博士論文

IT ガバナンスモデルの研究−金融機関の事例を中心とした分析−
Motohiro KAMBASHI
神橋 基博

情報セキュリティ大学院大学
情報セキュリティ研究科
情報セキュリティ専攻

2020 年 3 月

目次
1

序論 .......................................................................................................................... 1
1-1. 本論文の背景 ...................................................................................................... 1
1-1-1. 金融機関をとりまく環境の変化 ............................................................. 1
1-1-2. IT による新しいリスク ............................................................................ 2
1-1-3. IT ガバナンスに関する問題意識 ............................................................ 3
1-2. 本論文の意義・目的 .......................................................................................... 3
1-3. 本論文の構成 ...................................................................................................... 4
2 IT ガバナンスに関する現状調査 ......................................................................... 7
2-1. 本章の概要 .......................................................................................................... 7
2-2. 「ガバナンス」の意味の変化 .......................................................................... 8
2-3. リスク概念の整理 .............................................................................................. 9
2-3-1. 金融庁におけるリスク概念 ...................................................................... 9
2-3-2 経済学におけるリスク概念 ..................................................................... 10
2-3-3 社会学におけるリスク概念 ......................................................................11
2-3-4 ISO 31000 におけるリスク概念 .................................................................11
2-3-5 リスク概念の整理 ..................................................................................... 122-4. 日本における IT ガバナンスの研究動向 ...................................................... 12
2-4-1. 日本における主要なガイドライン ........................................................ 12
2-4-2. 日本における主要な研究者 .................................................................... 18
2-4-3. まとめ ........................................................................................................ 27
2-5. 海外における IT ガバナンスの研究動向 ...................................................... 29
2-6. 既存の研究に対する批判 ................................................................................ 37
2-7. 本章のまとめ .................................................................................................... 38
3 IT ガバナンス定義の分析 ................................................................................... 40
3-1. 本章の概要 ........................................................................................................ 40
3-2.IT ガバナンス定義に関する先行研究 ............................................................. 40
3-2-1. 定義の分析 ................................................................................................ 40
3-2-2. 成功要因と業務への影響 ........................................................................ 41
3-2-3. 範囲と方向性 ............................................................................................ 42
3-2-4. 先行研究に対する考察 ............................................................................ 44
3-3. IT ガバナンスの定義に関する仮説 ................................................................ 45
3-3-1. 概念の組合せによって構成される IT ガバナンスの定義 ................... 45
3-3-2. IT ガバナンスの定義を構成する 5 つの概念グループ ......................... 47
3-3-3. 5 つの概念グループを用いた IT ガバナンス定義の分類 .................. 54

3-4. ガイドラインの分析による仮説の検証 ........................................................ 55
3-4-1. 分析の対象と手法 .................................................................................... 55
3-4-2. 分析結果と考察 ........................................................................................ 57
3-5. IT ガバナンスの概念モデルのメリット ........................................................ 61
3-6. 本章のまとめ .................................................................................................... 62
4 IT ガバナンスの組織モデル ............................................................................... 64
4-1. 本章の概要 ........................................................................................................ 64
4-2. 組織と IT に関する先行研究 .......................................................................... 65
4-3. IT ガバナンスの組織モデル ............................................................................ 69
4-3-1. 遠山モデルと IT ガバナンス ................................................................... 69
4-3-2. 遠山モデルにおける課題 ........................................................................ 70
4-3-3. 人体の研究におけるシステム理論への知見 ........................................ 71
4-3-4. IT ガバナンスの組織モデルの概要 ......................................................... 72
4-4. IT ガバナンスの組織モデルのメリット ........................................................ 75
4-5. IT ガバナンスの組織モデルと事例 ................................................................ 76
4-6. 本章のまとめ .................................................................................................... 78
5 IT ガバナンスの社会モデル ............................................................................... 80
5-1. 本章の概要 ........................................................................................................ 80
5-2. IT ガバナンスと信頼 ........................................................................................ 81
5-2-1. ルーマンの信頼理論 ................................................................................ 81
5-2-2. 信頼と IT ガバナンス ............................................................................... 83
5-2-3. 信頼とガイドライン ................................................................................ 84
5-2-4. 信頼と IT ガバナンス事例 ....................................................................... 85
5-3. IT ガバナンスの社会モデル ............................................................................ 85
5-3-1. 自己表現の場の必要性 ............................................................................ 85
5-3-2. 青木の社会関係資本理論 ........................................................................ 86
5-3-3. IT ガバナンスの社会モデルと IT ガバナンス事例 ............................... 87
5-4. IT ガバナンスの社会モデルのケーススタディ ............................................ 90
5-4-1. IT ガバナンスによる信頼の回復（金融機関 A 行） ............................ 90
5-4-2. 信頼回復の失敗（流通業子会社 B 社） ................................................ 91
5-4-3. 「業界」による信頼の確立（一般社団法人 C） ................................. 92
5-4-4. 「AI」に関する信頼の確立 .................................................................... 93
5-4-5. 「IoT」に関する信頼の確立 ................................................................... 93
5-4-6. ケーススタディへの考察 ........................................................................ 94
5-5. IT ガバナンスの社会モデルのメリット ........................................................ 95
5-6. 本章のまとめ .................................................................................................... 95

6

結論と今後の課題 ................................................................................................ 97
6-1. 本論文の概要と結論 ........................................................................................ 97
6-2. 3 つの IT ガバナンスモデルの関係 .............................................................. 100
6-3. 今後の課題 ...................................................................................................... 101
6-4. 金融機関の経営者への提言 .......................................................................... 102
6-5. 本論文の貢献 .................................................................................................. 103
謝辞 .............................................................................................................................. 104
参考文献 ...................................................................................................................... 105
付録 ...............................................................................................................................110
付録 A. 用語集 ........................................................................................................110
付録 B. 主要な IT ガバナンスの定義 ...................................................................112
付録 C. IT ガバナンス事例集との対応 .................................................................115

図目次
図 1 IT ガバナンスに関する論文数 ................................................................. 7
図 2 JIS X 38500:2015 における IT ガバナンスのモデル ............................ 16
図 3 IT ガバナンスの構成 ............................................................................... 19
図 4 IT ガバナンスと IT 戦略の関係 .............................................................. 19
図 5 淀川(2018)におけるデジタルガバナンス ............................................. 26
図 6 デジタルガバナンスと IT マネジメントの対応 .................................. 27
図 7 Henderson(1994)における IT 戦略モデル .............................................. 30
図 8 戦略整合性の成熟度モデル .................................................................... 31
図 9 BSC における情報システムの位置づけ................................................ 33
図 10 IT ガバナンスと IT マネジメントの差異............................................ 34
図 11 Weill & Ross(2004)における IT ガバナンスの位置づけ .................... 35
図 12 IT ガバナンスに関する 4 つの学派 ..................................................... 36
図 13 IT ガバナンスの成功要因と業績への影響 ......................................... 41
図 14 IT ガバナンスの範囲 ............................................................................. 43
図 15 ファヨールによる組織に不可欠な活動 .............................................. 47
図 16 ファヨールによる経営管理プロセス .................................................. 47
図 17 7S フレームワーク ................................................................................. 48
図 18 J.R.ガルブレイスによるスターモデル ................................................ 49
図 19 JIS Q 38500 における EDM モデル ...................................................... 52
図 20 概念グループの出現率 .......................................................................... 57
図 21 「経営者」と概念グループの共起性 .................................................. 58
図 22 経済産業省(2004)における対応分析.................................................... 60
図 23 経済産業省(2018)における対応分析.................................................... 61
図 24 情報伝達の範囲 ...................................................................................... 73
図 25 IT ガバナンスの組織モデル ................................................................. 74
図 26 自己表現と信頼 ...................................................................................... 83
図 27 課題事例に関する自己表現と信頼 ...................................................... 83
図 28 信頼と社会関係資本 .............................................................................. 88
図 29 業界とシステム信頼 .............................................................................. 89
図 30 社会関係資本による選好 ...................................................................... 89
図 31 金融機関 A 行における IT ガバナンスの社会モデル........................ 90
図 32 流通業子会社 B 社における IT ガバナンスの社会モデル ................ 91
図 33 一般社団法人 C における IT ガバナンスの社会モデル .................... 92
図 34 「AI」に関する IT ガバナンスの社会モデル .................................... 93

図 35 「IoT」に関する IT ガバナンスの社会モデル................................... 94
図 36 3 つの IT ガバナンスモデルの関係 ................................................... 100

表目次
表 1 IT の失敗が経営に影響を及ぼした事例 ................................................. 2
表 2 リスク概念の分類 .................................................................................... 12
表 3 IT ガバナンスの 6 つの原則 ................................................................... 16
表 4 IT マネジメントと IT ガバナンスの違い.............................................. 22
表 5 IT ガバナンスの構成要素 ....................................................................... 25
表 6 IT マネジメントと COBIT 5 の対応 ...................................................... 26
表 7 IT ガバナンス定義の中核概念と参照文献 ........................................... 28
表 8 IT Governance に関する被引用数の多い文献 ....................................... 29
表 9 IT Governance に関する主要な研究者 ................................................... 29
表 10 IT ガバナンスの評価項目 ..................................................................... 32
表 11 各学派における IT ガバナンス定義の中核概念と参照文献............. 37
表 12 ISO における”Governance”関連の標準 ................................................ 38
表 13 IT ガバナンスの定義の分析結果 ......................................................... 40
表 14 IT ガバナンスに関する 6 つの流れ ..................................................... 42
表 15 IT ガバナンスの方向 ............................................................................. 43
表 16 IT ガバナンスの領域間の相関係数 ..................................................... 44
表 17 IT ガバナンスの定義間の相関係数 ..................................................... 44
表 18 代表的な IT ガバナンスの定義で用いられている単語 .................... 46
表 19 IT ガバナンスの定義を構成する単語のグループ ............................. 46
表 20 バランスト・スコアカードにおける無形の資産の種類 .................. 51
表 21 IT ガバナンス定義の分類 ..................................................................... 54
表 22 通商産業省(1998)と経済産業省(2018)における IT ガバナンス定義の差異 ................................................................................................................ 55
表 23 ガイドラインの改訂前後における IT ガバナンス定義の差異 ........ 56
表 24 本論文で用いるコーディングルール .................................................. 57
表 25 経済産業省(2004)における章毎の出現率............................................ 59
表 26 経済産業省(2018)における章毎の出現率............................................ 60

初出一覧
1．学術論文① 2018 年 2 月“IT ガバナンス向上に向けたガイドラインの活用に関する提言”
システム監査学会学会誌 設立 30 周年記念特別号（研究奨励賞）
 計量テキスト分析を用いて、複数のガイドラインにおける JIS Q
38500:2015 における EDM モデルとの関連性を比較した。
この論文で用いた分析手法を「IT ガバナンスの概念モデル」に応用したのが、本論文 3 章である。
② 2019 年 2 月“IT ガバナンスに基づくガイドラインの展開に向けた提言”
システム監査学会学会誌 第 32 巻第 1 号（研究ノート）
 経済産業省「システム監査指針」「システム管理基準」改訂における議論を踏まえ、今後の IT ガバナンス検討の方向性を提言した。
この論文における「自己診断」を社会システム理論に展開したのが、本論文 5 章「IT ガバナンスの社会モデル」における「信頼」である。

2．上記以外の発表等① 2016 年 6 月“グローバル IT ガバナンスの監査に対する一考察〜グローバル金融セクタを事例として〜”
セキュリティマネジメント学会 第 29 回公開シンポジウム
 IT ガバナンス監査事例をとおして、IT ガバナンス実践における「統括部署」の重要性を指摘した。
この「統括部署」をモデル化したのが、本論文 4 章の「IT ガバナン
スの組織モデル」におけるフィルタリングである。
② 2016 年 11 月“「金融機関等のシステム監査指針」における IT ガバナンスとの関連性”
システム監査学会 第 29 回公開シンポジウム
 計量テキスト分析を用いて、ガイドラインにおける EDM モデルとの関連性の比較を初めて行った。
この発表を、論文としてまとめたのが、上記の①-1 であり、本論文の 3 章の分析に応用している。

③ 2017 年 2 月“IT ガバナンス構築・運用に向けたガイドラインの活用に関する提言”
情報処理学会 第 75 回 EIP 研究会
 計量テキスト分析を用いて、ガイドラインにおける EDM モデルとの関連性の比較について、比較対象を追加した。
2-②と同様、3 章の分析に応用している。
④ 2018 年 9 月“Governance of IT in Cybersecurity: Difference with Information Security using
Quantitative Content Analysis”
WSSF: World Social Science Forum 2018 (国際会議発表)
 計量テキスト分析を用いて、サイバーセキュリティに関する米国のNIST フレームワークと、経産省「セキュリティ管理基準」などを比較した。
サイバーセキュリティにおける IT ガバナンスとの関連性が、本論文
3 章「IT ガバナンスの概念モデル」の原型の一つとなっている。
⑤ 2019 年 2 月“「IT ガバナンス」概念の再検討”
情報処理学会 第 85 回 EIP 研究発表会
 IT ガバナンスの定義の収集、先行研究の考察より、IT ガバナンスの定義を 4 つの概念グループの組み合わせとするモデルを提案。
IT ガバナンスの定義に関する考察は、本論文の 2 章および 3 章に展開している。また、概念グループに「責任」を追加し 5 つとしたのが、3 章における「IT ガバナンスの概念モデル」である。
⑥ 2020 年 2 月“IT ガバナンスにもとづく信頼の獲得と回復”
情報処理学会 第 87 回 EIP 研究発表会
 キャッシュレス決済サービスにおけるインシデント対応を事例として、信頼の獲得と回復について考察。分析に際して、インシデント
対応は 4 章の「IT ガバナンスの組織モデル」、信頼の獲得と回復は 5
章の「IT ガバナンスの社会モデル」を使用した。

1 序論

1 序論
1-1. 本論文の背景
1-1-1. 金融機関をとりまく環境の変化
金他（2010)は、1991 年の「バブル経済」崩壊以降、20 年にわたる日本経済の停滞を「失われた 20 年」とし、その原因を、バブル崩壊やその後の不適切な財政・金融政策がもたらした一過性の問題ではなく、慢性的な需要不足や生産性の長期低迷などの、長期的・構造的な問題に求めている。
1990 年以降、現在までを指して「失われた 30 年」とも呼ばれることもあるこの期間は、金融機関の情報システムにとっては、業務面および技術面で大きな変化の中にあった。
業務面からこの期間を振り返ると、もともと、金融機関は情報装置産業と呼ばれるほど、IT は不可欠の存在であり、金融機関の情報システムは相互にネットワークで接続され、重要インフラと位置づけられていた。金融庁(2019a)によると、1990 年代の金融自由化の流れの中で、金融機関においては、金融商品・サービスが多岐に広がり、業務が複雑化することで、情報システムは複雑化し、処理すべき情報量が増大した。情報システムが複雑化したことで、情報システ
ムの企画・開発・運用・保守というライフサイクルにおける細分化を招き、開発部門の子会社化、アウトソーシングの拡大など、外部への委託が増大した。
その一方で、近年における金融機関をとりまく環境は、人口減少・高齢化や、低金利環境の長期化により厳しい状況が続いており、金融機関がサービスを継続するためには、情報システムに対しても、自らの体力に応じたコストの制約の下、経営戦略を適切かつ効果的な形で実現させることが求められるようになっている。
また、技術面からこの期間を振り返ると、インターネット、携帯電話・スマートフォン、ビッグデータ、AI、IoT といった多数の革新的な技術・製品・サービスが登場した。インターネットについては、1984 年に日本の学術組織を接続したネットワークである JUNET(Japan University NETwork)の運用開始にはじまり、1998 年の Windows98 の発売、2001 年の電気通信事業者による割安や ADSL
接続サービスの提供開始などを契機として急速に普及した。携帯電話・スマー
トフォンは、1993 年のデジタル方式(第 2 世代)における通話時間の延長、料金低下による携帯電話の普及、2007 年の「iPhone」発売など、革新的な製品・サー
ビスによって市場構造が大きな変化を遂げてきた。[a]a 本項における年代は総務省(2019)に準拠する。

1

1 序論

業務面、技術面で大きな変化の中にあるために、金融機関における IT 戦略は金融機関のビジネスモデルに関わる重要課題であるだけでなく、金融機関の将来像に繋がる経営課題となっている。

1-1-2. IT による新しいリスク
IT の規模が大きくなるにつれて、組織体にとって、IT は新しい製品・サービスを生み出すチャンスとなるだけでなく、IT による新たなリスクが生じるようになってきた。
情報システムの開発や運用には専門家が必要であり、大規模な投資が必要となることから、投資の失敗は組織体の業績に大きな負の影響を与えるようになった。組織体が取引先や顧客の情報を情報システムに格納することで、データの不正利用、改ざんなどの事件が発生すると、その被害は取引先や顧客にまで拡大するようになった。また、すでに一部の情報システムは社会インフラとなっており、このような情報システムにおける障害、災害による被災、サイバー攻撃による被害は、その影響が社会全体にまで拡大することなる。障害・被災・攻撃への対処が不適切だった場合、経営陣がその責任を問われる恐れがある。
例えば、2017 年のランサムウェア WannaCry による被害は全世界に波及し、各国の組織体活動だけでなく、公共インフラにも大きな影響を及ぼした。
表 1 に示すように、IT の失敗が報道され、周知されるようになり、社会からの関心も高まっている。
表 1

IT の失敗が経営に影響を及ぼした事例

時期（組織体）事例

2016 年 3 月(ANA)2019 年 5 月(JAL)航空会社のシステム障害により全国の空港
で欠航が発生2014 年 2 月(マウントゴックス)
2018 年 1 月(コインチェック)
9 月(ザイフ)2019 年 7 月(ビットポイント)

仮想通貨交換業者より仮想通貨が不正流出

2018 年 12 月(PayPay)
2019 年 7 月(セブンペイ、FamiPay)

スマートフォン決済サービスのリリース時に障害、不正アクセス

2015 年 7 月(スルガ銀行・IBM)2018 年 5 月(旭川医大・NTT 東日本)

システム開発失敗の責任を巡り巨額の賠償訴訟

2019 年 6 月(ベネッセ)

子会社で発生した情報漏洩に対し、親会社の監督責任を認定

2

1 序論

1-1-3. IT ガバナンスに関する問題意識
原田(2016)によると、これらの問題に対処するには、情報システムの企画から、開発、導入、運用、廃棄まで全てのライフサイクルにわたってのコスト管理やプロジェクト管理が必要であり、経営者は、情報システムへのコスト管理・プ
ロジェクト投資・情報システムの利活用状況を監視するメカニズムを必要とす
るようになった。このようなメカニズムは、コーポレート・ガバナンスのアナ
ロジーから「IT ガバナンス」と呼ばれるようになったとしている。
組織体にとって、IT ガバナンスの向上は不可欠であり、IT ガバナンスに関する文献やガイドラインは数多く存在する。
その一方で、堀江(2006)、島田(2008)、吉武他(2018)等、多くの文献で指摘されているとおり、IT ガバナンスとは何か、どうすれば IT ガバナンスが向上するかという点については、文献やガイドラインによって異なっており、いまだ統一された見解が存在しない。

1-2. 本論文の意義・目的
本論文では、経営者が組織体の IT ガバナンスを向上させ、IT を使いこなせるようになるにはどうすればよいかを明らかにすることを目的とする。
経営者にとって必要なのは IT ガバナンスによる効果を明確に示し、具体的な向上策を提示することである。これまでにも、IT ガバナンスの効果に関する研究は数多く存在するものの、研究者によって IT ガバナンスの定義が異なっていることは、それぞれの信頼性に疑義を生じさせることになる。
したがって、本論文では、IT ガバナンスに関する理論を体系化することを試みる。まず、IT ガバナンスに関する文献より、多様な IT ガバナナンスの定義を統合的に説明する概念モデルを構築する。そして、構築した概念モデルに基づき、組織および社会にとっての IT ガバナンスの位置づけを明確にし、組織体にとって有効な向上策を導き出す。そのために、本論文では、IT ガバナンスに関する以下の 3 つのモデルをたてて、その原理を明らかにすることを試みる。
第 1 のモデルは IT ガバナンスの定義に関するモデルであり、IT ガバナンスの定義は 5 つの概念グループの組み合わせで構成されているとする。このモデル
によって、IT ガバナンスとはなにか、なぜ IT ガバナンスの定義がガイドライン
や文献によって異なるかを説明する。このモデルを IT ガバナンスの概念モデルと呼ぶ。
第 2 のモデルは、組織における IT ガバナンスの位置づけに関するモデルである。IT ガバナンスの役割について、組織内における情報伝達を、IT を用いて効率化することとする。このモデルによって、組織にとって IT ガバナンスが不可

3

1 序論

欠であることを示す。このモデルを IT ガバナンスの組織モデルと呼ぶ。
第 3 のモデルは、社会における IT ガバナンスの効果に関するモデルであり、組織は自己表現によって信頼を獲得し、自己表現には IT ガバナンスをとおした組織の認識が不可欠である。このモデルによって、IT ガバナンスは組織の存続・成長に有益であることを示す。このモデルを IT ガバナンスの社会モデルと呼ぶ。
これらのモデルの有効性の検証にあたっては、主観的判断を極小化することが望ましい。そのため、概念モデルの検証にあたっては、計量的な分析手法を使用する。組織モデル、社会モデルについては、定量的なデータが存在しないことから、事例を用いて検証する。IT ガバナンスに関する具体例として金融庁(2019b)を用いる。金融庁(2019b)は、金融庁が有識者、金融機関の経営者へのヒ
アリングによって収集した事例集であり、一部にはフィンテックや共同センターといった金融業特有の内容を含んでいるものの、IT ガバナンスに効果のあった事例、課題となる事例を収集したものとしては類がなく、他業種にも参考となると考えられるためである。

1-3. 本論文の構成
本論文では、IT ガバナンスに関する理論を体系化するため、3 つのモデルを構築する。
① IT ガバナンスの概念モデル② IT ガバナンスの組織モデル③ IT ガバナンスの社会モデル

定義に関するモデル
組織内の役割に関するモデル
社会における効果に関するモデル

2 章および 3 章では、IT ガバナンスに関するさまざまな定義を統合することを目指す。そのために、国内外の文献、ガイドラインから IT ガバナンスの定義を収集し、IT ガバナンスの概念モデルを構築する。
IT ガバナンスの定義は、複数の概念の組合せによって構成されている。その上で、IT ガバナンスの定義を構成する概念は「メカニズム」、「能力」、「規律」、「行動」、「責任」に関する 5 つのグループに分類されるという仮説をたて、ガイドラインの分析によって検証した。検証では、経済産業省「システム管理基準」を使用した。「システム管理基準」は、2004 年度に改訂された際に IT ガバ
ナンスに関する言及が行われ、2018 年度に改定された際には IT ガバナンスに関する国際標準・国内規格を参照し、IT ガバナンスの定義が拡張された。分析に際して、主観を極小化するために、文章中に出現する単語同士の関連性を用いて分析する手法である計量テキスト分析を用いて、「システム管理基準」の 2004
年度版と 2018 年度版を比較し、両方に 5 つの概念グループが出現すること、IT

4

1 序論

ガバナンスの定義の変化が本文にも反映されることを示した。
4 章では、組織における IT ガバナンスの位置づけを明らかにすることを目指す。そのため、IT ガバナンスの概念モデルをもとに、IT ガバナンスの組織モデルを検討する。
IT ガバナンスが複数の概念の組合せによって構成されること、IT ガバナンスを構成する概念は背景の異なる 5 つのグループに分類されることは、それぞれに異なる作動原理を有していることの反映である。このような複数の作動原理を統合する組織モデルの一つに遠山モデルがある。遠山モデルでは、組織を人体、情報システムを神経系とみなし、「自己維持機能」と「自己組織化機能」の2 つの作動原理を統合することを試みた。しかし、遠山モデルでは、人体を神経系によってトップダウンで意思を伝達する体系として単純化しているために、より複雑な組織を説明することができない。近年における研究では、人体は複合的なネットワークでありことが明らかになっている。人体内の情報伝達は、神経系以外にも、メッセージ物質と名づけられた多数の物質による臓器間、細胞間の情報伝達が用いられており、極めて複雑な情報処理が行われている。このような人体に関する最新の知見と社会システム理論を参考に遠山モデルを拡張したのが、IT ガバナンスの組織モデルである。組織モデルにおいて、複雑化した組織体は、内部組織（機能システム）に処理を委ねることで階層化する。
各機能システムはそれぞれの機能に応じた動作原理を有するとともに、機能システム間で情報を交換し、それぞれの動作を調整する。人体のメタファーより、組織体において機能システム間の情報伝達を行う仕組みを「情報系」と名づける。情報系は、書面や口頭での情報伝達を含むものの、IT によって高速化、大容量化されることで、組織体全体の効率性を改善する。情報系に IT を導入する
ことが IT ガバナンスであり、複雑化した組織体において、円滑な組織運営を図るには IT ガバナンスは不可欠な存在となる。
5 章では、組織および社会における IT ガバナンスの効果を明らかにすることを目指す。そのため、IT ガバナンスの組織モデルをもとに、社会における IT ガ
バナンスの効果に関する IT ガバナンスの社会モデルを検討する。
ルーマンの社会システム理論より、組織は環境の複雑性に対処するために、他の組織を信頼することで、対処の一部を委ねる。ルーマンのいう信頼とは、
複雑性への対処にたいする期待が一般化した状態である。組織は自己表現を行うことで、自らへの期待を高め、他の組織からの信頼を獲得することが可能となる。複雑化した組織体において、情報系の効率化、すなわち IT ガバナンス抜
きに自己表現を行うことは不可能であり、IT ガバナンスこそが信頼の基盤となる。また、新制度派経済学における社会関係資本は、期待の現在価値の総和として定義されることから、信頼によって形成されることになる。

