 平成 17
年3月【7】日本監査役協会「IT ガバナンス研究会 報告書」監査役に期待される IT ガバナンスの実践
平成 23 年 8 月 25 日
【8】JPX（株式会社東京証券取引所）「コーポレー
トガバナンス・コード」 2018 年 6 月 1 日【9】ISACA IT ガバナンス導入ガイド 第 2 版
IT ガバナンス /IT-Governance-ImplementationGuide_res_Jpn_1211.pd【10】経済産業省 「情報セキュリティガバナンスの導入ガイダンス」平成 21 年 6 月【11】「キヤノン情報セキュリティガバナンスとマ
ネ ジ メ ン ト 」「 情 報 セ キ ュ リ テ ィ 報 告 書 」
https://cweb.canon.jp/csr/security-report/
pdf/security-all2017.pdf （2018 年 3 月 16 日）