5

1 序論

組織による自己表現は、他の組織に理解できる形式でなければならない。IT
ガバナンスに関するガイドラインは組織間で自己表現に関する共通認識を得るための表現形式となる。また、自己表現を安全かつ円滑に実施する場として「業界」があり、業界は自己表現による信頼獲得の場であるだけでなく、他社の自己表現を得ることで自社の IT リテラシー向上にも貢献する。
最後に 6 章では、これまでの議論をまとめ、金融機関の経営者への提言を行う。組織体にとって IT ガバナンスは自らの組織を掌握し、外部からの信用を獲得するために必要である。経営者は、IT ガバナンス向上のために業界を活用すべきである。

6

2 IT ガバナンスに関する現状調査

2 IT ガバナンスに関する現状調査
2-1. 本章の概要
経営者が、組織体の IT ガバナンスを向上するにはどうすればよいだろうか。
本章および 3 章では、IT ガバナンスに関するさまざまな定義を統合することを目指す。そのために、国内外の文献、ガイドラインから IT ガバナンスの定義を収集する。
そもそも、IT ガバナンスの定義は文献やガイドラインによって、それほど大きな差異があるのだろうか。差異があったとして、国内外で違いはあるのだろうか。この問いに答えるため、Google Scholar を用いて、日本と海外における論文を比較する。
「IT ガバナンス」をキーワードとするものを日本語の文献、「IT Governance」
をキーワードとするものを海外の文献とし、それぞれ、発表年で件数をプロットすると、図 1 が得られる。

図 1

IT ガバナンスに関する論文数

図 1 より「IT ガバナンス」に関する研究は、日本よりも海外のほうが圧倒的に多い。なお、Google Scholar の仕様により日本語の文献がヒットしていない可能性があるため、CiNii を用いて同様の調査を行ったが結果にはほとんど差が見られなかった。
日本では IT ガバナンスに関する論文数が多くないことから、主要なガイドラ
イン、および主要な研究者について、IT ガバナンスをどのように定義しているか、また、IT ガバナンスの定義の根拠をどこに求めるのかを整理する。
海外では IT ガバナンスに関する論文数が多いため、Google Scholar における

7

2 IT ガバナンスに関する現状調査

参照数を用いて、参照数が多い文献を執筆する研究者を主要な研究者と位置づける。その上で、IT ガバナンスの定義を踏まえて 4 つの学派に分類し、それぞれの特徴をまとめる。

2-2. 「ガバナンス」の意味の変化
青木(2011)によると、経済を揺るがす出来事が起きる都度、企業統治、すなわ
ち「ガバナンス」を巡る議論は活発になった。1931 年の世界恐慌の後には、企業の所有権をステークホルダー(利害関係者)とする論と株主とする論の間で論争になった。1980 年代のアメリカでは、産業競争力がドイツ、日本によって脅かされているという認識が拡がり、国際的なガバナンスの比較がさかんに行われた。1991 年のソビエト連邦崩壊によって、中央集権的なガバナンスから市場志向型・株主志向型のガバナンスに関する議論の勢いが増した。
一方、この「ガバナンス」はもとから企業統治を意味していたわけではない。
「ガバナンス」の起源として、古代ギリシャ語で船を操舵する、航行するという意味を持つ kubernan、あるいはこれを翻訳したラテン語の gubernare であることは広く知られている。宇野(2012)は、古代ギリシャにおいて kubernan が、国家を運営することの比喩とする用例として、プラトンの『国家』を引用している。
ここに一隻の船があるとする。次のような状況を思い浮かべてくれたまえ。
まず船主だが、これは身体の大きさや力においては、その船に乗り込んでいる者たちの誰よりもまさっている。ただ、少しばかり耳が遠く、目も同様に少しばかり近い。そして船のことに関する知識も、その目や耳と同じようなありさまだ。それから水夫たちだが、これは、ひとりひとりがみな、
われこそはこの船の舵を取るべきだと思い込んでいて、舵取りの座をめぐってお互いに争っている。いやしくも真の意味でひとつの船を支配するだけの資格を身につけようとするならば、年や季節のこと、空や星々や風のこと、その他この技術に本来的な関わりのあるすべてのことを注意深く研究しなければならないということが、彼らにはまったくわからないのだ重田(2018)は、フーコーの講義録より、「統治する gouverner」ということばは、
16 世紀−17 世紀の近代国家の成立によって政治や国家の統治という意味で用いられるようになり、それ以前は、国家や政治に用いられることはなかったという説を紹介している。このことばは、ヘブライや古代エジプトから、キリスト教を通じてヨーロッパに導入され、一匹の羊と群れ全体に同等に配慮する「全体的かつ個別的」、あるいは「司牧的 pastoral」な権力様式として用いられていた。
宇野(2012)は、17 世紀以降、現代に至るまで「ガバナンス」という用語を一般

8

2 IT ガバナンスに関する現状調査的な用語として使われることはなかった点を指摘している。死語となっていた「ガバナンス」は 1990 年代に再登場した。最初に使用したのは欧米の経済学者、政治学者や、アジア金融危機に対応した国連、世銀などの国際機関であり、いったん死語となった「ガバナンス」という言葉を用いることで、新鮮なニュア
ンスを表現し、新しい管理手法、特に、国家と異なる多様な次元における市民
社会のアクターの参画という要素が強調されることとなったとしている。
吉川(2011)は、1990 年代に「ガバナンス」が注目された背景として、アジア金融危機に加えて、1988 年に発行された「ガバナンス」という学術書が米英先進国で「行政改革」が最盛期と迎えた時期と符合したことを指摘している。
田村(2002)は、1990 年前後の米国において、大口の機関投資家である年金基金が投資リターンの向上をはかるため、投資先の業績を厳しく監視し、経営内容
に対する介入を強めるようになっていた結果、業績の好転が見られない IBM、アメリカン・エキスプレス社など大手企業の経営陣が機関投資家の圧力を受けて交代を余儀なくされたこと、英国において、1990 年代初頭に発覚した大企業経営者による巨額の不正経理事件によって一般投資家の企業経営に対する不信が高まり、金融資本市場としての信頼が揺らぐことを懸念したシティの指導層
が、委員会を立ち上げて企業が従うべきルールを報告させたことにより、「コー
ポレート・ガバナンス」が広がっていったとしている。
以上より、「ガバナンス」という言葉は古代ギリシャに語源を持ち、国家あるいは組織の運営に関する意味を持っているものの、その意味するところは時代背景によって異なっていることがわかる。

2-3. リスク概念の整理
今日において、「IT ガバナンス」に劣らず「リスク」も非常に多様な概念を含んで用いられる。そのため、本節では、本論文に関連するリスク概念を取りまとめ、その位置付けを整理する。

2-3-1. 金融庁におけるリスク概念
金融庁(2019a)では、IT に関わるリスクとして、「システムリスク」と「IT リスク」の 2 つを挙げている。それぞれの定義は以下の通りである。
システムリスク： コンピュータシステムのダウン又は誤作動等、システムの不備等に伴い金融機関が損失を被るリスク、さらにコンピュータが不正に使用されることにより金融機関が損失を被るリ
スクをいう。 （金融庁(2019a), p.1 脚注 1)

9

2 IT ガバナンスに関する現状調査

IT リスク：

例えばクラウドサービス等の新たなサービスの利用は、短期
的にはシステム更新のコストやセキュリティ面を含む従来と異なる外部委託先管理が必要になるといったオペレーシ
ョナル・リスクがある一方、中長期的には、ランニングコス
トの削減や BCP 面での強靭性といった面でのメリットも考えうるところ、これらへの目配りがなされないことで、将来的に得られるメリットを逸失してしまうおそれ。形式的に、定量的な測定や、投資判断時の評価項目への追記を行うというよりも、実質的に検討・判断において意識されるべきものと考えられる。（金融庁(2019a), p.8 脚注 8）

2-3-2 経済学におけるリスク概念
酒井(2007)は、経済学におけるリスクについて、二通りの定義を挙げている。
第一は、リスクに関する「古い定義」であり、リスクを「人間の生活維持や社会活動にとって望ましくない事象の発生する不確実性の程度、ならびに結果の大きさの程度を表す。」と定義する。この時、リスクが大きいとは、望ましくないものの蓋然性や生起確率が大きいことや、物質的・精神的な被害が大きいことを意味する。
第二は、リスクに関する「新しい定義」であり、リスクのマイナス面だけでなく、プラスの面に着目する。リスクを「状態の如何によって、一つの行為か
ら複数個の結果が生まれることを指す。」と定義する。この時、リスクは人間の生活維持や社会経済に対して、マイナスとプラスの両面を持つ。リスクが大き
いとは、複数の結果の間で変動の幅が大きく、また結果の程度が大きいことを意味する。
経済学ではリスクを確率的な事象として捉えているが、確率的な事象はナイトによって 3 つのタイプに分類される。
第一のタイプは「先験的確率」であり、数学的な組み合わせ理論によって決まる確率である。
第二のタイプは「統計的確率」であり、実際の経験データから決まってくる確率である。
第三のタイプは「推定」であり、推定の基礎となる状況が未経験の事柄であるか、大数の法則が成立しない特異事象であるために、確率そのものを形成することができないものである。
先の金融庁におけるリスク概念と対応づけるとシステムリスクは「古い定義」
で統計的確率であり、IT リスクは「新しい定義」で推定に相当する。

10

2 IT ガバナンスに関する現状調査

2-3-3 社会学におけるリスク概念
中山(2007)によると、ウルリッヒ・ベックが提唱した「リスク社会」によって社会学においてリスクが議論されるようになった。かつて、近代における知識の増大や技術革新によって日々の暮らしが豊かになり、安心が保障されると考えられてきた。しかし、知識の増大や技術革新は、事故や公害のような負の結果ももたらすだけでなく、20 世紀後半には原発事故や環境問題といった新しい
危険を生み出した。これらは、影響または深刻さが予見不可能という点で従来のリスクとは異なり「新しいリスク」と呼ばれる。また、このリスクは人間の知識や技術によって生み出されたものであり、かつ、リスクを認知するのも人間の知識や技術に依存するという特徴を持つ。
この「新しいリスク」の例として、菅野(1999)は、以下のものを挙げている。
・
厳密な因果関係の解明に科学者がこだわることでリスクがそのまま放置される（水俣病）・
科学的根拠のはっきりしない許容値が設定されることで被害拡大が阻害される（ダイオキシン問題）
・
個々の科学的物質を超えた複合作用について研究が行われなかった（環境ホルモン）
なお、首藤(2019)は、このような「新しいリスク」について、発生確率が著し
く低いにも関わらず甚大な規模での被害が予想されること、予想される損害が一部地域やエスニシティに偏在することを指摘しており、先の経済学におけるリスクに対応づけると、「新しいリスク」とは「古い定義」かつ「推定」であるといえる。

2-3-4 ISO 31000 におけるリスク概念
リスクマネジメントに関する国際標準として、ISO 31000:2018 が標準化されている。日本においては、その国内規格として、JIS Q 31000:2019 が規格化されている。JIS Q 31000:2019 において、リスクは「目的に対する不確かさの影響」と定義されている。その注記において、「影響」には「好ましいもの、好ましくな
いもの、又はその両方」(JIS Q 31000:2019, 3.1 注記 1)とあるように、「新しい定義」に属するものである。
また、不確かさについては、「測定又は判断は、主観的か若しくは客観的か、又は定性的か若しくは定量的かを問わない」(JIS Q 31000:2019, 3.7 注記 1)とあるように、「統計的確率」と「推定」の双方を含む概念である。

11

2 IT ガバナンスに関する現状調査

2-3-5 リスク概念の整理
以上、金融庁におけるリスク、社会学におけるリスク、ISO 31000 におけるリ
スクについて、経済学におけるリスクを用いて分類すると表 2 のようになる。
表 2 リスク概念の分類
先験的確率

統計的確率

推定

古い定義

−

システムリスク「新しいリスク」

新しい定義−

IT リスクISO 31000 におけるリスク

2-4. 日本における IT ガバナンスの研究動向
2-4-1. 日本における主要なガイドライン
1) 通商産業省・経済産業省「システム管理基準」（2004 年, 2018 年）
日本において公的な文書として初めて「IT ガバナンス」という言葉が用いられたのは 1998 年に通商産業省が公開した「IT ガバナンススコアカード策定支援
プロジェクト最終報告」である。この中では IT ガバナンスを「企業が競争優位性構築を目的に、ＩＴ（情報技術）戦略の策定・実行をコントロールし、あるべき方向へ導く組織能力」と定義していた。
本報告書は、通商産業省からボストンコンサルティンググループ(BCG)に委託されたものである。本報告書における調査項目は、JIPDEC が毎年実施している「コンピュータ利用状況調査」において、「IT ガバナンスに関する調査」として実施され、1999 年の調査は本報告書にある設問と同一、2000 年の調査は 1999
年の回答でポイントが低かった設問(8 問)に絞って実施されている。
このような背景から、JIPDEC(2000)では、IT ガバナンスを BCG が提唱した概念とし、「コーポレートガバナンス(企業統治)の一概念であり,企業の競争優位に向けた経営戦略において不可欠となっている IT 戦略の策定・実行を全社的な視点からコントロールし,あるべき方向へ導く組織能力」とほぼ通商産業省(1998)
を踏襲する定義を示し、BCG の見解として、IT ガバナンスの実現には以下の 4
つの体制・仕組みが築かれていることが重要であるとしている。
①CEO(最高経営責任者)が IT 戦略への明確なビジョンを持っていること②CIO(情報部門統括最高責任者)が実質的な責任・権限を以っていること③IT 戦略が全社的な最適マネジメントのもとで遂行されていること

12

2 IT ガバナンスに関する現状調査④IT 戦略の実務マネジメントが事業部門へ十分に浸透が図られていること
一方、経済産業省(2004)「システム管理基準」は、もともと 1985 年に当時の通商産業省が公開した「システム監査基準」が基となったものである。当初は、システム管理に関する項目は実施項目として「システム監査基準」の一部となっていたものが、2004 年の改訂において、情報システムが社会の重要なインフ
ラストラクチャとなったこと、情報システムがますます多様化、複雑化したことを受け、「システム管理基準」として分離された。
経済産業省(2004)では、その前文で「システム監査の実施は、組織体の IT ガ
バナンスの実現に寄与することができ、利害関係者に対する説明責任を果たす
ことにつながる。」と IT ガバナンスに言及している。IT ガバナンスに関する具体的な記載はないものの、経済産業省(2004)の解説書である JIPDEC(2005)では、IT ガバナンスの定義の例として、通商産業省(1998)、ITGI(2005)、COBIT 第 3版(2000)を紹介している。
その後、経済産業省(2018)では、クラウドサービスやアジャイル開発といった新しい手法の普及、IT ガバナンスに関する国内規格 JIS Q 38500:2015 の成立などを背景として、経済産業省(2004)に対する改訂が行われた。IT ガバナンスについては、JIS Q 38500:2015 を参照しつつ、「IT ガバナンスとは経営陣がステーク
ホルダのニーズに基づき、組織の価値を高めるために実践する行動であり、情報システムのあるべき姿を示す情報システム戦略の策定及び実現に必要となる組織能力である。」と定義していることから、経済産業省(2004)において IT ガバ
ナンスの定義は通商産業省(1998)と同じものであったと考えられる。
また、経済産業省(2019)では、新たに「デジタルガバナンス」という概念が提唱されている。
「従来から IT ガバナンスという考え方があるため、IT ガバナン
スとデジタルガバナンスの違いをクリアにする必要がある。」とする。これは、デジタルトランスフォーメーションを既存の IT 戦略を包含するものと位置づけ
るのか、DX にフォーカスするのかという点にある。経済産業省(2019)では、後者の立場から、デジタルガバナンスを「デジタルトランスフォーメーションを継続的かつ柔軟に実現することができるよう、経営者自身が、明確な経営理念・
ビジョンや基本方針を示し、その下で、組織・仕組み・プロセスを確立（必要に応じて抜本的・根本的変革も含め）し、常にその実態を掌握し評価をすること。」と定義している。

13

2 IT ガバナンスに関する現状調査

2) 金融庁「金融機関の IT ガバナンスに関する対話のための論点・プラクティスの整理」(2019 年)
金融庁は、金融機関を対象とした検査マニュアル廃止の方針のもと、それに代わるものとして対話によるモニタリングを位置づけており、従来の検査マニ
ュアルにおけるチェックリストの代わりに、各金融機関が創意工夫を進めやすくするための対話の材料として、金融庁(2019a)「金融機関の IT ガパナンスに関する対話のための論点・プラクティスの整理」、また、その内容を具体的なイメージができるようにするための事例集として金融庁(2019b)「金融機関の IT ガパ
ナンスに関する実態把握結果（事例集）」を公開した。
金融庁(2019a)は、人口減少・高齢化の進展や、低金利環境の長期化等により金融機関にとって厳しい状況が続いているという環境認識のもと、金融機関が金融サービスの提供を継続するには、自らの体力に応じたコストで、情報シス
テムから経営戦略を実現させるための効果を適切に生じさせることが不可欠としている。また、デジタライゼーションが進展し、他業種からの新しいプレイ
ヤーが進出する中、金融分野においても利用者の様々なニーズに対応したワン
ストップサービスを目指すプラットフォーム企業が登場するため、金融機関は、
デジタライゼーションを活用した顧客起点のビジネスモデルヘの変革に進むことを予想している。このような環境において、金融機関の IT 戦略は、金融機関のビジネスモデルを左右し、将来像に緊がる経営課題であり、経営戦略と不可分の関係にある。したがつて、金融機関にとって、「経営者がリーダニシップを発揮し、IT と経営戦略を連携させ、企業価値の創出を実現するための仕組み」と定義される「IT ガパナンス」が適切に機能させることが重要となり、規制当局である金融庁では、金融システムの安定および金融機関のデジタライゼーシ
ョンヘの適応として、「IT ガバナンス」を認識している。なお、金融庁(2019a)における IT ガバナンスの定義は、金融庁(2017)などの従来のガイドラインにおける定義から変更は見られない。また、金融庁(2019b)に収録された事例は、以降の議論で参照するため、付表 C に掲載している。

14

2 IT ガバナンスに関する現状調査

3) 日本内部監査協会「内部監査人のための IT 監査と IT ガバナンス」(2018 年)
IIAJ(2018)は、経済産業省(2018)「システム監査基準」、「システム管理基準」の解説という位置付けであり、IT ガバナンスについては「組織体の目的達成のための経営戦略の遂行を IT が支援し、利害関係者へのサービス提供のために、
IT 投資を含む IT 戦略を意思決定し、IT 管理態勢の構築を指示し、監督する、主として取締役会等が担うプロセス」と定義する。
なお、この IT ガバナンスの定義および説明においては、経済産業省(2018)だ
けでなく、IIA(2016)、ISACA(2012)も参照し、IIA(2016)からは、ガバナンスの定義として「取締役会が、組織体の目的達成に向けて、組織体の活動について、情報を提供し、指揮し、管理し、および監視するために、プロセスと組織構造を併用して実現すること。」を引用し、取締役会の役割であること、プロセスの言及への根拠としている。また、ISACA(2012)からは、ガバナンスの定義として「ガバナンスは、達成されるべく調整され合意された事業体の目的を決定する
ために、利害関係者のニーズ、状況、および選択肢を評価し、優先順序付けと意思決定による方向性を定め、合意された方向性と目的に対する成果とコンプ
ライアンスを監視することを保証する。」を引用し、意思決定への言及の根拠としている。
その上で、IT ガバナンスを取締役会等の役割と捉え、その具体的な内容として以下のものを挙げている。
 取締役会等が IT 戦略、IT 投資の優先順序や IT リスクの管理等の IT に係る基本的事項の意思決定を行うこと
 IT に係る決定事項の実施を社長以下の経営陣に指示すること
 経営陣によるその実施状況を内部監査人等からの情報により把握し、必要に応じて改善のために自らの決定事項の変更や、経営陣に対して実施の是正等を指示する等の監督・監視を行うことにより、IT の活用と IT リスク管理のPDCA を回していくこと
4) JIS Q 38500:2015 (2015 年)
IT ガバナンスの国際標準として、ISO/IEC 38500:2015 がある。2005 年にオーストラリアで IT ガバナンスの標準として発行された AS 8015-2005 を基に、2008
年に ISO/IEC 38500:2008 として標準化され、2015 年に改訂されて ISO/IEC
38500:2015 となった。日本では ISO/IEC 38500:2008 をもととして、ISO/IEC
38500:2015 の検討内容を参照しながら、2015 年に JIS Q 38500:2015 として規格化されている。
JIS Q 38500:2015 では、IT ガバナンスを「組織の IT の現在及び将来の利用を指示し、管理するシステム。IT ガバナンスは、組織を支援するために IT の利

15

2 IT ガバナンスに関する現状調査

用を評価すること及び指示すること、並びに計画を遂行するためにこの IT 利用をモニタすることに関係する。」とし、図 2 に示す通り、「評価」、「指示」、「モニタ」を経営者の職務と定義し、これを EDM モデルと呼ぶ。

図 2 JIS X 38500:2015 における IT ガバナンスのモデル(JIS Q 38500:2015，図 1)
また、JIS Q 38500:2015 では、良好な IT ガバナンスを実現するためにほとん
どの組織で適用可能な原則として表 3 の 6 つの原則が提示されている。
表 3

IT ガバナンスの 6 つの原則
(JIS Q 38500:2015)

原則 1：責任（Responsibility）

組織内の個人及び部門は、IT の供給及び需要の両面の役割について、その責任を理解して受け入れる。処置に責任を負う
人もまた、その処置を遂行する権限をもつ。

原則 2：戦略（Strategy）

組織の事業戦略は、IT の現在及び将来の能力を考慮する。IT
の戦略計画は、その現在及び進行中の事業戦略のニーズを満たす。

原則 3：取得（Acquisition）

IT の取得は、適切で継続的な分析を基礎として、明確で透明な意思決定による正当な理由に基づいて行う。短期的及び長期的の両面で利益、機会、コスト及びリスクを適切に均衡させる。

IT は組織を支援し、現在及び将来の事業のニーズに合うサー
原則 4：パフォーマンス
ビス、サービスレベル及びサービス品質を提供する点で目的に（Performance）
適合する。
原則 5：適合（Conformance）

IT は、必須である全ての法律及び規制に適合する。方針及び指針は、明確に定義、実施及び強制される。

原則 6：人間行動（Human Behaviour）

IT の方針、指針及び決定は、プロセスにおける人間の全ての
現在及び発展するニーズを含み、人間行動を尊重する。

16

2 IT ガバナンスに関する現状調査

ISO/IEC では、ISO/IEC 38500:2008 の公開後、ISO/IEC TS 38501:2015、ISO/IEC
TR 38502:2017、ISO/IEC TR 38504:2016 等をそれぞれ発行した。
ISO/IEC TS 38501:2015 は導入ガイドとして、ISO/IEC38500:2015 の職務・原則に基づき、IT ガバナンスをどのように運用すべきかを示すものであり、IT ガ
バナンスの運用のまわりに継続的改善・見直しを配置する。また、参考資料として、6 つの原則に対し、経営層が IT ガバナンスを原則どおりに実践している
ことを評価するための尺度が付属している。
また、ISO/IEC TR 38502:2017 は IT ガバナンスとマネジメントの関係をモデ
ル化して示したものであり、ISO/IEC TR 38504:2016 は IT ガバナンスの 6 つの原則に関する解釈を示したものである。
5) COBIT (2000 年, 2012 年, 2018 年)
COBIT(Control objectives for information and related technology)は ISACA および
ITGI によって提供される IT ガバナンスおよび IT マネジメントの実践手法に関するベストプラクティスとして公開された文書である。
ISACA は 1969 年に設立された NPO 団体である。設立当初は EDP 監査人協会(EDPAA)という名であり、当初は、企業においてコンピュータを用いた情報システムが増加したことを背景に、情報システムの監査という問題意識を共有す
る小規模グループだったが、情報源の一元化と当該分野に関するガイダンスの必要性から、幅広い分野からの専門家が参画しているという現状を反映するため、1993 年に協会名称が Information Systems Audit and Control Association (情報システムコントロール協会)と改められ、その後、1998 年に頭文字をとって ISACAとなった。また、IT ガバナンスの重要性を認識した ISACA によって、1998 年に ITGI(IT ガバナンス協会)が設立された。
COBIT の第 1 版は Gultentops らによって、情報システム監査の基準として提言され、1996 年に ISACA より公開された。その後、1998 年に公開された第 2
版では COSO フレームワークに対応するコントロールの要素が導入され、2000
年に公開された第 3 版では、コントロールに対するマネジメントガイドラインが追加された。また、IT を測定するというマネジメントからの要請にこたえ BSCに基づく、成熟度モデル、主要成功要因(CSF)、重要目標達成指標(KGI)、および重要成果達成指標(KPI)が追加された。第 3 版から後の COBIT 4.0 および COBIT
4.1 までは ITGI によって公開されている。
2005 年に公開された COBIT 4.0 では、
多くの企業にとって IT が欠かせない役割を果たすようになり、企業のガバナンスにとって IT の価値を保証すること、IT に関連するリスクと情報のコントロー
ルに関連する要求事項の管理が重要となったことを背景として、IT ガバナンス
を「IT ガバナンスは、経営陣および取締役会が担うべき責務であり、IT が組織

17

2 IT ガバナンスに関する現状調査の戦略と組織の目標を支え、あるいは強化することを保証する、リーダーシップの確立や、組織構造とプロセスの構築である」と定義する。また、IT ガバナ
ンスの重点領域として、「戦略との整合」、「価値の提供」、「資源の管理」、「リス
クの管理」、「成果の測定」を挙げ、これらを実現するための実践手法として、
成熟度モデル、KPI などの評価手法、およびプロセスモデルを位置づけた。
2012 年の COBIT 5 からはふたたび ISACA によって公開されている。
COBIT 5 は、従来の IT ガバナンスは IT 部門を中心とした IT ガバナンスであるとし、「事業体の IT のガバナンス」(GEIT: Governance of Enterprise Information
Technology)を重視する。事業体の内外のステークホルダーにおける IT に関するニーズを踏まえ、事業体全体にまたがる実践手法として拡張・再構成されるとともに、ISO/IEC 38500:2008 より EDM モデルが導入されるなど、各種国際標
準、デファクトスタンダードとの整合性が図られた。
2018 年に公開された COBIT 2019 では、IT ガバナンスに関する責任が IT 部門に偏ったものとなっていたという反省をふまえ、新たに「I&T: Information &Technology」（情報と技術）という表現を用いて、事業体が目標達成のために生成し、利用する全ての情報は、それに関係する技術同様、事業体全体に関わるものであることを明確にした。また、COBIT5 が複雑となりすぎたことの反省か
ら「テーラリング」(tailoring)手法を導入し、事業体が自らの組織に適合した IT
ガバナンス(I&T ガバナンス)をカスタマイズするためのガイダンスが追加された。

2-4-2. 日本における主要な研究者
1) 甲賀他 (2000 年, 2002 年)
甲賀他(2000)は、IT ガバナンスを、J.C.ヘンダーソンらの戦略整合性モデル(Strategic Alignment Model)の一部と位置づけ、IT 戦略の全体像を定めるにあたっての重要な検討項目の一つとして、「IT コンピタンス実現のための、組織としてのアプローチ方針」と定義している。
甲賀他(2002)では、IT ガバナンスの定義は「IT ガバナンスは IT 戦略の一環であり、IT 戦略の策定から実現までの一連の活動をコントールし、IT のあるべき姿の実現に向けた IT マネージメントプロセス、IT 標準および IT 体制を構築する組織だった活動」と詳細化されると同時に、「方針」から「活動」へと具体化されている。IT ガバナンスの構成は図 3 のように示され、IT 戦略を支え、IT の配置を集中するか、分散するかに重点がおかれている。

18

2 IT ガバナンスに関する現状調査

図 3 IT ガバナンスの構成（甲賀他(2002), 図表 2-1）
なお、ここでいう「IT 戦略」とは、市場において継続的に競争優位に立ち、健全な財務状況を維持すべく行われる経営活動に対し、IT 活用により新たな競争優位のチャンスを創出し、経営上のニーズに対応するなどしてビジネスに対する貢献のあり方を明確にし、IT を構成するプロセスや基盤などすべての資産のあり方を方向づけて、IT 価値を最大化するための一連の、かつ最上位の意思決定のことであり、図 4 に示すように IT ガバナンスによって継続的な見直しが
行われる。

図 4

IT ガバナンスと IT 戦略の関係（甲賀他(2002), 図表 1-5）

また、従来の IT ガバナンスは IT を効果的に活用するためのコントロールであり、IT 部門に標準や規律を守らせる運営形態と解釈されてきたために、ルールを守らせる意識が強く、事後の管理に重点が置かれていたのに対して、インターネット時代に求められる IT ガバナンスは、IT 価値を最大化し経営に貢献していくことを方向づけるためのコントロール機能であり、IT 部門と事業部門を合わせた運営形態としている。

19

2 IT ガバナンスに関する現状調査

2) 堀江 正之堀江(2006)は、IT ガバナンスとは何かという問いに対して、IT をガバナンス
するのか、あるいは IT を使ったコーポレート・ガバナンスなのか、それともまた IT と経営との関係、あるいは IT と戦略計画との関係をガバナンスという観点から見詰め直す、といった程度の意味なのかという問題意識を提示した。
まず、コーポレート・ガバナンスについての議論の多相性は、「govern」という行為に対するアプローチの違いとし、経営者への影響の波及がどこまで及ぶかという「仕切線」によって、コーポレート・ガバナンスについて広狭さまざ
まな定義を生むことが、多相性の原因としている。その上で、IT は単なる手段とみなす考え方が存在していることが、IT とガバナンスを結びつけようとする
議論への違和感を生み、この違和感を乗りこえること、すなわち事業戦略と ITとの関連づけを実現するための仕組みを整えることを IT ガバナンスの発端と指摘している。
その上で、既存の IT ガバナンスのガイドラインへの批判的な検討を行い、IT
ガバナンスの定義を洗練させようとしている。例えば、COBIT 第 3 版(2000)に対しては、コーポレート・ガバナンスと IT ガバナンスを切り離して別の概念としながら、密接な相互依存関係があるという理解の仕方をしているものの、コー
ポレート・ガバナンスを経営者層への規律づけを通じた事業経営の方向づけとする立場から、IT ガバナンスはコーポレート・ガバナンスの一側面とする見解を表明している。
また、甲賀他(2002)に対しては、IT ガバナンスの構成要素に「IT 標準」が含まれている点を採りあげて、IT という独自の視点からするガバナンスの典型例と位置づけている。
通商産業省(1998)に対しては、ガバナンスを「組織能力」とし、取締役会、CEO(最高経営責任者)、CIO(情報技術担当役員)等の経営トップによる意思決定と、それを支援する IT 部門を中心としたスタッフ機能という、2 つの階層を区別する見かたに対し、通商産業省報告書が経営者層の意思決定構造に重点を置
きつつ、経営者層のスタッフ機能である IT 部門が果たす役割の重要性を指摘している点を重視している。この点については、ITGI(2005)より、IT ガバナンスの成否を、執行者たる経営者とその監督機関たる取締役会の役割と責任としていることを挙げ、IT ガバナンスの核心が「経営者層への規律づけ」および「IT 戦略の事業体全体への浸透」にあることを指摘した。
以上の議論を踏まえ、IT ガバナンスを「コーポレートガバナンスの一側面であって、事業体の目的達成を効果的に方向づけるために、IT 戦略の実現と IT の運営を対象とした、事業体の内部および外部からする経営者層に対する規律づ
けと影響力の行使をいう」と定義している。

20

2 IT ガバナンスに関する現状調査

その上で、IT ガバナンスと IT 管理(IT マネジメント)との違いを、組織上の階層関係におき、IT ガバナンスを、取締役会が経営者層に対していかに影響力を行使し、いかに規律づけるかということ、IT 管理を、経営者（CIO）が管理者層（IT 管理者）に対して戦略達成のための具体的な目標を設定しその達成に向けたコントロールを行い、さらに管理者層が従業員層（とりわけ IT 部門員、ユーザー部門員）に対して目標を設定しコントロールするプロセスとしてとらえている。
次に、IT ガバナンスとディスクロージャーとの関連について、IT 管理は事業体の自治にかかわる問題であるのに対して、IT ガバナンスは事業体外部からの影響力行使に対する情報開示（ディスクロージャー）にかかわる問題と位置づける。今日、事業活動の重要な手段として Web システムが広く使われるようになり、Web システムを安全かつ安定的に運用することが事業体の戦略上重要な制約的要因となってきている。Web システムにアクセスする不特定多数の外部ユーザーは、事業体の実態（IT セキュリティ対策の整備・運用状況）についての情報を十分に持つことができないことから、事業体のサービスを選別するために手掛りとなる情報が開示されているかどうか、また開示されている情報の内容によって、どのサービスを選択するかを決定する。したがって、情報を積極的に開示しないことで、何か問題があると判断され、情報開示が不十分な事
業体に対して悪い評判がたつために、法によって開示が強制されなくても、経営者には情報開示のインセンティブが働く。
また、IT ガバナンスと内部監査との関連において、取締役会に対しては、経営者によって立案される IT 戦略の妥当性、およびそれに基づく目標設定の妥当性を検証することが内部監査の目的となり、外部利害関係者に対しては、IT リ
スク情報（IT リスク自体についての情報と IT リスク対策についての情報）および IT 運用方針（IT 運用手続と IT 運用責任についての情報)の信頼性を保証する
ことが内部監査の目的となる。
3) 島田 祐次
島田(2008)は、IT ガバナンスの定義として、COBIT 4.0(2005)より「IT ガバナ
ンスは、経営陣及び取締役会が担うべき責務であり、IT が組織の戦略と組織の目標を支え、あるいは強化することを保証する、リーダーシップの確立や、組織構造とプロセスの構築である。」を紹介し、IT が組織の戦略や目標の達成と関係すること、及び仕組みやプロセスを確立することを指摘している。また、IT
ガバナンスを確立するためのツールとして COBIT を位置付け、COBIT におけるIT ガバナンスの重点領域として、組織の目標達成が含まれることを指摘している。

21

2 IT ガバナンスに関する現状調査

島田(2012)では、IT ガバナンスを「IT を経営目標の達成に資するように利活用する仕組みやプロセス」とし、IT ガバナンスの確立を、経営者の役割としている。また、COBIT 5 から「情報と関連技術が、事業体の戦略と目標達成をサ
ポートし、確実に実現できるようにするための、ガバナンスの観点。IT 能力が効率的および効果的に提供されるようにするなどの、機能的ガバナンスも含まれる。」を引用している。加えて、経済産業省における「IT 経営」の一環として、IT ガバナンスを「企業が、IT に関する企画・導入・運営および活用を行うにあたって、すべての活動、成果および関係者を適正に統制し、目指すべき姿へ導くための仕組みを組織に組み込むこと。または、組み込まれた状態」と述べ、「統制」と「導く」ことが重視され、上意下達による統治・管理に留まらず、IT 戦略における CIO および IT 部門の統制力と統率力が重要となることを指摘している。
IT ガバナンスと IT マネジメントの違いについては、経済産業省(2004b)を参照
しながら、表 4 のように整理している。
表 4

IT マネジメントと IT ガバナンスの違い(島田(2012)に基づき筆者が作成)

IT マネジメント

IT ガバナンス

内部管理的

対外的

日々のシステム運用・オペレーション業務

ユーザーとの間でサービスレベルの合意

個別のプロジェクト管理

標準的なプロジェクト管理手法の確立

しかし、この定義では、IT マネジメントと IT ガバナンスの違いは明確になる
ものの、IT ガバナンスとコーポレート・ガバナンスの関係は必ずしも十分に説明することができない。この点について、COBIT 5(2012)を引用しながら、IT ガ
バナンスは、組織体外部のステークホルダーに対して情報システムの情報を提供する仕組みやプロセスと位置づけている。
4) 遠山 暁遠山(2015)では、企業における部門間、及び組織間において、勝手な情報化を抑制して統合化を完成させ、運用管理するための一体感や組織能力の存在が重要な基盤となることを踏まえ、この組織能力を育成するためには、それぞれの企業において IT ガバナンスが整備されていなければならないとする。
IT ガバナンスの定義としては COBIT 第 3 版(2000)における IT ガバナンスの定義「IT ガバナンスとは、IT とその利用におけるリスクとリターンのバランスをとりながら価値を付加することによって、組織目標を達成する上でますます重要になりつつある。IT ガバナンスは IT 利用、IT 資源、情報を企業の戦略と目標

22

2 IT ガバナンスに関する現状調査に結びつける構造を提供する。」および通商産業省(1998)の定義を引用している。
なお、遠山(2010)、遠山・松島(2010)では、「IT 経営力」を、組織体が自ら掲げた目標に照らして IT の利用を含んだ組織的な実践を統合、再構成、獲得もしくは放棄することで、効果的なビジネス展開と組織変革を遂行するために構成された組織能力としており、IT ガバナンスと同等の概念として使用している。
遠山(2010)では、この IT 経営力について、英語表記として「IT Capabilities」が充てられ、経営戦略論、特に資源ベース視覚（RBV)に根ざした概念である点が指摘されている。不安定な競争環境において、企業が競争優位を確立するためには、既存の組織を組み替え、速やかに競争優位を生みだす製品・サービスを、絶え間なく連続的に開発し続ける必要があり、これを実現するものを「ダイナ
ミック・ケイパビリティ」とし、従来の組織能力(Capability)よりも高次な能力と位置づけている。しかしながら、このような高次の能力を想定することは、企業特有の文脈や目的に対して形成される組織能力に源泉を求める PBV の議論に矛盾を来す恐れがある。この点について、遠山(2010)では、ケイパビリティをコ
ア・ケイパビリティとそれ以外のケイパビリティに分け、一般的なケイパビリ
ティを市場から調達可能な資源、あるいは資源を活用する組織能力とし、企業は独自の目的に照らし合わせてケイパビリティからコア・ケイパビリティを作
り出すという「学習梯子モデル」を提唱している。
5) 原田 要之助
原田(2009)は、IT ガバナンスについて、コーポレート・ガバナンスと同様に、経営者が経営的な観点から IT 投資や IT 活用についてプラスとマイナスの両面、
すなわち IT の様々な機会とリスクに対してバランスを取りながら判断することを要請する。IT のプラスの面として、ポーターが「競争の戦略」で、IT の戦
略的な重要性を指摘したことを挙げる一方、IT のマイナス面については、シス
テム統合のミス、システムへの誤入力、システム障害による業務停止などの事例をあげて、IT に関するトラブルが企業の大きなリスクとなっていることを指摘している。
IT ガバナンスの定義については、ITGI(2000)より、経営者の責務であり、企業のコーポレート・ガバナンスにとって不可欠な要素であり、透明性が必要な部分であり、IT ガバナンスフレームワークと整合している必要があるとしている。
経営者は情報セキュリティにより発生する事故によるサービス中断や情報漏え
い機密性に対応する責任がある。また、取締役会は、情報セキュリティを企業
ガバナンスの取り組みの中心的な部分として、IT ガバナンスの目標と整合し、資源を管理するために実施するプロセスと統合する必要があるという点を指摘し、IT ガバナンスを支える要素として、戦略との整合、価値の提供、リスクの23

2 IT ガバナンスに関する現状調査

管理、資源の管理、成果の測定をあげている。さらに、IT ガバナンスの実践について、経営者は、組織に対して目標を与え、IT による具体的な行動（IT アク
ティビティ）に対して指針を与え、結果としての成果の測定を行い、目標との乖離を比較する。乖離が大きければ、その原因を分析し、目標に合うように指針を修正するというモデルを紹介している。このモデルは、ISO/IEC 38500:2015
において、①指示（Direct）、②評価（Evaluate）、③モニタ（Monitor）に概念化されている。
IT ガバナンスの構造として、ISO/IEC38500:2015 は、EDM モデルを提示している。この標準は、2006 年にオーストラリアの国内基準である AS 8015-2005 をベースに、ISO SC7 によって標準化されたものである。組織の経営者が実施するべき行動として、①指示（Direct）、②評価（Evaluate）、③モニタ（Monitor）、がある。経営者は、ビジネス環境からの要求や市場に合わせて、組織としての方針を決定する。組織の執行部門からの活動をモニタして、目標との乖離を調べる。その結果と執行部門からの提案を統合的に評価して、実施部門に対して指示を行う。ここで重要なのは、経営者は、IT の投資や利用について決定し、その結果をモニタして、改善を行うことが求められている。さらに、IT ガバナ
ンスを実現するための 6 つの原則が述べられている。これらは、① IT に対する責任を明確にする原則（Responsibility）、② IT は組織の目的を最大限支援する
原則（Strategy）、③ IT の有効性を高める適用原則（Acquisition）、④ IT の可用性を高める性能原則（Performance ）、⑤ IT が法令や組織の内部の取決めに準拠する準拠原則（Conformance）、⑥ IT は人的要素を考慮する人的行動原則（Human behavior）である。これらの原則については、ITGI(2007)と同様、ISO の標準というものの、抽象的な表現となっている。今後、ISO では、この標準の具体化とともに、組織に実現するための導入ガイドラインなどの標準を追加予定となっている。
ISO の国際標準ではあるが、組織がこのガイドラインに従うための認証シス
テムにつながるかは現状では明らかではない。ITGI では、IT ガバナンスについて、努力目標としての概念フレームワークを提示しているのみであり、COBITなどのコントロールを導入する際のフレームワークとしているわけではない。
あくまでも、組織の経営者に向けた IT を正しく利用するための考え方を提示しているにすぎないとしている。
6) 石島 隆石島(2003, 2004)では、IT ガバナンスの定義及び構成要素について、通商産業省(1998)、COBIT 第 3 版(2000)、甲賀等(2002)を比較し、表 5 のように整理し、経営戦略ないし IT 戦略の実現を目的としている点が共通している点を指摘した。

24

2 IT ガバナンスに関する現状調査

表 5

IT ガバナンスの構成要素
通商産業省

COBIT 第 3 版

甲賀他(1998)(2000)(2002)

統治機構

○

○

○

IT マネジメント○○○

リスクマネジメント

−

○

−

構成要素

また、構成要素については、IT ガバナンスの概念が IT マネジメントを包含している点に共通した特徴があり、統治機構を問題としているコーポレート・ガバナンスの概念と異なっている。また、COBIT 第 3 版(2000)の定義は、リスクマネジメントを含めている点を特徴として指摘した。
IT ガバナンスにおける統治機構(IT 統治機構)に関しては、一般に事業部門を横断した IT 戦略立案とその実行責任を持つ委員会を設置することを提唱した。
但し、このような委員会の設置形態は一様ではなく、①役員会レベル、②IT 部
門と事業部門の幹部レベル、③IT 部門と事業部門のスタッフレベルなど、種々のものがある。役員会レベルの意思統一は不可欠だが、これをサポートして実務を動かすためには、下位のレベルの委員会組織も必要であり、検討するテー
マとその企業の風土に適したレベルで、部門横断的な委員会を設置することが重要としている。
日本の大手企業においても、IT ガバナンス強化の取組みが行われているが、取組み内容は、①情報システム部門における IT 企画機能の強化、②各事業部門
において行われていた情報システムの構築体制に対する本社組織による関与の強化、が中心となっている。さらに、日本のグローバル企業は、従来、海外子会社の情報システムを現地任せにしていた傾向があり、本社と同一のシステムを子会社にも導入するという欧米企業に見られる方針と大きく異なっていた。
今後は、グローバル・ベースで企業集団全体として IT の標準化・統合化を実行していくことを重要な課題としている。
7) 淀川 高淀川(2013,2014)では、企業の変革における IT の関与に関する分析を行っている。IT マネジメントを「価値ガバナンス」「ケイパビリティ」「メカニズム」「リ
ソース調達」の 4 つに分類し、企業へのアンケート調査によって、変革の成否に IT マネジメントの優劣が影響することを示した。
これらの研究では直接 IT ガバナンスには言及していないものの、IT マネジメ
ントの定義に COBIT 5 におけるイネーブラーbを「変革を実現するもの」と位置
づけ、表 6 のように対応付けている。
b COBIT 5 において定義される IT ガバナンスの実現に必要な要素

25

2 IT ガバナンスに関する現状調査

表 6
IT マネジメント

IT マネジメントと COBIT 5 の対応(淀川(2013)に基づき筆者が作成)
COBIT 5 イネーブラー

価値ガバナンス①原則・ポリシー、②（ガバナンスの）プロセス、④カルチャ

ケイパビリティ⑦人材・スキル・コンピテンシー

メカニズム②（マネジメントの）プロセス、③組織構造、⑤情報、⑥IT サー・倫理観・行動原理

ービス・IT インフラ・アプリケーション
リソース調達⑤情報、⑥IT サービス、IT インフラ・アプリケーション、⑦人
材・スキル・コンピテンシーに関するリソース調達

なお、淀川(2018)は、デジタル化を「進歩した IT(デジタル技術)を用いてモノや人の振る舞いに関するデータを収集し解釈して何らかの意味を探知し適切に対処すること」と定義し、企業がデジタル化に際して必要となる変革について検討している。デジタル化のもとでは、さまざまなサービス提供者がエコシス
テムを形成し、企業はエコシステムにおいて顧客への価値を最大化するために
デジタル変革が必要となる。デジタル変革によって、IT はビジネスアドミニス
トレーション（業務管理）の道具から、ビジネスエグゼキューションの道具へと進化し、図 5 のように示されるデジタルガバナンスへの改訂が求められる。

図 5

淀川(2018)におけるデジタルガバナンス(淀川(2018), 図 4)26

2 IT ガバナンスに関する現状調査

淀川(2018)におけるデジタルガバナンスを、淀川(2013,2014)における IT マネ
ジメントと比較することで図 6 のように対応づけられる。IT ガバナンスが改訂されてデジタルガバナンスになり、IT マネジメントにリスクマネジメントを追加したものをデジタルガバナンスとしていることから、淀川(2013,2014)における
IT マネジメントは IT ガバナンスと同義であるといえる。

図 6 デジタルガバナンスと IT マネジメントの対応(淀川(2013, 2018)より筆者が作成)

2-4-3. まとめ
本節では、日本における主要なガイドラインと研究者による IT ガバナンスへの言及や定義を整理した。その概要を表 7 に示す。
IT ガバナンスについて、日本では、通商産業省(1998)や COBIT(2000, 2004,2012)を参照することが多い。また、各研究者による IT ガバナンスの定義では、同じ資料を参照していても中核に据える概念が異なる。
これは、各研究者が文献を参照するのは、自説を説明するためであり、当然、
引用だけでなく、批判や異論が加えられることもあり得る。
したがって、IT ガバナンスの概念の分析にあたっては、書誌学的な引用や参照関係による分析では不十分であり、各文献における IT ガバナンスの定義そのものを分析対象にする必要がある。

27

2 IT ガバナンスに関する現状調査

表 7

IT ガバナンス定義の中核概念と参照文献

文献

中核概念

参照文献

通商産業省(1998)

組織能力

甲賀他(2000,2002)

IT 戦略の一環

ヘンダーソン(1994)

石島(2003,2004)

統治機構

通商産業省(1998)
COBIT 第 3 版(2000)
甲賀等(2002)

堀江(2006)

経営陣への規律づけと影響力の行使

原田(2009)

EDM モデル(経営者の職務)

通商産業省(1998)
COBIT 第 3 版(2000)
ISO/IEC 38500:2015

島田(2012)

組織の仕組み、プロセス、ステークホルダーへの情報提供

COBIT 第 3 版(2000)

淀川(2013,2014)

価値ガバナンス、ケイパビリテ
ィ、メカニズム、リソース

COBIT 5(2012)

遠山(2015)
JIS Q 38500:2015

組織能力

IIAJ (2018)−

COBIT 第 3 版(2000)
AS 8015-2005
EDM モデル(経営者の職務)
ISO/IEC 38500:2015
取締役会等による指示・監督、 IIA (2016)
COBIT 5 (2012)
プロセス
経済産業省(2018)28

2 IT ガバナンスに関する現状調査

2-5. 海外における IT ガバナンスの研究動向
海外における主要な研究者を特定するために、Google Scholar を用いて、「ITGovernance」をキーワードに検索すると表 8 が得られる。
表 8
被引
用数

発表年

2517

2004

876

1999

729

2004

728

2004

596

2005

IT Governance に関する被引用数の多い文献(2019-01-20 検索)
題名

著者

IT governance: How top performers manage IT
decision rights for superior results
Achieving and sustaining business-ITalignment
Structures, processes and relational
mechanisms for IT governance
Don't just lead, govern: How top-performing
firms govern IT
A matrixed approach to designing IT
governanceP Weill

JW RossJN Luftman

T BrierW. VanGrembergen

S De Haes

P Weill−

P Weill

JW Ross

Google Scholar は検索キーワードの関連度、および他の文献からの被引用回数を用いて検索結果のランキングを行うことから、検索結果上位に入る文献は、IT
ガバナンスについて述べているだけでなく、他の研究者からも有用な文献と考えられているとみなす。検索結果上位 200 件から、著者の出現回数を集計することで表 9 が得られる。表 9 は、海外における IT Governance に関する主要な研究者と考えられる。
表 9 IT Governance に関する主要な研究者(2019-01-20 検索)
順位
1
2
3
4
5

執筆者
S De Haes
W Van Grembergen
M Simonsson
P Johnson
P Weill

件数
14
12
8
6
5

表 8 および表 9 より、Weill & Ross、Haes & Grembergen を中心に、海外における IT ガバナンス研究動向を整理する。

29

2 IT ガバナンスに関する現状調査

1) 戦略整合性（Strategic Alignment）
チャンドラー(2004)が、組織の研究をとおして「組織は戦略に従う」という命題を提示したことを受けて、1970 年代以降、組織と経営戦略の整合性に関する研究がさかんになる一方で、米国では、増大する IT 投資に対処するためにアウ
トソーシングを利用する企業が増えた。Henderson & Venkatraman(1990)による、情報システムを社内で保有すべきか、外部を利用すべきか、という IT の機能配置と企業戦略に関する事例研究において、はじめて「I/T governance」という用語が用いられた。この「I/T governance」は、IT 戦略の一部であり、「必要な I / T
機能を取得するための構造的メカニズム（たとえば、ジョイントベンチャー、
長期契約、株式パートナーシップ、共同研究開発など）を選択することであり、独自ネットワークと一般的なネットワークのどちらを開発するのか、及び I / Tの機能とサービスを活用するためのパートナーシップの開発に関する戦略的な選択といった問題が含まれる」cと説明している。このような IT 戦略において、その競争力の源泉を社外/社内のどちらから調達するのかという問題意識は、後に Henderson(1994)によって図 7 のようにモデル化されており、IT ガバナンスはIT 戦略の一部として位置付けられている。

図 7 Henderson(1994)における IT 戦略モデル

c 原文は choice of structural mechanisms (e.g., joint ventures, long-term contracts, equity partnerships, joint R&D, etc.) to obtain the required I/Tcapabilities, involving issues such as the deployment of proprietary versus common networks as well as strategic choices pertaining to development ofpartnerships to exploit I/T capabilities and services.”30

2 IT ガバナンスに関する現状調査

Sambamurthy & Zmud(1999)はこの IT の配置という考え方を展開し、IT ガバナ
ンスを企業における IT インフラ、IT 利用、プロジェクト管理などの IT 活動に関連した組織上の権限のパターンとして定義した。この権限のパターンは中央集権化(centralized mode)、分散化(decentralized mode)、連邦化(federal mode)の 3種に分類される。
Luftman(2004)および Luftman et al.,(2010)によると、Luftman たちは 1990 年代に IT と戦略の整合性について、図 8 に示す 6 つの領域における成熟度(Maturity)を用いて測定するモデル (SAM: Strategic Alignment Maturity)を提唱した。

図 8 戦略整合性の成熟度モデル(Luftman et al., (2010), Appendix)
2) ボストン・コンサルティング・グループ(BCG)
日本において公的な文書で初めて「IT ガバナンス」という用語が用いられたのは通商産業省(1998)であり、JUAS(2002)によると、当該報告書は通商産業省からボストン・コンサルティング・グループ(BCG)に委託されたものである。そのため、JIPDEC(2000)のように BCG が IT ガバナンスを提唱したとする見解を示す文献もある。
JUAS(2002)では、BCG による IT ガバナンスの考え方を経営トップの意思決定構造と、スタッフ機能のパフォーマンスから構成されるとし、これらをバラン

31

2 IT ガバナンスに関する現状調査

スト・スコアカード(BSC: Balanced Score Card)を用いて表 10 のような項目を用いて評価することが可能としている。
表 10 IT ガバナンスの評価項目(JUAS(2002)より筆者が作成)
経営トップの意思決定構造

スタッフ機能のパフォーマンス

①社長／CEO の役割ならびに経営トップ ③トップマネジメント／全社最適のためのサポート
会議体・ボード機能
・企業環境認識・本社ＩＴ部門の組織設計
・経営改革、事業改革におけるＩＴの位置 ・経営トップへのＩＴ戦略に対する意見具
付け・ＩＴ活用に関する意思表示
・経営トップによるＩＴ戦略討議の場
・経営トップ自らによるＩＴ活用

申・全社投資案件の優先度付け
・自社ＩＴ要員の能力管理
・リテラシーマネジメント・ＩＴ担当役員の専任／兼任
・経営トップ内のＣＩＯの位置付け② ＣＩＯの役割

・アーキテクチャ統一や標準化による全社
最適実現④ ユーザー部門に対するサポート

・ＣＩＯへの役割期待
・ＣＩＯのミッション、権限、スキル・ＣＩＯとユーザー部門との関係
・ＣＩＯのオペレーション関与

・ユーザー部門とのコミュニケーション
・アプリケーションマネジメント
・インフォーメーションマネジメント
・サービス（コスト）マネジメント
・プロジェクトマネジメント
・パーフォーマンスレビュー

バランスト・スコアカードとは、キャプランによって、従来の財務指標中心の業績管理手法の欠点を補うものとして提唱された方法論である。企業の戦略にたいして複数の目標値を設定し、財務の視点・顧客の視点・業務プロセスの視点・学習と成長の視点から各種評価指標を目標値に関連づけて管理する。バランスト・スコアカードの背景には RBV(resource-based view)と呼ばれる経営学の理論があり、企業の競争力は企業が有する固有の資源によって決まるとするものである。バランスト・スコアカードでは、財務諸表で表される業績は、組織の「無形の資産」(intangible assets)から内部プロセスを経て生み出される。無形の資産には「人的資本」「情報資本」「組織資本」があり、システムやデータ
ベース、ネットワークなどいわゆる IT インフラと呼ばれる情報システムは情報資本に計上される。一般に、これらの無形の資産を定量的に評価することは困難なため、キャプラン(2005)では、「レディネス」(readiness)という概念を導入する。レディネスとは、もともと教育学で用いられた概念であり、教育や学習が効果的に行えるような発達面での素地のことをいう。何かを学習するためのレ
ディネスは、学習者の身体的・運動的、知的・学力的、情熱的、社会的な各面における成熟に関連するとされる。BSC では目標に対する達成度や成熟度を用

32

2 IT ガバナンスに関する現状調査

いてその能力を評価するための評価尺度として用いられ、レディネスの成熟度が高まるほど、無形の資産はより早く現金の創出に貢献する。一方、無形の資産は直接収益を生み出すわけではなく、必ず内部プロセスを介する必要がある。
レディネスの例として、商業銀行において、ある戦略を実行するために社内に100 名のファイナンシャル・プランナーが必要だとすると、人員の雇用、教育などを施した結果として、40 名のファイナンシャル・プランナーが戦略目標を達成できる熟練水準に到達したとすると、この戦略要素に関する人的資本レディ
ネスは 40%となる。
キャプラン(2005)におけるレディネスは、図 9 にように示される。情報資本はシステム、データベース、ネットワークによって構成される。システムであれ
ば、要求された機能が実装された割合など、目標に対する到達度や成熟度によってレディネスが測定される。

図 9 BSC における情報システムの位置づけ（キャプラン(2005), 図表 2-1, 7-1 をもとに筆者が作成）
3) ベルギー学派
COBIT 開発の中心メンバーであった Erik Guldentops とその弟子の Wim Van
Grembergen を中心とした研究者のグループである。両者がベルギーの Antwerp
大学教授であったことから、ベルギー学派と呼ぶこととする。
2004 年に Grembergen が中心となって IT ガバナンスに関する論文集としてGrembergen & Haes(2004) ”Strategies for Information Technology Governance”を出版した。収録されている Guldentops(2004)では、COBIT 第 3 版(2000)を IT ガバ
ナンスと IT マネジメントのガイドラインと位置づけ、COBIT 第 3 版における
IT ガバナンスの対象領域(Domain)として、以下の 4 つを挙げている。
1) IT 戦略の整合性 (IT Strategic Alignment)33

2 IT ガバナンスに関する現状調査

2) IT 価値提供 (IT Value Delivery)3) パフォーマンス管理 (Performance Management)4) リスク管理 (Risk Management)
また、Luftman(2004)による事業と IT の戦略性に関する論文が収録されるなど、
戦 略 整 合 性 の 成 果 を 引 き つ ぐ だ け で な く 、 Section II に は “Performance
Management as IT Governance Mechanism”として、BSC に関する論文が収録されている。
Grembergen(2004)では、IT ガバナンスと IT マネジメントの位置づけについて
は、図 10 に示すように別領域を対象とするものと捉えており、この点は後述する MIT 学派との大きな違いである。

図 10

IT ガバナンスと IT マネジメントの差異(Grembergen et al., (2003), Figure2)

また、IT ガバナンスの定義について、通商産業省(1999)、ITGI(2001)を引用しつつ、「IT ガバナンスとは、IT 戦略の策定と導入を管理し、ビジネスと IT の融合を確実にするために、取締役会、経営陣、および IT 管理者によって行使される組織能力である」dと独自の定義を示している。
COBIT 4, 4.1, 5 および COBIT 2019 において、Luftman たちによる成熟度評価
はプロセス評価モデルeとして、BSC はカスケードモデルfとして取り入れられてd 原文は IT Governance is the organizational capacity exercised by the Board, executive management and IT management to control the formulationand implementation of IT strategy and in this way ensure the fusion of business and IT”

e ソフトウェア開発プロセスの成熟度を計る指標である CMMI(Capability Maturity Model Integration)に基づき COBIT で導入された IT ガバ
ナンス・IT マネジメントプロセスを 5 段階で評価する手法

34

2 IT ガバナンスに関する現状調査

いることから、ベルギー学派では先行する戦略整合性や BCG の成果を吸収しながら、COBIT に反映させていったと考えられる。
4) MIT 学派
MIT の情報システム研究所（Research Center for Information System）では 2001
年の重点プロジェクトとして企業へのＩＴガバナンスに関する調査を実施した。
Weill および Ross は、調査結果をまとめ、2004 年に”IT governance: How top
performers manage IT decision rights for superior results”を出版した。IT ガバナンス
に関する研究で最も多く参照されている文献であり、Weill および Ross を中心とした研究を MIT 学派と呼ぶ。
Weill & Ross(2004)では、IT ガバナンスを「IT の利用に関する望ましい行動を勧めるために、意思決定および説明責任に関するフレームワークを特定すること」gと定義している。IT ガバナンスの位置づけについては、図 11 に示す通り、
IT ガバナンスをコーポレート・ガバナンスの一部とみなしている。

図 11 Weill & Ross(2004)における IT ガバナンスの位置づけ(Weill & Ross (2004), Figure 1-1)
戦略整合性および BCG では IT ガバナンスの対象は IT 戦略だが、MIT 学派では IT 利用としており、対象がより広範囲となっている。また、この定義における behavior は OECD(1999)を参照し、個人やグループ間の関係を定義し、どの個人／グループに意思決定の権限を割り当てるかを決定するとしている。この、ITf ステークホルダーのニーズを詳細化することで事業体の達成目標を導き、事業体の達成目標から IT 達成目標というように順に展開しながら目標を具体化する手法

g 原文は” IT governance: Specifying the decision rights and accountability framework to encourage desirable behavior in the use of IT”

35

2 IT ガバナンスに関する現状調査に関する意思決定については、Business monarchy(経営層)、IT monarchy(IT 専門家)、Feudal(事業部門)、Federal(企業中央と事業部門の組合せ)、IT Duopoly(IT 部
門と他の部門)、Anarchy(個人または小規模なグループ)と分類していることから、
Zmud などの戦略整合性の影響を受けていると考えられる。また、意思決定の対象として IT Principles(IT の原則)、IT Architecture(IT アーキテクチャ)、IT
Infrastructure Strategies(IT インフラ戦略)、Business Application Needs(ビジネスア
プリケーションのニーズ)、IT Investment(IT 投資)を挙げており、Henderson の影
響と考えられる。
5) まとめ海外における IT ガバナンスの研究について、戦略整合性、BCG、ベルギー学
派、MIT 学派の 4 つに分類し、それぞれにおける IT ガバナンスの定義、位置づけを整理した。
4 つの学派の参照関係を図式化すると図 12 のようになる。先行する戦略整合性や BCG の成果は MIT 学派、ベルギー学派に引き継がれている一方で、1990
年代の戦略整合性、BCG の文献では、IT ガバナンスは IT 戦略の一部でしかなかったのに対して、2000 年代以降のベルギー学派、MIT 学派では、IT ガバナン
スを主とし、IT 戦略を従とする転換が生じている。

図 12

IT ガバナンスに関する 4 つの学派

文献の参照回数より、現在はベルギー学派および MIT 学派が主流であると考えらえる。両学派とも先行研究を吸収しながら、IT ガバナンスモデルを構築しているものの、両学派における IT ガバナンスには差異がある。例えば、MIT 学

36

2 IT ガバナンスに関する現状調査

派では BSC に言及しておらず、ベルギー学派は人間行動(human behavior)に言及していないといった違いが見られる。
以上を踏まえて、各学派の中核概念と参照文献を表 11 に示す。
表 11 各学派における IT ガバナンス定義の中核概念と参照文献
学派
戦略整合性(Strategic Allignment)
ボストン・コンサルティング・グループ(BCG)

ベルギー学派

MIT 学派

中核概念
IT 戦略の一部
組織のメカニズム

参照文献
チャンドラー(2004)
Henderson & Venkatraman(1994).

経営トップの意思決定構造
スタッフ機能のパフォーマンス

キャプラン(2005)

取締役会、経営陣、IT 管理

通商産業省(1999)、

者によって行使される組織
能力

COBIT(2000)、ITGI(2001)、
戦略整合性、BCG

意思決定および説明責任にOECD(1999)
戦略整合性

関するフレームワーク

2-6. 既存の研究に対する批判
本章では、IT ガバナンスに関するさまざまな定義を統合することを目指し、国内外の文献、ガイドラインから IT ガバナンスの定義を収集した。
IT ガバナンスは 1990 年代に始まった研究テーマであり、研究者は既存のガイ
ドラインや文献から知見を取り込んでいるものの、知見を吸収しきれておらず、以下の 2 点において、理論の体系化が不十分であると考えられる。
第一に、既存の理論は十分な説明性を有していない。例えば、金融庁(2019a)
では、IT ガバナンスの考え方として、「経営陣によるリーダーシップ」、「経営戦略と連携した IT 戦略」、
「IT 戦略を実現する IT 組織」、
「最適化された IT リソー
ス(資源管理)」、「企業価値の創出につながる IT 投資管理プロセス」、「適切に管理された IT リスク」の 6 つを挙げている。しかしながら、金融庁(2019b)においては「経営陣によるリーダーシップ」に関する先行事例①-5 として「経営陣がIT・デジタルの利活用等に関する取組みなどを講演等で外部に発信」を挙げているものの、なぜ、経営陣による外部発表が IT ガバナンスにつながるのかについての説明を与えない。
第二に、既存の理論は十分な拡張性を有していない。例えば、ISO では ISO/IEC
38500 シリーズ以外にも、IT と関連する領域で”Governance”に関する標準が公開
あるいは検討中であるものの、それらは、ISO/IEC 38500:2105 を参照しておらず、それぞれ異なるモデルを用いている。

37

2 IT ガバナンスに関する現状調査

表 12 ISO における”Governance”関連の標準(ISO の Web サイトより抽出: 2019.07.20 時点)
タイトル
ISO/IEC 17998:2012
ISO/IEC 27014:2013
ISO/TS 17187:2013

Information technology -- SOA Governance Framework
Information technology -- Security techniques -- Governance of information
securityIntelligent transport systems -- Electronic information exchange to facilitate themovement of freight and its intermodal transfer -- Governance rules to sustain
electronic information exchange methods
Intelligent transport systems -- ITS central data dictionaries -- Part 2: Governanceof the Central ITS Data Concept Registry

ISO 14817-2:2015
ISO/IEC 30121:2015
ISO 21505:2017
ISO/IEC
27050-2:2018
ISO/AWI 37000

Information technology -- Electronic discovery -- Part 2: Guidance for governanceand management of electronic discovery
Guidance for the governance of organizations

ISO/NP TS 23635

Blockchain and distributed ledger technologies -- Guidelines for governance

状態
公開
見直し
見直し
公開

Information technology -- Governance of digital forensic risk framework

公開

Project, programme and portfolio management -- Guidance on governance

公開
公開
検討中
検討中

2-7. 本章のまとめ
本章では、IT ガバナンスに関するさまざまな定義を統合することを目指し、国内外の文献、ガイドラインから IT ガバナンスの定義を収集した。
まず、「ガバナンス」という言葉そのものが、古代ギリシャに語源を持っているものの、その言葉の意味は時代背景によって異なっている。同様に、「IT ガバナンス」という言葉も社会背景や研究者の見解によって意味が変化すると考えられる。
日本において、IT ガバナンスに関する代表的なガイドラインとして、経済産業省(2004,2018)「システム管理基準」、金融庁(2019a)「金融機関の IT ガバナン
スに関する対話のための論点・プラクティスの整理」、IIAJ(2018)「内部監査人のための IT 監査と IT ガバナンス」、JIS Q 38500:2015、COBIT 第 3 版(2000)、
COBIT 4.0(2005)、COBIT 4.1(2007)、COBIT 5(2012)、COBIT 2019(2018)を取り上げた。加えて、代表的な研究者における IT ガバナンスに関する言及を取り上げた。いずれも、先行する文献やガイドラインを参照しているものの、IT ガバナ
ンスの捉え方は異なっている。
海外についても同様で、1990 年代における戦略整合性およびバランスト・ス
コアカード(BSC)の研究者についても、同様であり、文献の参照関係から Strategic
Alignment, 組織能力, ベルギー学派、MIT 学派の４つに分類されるが、それぞれは相互に参照しているにも関わらず、その IT ガバナンスの定義に関しては差異が存在する。

38

2 IT ガバナンスに関する現状調査

次章では、この IT ガバナンス定義の多様性を説明できるよう、先行研究を参考にしながら、概念モデルの構築を試みる。

39

3 IT ガバナンス定義の分析

3 IT ガバナンス定義の分析
3-1. 本章の概要
本章では、2 章に引き続き、IT ガバナンスに関する多様な定義を統合することを目指す。2 章では、国内外の文献、ガイドラインから IT ガバナンスの定義を収集した。本章では、まず、IT ガバナンスに関する多様な定義を統合することを試みた先行研究について考察する。次に、IT ガバナンスの定義に関する仮説をたて、ガイドラインの分析によって仮説を検証する。ガイドラインの分析
においては、主観の影響を極小化するため、文章中に出現する単語同士の関連性を用いて分析する計量テキスト分析を用いる。検証された仮説を IT ガバナン
スの概念モデルと名づけ、その構成要素について考察する。また、IT ガバナン
スの概念モデルと既存の文献およびガイドラインにおける IT ガバナンスの定義に適用することで、十分な説明性を有していることを確認する。

3-2.IT ガバナンス定義に関する先行研究
3-2-1. 定義の分析
Webb et al., (2006) は、IT ガバナンスに関する主要な標準、研究から 12 の定義を抽出し、表 13 に示すように、IT ガバナンスの構成要素とする 6 つの領域について、各定義の言及の有無を分析した。
表 13

IT ガバナンスの定義の分析結果(Webb et al., (2006), Table2)

IT Governance: A
Framework of Analytical
Constructs

A

B

Strategic Alignment●●

Delivery of business value
through IT●●

Definitions
C

D

●

G

H

I

J

K

L

●
●

●
●

F

●

Performance M anagement
Risk M anagement

E

●

●

Policies and Procedures●

Control and Accountability

●

●
●

40

●

●

3 IT ガバナンス定義の分析

その上で、IT ガバナンスを「効果的な IT コントロール、説明責任、パフォー
マンス管理、リスク管理を開発し、維持することをとおして、最大のビジネス価値が達成されるようにする、ビジネスと IT の戦略的な連携である」（筆者による訳）hと定義した。

3-2-2. 成功要因と業務への影響
Urbach et. al., (2013) は、既存の IT ガバナンスに関する研究論文から成功要因の候補を抽出し、企業の IT に関わる経営層へのインタビューを通して、IT ガバ
ナンスの成功要因と企業の業績に与える影響を図 13 のように「規制のわかりやすさ」、「規制の適切さ」、「説得力のあるコミュニケーション」、「経営トップの
コミットメント」、「財務・人材面でのサポート」、「ビジネスと IT の統合」という成功要因を有するモデルで表現した。

ITガバナンスの成功要因
Comprehensibility ofRegulations
Adequateness ofRegulations
Persuasiveness ofCommunication

ITガバナンスの影響
IT Cost and Service
Efficiency

Alignment of
Business and IT
Activities
IT Governance
Success

Top Management
Commitment

Controllability ofITTransparency of
IT Costs and Services

IT EffectivenessBusiness Impact

IT Risk Mitigation
and Compliance

Financial and Human
Resource Support
Integration ofBusiness and IT
Perspectives

図 13

IT ガバナンスの成功要因と業績への影響(Urbach et al., (2013), Figure 1)

h 原文は IT Governance is the strategic alignment of IT with the business such that maximum business value is achieved through the development
and maintenance of effective IT control and accountability, performance management and risk management.”41

3 IT ガバナンス定義の分析

3-2-3. 範囲と方向性
Smits & Hillergersberg (2018)は IT ガバナンスに関する文献の調査を踏まえ、IT
ガバナンスの概念には表 14 に示す 6 つの流れ (Stream) に整理されるとした。
表 14
IT ガバナンスに関する 6 つの流れ
(Smits & Hillergerberg (2018), Table 1)

View

IT governance stream
1. IT Audit
2. Decision making

Scope

3. Part of corporate governance,
conformance perspective
4. Part of corporate governance,
performance perspective
A. Top down

Direction
B. Bottom up
6 つの流れのうち、4 つは範囲(Scope)に関するものであり、
2 つは方向(Direction)に関するものである。なお、方向におけるボトムアップとは、従来の経営層によるトップダウンの IT ガバナンスと対比させ、IT ガバナンスを自発的に発生したものとして捉え、社会の規範、習慣、伝統、信念、従業員の価値観によるものと整理している。
その上で、14 名の CIO に対するインタビューを実施し、範囲に関する 4 つのIT ガバナンスの範囲について、実施状況を評価してもらった結果が図 14 である。

42

3 IT ガバナンス定義の分析

80%
最小値
70%

平均値
60%

60%

最大値
50%

50%

40%
33%
27%
20%

22%

18%
10%

10%

10%

5%
0%

IT Auditing

Decision
Comformance Performance
making

図 14
IT ガバナンスの範囲(Smits & Hillergerberg (2018), Table 6)
同じく、2 つの方向性について実施状況の評価結果が表 15 となる。
表 15
IT ガバナンスの方向(Smits & Hillergerberg (2018), Table 7)
完全に
トップダウンおおむね
トップダウン

トップダウンとボトムアップが混在

おおむね
ボトムアップ

完全にボトムアップ

0%

46%

38%

15%

0%

図 14 および表 15 において、特定の流れを 0%あるいは 100%とする回答がな
かったことから、IT ガバナンスの概念は 6 つのすべての流れを含んだものであると結論付けた。

43

3 IT ガバナンス定義の分析

3-2-4. 先行研究に対する考察
Webb et. al., (2006) では、IT ガバナンスの定義において、言及している領域の多寡についてかける言及の多寡を評価している。一方、表 13 を 0 と 1 で表現された行列と見做すと、行（領域）、列（定義）の間の相関関係を求めることで、領域間、定義間の相関関係を考察することが可能となる。
表 13 より、行（領域）間の相関係数を求めることで、表 16 が得られる。
表 16
IT ガバナンスの領域間の相関係数(Webb et al., (2006) Table 2 より筆者が作成)
Strategic Alignment

Delivery of businessvalue through IT

Performance
Management

Policies andProcedures

Risk Management

Strategic Alignment

1.00

Delivery of businessvalue through IT

0.25

1.00

Performance
Management

0.16

-0.32

1.00

Risk Management

0.16

0.63

-0.20

1.00

Policies andProcedures

-0.50

-0.13

-0.32

0.16

1.00

Control andAccountability

-0.32

0.16

-0.20

0.40

0.16

Control andAccountability

1.00

表 16 より、”Strategic Alignment”と”Policies and Procedures”の間には負の相関が、” Delivery of business value through IT”と” Risk Management"の間には正の相関が認められる。
また、表 13 より列（定義）間の相関係数を求めることで、表 17 が得られる。
表 17
IT ガバナンスの定義間の相関係数(Webb et al., 2006) Table 2 より筆者が作成)
A
B
C
D
E
F
G
H
I
J
K
L

A
1.00
0.71
0.00
-0.45
0.00
0.45
N/A
-0.45
-0.45
-0.45
0.45
-0.45

B

C

D

E

F

G

H

I

J

K

L

1.00
-0.25
-0.32
0.25
0.63
N/A
-0.32
-0.32
-0.32
0.63
-0.32

1.00
0.32
-1.00
0.32
N/A
-0.63
0.32
0.32
-0.63
0.32

1.00
-0.32
-0.20
N/A
-0.20
-0.20
-0.20
-0.20
-0.20

1.00
-0.32
N/A
0.63
-0.32
-0.32
0.63
-0.32

1.00
N/A
-0.20
-0.20
-0.20
-0.20
-0.20

1.00
N/A
N/A
N/A
N/A
N/A

1.00
-0.20
-0.20
-0.20
-0.20

1.00
1.00
-0.20
1.00

1.00
-0.20
1.00

1.00
-0.20

1.00

44

3 IT ガバナンス定義の分析

表 17 より、定義 A,B,E,K および定義 I,J,L はそれぞれ正の相関がありクラスターを構成していると考えられる。また、定義 C は定義 A,B,E,K のクラスターと負の相関を持つ。
表 16 および表 17 において、IT ガバナンスの定義および領域には、正負の相関関係があることから、IT ガバナンスは単一の概念ではなく、複数のグループに分類可能である。
また、図 14 における 4 つの領域について 0%と回答した CIO がいなかったこと、および表 15 における 2 つの方向について、「完全にトップダウン」または「完全にボトムアップ」という回答が無かったことから、IT ガバナンスの定義が複数のグループに分類されるという結果と整合性を持つとともに。各社における IT ガバナンスは、複数のグループの組み合わせであるといえる。

3-3. IT ガバナンスの定義に関する仮説
3-3-1. 概念の組合せによって構成される IT ガバナンスの定義
既存の IT ガバナンス定義に関する研究より、以下の 2 点が明らかになった。
① IT ガバナンスの定義は単一の概念ではなく、研究者や組織によって異なっている。
② IT ガバナンスの定義は、複数の概念の組合せによって表現される。
従来の研究が、IT ガバナンスの定義について、共通認識に至らなかったのは、各研究者が IT ガバナンスを異なる概念の組合せとして捉えているにも関わらず、同一の概念と見做していたためである。
IT ガバナンスに関する既存の研究において、IT ガバナンスを異なる概念の組合せとして取られているとすると、「IT ガバナンスはどのような概念が組み合わされているのか」が次の検討課題となる。
付録 A にまとめた IT ガバナンスの定義より、形態素解析によって単語別の頻度を抽出したものが表 18 となる。

45

3 IT ガバナンス定義の分析

表 18 代表的な IT ガバナンスの定義で用いられている単語

また、背景となる理論によって単語を 5 つのグループに分類することで、
表 19 を得る。
表 19
グループ

IT ガバナンスの定義を構成する単語のグループ
基本的な概念背景となる理論

メカニズム

構造(Structure), 戦略(Strategy),
意思決定(Decision Making),
メカニズム(Mechanism)

経営学(組織論)能力

能 力 (Capability, Competence), 成 熟 度(Maturity),有効性(Effectiveness)

経済学(取引費用理論)
経営学(コンピテンシー理論)

規律

規則(Rule), 監査(Audit, Oversight),

会計学

責任(Accountability)

監査論

評 価 (Evaluate), 指 示 (Direct), モ ニ タ(Monitor),リーダーシップ(Leadership),

社 会心 理 学( モ チベ ー ショ ン理論, リーダーシップ理論),行動経

人間行動(Human Behavior)

済学

社会的責任(Responsibility),
利害関係者(Stakeholder),

法学
社会学

行動

責任

法令遵守(Compliance)

この 5 つのグループについて、単語とその背景となる理論における位置づけを次節で述べる。

46

3 IT ガバナンス定義の分析

3-3-2. IT ガバナンスの定義を構成する 5 つの概念グループ
1) 組織のメカニズム
第一のグループは、IT ガバナンスを、組織のメカニズムとして定義するものであり、古典的経営学を背景とする。
構造は、アンリ・ファヨールが導入した概念であり、企業に必要不可欠な活動を図 15 のように業務活動に属する「技術」
「商業」
「財務」
「保全」
「会計」と
「管理活動」の 6 つに分類した上で、「管理活動」にビジネスの方向性や経営方針を定めること、各種活動間の調整などを含め、他の 5 つの活動の上位に置き、経営者は組織が拡大するにつれて「管理活動」の比率が上がるとした。

図 15 ファヨールによる組織に不可欠な活動(井原(2008), P109 図表 8-1)
プロセスも、ファヨールによって経営学に導入された概念である。上記の「管理活動」において、図 16 に示す「計画(Panning)」、「組織化(Organizing)」、「指令(Commanding)」、「調整(Coordinating)」、「統制(Controlling)」からなるプロセス(POCCC サイクル)として定義し、この POCCC サイクルは組織によらず普遍的であるとした。この POCCC サイクルは PDS (Plan, Do, See)または PDCA (Plan, Do,
Check, Action)として広く知られるようになる。

図 16 ファヨールによる経営管理プロセス(井原(2008), P111 図表 8-2)47

3 IT ガバナンス定義の分析

戦略は、チェスター・バーナードおよびイゴール・アンゾフによって導入された概念である。バーナードは企業を単なる組織ではなくシステムとして定義
し、組織の成立要件として「共通の目的」、「貢献意欲」、「コミュニケーション」の３つを挙げた。アンゾフはバーナードの「共通の目的」を軍事用語である「戦略」を用いて明確化し、企業における意思決定を「戦略(Strategy)」、「組織(Structure)」、「システム(System)」に分類する 3S モデル を提唱した。この 3S モ
デルは、ウォーターマンたちによって図 17 のように拡張された。図 17 のモデ
ルは大手コンサルティング会社であるマッキンゼー・アンド・カンパニー社で用いられ「マッキンゼーの 7S モデル」として普及している。

図 17 7S フレームワーク(Waterman et al., (1980), pp.18)
チャンドラー(2004)はアメリカのトップ企業における事例研究から、企業の戦
略と組織構造は相互に影響することを明らかにした。J.R.ガルブレイス(1989)はチャンドラーの成果を土台に、図 18 に示すスターモデルを提唱し、戦略が構造やプロセスを経て業績に繋がると主張した。

48

3 IT ガバナンス定義の分析

製品・市場
戦略

課業

構造

人間

情報および
意思決定
プロセス

報酬
システム

業績

図 18 J.R.ガルブレイスによるスターモデル(J. R. ガルブレイス (1989), 図 1-1)以上のように、古典的経営学の概念を用いて IT ガバナンスを定義しようとする試みが「組織の構造」フレームワークであり、主要な概念として「構造(Structure)」、「プロセス(Process)」、「戦略(Strategy)」、「意思決定(Decision making)」、「メカニズム(Mechanism)」等が含まれる。
2) 組織の能力
第二のグループは IT ガバナンスを組織が持つ能力として定義するものであり、経営学におけるケイパビリティ論を背景とする。
ケイパビリティ理論では、「資源ベースの戦略論(resource-based view)」を土台に置き、組織が特定の結果を得るために、一連の職務を調整し、組織の資源を利用するものとして能力を重視する。
「資源ベースの戦略論」はリチャード・ルメルト、ジェイ・バーニー、マー
ガレット・ペタラフらが中心となって取り組んだ概念であり、企業間における収益の差異を各企業が持つ経営資源の使い方の差によって説明できるとし、持49

3 IT ガバナンス定義の分析

続的な競争優位性に繋がるとした。
前述の通り、組織の能力は組織の資源を利用する能力として定義され、ゲイリー・ハメルと C.K.プラハラードによって、組織の能力の内、収益に繋がる持続的で競合優位な能力はコア・コンピタンスと名付けられた。
以上のように、経営学におけるケイパビリティ論の流れを汲む概念を用いてIT ガバナンスを定義しようとする試みが「組織の能力」フレームワークであり、「能力(capability, competence)」を主要な概念とする。また、Smits, Hillergersberg(2017)のように「成熟度(Maturity)」を用いて組織の能力を定量的に評価しようとする点に特徴がある。
キャプラン(2007)は、企業をエイトボート、企業の本社機能をボートのコックス(舵取り)に例えた。エイトボートでは、8 名の漕ぎ手、1 名のコックスでボートを操り、コックスが直接ボートを漕ぐことはない。
多くの企業は、調整のとれていないボートのようである。よく訓練され経験豊
かで動機づけられたエグゼクティブがいるすばらしいビジネスユニット(business unit: BU)で構成されてはいるものの、個々のビジネスユニットの努力は調整されていなかった。せいぜいビジネスユニットが互いに干渉しないくらいで、企業の業績は個々のビジネスユニットの業績合計から本社費を差し引いたものでしかない。ところが多くの場合、ビジネスユニットの努力のなかには顧客や資源の共有と矛盾するものがある。すなわち、ビジネスユニットは自らの行動を調整できないために、さらに業績が向上する機会を失ってしまう。企業
全体の業績は、個々のビジネスユニットが協業すれば達成されたであろうものよりも、はるかに劣ったものになる。
ボートのコックスは本社に似ている。怠惰なコックスはかなりのスペースをとり、その体重がボートを沈め、漕ぎ手の行為全体にとってはマイナスとなる。
逆に、優秀なコックスは、各漕ぎ手の強みも弱みもよく理解し、外部環境を学習し、競争相手を分析する。そのときコックスは、ボートの取るべき行動を明確にし、最高の業績となるように漕ぎ手を調整して確実に実行する。優秀なコックスというのはうまく運営されている本社に似ており、個々の漕ぎ手のスピードをアップさせてくれる。
企業が利益を最大限享受するためには、本社、ビジネスユニット、サポート
ユニットの戦略をうまく連携させ、シナジーを生み出す必要がある。このようなシナジーを構築し、アネルギー(シナジーの逆)を回避するためのツールとして
バランスト・スコアカードが考案された。
バランスト・スコアカードでは、組織の無形の資産(intangible assets)を人的資
本、情報資本、組織資本の 3 つに分類し、それらの戦略への貢献に着目する。

50

3 IT ガバナンス定義の分析

表 20 バランスト・スコアカードにおける無形の資産の種類(キャプラン他(2005)，p.38)
無形の資産の種類

内容

人的資本

従業員のスキル、才能、知識

情報資本

データベース、情報システム、ネットワーク、IT インフラ

組織資本

組織文化、リーダーシップ、従業員の方向づけ、チームワーク、
ナレッジマネジメント

これら無形の資産の価値は、企業の戦略の実行を支援する能力から引き出されるものであり、財務諸表における独立した尺度を用いて測定することはできない。キャプランとノートンは従来の財務諸表を企業がすでにとった行動の結果を要約したものとして残しながら、将来の業績の先行指標を追加することで、従来の成果に基づく尺度と、無形の資産に代表される非財務的な尺度のバラン
スを取ることを目的とする。
3) 組織の規律
第三のグループは IT ガバナンスをルールに基づく規律づけとして定義するものであり、会計学や監査理論を背景とする。
Smits & Hillergerberg (2017)における IT ガバナンスの 6 つの流れの一つに「ITAudit」が含まれ、日本監査役協会(2011)では IT ガバナンスを「コーポレート・
ガバナンスの一側面であり、取締役の職務執行の一部としての IT の利活用に関する全社的あるいは企業グループとしての推進体制と、監査役による独立的監
視・検証を通じた取締役への規律付けからなる。」と定義していることからわかるよう、監査は規律と結びついて用いられる概念である。
このような規律に関するグループは会計に関する歴史的背景から生じたと考えられる。
ソール(2018)によると、古代メソポタミア、イスラエル、エジプト、中国、ギ
リシャ、ローマ等の古代世界においては既に簿記が行われていた。例えば、紀元前 1772 年頃に成立したバビロニアのハンムラビ法典は基本的な会計原則や監査の規則にも言及していた。古代においても会計不正は存在しており、古代ア
テネには公的機関の会計を監督する高級官僚や監査官が存在し、公的監査による統治者の会計責任が寡頭政治を防ぎ民主的統治を支える重要な柱とみなされていた。また、ローマ帝国において、監査は州長官等の重要な仕事であった。
もともと「監査(Audit)」という言葉は、支配者が自らの会計書類について、部下から報告を「聴いた」ことに由来する。
貿易や金融業の発展に伴い、1300 年頃のイタリアで考案された複式簿記は、

51

3 IT ガバナンス定義の分析

複雑な規則に従って正確に処理する必要があった。ジェノバ市政庁に遺されていた 14 世紀の元帳からは、当時の官僚が厳格な会計規則、正確な帳簿、定的な内部監査という会計と責任のシステムを完成していたことが伺われる。
以上のように、組織の統治に関して経営学よりもはるか昔から存在していた概念が「組織の規律」であり、「規則(Rule)」、「監査(Audit)」が主要な概念である。また、「責任(Accountability)」の語源は帳簿・会計を意味する”Account”であり、「組織の規範」において、「監査」と対になる概念である。
4) 組織の行動
第四のグループは IT ガバナンスを経営者の行動として定義するものであり、経営学あるいは社会心理学におけるリーダーシップ理論を背景とする。
Smits & Hillergersberg (2017)は、多くの標準では IT ガバナンスを構造とプロセスとメカニズム(structure, process and relational mechanisms)で説明しているのに対し、ISO/IEC 38500:2015 及び COBIT 5(2012)は例外であると指摘している。
ISO/IEC 38500:2015，COBIT 5，及び JIS Q 38500:2015 では、IT ガバナンスを経営者の職務(Task)であるとし、職務を「評価(Evaluation)」、「指示(Direction)」、「モニタ(Monitoring)」として定義する。

図 19

JIS Q 38500 における EDM モデル

EDM モデルにおいては、経営者は現状を「評価」した結果に基づき、組織に対して「指示」を出し、「指示」の実施状況を「モニタ」し、「モニタ」によって得られた情報に基づき再度「評価」を行うという継続的な行動として表現される。
このような経営者に着目する概念として、経営学では、リーダーシップ理論

52

3 IT ガバナンス定義の分析があり、状況に合わせて軌道修正を行う点ではティム・ハーフォード等の「アダプティブ戦略」の影響が考えられるものの、いずれの理論においても、経営者の「評価」「指示」「モニタ」という行動は含まれていない。
ISO/IEC 38500:2015 はオーストラリアから提案された AS (Australian Standards)
8015-2005 を基に国際標準化されたものである。他に原型となるモデルが見つからないことから、「組織の行動」フレームワークは、AS 8015-2005 が発端となったと考えられる。
以上のように、「組織の行動」グループは、行動としての「評価」「指示」「モニタ」が主要な概念となる。
5) 組織の責任
第五のグループは IT ガバナンスを組織の社会的責任として定義するものであり、法学、社会学を背景とする。
社会責任に関する国際標準は ISO 26000:2010 および日本において規格化された JIS Z 26000:2012 では、社会的責任についてすべての組織が取り組むべき 7 つの中核主題の一つとして組織統治が挙げられている。
山田他(2016)では、ISO 26000:2010 と東京証券取引所(2015)との比較より、コーポレート・ガバナンスコードにおいてステークホルダーとの協力関係が不可欠であり、ESG(環境、社会、統治)への積極的な対応を企業に求めている点を挙げ、CSR がコーポレート・ガバナンスの重要な要素である点を指摘している。
また、ISO 26000:2010 の策定においては、OECD のコーポレート・ガバナンス原則と連携していた点を指摘し、コーポレート・ガバナンスと CSR の相互の関連性を指摘している。
また、CSR の議論において、重要な概念として法令遵守(コンプライアンス)とステークホルダー(利害関係者)がある。
JIS Z 26000：2105 では、その適用範囲において、法令順守はあらゆる組織の
基本的な義務であり、組織の社会的責任の基礎的な部分であるとの認識を示しており、また、その社会の期待として、社会的責任は、社会の幅広い期待の理解を必要とし、社会的責任の根本原則が、法の支配の尊重及び法的拘束力をもつ義務の順守であるとしている。
ステークホルダーの概念については、研究者によって諸説が分かれている。
谷本(2004)によるとステークホルダーを最初に取り上げたのは 1963 年のスタン
フォード研究所であり、その後、1965 年にアンゾフによって理論づけられたとしている。一方、青木(2011)によると、世界恐慌の後、1930 年代に法学において企業の所有について、株主主権とステークホルダー主権の間で論争となった。
しかしながら、経済同友会(2003)は、社会的責任は企業にとっての根幹であり、

53

3 IT ガバナンス定義の分析

日本においては江戸時代の商家の家訓においても言及されていることを示す一方で、その指し示すところは時代に応じて変化し、1970 年代の公害問題によって、企業の社会的責任は、経営課題の一つとして認識されるようになったとしている。

3-3-3.

5 つの概念グループを用いた IT ガバナンス定義の分類

IT ガバナンスの定義を構成する概念を 5 つのグループに分類することで、従来の IT ガバナンスの定義は 5 つの概念グループの組合せで表現することが可能となる。
付録 B における各ガイドラインの IT ガバナンス定義について、5 つの概念グ
ループを適用すると表 21 が得られる。
表 21
文書

IT ガバナンス定義の分類

メカニズム

能力

〇

〇

規律

行動

責任

通商産業省(1998)
JUAS (2002)〇

FISC (2008)

〇

〇

〇

ITGI (2003)

〇

〇

〇

日本監査役協会
JIS Q 38500:2015〇

日本内部監査協会〇

金融庁(2017)〇

経済産業省(2018)〇

金融庁(2019)
FISC (2019)〇〇経済産業省(2019)

〇

〇

〇

〇

〇
〇
〇

〇

〇
〇
〇

〇

〇

〇

どのガイドラインについても、責任や権限、体制といったメカニズムに関する概念が含まれている点は共通している。また、日本内部監査協会を除くほとんどすべてのガイドラインでは、メカニズムと他の概念グループの組合せで IT
ガバナンスを定義している。

54

3 IT ガバナンス定義の分析

3-4. ガイドラインの分析による仮説の検証
3-4-1. 分析の対象と手法
1) 分析の対象
IT ガバナンスの定義が 5 つの概念グループによって構成されていると仮定す
ると、既存のガイドラインにおいて、IT ガバナンスの定義の差異は、本文に出現する概念グループの頻度の差異となって表出されると考えられる。また、そもそも IT ガバナンスが 5 つの概念グループによって構成されているとすれば、IT ガバナンスの定義によって出現頻度は変動するとしても、5 つの概念グループはガイドライン中に表出すると考えられる。
この 2 点を明らかにするため、経済産業省(2004)と経済産業省(2018)について、
ガイドライン本文を用いて概念グループの分布を比較する。
分析の対象としては、経済産業省によるシステム管理基準 2004 年度版および2018 年度版を取り上げる。
経済産業省(2018)においては、前文において IT ガバナンスを重視することをうたっており、そのモデルとして JIS Q 38500:2015 における EDM モデルを参照
している。経済産業省(2004)において、IT ガバナンスに関する明確な定義は行われていないものの、通商産業省(1998)と経済産業省(2018)における IT ガバナンスの定義を比較すると表 22 のとおりとなる。通商産業省(1998)と経済産業省(2018)における IT ガバナンスの定義の差異は「行動」概念グループに関する記載が追加されている点にあることから、経済産業省(2018)においては、従来の IT ガバ
ナンスの定義を通商産業省(1998)とした上で、「行動」概念グループを追加したと考えられる。したがって、経済産業省(2004)における IT ガバナンスの定義は通商産業省(1998)と等しいとみなすことが可能となる。
表 22 通商産業省(1998)と経済産業省(2018)における IT ガバナンス定義の差異
文書

IT ガバナンスの定義

通商産業省(1998)

企業が競争優位性構築を目的に、IT（情報技術）戦略の策定・実行をコ

経済産業省(2018)

ントロールし、あるべき方向に導く組織能力
IT ガバナンスとは経営陣がステークホルダのニーズに基づき、組織の価値を高めるために実践する行動であり、情報システムのあるべき姿を示
す情報システム戦略の策定及び実現に必要となる組織能力である。

前章の 5 つの概念グループを用いると、2 つの IT ガバナンス定義の差異は表
23 のとおりとなり、経済産業省(2018)における「行動」概念グループの追加は、
ガイドライン本文にたいしても影響を及ぼすと考えられる。

55

3 IT ガバナンス定義の分析

表 23 ガイドラインの改訂前後における IT ガバナンス定義の差異
文書

メカニズム

能力

通商産業省(1998)〇〇

経済産業省(2018)

〇

〇

規律

行動

責任

〇

したがって、本章では、以下の 3 つの仮説を検証する。
仮説１： 「行動」概念グループは、経済産業省(2004)よりも経済産業省(2018)
により多く出現する。
仮説２： 経済産業省(2004)および(2018)においても、各概念グループは経営者と関連を有する。
仮説３： 「行動」概念グループは、経済産業省(2004)よりも経済産業省(2018)のほうが「経営者」との関連が強い。
2) 分析の手法
ガイドラインと 5 つの概念グループとの関連性を定量化するため、本論文ではテキストマイニング等で用いられる計量テキスト分析を用いる。樋口(2014)によると、計量テキスト分析は「計量的分析手法を用いてテキスト型データを整理または分析し、内容分析(content analysis)を行う方法」と定義される。
計量テキスト分析では、分析者の主観による影響を極小化するため、二段階で分析を進める。第一段階では、多変量解析を適用するために、あらかじめ形
態素解析を用いて、文章中の用語の出現回数を一覧表にリストアップする。
第二段階では、同義語を考慮した分析を行うためにコーディングルールを用いる。コーディングルールとは、用語の分類を明示的なルールにすることで、大量のテキストデータを漏れなく抽出する。
3) コーディングルールの検討
本論文におけるコーディングルールを検討するにあたり、5 つの概念グループ
を基にすると共に、各ガイドライン固有の用語も考慮する必要がある。
2004 年度版では、「委員」および「組織体の長」を、2018 年度版では、CIO
およびシステム戦略委員会、プロジェクト運営委員会などの各種委員会を経営から権限移譲を受けて IT ガバナンスを行使する主体としているため、これらを「経営者」に含める必要がある。
各ガイドラインにおける用語の使い方を踏まえ、本稿で使用するコーディン
グルールを表 24 で示す。

56

3 IT ガバナンス定義の分析

表 24 本論文で用いるコーディングルール
概念グループ用語

メカニズム

計画 , 方針 , 戦略 , 経営戦略 , 指針 , 権限 , 情報戦略 ,プロセス , 指揮命令系統 , 目標

能力

知識 , 能力 , 人材 , 人的資源 , 経験

規律

ルール , 手順 , 手続き , 使命 , 規程 , 規定 , 基準

行動評価 , 識別 , 分析 , 指示 , 把握 , モニタリング , 是正 ,人間行動 , 任命 , モニタ , マネジメントレビュー

責任コンプライアンス , 遵守 , 責任 , 利害関係者 , 関係者

経営者

組織体の長 , 委員会 , 経営陣 , 委員 , 委員会

3-4-2. 分析結果と考察
1) 概念グループの出現率と共起性
経済産業省(2004)および経済産業省(2018)における、各概念グループおよび経営者の出現率は図 20 のとおり。なお、経済産業省(2018)は、経済産業省(2004)
を基に作成されているものの、経済産業省(2004)が管理項目を箇条書きにしているのにたいして、経済産業省(2018)では、各項目について主旨、着眼点を記載しており、分量が大幅に増加している。全文に対する出現率では、経済産業省(2018)
が過小評価となるため、比較に際しては n(A)を概念グループ A が出現する文の数、S を全概念グループの和集合が出現する文の数とし、n(A)/n(S)を概念グルー
プ A の出現率とする。

図 20 概念グループの出現率57

3 IT ガバナンス定義の分析

図 20 より、経済産業省(2018)では、「行動」概念グループの出現率が増加しており、仮説１が確認される。また、経済産業省(2018)では「経営者」の出現率も増加しているものの、それぞれ独立に出現している可能性があるため、これだ
けでは、仮説２、仮設３は確認できない。
計量テキスト分析においては、2 つの用語が、同一文中に出現する場合に、2つの用語の間には共起性があるとする。この共起性を関連性として用いると、経済産業省(2018)が EDM モデルを参照している場合、「行動」および「経営者」の概念グループに属する用語の間の共起性が経済産業省(2004)における共起性よりも高くなると考えられる。
共起性を表す指標として、Jaccard 係数iを用いて経済産業省(2004)および経済産業省(2018)における経営者と概念グループの共起性を比較すると図 21 が得られる。

図 21 「経営者」と概念グループの共起性
図 21 より、経済産業省(2018)では「行動」だけでなく、各概念グループにおいて、経営者との共起性が向上していることがわかる。これによって仮説２、および仮説３が確認される。
i Jaccard 係数は、用語 A と用語 B について、n(A∩B)を用語 A と用語 B の両方が出現する文の数、n(A∪B)を用語 A または用語 B が出現する文の数としたときに n(A∩B)/n(A∪B)によって算出される指数である。0 から 1 までの値を取り、共起性が強いほど 1 に近づく、
この係数にはどちらの条件もあてはまらない文の影響を無視するという特徴があり、1 文の中に登場する語の数が少ない文書の分析に適
している。

58

3 IT ガバナンス定義の分析

2) 概念グループの章毎の分布
前節では、共起性を用いて、概念グループの関連性を分析した。共起関係では、１文中に登場する用語に着目するために、強い関連性を分析するのに適しているが、複数の文や段落の間における関連性を検出することはできない。
そのため、本節では、各章における出現率に注目する。
仮に、複数の文や段落の間における関連性が存在すると、各章における概念
グループの出現率は近い傾向を示すことになる。
表 25 は経済産業省(2004)に対するクロス集計表である。経済産業省(2004)の各章を縦軸、概念グループを横軸として、各章における概念グループの出現回数を示している。なお、各セルの括弧内は各章において概念グループが出現した
総数(ケース数)に対する出現比率を表している。
表 25 経済産業省(2004)における章毎の出現率

表 25 において、カイ二乗検定による独立性の検証からは、
「規律」
「メカニズ
ム」
「経営者」が 99%の有効性で独立性を示している。したがって、各章における「規律」と「経営者」、「メカニズム」と「経営者」の出現傾向は、「行動」と「経営者」の出現傾向とは大きく異なっていることがわかる。表 25 における出現傾向の近さを関連性と捉えた時、クロス集計表から関連性を図示することが可能である。
表 25 に対して対応分析jを実施し、図示したものが図 22 である。

j 対応分析とは、クロス集計表など、行と列からなるデータの特徴を図示し、項目間の関係を視覚的に把握する手法。偏りの大きな項目を原点から遠くに、関連の近い項目同士を原点からみて同一方向に配置する性質があることから、距離が近い項目は関連性が強いと考え
られる。

59

3 IT ガバナンス定義の分析

図 22 経済産業省(2004)における対応分析
図 22 において、原点にもっとも近いのは「６．共通業務」の章であり、各概念グループがもっとも偏りなく出現している。一方、「経営者」は「能力」と同じ傾向を示しており、図 22 において共起性は認められなかったものの、関連性を有していることがわかる。
また、表 26 は経済産業省(2018)におけるクロス集計表である。
表 26 経済産業省(2018)における章毎の出現率
規律

行動

責任

経営者

ケース数

前文

2 (8.70%)メカニズム

1 (4.35%)

能力

8 (34.78%)

0 (0.00%)0 (0.00%)0 (0.00%)

23

システム管理基準の枠組み

13 (17.33%)

3 (4.00%)

13 (17.33%)

13 (17.33%)

4 (5.33%)

18 (24.00%)

75

Ⅰ．ITガバナンス

151 (39.63%)

11 (2.89%) 32 (8.40%)

105 (27.56%) 56 (14.70%)

110 (28.87%)

381

Ⅱ.企画フェーズ

19 (13.38%)

4 (2.82%)

2 (1.41%)

12 (8.45%)

11 (7.75%)

3 (2.11%)

142

Ⅲ．開発フェーズ

36 (10.08%)

3 (0.84%)

7 (1.96%)

10 (2.80%)

18 (5.04%)

0 (0.00%)

357

IV．アジャイル開発

28 (38.36%)

0 (0.00%)

2 (2.74%)

8 (10.96%)

5 (6.85%)0 (0.00%)73

Ⅴ．運用・利用フェーズ

23 (3.01%)

3 (0.39%)93 (12.17%)

59 (7.72%)

19 (2.49%)

0 (0.00%)

764

Ⅵ．保守フェーズ

50 (16.72%)

0 (0.00%)

16 (5.35%)

11 (3.68%)

1 (0.33%)0 (0.00%)

299

Ⅶ．外部サービス管理

15 (6.76%)

0 (0.00%)

2 (0.90%)

15 (6.76%)

8 (3.60%)

7 (3.15%)222

Ⅷ.事業継続管理51 (24.76%)

1 (0.49%)

15 (7.28%)

14 (6.80%)

9 (4.37%)

4 (1.94%)206

Ⅸ．人的資源管理

31 (15.98%)

22 (11.34%) 4 (2.06%)

9 (4.64%)

16 (8.25%)

0 (0.00%)

194

Ⅹ.ドキュメント管理

20 (17.39%)

2 (1.74%)

4 (3.48%)

11 (9.57%)

7 (6.09%)115

合計

439 (15.40%)

50 (1.75%) 218 (7.65%) 260 (9.12%) 158 (5.54%) 149 (5.23%)

カイ2乗値

327.872**132.810**24 (20.87%)
136.692**60

206.721**101.615**587.093**2851

3 IT ガバナンス定義の分析

表 26 においては、「メカニズム」「能力」「規律」「行動」「責任」の 5 つの概念グループに加えて、「経営者」もカイ二乗検定において有意な独立性を示している。図 22 と同様に、表 26 に対して対応分析を行った結果が図 23 である。

図 23 経済産業省(2018)における対応分析
経済産業省(2018)においても「経営者」の偏りは大きいものの、「能力」概念
グループとの関連性は低くなっている。また、経済産業省(2004)と比較して、各章が原点近くに存在し、全体的にまんべんなく出現していることがわかる。

3-5. IT ガバナンスの概念モデルのメリット
IT ガバナンスの概念モデルによって、以下の 3 点のメリットが得られる。
第一に、IT ガバナンスの概念モデルによって、IT ガバナンスの定義の分析が容易になる。文献およびガイドラインは先行する文献およびガイドラインを参照することから、使用される用語は何らかの学問領域を反映したものとなる。
したがって、IT ガバナンスの概念モデルを用いることで、定義で用いられる用
語から、その背景を推察することが可能となる。
第二に、IT ガバナンスの概念モデルによって、文献およびガイドラインの間

61

3 IT ガバナンス定義の分析の参照関係が明確になる。文献調査の手法として、参考文献や引用を用いた場
合、参照または引用された文献が肯定的に用いられているか、批判的に用いられているかは、文脈から判断することになり、分析者の主観が介在する。IT ガ
バナンスの概念モデルによって、このようなあいまいさが回避される。
第三に、IT ガバナンスの概念モデルによって、文献およびガイドラインの判断基準が提供される。経営層が組織体の IT ガバナンス向上に取り組む際には、経営層がなすべきことについて記載されたものが望ましく、本章における共起性を用いることで、文献およびガイドライン間の比較が、対応分析より、文献
またはガイドライン内の比較が可能となり、自らの問題意識に適合したものを見つけることが容易となる。
IT ガバナンスの概念モデルにはこれらのメリットがあるが、その導出にあたっては既存のガイドラインにおける定義を使用している点には留意が必要である。すなわち、既存のガイドラインに対する説明性は有しているものの、なぜ、IT ガバナンスの定義を構成する概念が 5 つのグループに分類されるのかという点については、何ら情報を提供しない。このことは、IT ガバナンスの概念モデ
ルにおける不完全性ではなく、その根底にある複数の作動原理を有する組織体
あるいは社会というものを、どのように捉えるかに関する理論が求められる。

3-6. 本章のまとめ
本章では、IT ガバナンスに関する多様な定義を統合する IT ガバナンスの概念
モデルを構築した。
IT ガバナンスに関する多様な定義を統合することを試みた先行研究について考察し、IT ガバナンスの定義は単一の概念ではなく、研究者や組織によって異なっていること、IT ガバナンスの定義は、複数の概念の組合せによって表現されることを明らかにした。
次に、IT ガバナンスの定義は複数の概念の組合せによって構成されており、
かつ、IT ガバナンスの定義を構成する概念は「メカニズム」、「能力」、「規律」、「行動」、「責任」に関する 5 つのグループに分類されるという仮説をたてた。
この仮説を検証するために、経済産業省「システム管理基準」を使用した。
「シ
ステム管理基準」は、2004 年度に改訂された際に IT ガバナンスに関する言及が行われ、2018 年度に改定された際には IT ガバナンスに関する国際標準・国内規格を参照し、IT ガバナンスの定義が拡張された。検証に際して、主観を極小化するために、文章中に出現する単語同士の関連性を用いて分析する手法である
計量テキスト分析を用いて、「システム管理基準」の 2004 年度版と 2018 年度版
を比較した。その結果、2004 年度版、2018 年度版の双方に 5 つの概念グループが出現すること、また、2018 年度版の IT ガバナンスの定義における「行動」概62

3 IT ガバナンス定義の分析

念グループの追加は、本文にも反映され、「行動」グループの出現率とともに、「経営者」との関連性が上昇していることを示した。
検証された仮説を IT ガバナンスの概念モデルと名づけ、既存の文献およびガイドラインにおける IT ガバナンスの定義に適用することで、十分な説明性を有していることを確認した。
しかし、IT ガバナンスを向上するには、IT ガバナンスの概念モデルのみでは不十分である。なぜなら、IT ガバナンスに概念モデルは、なぜ、IT ガバナンスの定義を構成する概念が 5 つのグループに分類されるのかという点を説明していないためである。そのため、IT ガバナンスの概念モデルでは、既存の IT ガバ
ナンスの定義がどの概念グループの組み合わせかを説明することができても、6
つめ、7 つめの概念グループが存在するのかどうかについて言及することができない。そのため、IT ガバナンスの概念モデルの原理に関するさらなる理論が必要とされる。
次章では、IT ガバナンスの概念モデルをもとに、システム理論、経済学におけるゲーム論における既存の知見を援用しながら、IT ガバナンスの組織モデルの構築を試みる。

63

4 IT ガバナンスの組織モデル

4 IT ガバナンスの組織モデル
4-1. 本章の概要
本章では、組織における IT ガバナンスの位置づけを明らかにすることを目指し、IT ガバナンスの組織モデルを検討する。
前章では、ガイドラインおよび文献における IT ガバナンスの定義から、IT ガ
バナンスの概念モデルを検討した。IT ガバナンスの概念モデルにおいて、IT ガ
バナンスは「メカニズム」、「能力」、「規律」、「行動」、「責任」の 5 つの概念グループによって構成される。これまで考えられていた IT ガバナンスの多様性が、IT ガバナンスを構成する概念の組合せの違いであるならば、組織には異なる背景を持つガバナンスが同時に存在することになる。
従来の組織論においても、複数の背景が存在することは知られていた。ミンツバーグ(2012)は、経営学を戦略論によって分類し、背景となる領域が異なる 10の学派(スクール)が存在することを示した。また、入山(2012)は、経営学には 3つの領域(ディシプリン)が存在することを指摘している。しかし、これらの議論
における学派または領域はそれぞれ独立した存在であり、一つの組織の中で併存することが想定されていない。
林(2011)は、ガバナンスを考える時に企業が主体とならざるをえない理由の一つとして、企業の存在の大きさをあげている。この企業の存在の大きさは四つに分けることができる。第一は、現代資本主義社会における存在の大きさであり、社会におけるビジネスの比重について民間企業の比率が高まっている点にある。第二は、情報量の大きさであり、経済・社会活動における情報量が増大
し、情報処理装置としての企業が、中心的役割を担うようになってきている点にある。第三は、組織体がグループ経営、アウトソーシング、クラウド・コン
ピューティングのように、多様化・複雑化しているという点がある。企業経営そのものがネットワーク型になり、バリュー・チェーンが広く長くなっている。
企業の扱う情報は、一旦漏えいすると連鎖的にあちこちに広がっていく。第四は、企業市民としての責任がある。コンプライアンスや内部統制が声高に叫ばれるのは、企業の存在が大きくて無視できないためである。これらの観点は、第一は「行動」、第二は「能力」、第三は「メカニズム」、第四は「責任」に結び付けることが可能であるものの、どのように IT ガバナンスに結び付くかについて示唆するものではない。
これらは、既存の組織論の検討が、事象を説明することに終始し、その根本にある作動原理まで考察していなかったことに起因する。
したがって、IT ガバナンスの概念モデルを説明するためには、その作動原理

64

4 IT ガバナンスの組織モデルとなる組織モデルの検討が必要となる。5 つの異なるガバナンスを有する組織を表現するために、遠山(1994)における組織モデル（以降、「遠山モデル」と表記）をもとに、社会システム理論における機能システムの考え方を援用する。その上で、遠山モデルの不十分な点を拡充し、IT ガバナンスの組織モデルと名づける。この IT ガバナンスの組織モデルに対して、金融庁(2019b)の事例を用いて有用性を検証する。

4-2. 組織と IT に関する先行研究
新しい組織モデルを検討するにあたって、どのような理論を用いるべきだろうか。本節では、組織に関する各分野の理論を概括する。
1) 組織デザイン論
経営学における組織理論では、ファヨールが導入した組織構造、あるいは、その後継であるマッキンゼーの 7S、あるいは、ガルブレイスによるスターモデ
ルは、複数の異なるサブシステムの集合体として組織を捉えようとするアプローチである。その一方で、ファヨール、マッキンゼーのモデルには情報あるいは IT は登場しない。組織理論において、最初に情報の概念を導入したのは、ガルブレイスである。ガルブレイスは、組織体を情報処理のネットワークとして位置づけた。組織体は必要な情報の創造及び獲得を行うことで、環境の不確実性(uncertainty)を削減する。不確実性に対応するため、組織体は情報処理必要量の削減と、情報処理能力の拡大という２つのアプローチを取る。
情報処理量の削減方法として、分業度の引き下げ、アウトプットの多様性を削減、余剰在庫・能力や目標引き下げなどによる資源の確保、製品別組織などによる自己完結職務(self-contained tasks)などがある。
また、情報処理能力の拡大方法として、ルール・プログラムによる行為への制約、ヒエラルキーによる例外処理、目標設定、コンピュータによる垂直型情報システム、当事者の直接コンタクト、現場との連絡役(liaison role)、臨時の問
題解決チーム(task force)、プロジェクトチーム、統合部門(product manager)、マ
トリクス組織などがある。
2) システム理論
システム理論（system theory）は、対象全体を直接的にモデル化して扱う方法論である。
19 世紀までの近代科学において中心となっていた要素還元主義では、対象を要素に分解し、要素の挙動を分析することを目的としていた。そのため、全体性については形而上学の領域と考えられていた。20 世紀に入って、異なる分野

65

4 IT ガバナンスの組織モデル

において、同じような説明が存在する事例が判明し始めた。この似た部分を抽出し、全体性に関する法則をシステムと呼ぶようになったのがシステム理論の始まりである。
同様のアプローチにはサイバネティクスがある。サイバネティクスでは、コンピュータ工学、情報理論、制御工学における知見を他分野に適用するという点で、先駆的なシステム理論の一つといえる。ウィーナー(1948)によるとサイバ
ネティクスという用語は、1940 年代当時にはこのようなアプローチを表す述語が存在しなかったことから、ギリシャ語の kubernan から造られた造語である。
この kubernan を用いたのは、フィードバック機構に関する最初の重要な研究論
文が調速機（governor)に関するものであったことが述べられている。なお、ウィーナー自身は、社会科学へのサイバネティクスの適用については、社会科学
が短い期間の統計データしか取り扱えないこと、観測結果によって観測対象が影響を受けてしまうことを理由として、批判的な立場を取っていた。その一方で、サイバネティクスは SF 作家たちに多大な影響を与え、現在における「サイバー」の語源となり、社会に大きな影響を及ぼすこととなったのは皮肉な結果ともいえよう。
一般システム理論はベルタランフィ(1945)たちによって提唱され、1950 年代に確立された方法論である。物理学、生物学、心理学、社会科学などの様々な分野における各種「システム」に共通する側面と対応関係（同形性）を見出し、「システム」を通して「全体性」を科学的に研究することを目的とする。
一般システム理論では、組織体はオーガニゼーションの一形態として取り扱われる。オーガニゼーションの特性は全体性、生長、分化、階層的秩序、優位性、制御、競争、等々の概念であるとした。一方、オーガニゼーションには定
量的な解釈を許さない側面が含まれることから、定性的な「原理的な説明」に留まるものの、それでも「個体数の増加はその資源の増加より大きい」というマルサスの法則のように、一般的モデルから導かれどのようなオーガニゼーシ
ョンにも適用できる経験則が存在し、これを「鉄則」と呼んだ。オーガニゼー
ションの「鉄則」として、以下のものを紹介している。
 最適な大きさに関する法則
オーガニゼーションが大きくなればなるほど通信の経路も長くなり、これが制限要因となってオーガニゼーションがある一定の臨界値以上の大きさになれないようになる。
 不安定性の法則
多くのオーガニゼーションは安定平衡にはなっておらず、サブシステムの相互作用のために周期的な変動を受けている。

66

4 IT ガバナンスの組織モデル

 重要な寡占(oligopoly)の法則
競争しているオーガニゼーションがあるとき、それらの間の関係の不安定性（摩擦と争いのおこる危険度）はオーガニゼーションの数が減るにつれて増加する。
サイモンはシステム理論を組織論に導入し、階層システムの概念を提唱した。
階層システムとは、相互に関連するいくつかの下位システムから成り立っており、その下位システムがまた順次、もっとも低いレベルの基本的な下位システ
ムに至るまで、それぞれ階層的構造をもって連なっているシステムである。一般に「階層」という用語は、下位システムの 1 つ 1 つが、その上位システムに、権限関係によって従属している複雑なシステムを意味するものとして用いられている。さらに、階層的な公的組織では、各システムはひとりの「長」と一連の部下の下位システムから成立し、下位システムは、それぞれが「長」を持ち、その長は上位システムの長の直属の部下である。企業、政府、大学はいずれも明確な階層システム構造をもっている。
サイモンはこの階層システムを説明するために、2 人の時計職人のたとえ話を用いた。Hora と Tempus という 2 人の時計職人は、どちらも素晴らしい時計を作ることができる。2 人の作っていた時計は、約 1000 個の部品で構成されている。
Tempus の作っている時計は、電話等、組立途中で作業が中断されると、部品がバラバラになって、もう 1 度はじめからやり直す必要がある。そのため、顧客が時計を気に入るほど、注文の電話は多くなり、1 個の時計を仕上げるのに必要な時間を確保することが困難となった。
一方、Hora の作る時計も、Tempus のものに劣らず複雑であった。しかし、Hora
は設計を工夫し、ほぼ 10 個の部品でサブアセンブリー(中間組立部品)を作り、そのサブアセンブリーを 10 個あわせてより大規模なサブアセンブリーを作り、その大規模なサブアセンブリー10 個で 1 個の時計ができるようにした。これにより、Hora は電話によって作業が中断されても、サブアセンブリーをやり直すだけで済み、Tempus よりも生産性を大幅に向上することが可能となる。
サイモンは、この例を用いて、階層システムにおいて、安定する中間形態が存在する場合は、単純なシステムから複雑なシステムへの発展がより迅速に行われることを示し、複雑なシステムは階層システムとなることを説明した。
3) 社会システム理論
ルーマンは、システム理論を社会学に適用し、社会システム理論を提唱した。
ルーマンの社会システム理論において、社会現象は人間のコントロールを離れ、社会自身の動き・流れを持っているものとして理解される。社会の要素はコミュニケーションにあり、同じ種類のコミュニケーションの連鎖が一つのシ

67

4 IT ガバナンスの組織モデル

ステムを形成し、ダイナミックな安定性をもつに至る。そのように形成されたシステムは、社会において固有の機能を担うことから、社会の「機能システム」と呼ばれる。社会の「機能システム」として、経済システム、法システム、科学システム、政治システム、宗教システム、芸術システム、教育システム、マスメディアシステムなどが挙げられる。これらはすべて近代社会にいたって、
機能的に分化したシステムであり、自律的に動作する。すなわち、他のシステ
ム等から「他律的」に制御されるのではなく、そのシステム独自の論理に従って動作する。すべての機能システムに共通するのは、シンプルで強力な「コード」によってコミュニケーションの生成・連鎖が組織化されているという点である。機能分化したシステムは、その機能システムに属するコミュニケーショ
ンを区別するためのコードを持っている。
ルーマンにおいて、組織体は社会システムの一種であると同時に、社会全体
からは「機能システム」の一部として位置づけ、「コード」を用いた「機能システム」内および「機能システム」間のコミュニケーションによって社会の動きを理解しようとした。
4) 協調ゲーム論
青木(1989)によると、1937 年にコースが発表した The Nature of the Firm という論文が 1970 年代にリバイバルしたことが契機となって、経済学において企業の研究が進んだ。経済学における様々な企業理論は、コースによる「分業が進んだ交換経済のなかで企業が生成する理由」という問題設定を共通の出発点としている。
いわゆる新古典派経済学が、人間の合理性は完全であり、世界に不確実性は存在しないことを前提としたのに対し、新制度派経済学では、人間の合理性は限定されているとしている。完全な予測は不可能であることから、人間は将来の出来事の不確実性や、他の人間との間で「情報の不完全性」や「非対称性」にさらされることとなる。そのため、交換取引においては、不確実性を減少させるために費用がかかると想定することになる。
新制度派経済学の代表的な理論として、取引費用理論、エージェンシー理論、
協調ゲーム論がある。取引費用理論では、蓄積された古い知識の総体である制度に従うことで、複雑な情報処理能力や創造的な問題解決能力を節約することが可能となり、自らの限定された能力と合理性を、市場取引における新しい知
識を探索に振り向けることが可能となる。
エージェンシー理論では、エージェンシー関係、すなわち、プリンシパル(本人)と呼ばれる契約の主体が自らの目的を達成するための行為をエージェント(代理人)に委託することによって生じる関係性に着目する。代理人が本人と異な68

4 IT ガバナンスの組織モデル

った目的を有している場合、本人は代理人の行為を事後的に観察し、それが本人の目的に適ったものであったかを判定し、代理人に賞罰を与えることで、自らの目的を達成しようとする。このとき、「情報の非対称性」、すなわち、本人には得られない情報を代理人が獲得可能な場合、本人は代理人の行為の結果を識別できなくなり、代理人には、本人の目的を忠実に追及するより、自己の目的に適った行為を選択する動機が発生する。ガバナンスの観点では株主による経営者の雇用契約が取り上げられ、経営者へのインセンティブとしてガバナンスが分析される。
協調ゲーム論では、関係性をプレイヤー間のゲームとして捉え、どのような条件において均衡するのかを明らかにする。青木(1989)では、協調ゲーム論に基
づき、複数の職場から構成される企業の生産工程をモデル化し、トップダウンの計画に基づく垂直型コーディネーションと職場間の情報交換に基づく水平型
コーディネーションの組み合わせとして分析した。そして、市場環境が連続的な変化を示す場合には水平型コーディネーションが垂直型コーディネーションに優越するが、市場環境が寡占化し安定化した場合、あるいはとくに変動が激しい場合には垂直型コーディネーションが水平型コーディネーションに優越することを示した。

4-3. IT ガバナンスの組織モデル
4-3-1. 遠山モデルと IT ガバナンス
遠山(1994)は、組織体における情報システムについて、その究極的形態を、人体における神経系や脳統合系に求め、情報システムを組織における「自己維持機能」と「自己組織化機能」の支援と位置づけた。ここでいう「自己維持機能」とは、環境条件、組織構造、目的等々を所与として、組織が環境の変化に対して受動的に適応して目的を効率的に遂行するための機能であり、「自己組織化機能」とは、環境条件の変化がある許容範囲を超える場合に、自らの構造や目的、環境までも変化させて、組織が環境の変化に能動的に適応し、自らを発展させるための機能である。自己維持機能および自己組織化機能は、組織体が、その機能システムに十分な自律性を付与し、情報処理能力を育成することによって実現され、このような機能システムへの自律性の付与を「再帰的階層化」と呼んでいる。また、人体において、自己組織化機能は、環境と直接的に対峙する
各器官の自己維持機能の遂行過程における自律的な情報行動に支援されて遂行されることから、自己維持機能のメカニズムを土台とし、独立的な機構によって遂行されるものではないとしている。
このような、組織体における情報システムの究極的形態を本論文では「遠山694 IT ガバナンスの組織モデル

モデル」と呼ぶ。遠山モデルには、前章で検討した IT ガバナンスを説明する上での利点と、実際に組織に落とし込む上での考慮点がある。以降で、それぞれについて述べる。
遠山モデルにおける利点として 2 点挙げられる。①IT ガバナンスの位置づけが明確である。②IT ガバナンスの概念が 5 つのグループに分類されることが説明できる。
第一に遠山モデルにおいては、組織体における情報システムを人体に張り巡らされた神経系に位置づける。このモデルにおいて、人体は、大脳によって制御される複数の機能システムの集合体であり、経営陣は大脳に位置づけられる。
経営陣は、自己組織化機能を果たすため、組織体内の情報を集約し、判断し、組織体に指示を出すこととなる。IT ガバナンスとは、経営陣が情報システムを通じて、組織体内から情報を収集し、判断し、指示することを意味することとなり、コーポレート・ガバナンスをどのように定義したとしても、経営陣は IT
ガバナンス無しにはその実現は不可能となる。従って、IT ガバナンスは、コー
ポレート・ガバナンスの一部であるというよりは、中核的な役割を果たすものと捉えることが可能となる。
第二に遠山モデルにおいては、自己組織化機能は各器官の自己維持機能のメカニズムを土台とすることから、各器官に応じた動作原理を必要とする。再度、人体を例に挙げると、感覚器から得られた外部の情報は、感覚神経を通じて大脳に伝達され、大脳から運動器への指示は運動神経を介して伝達される。また、循環器、消化器への指示は視床下部から下垂体を介してホルモンを分泌することで伝達される。感覚器、運動器、循環器、消化器はそれぞれ異なる役割、動作原理を持つことから、神経系および大脳はそれぞれの動作原理に応じた情報処理が必要とされる。前章で検討した IT ガバナンスの概念を構成するグループ
は、動作原理に該当するものであり、必然的に IT ガバナンスは複数の概念のグループの組合せによって説明されることとなる。

4-3-2. 遠山モデルにおける課題
一方、遠山モデルを IT ガバナンスの説明に用いるには課題がある。遠山(1994)
では、遠山モデルに基づく情報システムは、組織体の共通目標を所与とする意
思決定論的観点に依拠しており、組織体が直面する多角化や業態・業様変換、あるいは取引構造や市場構造までも変革して積極的・能動的に環境適応していこうとする自己組織化機能の説明モデルとするには限界があることを指摘している。すなわち、人体における神経系は運動神経であれ、感覚神経であれ、その機能は各器官に応じた所与の範囲から逸脱することはない。このような、神経系−大脳のモデルには、組織体そのものを変革するような自己組織化機能を70

4 IT ガバナンスの組織モデル

説明としては不十分である。
それでは、遠山モデルは組織体における情報システムの位置づけを説明するモデルとしては不適格なのだろうか。
筆者は、遠山モデルの問題は、ベースとした人体の認識、翻っては、複数の機能システムで構成される組織体への認識が不十分だったことに起因するものと考える。その理由及び改善点を以下で説明する。

4-3-3. 人体の研究におけるシステム理論への知見
遠山モデルにおいて、人体とは、脳が全身を支配し、その他の臓器は脳の指示に従っているという観点を前提としている。しかし、丸山(2019)によると、近年の研究によって、臓器はメッセージ物質と呼ばれる多様な物質を用いて脳を介さずに他の臓器、あるいは臓器内の細胞に情報を伝達しており、このような臓器間・臓器内のネットワークが人体を機能させていることが判明してきたとしている。
従来から、メッセージ物質と同様な働きをするものとして、ホルモンが知られていた。しかし、ホルモンの仕組みが、脳の中心付近にある視床下部から下垂体等の特別な分泌器官を通じて体の各所に影響を及ぼす中央集権的なネットワークであるのに対して、メッセージ物質は、特別な分泌器官ではない臓器や細胞から出される点に特徴がある。例えば、視床下部から出された性腺刺激ホ
ルモン放出ホルモンを下垂体が受け取り、性腺刺激ホルモンを出す。下垂体が出した性腺刺激ホルモンは血液を介して性腺に運ばれ、性腺が性ホルモンを出す。こうして放出された性ホルモンは再び血液を介して前身に運ばれ、さまざまな影響を及ぼしていく。このような一連の働きは、脳の視床下部からの指令を増幅して、体中に伝達する一方向のものであり、脳からの指令を全身に伝える役割を果たすものと考えられている。
神経系やホルモンのような、方向性を持った伝達と異なり、メッセージ物質
による伝達は「つぶやき」または「会話」として捉えられる。例えば、スポー
ツ選手が高地トレーニングを行うと、気圧が低い為に血液中の酸素が減少する。
血液中の酸素が不足すると腎臓は EPO というメッセージ物質を出す。EPO は血液を介して体中を循環するが、骨髄に存在する赤芽球という細胞が EPO を受け取ると、増殖を始め赤血球を増産する。赤血球は酸素を運ぶためにヘモグロビ
ンを用いており、ヘモグロビンの材料として鉄分が必要となる。赤血球が増産
されると鉄分が不足することになるが、この時、赤芽球はエリスフェロンというメッセージ物質を出す。エリスフェロンを肝臓が受け取ると、蓄えていた鉄分を放出し、ヘプシジンというメッセージ物質の放出量を減らす。ヘプシジン
は古くなった赤血球を回収する腸内のマクロファージの活動に影響を与え、鉄71

4 IT ガバナンスの組織モデル

分のリサイクルを促進する。このように、腎臓から骨髄、骨髄から肝臓へ、肝臓から腸へとメッセージ物質を介して情報が次々とリレーされていく。
このように人体という複雑で巨大なネットワークでは、発生した事象の影響が全体に広がっていく過程で、自己維持機能が発揮される。
一方、血液中を流れているメッセージ物質は、脳内の神経細胞に伝わることはない。脳内の血管にある血液脳関門と呼ばれる細胞が、血液中から必要な物
質を選び出して、脳の神経細胞に伝達するためである。
脳の中には 1000 億個とも言われる神経細胞が網の目を作っている。神経細胞同士の接続部分であるシナプスには、シナプス間隙と呼ばれる隙間があり、電気信号は直接伝わらない。情報を発信する側の神経細胞は、シナプス間隙に神経伝達物質を放出する。神経伝達物質にはグルタミン酸や GABA など、数十種類あることが知られている。シナプスでは、単純な電気信号のオンオフではな
く、もっと複雑なコミュニケーションが行われている。このように、大脳では、神経細胞同士の複雑なコミュニケーションが高速に行われる必要があり、そのため、外部からの不必要なメッセージ物質を排除し、脳の処理能力を保護する仕組みが、血液脳関門である。

4-3-4. IT ガバナンスの組織モデルの概要
遠山モデルの問題点は、自己維持機能と自己階層化機能を人体の神経系に位置づけた点にある。トップダウンの情報伝達機能である神経系の働きのみで組織体を説明しようとする点に無理があったといえる。組織体が人体と同じ機能、同じ構造を持つとは考えられないが、複雑な構造を持つシステムが環境変化にどのように対処するのかというシステム理論の観点からは、システムとしての同型性から学ぶべき点があるといえる。
前節をふまえると、人体は脳、脳を除いた神経系、メッセージ物質によるネットワークという 3 つの機能で情報処理を実行する。
人体は、環境の複雑性に対処するために、複数の器官に機能分化し、器官はその機能によって器官系（機能システム）を構成する。器官系および器官は独自の作動原理をもつと同時に他の系なしに生存は図れない。したがって、人体が生存を図るためには、複数の器官を協調させる必要がある。一方、脳の処理能力には限界があり、リアルタイムにすべての器官の情報を収集し、判断し、すべての器官に適切な指示を出すことは不可能である。そのため、脳から神経系をとおして出される指示は、図 24 に示すとおり、器官系および器官の一部に限定されており、詳細な調整はメッセージ物質によるネットワークに委ねられている。また、メッセージ物質による器官系および器官の間のコミュニケーシ
ョンは、血液脳関門の働きによって脳に伝達されることはない。

72

4 IT ガバナンスの組織モデル

図 24 情報伝達の範囲
人体と同様に、組織体は環境の複雑性に対処するために、組織体内部が複数の機能システムに機能分化する。経営陣は各機能システムから情報を収集するとともに、機能システムに対して指示を伝達することで自己組織化機能の役割を果たす。機能システムは経営陣とは独立に、機能システム間でメッセージを伝達することで、自己維持機能の役割を果たす。遠山モデルと異なり、自己組
織化機能と自己維持機能は独立しており、それぞれが有する情報が混在することはない。この組織体における情報伝達の仕組みを人体における神経系のメタファーから「情報系」と名づける。
「情報系」を導入することで、組織体における機能システムは、その業務がなんであれ、情報を加工するプロセスとみなすことが可能となる。例えば、メーカーにおける製造工程が、複数の部署にまたがる複数の工程から構成されていたとしても、情報系からみれば、部品・半製品に付与された情報を工程が進む都度、書き換えるプロセスであり、一連の工程を一つの機能プロセスと見なすことが可能となる。同様に、購買はリードタイムを勘案しながら発注をかけ在庫量を更新する機能市システム、販売は白地から見込み、成約に至るまで、顧客の情報を収集し、更新する機能システムとしてとらえることができる。
これらの、組織体を構成する複数の機能システムは、それぞれ異なる情報の集合が用いられることによって区別される。先ほどと同様にメーカーでは、製造、購買、販売において、商品コードなど一部の情報は共有されるものの、取り扱う情報の大半は異なっており、それによって機能システムが分割される。
ルーマンの社会システム理論より、この各機能システムで用いられる用語の集
合をコードと呼ぶ。コードはそれぞれの機能システムにおける作動原理を反映したものとなる。組織体が効率的に稼働するためには、各機能システム間で情報の伝達・交換による連携が欠かせない。各機能システムが持つ異なるコード
は、情報系によって伝達される際に変換されるため、情報系は他の機能システ
ムのコードを有する必要がある。
情報系を介して伝達・交換される情報は必ずしも情報システム上に実装され73

4 IT ガバナンスの組織モデル

たデータとは限らない。口頭による指示、伝票などの紙面なども含まれる。一方、伝達・交換される情報が多種多量になり、人手による処理が困難になると、情報システムを導入することで効率性を高めることが可能となる。また、情報システムを導入しても、環境の変化に応じて機能システムが変化すれば情報シ
ステムを改訂、更改することが必要になる。このような情報システムを導入し、維持することで、複雑性に対処する取組みを IT ガバナンスとする。
以上のような、組織体のモデル化を「IT ガバナンスの組織モデル」と名づける。IT ガバナンスの組織モデルは図 25 のように経営陣、情報系、機能システムから構成され、独自の 3 つの機能を有する。

図 25

IT ガバナンスの組織モデル

第一の機能は、垂直型コーディネーションである。情報系は経営陣からの指示を各機能システムに伝達し、各機能システムの状況を経営陣に集約する。青木(1998)より、このような情報系の働きを垂直型コーディネーションと名づける。
この時、情報系の範囲は、ハードウェア、ソフトウェア、ネットワーク、アプ
リケーションなどから構成される情報システムだけでなく、情報システムを規格・開発・保守・運用を担当する情報システム部門といった組織体制を含んでいる。
第二の機能は、水平型コーディネーションである。経営陣の情報処理能力には限界があるため、トップダウンで直接指示をだし、情報を収集できる範囲は極めて低い。したがって、組織体では、大半の機能システム間の情報伝達は機能システム自身に委ねられる。組織体において機能システムは事業部門または部であり、情報システム部門と事業部門の間、あるいは事業部間で情報伝達が行われる。
第三の機能は、フィルタリングである。垂直型コーディネーション、水平型
コーディネーションの全ての情報を経営陣が参照することは不可能である。そ74

4 IT ガバナンスの組織モデルのため、垂直型コーディネーションでは、収集した情報を情報系（情報システ
ム部門等）が集約することで、水平型コーディネーションでは、事業部門間の調整に任せることで、経営陣が処理すべき複雑性を縮減する。

4-4. IT ガバナンスの組織モデルのメリット
IT ガバナンスの組織モデルによって、以下の 3 点のメリットが得られる。
第一に、IT ガバナンスの組織モデルによって、IT ガバナンスの位置づけが明確になる。組織体の規模や地域が拡大し、その結果として組織構造が複雑化す
ると、経営者が直接、組織体全体の状況を把握し、指示することが不可能となる。情報システムが実装されているかどうかにかかわらず、経営者は情報系を介して、組織の各機能システムから情報を集約し、指示を行うようになる。組
織をとりまく環境が変化し続ける中、経営者が組織体を掌握するためには、情報系の効率化、高機能化、すなわち IT ガバナンスが不可欠となる。IT ガバナン
スはコーポレート・ガバナンスの一部や下位構造ではなく、IT ガバナンスこと
そがコーポレート・ガバナンスの中核に位置するのである。
第二に、IT ガバナンスの組織モデルは、IT ガバナンスの概念モデルにおける5 つの概念グループの存在理由を提供する。ルーマンの社会システム理論では、
各機能システムのコードはその機能システムの作動原理を反映する。例えば、企業向けの製品を出荷するメーカーの販売プロセスは顧客毎に情報を管理する必要があるが、コンビニやスーパーマーケットなどの大規模な小売業では、近年になってビッグデータ技術が普及するまでは、販売プロセスが使用するコー
ドは、店舗単位、売り場単位、商品単位の売り上げなどに限定されていた。情報系は、前述のとおり、他の機能システムのコードを有し、その結果として、情報系には他の機能システムの動作原理が反映されることになる。例えば、会計や経理などの金銭を取り扱う機能システムでは規律が重要な動作原理であり、
情報システムにも規律が求められる。一方、製造に関する機能システムでは、製造工程の能力が重要な動作原理となり、情報システムにも能力の把握が求められるようになる。したがって、IT ガバナンスの概念モデルにおいて、5 つの概念グループが存在するのは、現在認識されているガバナンスの作動原理が 5つであることの反映であり、もし、6 つめ、7 つめの作動原理が存在しても IT
ガバナンスの概念モデルの拡張性は担保される。
第三に、IT ガバナンスの組織モデルは、IT ガバナンスの範囲を明確にする。
組織体が機能するために必要な情報は膨大であり、全てを経営陣によって処理することが不可能である。人体において、神経系が脊髄反射や本能によって大脳が処理すべき情報を削減し、メッセージ物質によるネットワークが血液脳関門によって脳から分離されるのと同様に、経営陣がその能力を発揮するために

75

4 IT ガバナンスの組織モデル

は、ISO/IEC 38500:2015、あるいは COBIT における EDM モデルの特徴である IT
ガバナンスと IT マネジメントの分離が不可欠であり、IT ガバナンスと IT マネ
ジメントの境界、すなわち IT ガバナンスの範囲は、経営陣の処理能力によって決定される。

4-5. IT ガバナンスの組織モデルと事例
前節では、組織を複数の機能システムの集合体とし、情報系によって複数の機能システムの間で連携が図られる新たな組織モデルを示した。このモデルにおける情報系はハードウェア、ソフトウェア、ネットワーク等で構成される狭義の情報システムではない。狭義の情報システムを中心に、その企画、開発、運用、保守、廃棄というライフサイクルに関わる人員、組織、予算、技術などを含んでいる。情報系は組織内の各機能システムの情報を収集し、他の機能シ
ステムに利用可能な形式に変換し、伝達する。人体に例えるなら神経系に該当する役割をはたす。大規模あるいは複雑な組織では、情報系なしに組織内の各系の連携を取ることは不可能であり、情報系の優劣が組織の優劣を決めることとなる。また、このモデルでは、情報系単独で利益を提供することはできない。
例えば、EC サイトを例にあげると、EC サイトが利益を上げるのは、情報シス
テム単独の働きではない。商品の仕入れから保管、発送といった物流を司る機能システム、仕入れ先、販売先への決済を司る機能システムとの連携が不可欠である。したがって、組織がパフォーマンスを向上するためには、情報系自身の向上だけでなく、情報系と他の機能システムとの連携を強化する必要がある。
このような情報系の特徴より、IT ガバナンスの組織モデルには 3 つの機能を有する。
1) 垂直型コーディネーション
2) 水平型コーディネーシヨン
3) 情報のフィルタリング
それぞれの機能について、以下のとおり IT ガバナンス事例と対応づけることが可能である。
1) 垂直型コーディネーション
IT ガバナンスの組織モデルにおいては情報系の働きによって、経営陣からの指示を各機能システムに伝達し、各機能システムの状況を経営陣に集約する。
このような情報系の働きは青木(1998)より垂直型コーディネーションと名づける。この時、情報系はハードウェア、ソフトウェア、ネットワーク等で構成される情報システムだけでなく、情報システムを企画・開発・保守・運用を行う
情報システム部門という組織体制を含んでいる。社会システム理論においては、

76

4 IT ガバナンスの組織モデル

組織および組織内のサプシステムである機能システムは固有の作動原理である
コードを保有する。情報系の機能は各機能システムのコードを変換し、伝達することにある。したがつて、垂直型コーディネーションを発揮するためには、
全機能システムに組織体全体のコードを策定し、各機能システムに徹底させる必要がある。IT 戦略や全社規程は組織体のコードの例である。このようなコードを徹底させるには、トップダウンで展開する必要があり、IT ガバナンス事例
では先行事例①-1 のような経営陣によるリーダーシップの発揮、①-2 のような経営陣の IT リテラシーの向上が該当する。
2) 水平型コーディネーション
IT ガバナンスの組織モデルにおいて情報系単体では価値を創出することができない。機能システム間の連携を高めることで、組織体全体の生産性、効率性を高める効果を持つ。このような情報系の働きは青木(1998)より水平型コーディ
ネーションと名付ける。組織体において、機能システムは事業部門であり、水平型コーディネーションは、情報システム部門と事業部門との連携、あるいは事業部門間の連携を指す。前述のとおり、各事業部門は固有の作動原理である
コードを保有する。情報系の機能は各機能システムのコードを変換・伝達することにあることから、水平型コーディネーションを発揮するためには、情報システム部門が事業部門のコードを理解するだけでなく、事業部門が情報システ
ム部門のコードを理解することも必要である。このような相互理解を事業部門からみると、いわゆる「IT リテラシー」であり、IT ガバナンス事例では先行事
例①-2、課題事例④-1 のような IT リテラシー向上に向けた取り組み、あるいは先行事例②-2、③-1、③-2 のような情報システム部門と事業部門の人材交流は水
平型コーディネーションの改善に寄与する。
3) 情報のフィルタリング
IT ガバナンスの組織モデルにおいて、中央の情報処理機能の処理能力は有限である。有限な処理能力を活用するために、前述の垂直型コーディネーション・
水平型コーディネーションが存在する。垂直型コーディネーションでは、収集した情報を情報系が集約することで、中央の情報処理機能が処理すべき複雑性を縮減する。水平型コーディネーションでは、トップダウンの戦略や方針だけ
でなく、事業部門間の調整に委ねることで、中央の情報処理機能が処理すべき複雑性を縮減する。２つのコーディネーションが機能するためには、それぞれ
情報系、あるいは事業部門への権限移譲が不可欠となる。IT ガバナンス事例では、先行事例⑤-1 や、課題事例②-4 のような権限移譲、および先行事例④-1、
課題事例④-2 のような人材育成は複雑性の縮減に寄与する。

77

4 IT ガバナンスの組織モデル

4-6. 本章のまとめ
本章では、組織における IT ガバナンスの位置づけを明らかにするため、IT ガ
バナンスの組織モデルを提案した。
IT ガバナンスが複数の概念の組合せによって構成されること、IT ガバナンスを構成する概念は背景の異なる 5 つのグループに分類されることは、それぞれに異なる作動原理を有していることを反映している。このような複数の作動原理を統合する組織モデルの一つに遠山モデルがある。遠山モデルでは、組織を人体、情報システムを神経系とみなし、「自己維持機能」と「自己組織化機能」の 2 つの作動原理を統合することを説明した。しかし、遠山モデルでは、人体を神経系によってトップダウンで意思を伝達する体系として単純化しているた
めに、より複雑な組織を説明することができない。近年における研究では、人体は複合的なネットワークでありことが明らかになっている。人体内の情報伝
達は、神経系以外にも、メッセージ物質と名づけられた多数の物質による臓器間、細胞間の情報伝達が用いられており、極めて複雑な情報処理が行われている。このような人体に関する最新の知見と社会システム理論を参考に遠山モデルを拡張したのが、IT ガバナンスの組織モデルである。組織モデルにおいて、複雑化した組織体は、内部組織（機能システム）に処理を委ねることで階層化する。各機能システムはそれぞれの機能に応じた動作原理を有するとともに、機能システム間で情報を交換し、それぞれの動作を調整する。人体のメタファ
ーより、組織体において機能システム間の情報伝達を行う仕組みを「情報系」と名づける。情報系は、書面や口頭での情報伝達を含むものの、IT によって高速化、大容量化されることで、組織体全体の効率性を改善する。情報系に IT を導入することが IT ガバナンスであり、複雑化した組織体において、円滑な組織運営を図るには IT ガバナンスは不可欠な存在となる。
このような IT ガバナンスの組織モデルには 3 つのメリットがある、第一に、IT ガバナンスの組織モデルによって、IT ガバナンスの位置づけが明確になる。
経営者は情報系を介して、組織の各機能システムから情報を集約し、指示を行うため、経営者が組織体を掌握するためには、情報系の効率化、高機能化、すなわち IT ガバナンスが不可欠である。IT ガバナンスはコーポレート・ガバナンスの中核に位置するのである。
第二に、IT ガバナンスの組織モデルは、IT ガバナンスの概念モデルにおける5 つの概念グループの存在理由を提供する。機能システムのコードはその機能システムの作動原理を反映し、情報系は、他の機能システムのコードを有する。
その結果として、情報系には他の機能システムの動作原理が反映されることになる。したがって、IT ガバナンスの概念モデルにおいて、5 つの概念グループが存在するのは、現在認識されているガバナンスの作動原理が 5 つであること

78

4 IT ガバナンスの組織モデルを反映したものであり、6 つめ、7 つめの作動原理が存在しても IT ガバナンスの概念モデルの拡張性は担保される。
第三に、IT ガバナンスの組織モデルは、IT ガバナンスの範囲を明確にする。
組織体が機能するために必要な情報は膨大であり、全てを経営陣によって処理することが不可能である。経営陣がその能力を発揮するためには、IT ガバナン
スと IT マネジメントの分離が不可欠であり、IT ガバナンスの範囲は、経営陣の処理能力によって決定される。
IT ガバナンスの組織モデルは、垂直型コーディネーション、水平型コーディ
ネーシヨン、情報のフィルタリングの 3 つの機能を持つ。
垂直型コーディネーションは、トップダウンで機能システムに情報を伝達し、かつ機能システムから情報を吸い上げる機能である。事例では経営陣によるリーダーシップの発揮、および経営陣における IT リテラシーの向上が該当する。
水平型コーディネーションは、機能システム間の連携、すなわちボトムアップのアプローチである。事例では、事業部門の IT リテラシー向上に向けた取り
組み、および情報システム部門と事業部門の人材交流が該当する。
情報のフィルタリングは、情報系が収集した情報を集約することで、経営陣が対処すべき複雑性を縮減する働きである。事例では、事業部門への権限移譲、および人材育成が該当する。
しかし、IT ガバナンスの組織モデルだけでは、金融庁(2019b)の事例の全てを説明することはできない。先行事例①-4 のようなチャレンジと失敗、先行事例④-2 のような共同開発はどのようにして IT ガバナンスに寄与するのだろうか。
次章では、IT ガバナンスの価値を明らかにすることを目指す。そのため、IT
ガバナンスの組織モデルをもとに、社会システム理論における信頼、および新制度派経済学経済学における社会関係資本の考え方を援用しながら、IT ガバナ
ンスの社会モデルの構築を試みる。

79

5 IT ガバナンスの社会モデル

5 IT ガバナンスの社会モデル
5-1. 本章の概要
本章では、IT ガバナンスの価値を明らかにすることを目指す。
そのため、IT ガバナンスの組織モデルをもとに、社会システム理論における信頼、および新制度派経済学経済学における社会関係資本の考え方を援用しながら、IT ガバナンスの社会モデルの構築を試みる。
前章では、IT ガバナンスの組織モデルを検討した。このモデルにおいて組織は複数の機能システム（サブシステム）によって構成され、「情報系」によって機能システム間で情報を連携する。IT ガバナンスとは IT を用いて「情報系」の効率化、高機能化を図る取組みである。情報系は経営陣からの指示を機能シス
テムに伝達する「垂直型コーディネーション」、機能システムの間で情報を交換する「水平型コーディネーション」、および経営陣の資源を保護するために情報量を削減する「情報のフィルタリング」の 3 つの機能で構成され、それぞれがIT の導入によって強化可能される。
組織をとりまく環境が変化しづける中、環境の変化による複雑性の増大に対処するため、機能システムは追加され、変化し続ける必要がある。情報系および IT ガバナンスは機能システムに依拠するため、組織は常に自らの IT ガバナン
スが適切であることを評価する必要がある。評価に際しては、一般に、公的機関あるいは業界団体が発行するガイドラインが使用される。このような公的機関あるいは業界団体が IT ガバナンスの向上に働きかけることにどのような意味があるのだろうか。
本章では、ルーマンの社会システム理論を中心として、社会にとっての IT ガ
バナンスの位置づけを明らかにする。
まず、ルーマンの社会システム理論のうち、「信頼」概念をとりあげ、組織が複雑性に対処するうえで、機能システムへの信頼が必要であり、巨大化し複雑化した組織では、IT ガバナンスが信頼の基盤となることを示す。
現代のネットワーク社会において、他社の機能システムを利用するためには、
機能システムを提供する側、利用する側、双方の信頼が必要となる。社外との多数の信頼を確立するためのモデルとして青木(2011)の社会関係資本市場モデルが有効であることを示す。
公的機関あるいは業界団体などによる「業界」は、このような社会関係資本の担い手となり、ガイドラインによって信頼構築の場を提供することが可能となる。

80

5 IT ガバナンスの社会モデル

5-2. IT ガバナンスと信頼
まず、ルーマンの社会システム理論のうち、「信頼」概念をとりあげ、組織が複雑性に対処するうえで、機能システムへの信頼が必要であり、巨大化し複雑化した組織では、IT ガバナンスが信頼の基盤となることを示す。

5-2-1. ルーマンの信頼理論
ルーマン(1990,2009a, 2009b)における社会システム理論では、社会全体、組織
体、相互作用を社会システムとし、これらの社会システムに関する特徴について考察した。
まず、社会システムは環境と区別され、環境との差異により構造の変化が促される。社会システムはオートポイエティックな性質、すなわち入れ子状の構造を持っており、ある社会システムは、別の社会システムの内部に存在しつつ、外部の社会システムとは独自に自らの再生産を行っている。このような構造が成立するのは、社会システムに十分な複雑性が存在しているためであり、歴史的には、社会的な複雑性の増大と、部分システムの構造変化による複雑性に対処する能力の向上という二つの局面が相互に促進し合ってきた。組織体は、このような社会システムの一つであるのと同時に、社会全体からみれば部分シス
テムの一つである。社会システムが複雑性に対処する上では、「信頼」が重要な役割を果たす。なぜなら、世界の複雑性は制御不能なまでに拡大しており、組織体はいかなる時点においても自由かつ多様な選択肢を持つものの、他の選択
およびその結果を観察するための時間は不足している。組織体は、信頼すなわ
ちこのような多様性を許容することで、複雑性を伴いながら存続することが可能となる。また、組織体はどんなに合理的に計画しても、すべての結果を見通すことは不可能である。残った不確実性を吸収する存在が必要であり、例えば、政治家や企業の経営者がそのような役割を果たす。このような役割は、不確実性に対処するための適正な行為をあらかじめ十分に予測することができないた
めに、規程やルールではなく、成果によって評価されることとなる。しかしな
がら、成果は行為の後になって出現する、あるいは出現しないにもかかわらず、行為は成果が出現するかどうかにかかわらず先立って遂行されなければならない。このような時間の問題に対して橋渡しを行うのが、信頼の機能である。
ルーマンにとって、世界は主観的であり、複雑性に満ちているが、「コード」
による抽象化によって「誰によっても、このように理解してもらえるはずだ」という一般化された期待となる。このような一般化された期待によって社会システムの構造は規定され、「自分が抱いている期待をあてにする」ことが可能となり、この意味での信頼こそ社会システムの基盤となる。期待をあてにすると

81

5 IT ガバナンスの社会モデル

いうことは、当然のことながら、期待外れの事態をも想定しつつ、それに対する一定の用意ができている、ということを意味する。信頼が存在することで、全く予想外の期待外れに遭遇しても、ただちに社会システムの瓦解につながらなくなる。なぜならば、期待は「認知的」「規範的」という二つの様相をもっており、それぞれにおいて期待外れに直面した後の対処の仕方が定型化されているためである。認知的すなわち「すべきである」という期待においては、自らの認知を修正しなければならない。また、規範的すなわち「となるはず」という期待においては、期待外れに終わったことの原因を相手ないしは状況の異常性に帰することとなる。このような一般化によって社会の再生産は支えられており、認知的期待の一般化は学習あるいは知、規範的期待の一般化は規範ある
いは法として社会システム全体に作動することとなる。
信頼の形成にあたっては、まず、信頼が形成される背景には、行為者にとって必要な情報が不足しているという事態がある。行為者は、自己の置かれた状
況や他者の行動を正確に判断したり予測したりするだけの完全な情報を手に入れることはできない。行為者は、情報の不足をあえて無視する必要がある。不足した情報を補い、信頼形成の拠り所となるものが構造である。前述した一般化した期待によって、複雑性が縮減され、問題解決の一般化が図られる。このような一般化には「感情的な固着」「自己表現の確かさ」の 2 種類がある。感情的な固着の典型は幼児に見られる自己と対象の同一視である。自己表現の一般化の原理は、対象の同一性にではなく、「表現される自己の同一性」に置かれている。自己表現の確かさとは、窮地に陥った時でも、自己の同一性を失うことなく、臨機応変に状況を乗り切るだけの一般的な自己表現力を身につけていることをいう。信頼を獲得するための基礎は、「社会的相互行為のなかで構成され、環境と適合する社会的同一性をもった存在として、自分自身を表現することにある」。このことは社会的同調とは同義ではない。単に役割に同調している限り、行為者の人格は見えてこない。なぜなら人格は、役割によって設定された規範的行動の標準的な遂行様式からの個人的な偏差として可視化されるからである。
他者の標準的な予期に対して、自己固有の予期によって応答することが人格的信頼を得るための条件であるためである。
さらに、ルーマンは信頼を「人格的信頼」と「システム信頼」に分類した。
人格的信頼とは自由な行為が可能な対象に対する期待を一般化したものであり、信頼の対象と 1 対 1 の関係である。一方、システム信頼とは当該システムの挙動を制約する制度に対する信頼であり、1 対多数の関係となる。例えば、株式の売買において、投資家が特定の企業の株式を購入するかどうかを決定するのは、企業に対する投資家個人の期待である。投資家は株式からの利益を期待しているものの、その期待はあくまでも投資家個人にとってのものであり、他の投資

82

5 IT ガバナンスの社会モデル

家は同じ情報に接していても異なる判断を示すかもしれない。これが、人格的信頼である。一方、全ての投資家は、株式市場に対して自分が要望した売買ができることを期待している。この期待は、法規制や自己規制ルールなどによって、株式市場の行動が制約されているためである。これが、システム信頼であり、社会システムの行動を制約するものが制度である。

5-2-2. 信頼と IT ガバナンス
組織を含む社会システムが信頼を獲得するためには自己表現が必要である一方、ただ表現すればよいということではない。もともと複雑性の縮減を目的としているため、自己表現は、表現された自己と実際の自己の乖離を小さくする
ことが望ましい。自己表現は言い換えればモデル化であり、自らを表すモデルを構築することである。そのためには、図 26 に示すように、自己表現が増加することでモデル化が容易、すなわち信頼を獲得しやすくなる。

図 26 自己表現と信頼
また、モデルを構築する上では、ポジティブな内容だけでなく、ネガティブな内容もあるほうが望ましい。図 27 に示すように、好事例だけでなく、課題事
例を含むことで、モデル化が容易となる。

図 27 課題事例に関する自己表現と信頼83

5 IT ガバナンスの社会モデル

このように、自己表現は繰り返し継続的に実施する必要があり、自己表現を繰り返すことで、組織に対する期待が積み重ねられ、モデル化される。これがルーマンのいう「信頼」である。例えば、上場企業が公開する財務諸表のように、統一された規則に準拠し、継続的に提供される情報は、自己表現の一例であり、公開された財務諸表に基づいて投資家が投資可否を判断することは信頼の一例である。
信頼を獲得するため、組織内から必要な情報を集め、前回と同じ基準で作成し、繰り返し公開する必要がある。このような繰り返しの処理は、情報システ
ム化による効果を得やすい。例えば、財務諸表は膨大な財務・会計情報を一定の規則によって集計する必要がある。組織が小規模であり、自己表現の内容が単純、低頻度である間は、手作業で財務諸表を作成することは不可能ではないかもしれないが、組織の規模・事業領域が拡大し、組織構造が複雑になると、人力での情報収集、財務諸表の作成は不可能となる。このような繰り返し処理
は情報システムによる効率化が容易であり、それまで財務・会計という組織内の機能システムによって収集・集計されていた作業が、情報システムによって置き換えられる。
前章で論じたとおり、神橋の組織モデルにおいて、組織体は複数の機能シス
テムの集合体であり、各機能システムから情報を収集することは IT ガバナンスの役割である。したがって、巨大化し、複雑化した組織体が信頼を獲得するた
めには、IT ガバナンスが不可欠となる。

5-2-3. 信頼とガイドライン
信頼を獲得するためには、相手に自己表現を理解してもらう必要がある。ルーマンによると、相手に理解してもらえることを裏づけるのが「コード」kである。
「コード」は、社会システムの外部と内部を識別するものであり、特定の言語や表現様式を指すものではない。ルーマンにとっては、社会全体が社会システムであるのと同様に、組織体も社会システムであり、それぞれに「コード」を持つ。また、組織体内で機能分化した機能システムも固有の「コード」を持つ。自己表現で用いる「コード」が、他社が理解できるかどうかはわからない。
したがって、自己表現を相手に理解してもらうためには、相手が理解できる「コード」に変換する必要がある。この時、取引相手が単一であり、かつ永続的ならば、相手の「コード」を入手し、自分と相手の「コード」の対応関係を明ら
かにし、そのうえで、自己表現を相手の「コード」に変換することは可能であk ルーマン(2009a, 2009b)によると、コードは社会システムを他から区別するものであり、社会全体、組織体、相互作用それぞれの社会シ
ステムは固有のコードを持つ。同様の概念として、レッシグ(2007)が挙げられるが、レッシグはコードは規制の一つの様式であり、サイバー空間において実装されたアーキテクチャを指す。人の振る舞いに影響を及ぼす点は共通するものの、強制力を持たない点がレッシグ
と異なる。

84

5 IT ガバナンスの社会モデルる。しかしながら、前述のとおり、モデルを更新し続ける必要があることから、
このようなやり方では多数の相手から信頼を得ることは不可能である。
したがって、自己表現にあたっては国・業種などによって共通する「コード」
を用いて記述する必要があり、このような共通する「コード」を共通言語と呼ぶ。共通言語は多数の組織体が利用するため、公開されていることが望ましく、経済産業省(2018)や FISC(2019)といった公開されたガイドラインは共通言語の一種である。

5-2-4. 信頼と IT ガバナンス事例
現代社会はそれまでよりも複雑性が増しており、組織体が単独で対処することは不可能になっている。組織体は他の組織体との協業によって複雑性に対処するようになる。協業するためには、相手の組織体への信頼が不可欠であり、信頼の獲得は、組織体が存続する上での前提条件となる。他の組織体からの信頼を獲得するためには、自己表現によって自らの予測可能性を高める必要がある。例えば、財務諸表は、財務・会計情報を一定の規則によって集計したものであり、自己表現の一種である。継続的に実施することで、自社の予測可能性を高め、結果として他社からの信頼獲得につながる。
事例では、付録 C の先行事例①-5 のような経営トップによる情報発信は自己表現の例である。また、予測可能性を高めるためには、自己表現に際して、インシデントや失敗事例を含めることも重要である。そのため、失敗をポジティブに捉え、チャレンジを推奨することが求められる。先行事例③-4、課題事例③-4 はチャレンジおよび失敗に関する事例である。さらに、継続的に自己表現を行うためには、自組織の情報を掌握する体制・仕組みの構築が必要となる。課
題事例②-3 は掌握に課題がある事例であり、将来的に自己表現と実情の間における乖離が顕在化する恐れがある。
前節の検討では、自己表現にあたっては相手に伝わるよう、業種や規模に応じたコードを用いる必要があり、組織体はガイドラインをコードとして自己表現を行う、すなわちガイドラインへの準拠性が求められる。しかしながら、金融庁(2019b)にはガイドラインへの準拠性に関する事例は含まれていない。

5-3. IT ガバナンスの社会モデル
5-3-1. 自己表現の場の必要性
前節では、組織体が信頼を獲得するためには、IT ガバナンスが必要であり、ガイドラインは相手との共通言語として機能することを示した。例えば、企業
は金融機関からの融資を受けるために、財務諸表という共通の書式を用いて自85

5 IT ガバナンスの社会モデル

己表現を行う。個人経営あるいは小規模な事業者であれば、財務諸表を個別に作成することは可能かもしれないが、大多数の企業にとって、財務諸表の作成には経理システムが必要となる。このことは、その企業において経理に関する機能システムが分化し、IT によって情報システムが構築され、財務諸表の形式で情報を収集することが可能になっていることを示す。
一方、プラットフォーマーでは、多数の企業がプラットフォーム上で、相互に情報を交換することが求められる。このような多対多の関係においては、企業毎に信頼を獲得することは非効率となる。一つの解決策として、公的機関の監査による保証の付与がある。例えば、金融機関では、日銀ネットや ATM 網に
よって相互に接続されており、一社の障害やセキュリティ侵害は他の参加者にも波及する恐れがある。金融庁による検査および日銀による考査により、金融機関のシステムの安全性、信頼性、効率性が保証される。しかし、金融以外の業態において、同様な公的機関による信頼の付与を望むことは難しい。
このような、ネットワークの参加者からの信頼を獲得するための仕組みとして、青木(2011)は社会関係資本モデルを提案している。

5-3-2. 青木の社会関係資本理論
青木(2011)では、株式会社の一般的な特性として「ルールに基づいた」「自己統治を行う」の 2 点を挙げ、仮にコーポレート・ガバナンスのルールが政府な
どの他者によって規定された場合に、このようなルールに依拠した組織のガバ
ナンスは本当に自己統治といえるのかという問いをたてた。組織体が自己統治性を持たなければ、人々は自発的に組織体に参加することはなく、組織体による自己組織が社会のルールと不整合であれば、組織体は社会の中で持続することが不可能となる。これら 2 つの特性は相互に関連している。
第一に組織体の自己統治性について、組織体に人的資源、金融資産、物的資産のいずれかを提供しているステークホルダーは、組織体の集団活動に参加することで便益を享受できる可能性がある一方で、経済的便益の分割をめぐって
他のステークホルダーと対立する。したがって、自己統一性が成立するためには、ステークホルダーの利害調整を図るための合意可能な基本ルールが、社会的慣習として存在する必要がある。この社会的慣習は社会環境によって多様性を持つことから、自己統一性を満たすガバナンスの形態も同じく多様になる。
第二に自己統治的なステークホルダー間の同意と社会におけるルールの整合性については、組織体は、自己統治により独自の事業目的を追求する一方、社会にたいして明示的・暗黙的に重大な影響を及ぼしている。したがって、株式会社が社会秩序の構成要素となるには、企業の行動に対する安定した期待が社会のなかに生み出され、維持される必要がある。

86

5 IT ガバナンスの社会モデル

以上から、コーポレート・ガバナンスは、社会環境との整合性を持った企業活動を生み出すものでなければならない。また、企業が考慮すべき社会ルールには制定法にとどまらず、さまざまなタイプのルールが含まれる。その一方で、社会のルールや制度は、組織体に課される単なる外的制約ではなく、組織体は自らの行動をつうじた働きかけによって社会のルールを能動的に形成することも可能である。
このような社会と組織体の相互作用をゲームとみなし、社会で繰り返し実施
されるこのようなゲームを社会ゲームと名づけ、社会ゲームに対する分析から以下の結論を導いた。
それぞれの社会において、政治的なガバナンス様式に適合するコーポレー
ト・ガバナンス様式が安定した均衡に達する。
また、社会ゲームを経済取引ゲームと社会的交換ゲームを連結したものというモデルを構築することで、従来のゲーム理論では説明できなかった企業のCSR 活動の説明を試みた。
ある主体が将来にわたって期待される社会的利得の現在価値和を社会関係資本(Social capital)と名づけた。この社会関係資本は、行為の主体が社会的利得を得るか、他のゲームで便益を得るために用いることができる能力をさす。
企業が蓄積した社会関係資本は、ステークホルダーにとって便益をもたらす
資産とみなすことができる。
環境保護に熱心な一般市民、持続的な社会貢献を期待する地域共同体、CSR
企業の創出に熱意を持つ社会起業家など、企業の社会貢献を好む「CSR ステー
クホルダー」の存在によって、企業の社会関係資本は、認知、金融、社会全般に関連したさまざまな資産に結びつけられることになる。このために、株式会
社は、一般市民に評価されるだけでなく、利潤の増大にも寄与することが可能な環境にやさしい技術の開発・商業化に従事するインセンティブが働く。社会
関係資本は、広告に似た市場への正のシグナルとして機能し、長期の利潤について有望な見通しを与えることになる。

5-3-3. IT ガバナンスの社会モデルと IT ガバナンス事例
ルーマン(1990)の社会システム理論では、信頼をモデル化・定式化した期待として捉えるのに対し、青木(2011)の新制度派経済学モデルでは、社会関係資本について、将来を含めた期待の総和として捉える。どちらも期待がもとにある点では同じであり、信頼が期待の現在値であるのに対し、社会関係資本は期待の積和であるという関係にある。しかしながら、環境の不確実性に対処することを前提とする以上、現在の期待が将来にわたって継続可能であることを要求す
る新制度派経済学のモデルには何の保証もない。一方、社会システム理論は信87

5 IT ガバナンスの社会モデル

頼の源泉について、新制度派経済学理論では期待の効果について有益なモデルを提供しており、組み合わせて用いることが望ましい。そのため、社会関係資本の定義を図 28 に示すとおり「過去の実績＋将来の予測」と修正する。

図 28 信頼と社会関係資本
従来の社会関係資本理論では、前提として、将来における期待とその現在値の総和が与えられることを前提としているのに対して、このモデルでは、社会関係資本を過去の実績と信頼から導かれる将来の予測の和として表現される。
このモデルからは、情報システムにおける障害やインシデントの発生によって「過去の実績」が悪化し、社会関係資本は低下する。しかしながら、迅速に原因調査を実施し、対策を公表することで信頼を維持できれば、社会関係資本の低下を一時的なものにとどめ、回復できることを示す。このことは廣松(2011)における情報セキュリティ事故が企業価値に与える影響の分析、川崎・後藤(2018)におけるインシデント発生企業における開示内容の違いに着目した株価の変動分析からも裏付けることが可能である。
このような社会関係資本に、青木(2012)の社会関係資本モデルを適用すると、社会における業界の役割は 4 点となる。
第一の役割は自己表現の場である。信頼を獲得するためにはネガティブな自己表現も含まれることが望ましいが、無制限に公開できるとも限らない。業界
は守秘義務を前提とする参加者による共同体として設立され、参加者が安心してトラブルやインシデント情報などのネガティブの自己表現を行うことを可能とする。
第二の役割はコードの策定および提供である。業界への参加者が信頼を獲得
するには自己表現が相手にとって理解できる形式でなければならない。そのため、業界では参加者に共通する表現の形式としてコードを策定し、提供する必要がある。例えば、日本取引所グループ(2018)のようなコーポレート・ガバナン
ス・コード、あるいは FISC(2019)のようなシステム監査基準は業界の参加者が自己表現を行う上での共通言語として機能する。

88

5 IT ガバナンスの社会モデル

第三の役割はシステム信頼の提供である。業界はガイドラインという独自のコードを持つことから、社会システムの一種であり、業界自身が自己表現を行うことで信頼を獲得する。この関係を図示すると図 29 のようになる。

図 29 業界とシステム信頼
第四の役割は社会関係資本の蓄積である。社会関係資本を選好する投資家にとってシステム信頼を獲得した業界は投資先を判断するために有益な情報が提供される場として機能する。したがって、図 30 に示すように企業だけでなく、サプライチェーンやプラットフォーマーは、業界に参加し、自己表現を行うことで、投資を得られる可能性が高まることになる。

図 30 社会関係資本による選好付録 C では、先行事例③-3 のような地域団体を通した IT 人材の定期採用は、当該地域における自己表現として機能する事例である。また、先行事例④-2 のような、他行との共同開発は単なるコスト削減ではなく、最小限の業界として機能し、システム信頼を獲得可能な機会として捉えることが可能である。

89

5 IT ガバナンスの社会モデル

5-4. IT ガバナンスの社会モデルのケーススタディ
本節では、「IT ガバナンスの社会モデル」の適用可能性を検討するために、実際の事例を用いた分析に使用する。
なお、本節で用いる事例は公開情報に基づいているものの、民間団体については、その対象の許可を得ていないことから、文中では匿名表記するとともに、参考にした文献も割愛する。

5-4-1. IT ガバナンスによる信頼の回復（金融機関 A 行）
震災に際して金融機関 A 行で発生した大規模なシステム障害は、自行だけでなく他行の為替取引にも大幅な遅延を生じさせ、日本の経済活動に大きな影響を及ぼした。
A 行は障害発生以降、8 回にわたって頭取および役員による記者会見を開催するだけなく、第三者委員会にシステム障害の原因調査を依頼し、その調査結果を公表した。加えて、金融庁は、立ち入り検査の上、業務改善命令を出し、翌年まで、その進捗状況を点検した。
この一連の対応について、「IT ガバナンスの社会モデル」を用いて図式化すると図 31 のようになる。A 行はシステム障害で失った信頼を回復するため、「自己表現」として記者会見を繰り返し実施するとともに、すでに「システム信頼」を獲得している第三者委員会と金融庁を用いたといえる。第三者委員会による報告書は、A 行による「自己表現」よりも「システム信頼」に基づくことで、信頼の回復に有益であったと考えられる。同様に、金融庁からの業務改善命令とその点検は、A 行による「自己表現」よりも「システム信頼」に基づくこと
で、信頼回復に有益であったと考えられる。

図 31 金融機関 A 行における IT ガバナンスの社会モデル［経緯］
3 月 11 日
3 月 14 日

震災の発生
大量の振り込みにより、夜間バッチが異常終了。
手作業により副次的障害が発生し、復旧が長期化。

90

5 IT ガバナンスの社会モデル

4 月 26 日
5 月 20 日
5 月 23 日
5 月 31 日
6 月 29 日
翌 10 月金融庁による立ち入り検査
第三者委員会（システム障害特別調査委員会）報告書を公開
改善・対応策を公開
金融庁による業務改善命令。3 ヶ月ごとに進捗を金融庁に報告
業務改善計画の提出
金融庁が業務改善命令を解除

5-4-2. 信頼回復の失敗（流通業子会社 B 社）
流通業子会社 B 社が開発した決済サービスは、サービス開始直後から不正ア
クセスによる被害が報告された。
B 社はホームページ、記者会見を通して対策の実施状況を公表するとともに、体制整備、対策実施状況を説明した。当初、7 月 4 日時点では、サービスの継続を表明していたものの、8 月 1 日にサービスの廃止を公表した。
サービス停止に至った判断について、公開された情報はない。しかしながら、複数の報道において、7 月 4 日の記者会見において、B 社社長が決済サービスのセキュリティ対策について適切な説明を行えなかった点が批判されている。B
社では、外部の企業を含む「セキュリティ対策プロジェクト」を立ち上げているものの、その調査結果は公開しておらず、金融庁からは報告命令を受けていたものの、その前にサービスの廃止を決定した。
この一連の対応について、「IT ガバナンスの社会モデル」を用いて図式化すると図 32 のようになる。B 社は不正アクセスで失った信頼を回復するため、「自己表現」としてプレスリリース、および記者会見を行った。しかしながら、セキュリティ対策プロジェクトはその成果である調査結果を公開しておらず、「シス
テム信頼」として機能しなかった。また、「システム信頼」を獲得している金融庁より報告徴求命令を受けたものの、その後の処分の前にサービス廃止を決定している。以上から、「自己表現」のみでは十分な信頼は得られなかったにも関わらず、「システム信頼」の活用を図らなかったことで、信頼の回復に至らなかったと考えられる。

図 32 流通業子会社 B 社における IT ガバナンスの社会モデル

91

5 IT ガバナンスの社会モデル

[経緯]
7月1日
7月3日

7月4日

7月5日
7月8日
8月1日
9 月 30 日

サービス開始B 社ホームページにて注意喚起
海外 IP アドレスからのアクセスを遮断
クレジット／デビットカードからのチャージ利用を停止
現金チャージ利用を停止
新規会員登録を停止
B 社が記者会見を開催
B 社が「セキュリティ対策プロジェクト」を設置
金融庁より資金決済法に基づく報告徴求命令
B 社がサービス廃止を決定
サービス廃止5-4-3. 「業界」による信頼の確立（一般社団法人 C）
一般社団法人 C は銀行業が参画する団体である。
インターネット・バンキングにおいて顧客の PC を攻撃することで、預金等の不正な払い出しを狙う手口の犯罪が増加したことから、銀行が取るべき対策、および顧客が取るべき対策に関するガイドラインを策定し、「申し合わせ」として加盟行に周知するとともに、ホームページ上で公開した。
この一連の対応について、「IT ガバナンスの社会モデル」を用いて図式化すると図 33 のようになる。加盟行はインターネット・バンキングへの信頼を維持するために、法人 C を介してガイドラインを策定・公開し、法人 C への「システム信頼」の獲得に努めている。また、加盟行がガイドラインに則して自行のイ
ンターネット・バンキングのセキュリティ対策を整備したことを「自己表現」
することで、法人 C の「システム信頼」に基づく自行の信頼獲得に有益であったと考えられる。

図 33 一般社団法人 C における IT ガバナンスの社会モデル

92

5 IT ガバナンスの社会モデル

5-4-4. 「AI」に関する信頼の確立
総務省は AI（人工知能）に関する課題を総合的に検討することを目的として、2016 年 10 月に「AI ネットワーク社会推進会議」を立ち上げ、2018 年 11 月には、
AI の利活用に関する指針のとりまとめなどを目的として「AI ガバナンス検討会」を設置した。AI ガバナンス検討会では 9 回の会議が開催された。AI ネットワー
ク社会推進会議の各研究会における成果は 2019 年 8 月に「報告書 2019」として公開され、AI ガバナンス検討会における成果は別紙 1「AI 利活用ガイドライン」
として含まれている。
この一連の対応について、「IT ガバナンスの社会モデル」を用いて図式化すると図 34 のようになる。検討状況および成果物は総務省が Web サイトで公開しており、「自己表現」ととして位置づけられる。その一方で、AI に関する情報としては情報処理推進機構(IPA)が 2017 年および 2019 年に「AI 白書」を刊行しており、自己表現への継続性に欠けている。

図 34 「AI」に関する IT ガバナンスの社会モデル[経緯]2016 年 10 月 第 1 回 AI ネットワーク社会推進会議
2018 年 11 月 第 1 回 AI ガバナンス検討会
2019 年 8 月 「AI 報告書 2019」公開

5-4-5. 「IoT」に関する信頼の確立
2015 年 6 月に閣議決定された「『日本再興戦略』改訂 2015」に基づき、IoT・ビッグデータ・人工知能を推進することが定められた。そのうち、IoT について、産学官で利活用を促進するため、2015 年 10 月に「IoT 推進コンソーシアム」が構築された。ワーキンググループ毎に検討を進め、成果物として 2016 年 7 月に「IoT セキュリティガイドライン ver 1.0」、2017 年 5 月に「データの利用権限に関する契約ガイドライン ver 1.0」を公開している。なお、ガイドラインの発表に際しては、総務省、経済産業省の Web サイトでも告知されており、両省の関与は明確である。
この一連の対応について、「IT ガバナンスの社会モデル」を用いて図式化する

93

5 IT ガバナンスの社会モデルと図 35 のようになる。成果物は同法人・総務省・経済産業省の Web サイトで公開されており、「自己表現」ととして位置づけられる。その一方で、活動状況は2018 年 12 月の第 4 回総会を最後に更新されておらず、継続性に欠けている。

図 35 「IoT」に関する IT ガバナンスの社会モデル[経緯]2015 年 10 月
2016 年 7 月
2017 年 1 月
2017 年 5 月
2018 年 3 月
2018 年 10 月

IoT 推進コンソーシアム設立「IoT セキュリティガイドライン ver 1.0」の公表「カメラ画像利活用ガイドブック ver 1.0」の公表「データの利用権限に関する契約ガイドライン ver 1.0」の公表「カメラ画像利活用ガイドブック ver 2.0」の公表
第 4 回総会

5-4-6. ケーススタディへの考察
本節では「IT ガバナンスの社会モデル」を用いて、事例を分析した。
金融機関 A 行の事例からは、システム障害によって失われた信頼は、「業界」
におけるシステム信頼を利用して回復することが可能であることが示される。
システム障害は未然防止し、発生しても早期に収束することが望ましい。しかしながら、仮にシステム障害が発生し、その対応に不手際があっても信頼を回復することは可能である。
逆に、流通業子会社 B 社の事例からは、一度、失われた信頼は組織体単独で回復することが困難であることが示唆される。
また、一般社団法人 C の事例からは、「業界」によるシステム信頼は、一朝一夕に確立されるものではなく、継続的な自己表現の取組が必要であることがわかる。
この点において、「AI」および「IoT」に関する事例からは、「業界」の形成に際して、政府の果たす役割は大きいことを示す。一方、政府による関与には継続性がなく、「業界」として継続的に自己表現を行い、システム信頼を確立するには、独自の活動基盤が必要と考えらえる。

94

5 IT ガバナンスの社会モデル

5-5. IT ガバナンスの社会モデルのメリット
IT ガバナンスの社会モデルによって、以下の 3 点のメリットが得られる。
第一に、IT ガバナンスの社会モデルによって、組織体における IT ガバナンスの価値が明らかになる。組織体が信頼を獲得するためには自己表現が必要とな
り、継続的に実施するためには、組織体内部から情報を集約する仕組みを確立する必要がある。このプロセスは機能システムに情報システムを導入・改訂することで実現される。これは、まさに IT ガバナンスであり、IT ガバナンスは信頼の基盤となる。
第二に、IT ガバナンスの社会モデルによって、チャレンジおよび失敗の重要性が明らかになる。組織体にとって、自己表現は複雑性を縮減し、信頼を獲得するために行われる。期待を一般化する上では、成功事例、好事例だけでなく失敗事例も有益である。人間の心理として失敗を語ることは避ける傾向にある
ことから、経営陣によるリーダーシップが必要とされる。
第三に、IT ガバナンスの社会モデルによって、業界の必要性が明らかになる。
5-4 節におけるケーススタディより、「業界」は組織体が自己表現を行うための場を提供するとともに、自己表現を相互に理解するためのコードであるガイド
ラインを策定する。また、障害等によって失った信頼も、「業界」のシステム信頼を利用して回復することが可能となる。また、「業界」において他社が行った「自己表現」を、有用な事例あるいはベンチマークとして活用することも考えられる。

5-6. 本章のまとめ
本章では、IT ガバナンスの価値を明らかにするため、IT ガバナンスの組織モデルをもとに、IT ガバナンスの社会モデルを構築した。IT ガバナンスの社会モ
デルは信頼、社会関係資本、業界の 3 つの機能で構成される。
ルーマンにおける信頼とは、期待とその結果の内省を繰り返すことで、予測可能性が高まった状態であり、組織体が複雑性に対処する手段である。組織体
は自己表現を行うことで、自らの予測可能性を高め、他の組織からの信頼を獲得することが可能となる。複雑化した組織体において、IT ガバナンス抜きに自己表現を行うことは不可能であり、IT ガバナンスが信頼の基盤となる。また、組織による自己表現は、他の組織に理解できる形式でなければならない。IT ガ
バナンスに関するガイドラインは組織間で自己表現に関する共通認識を得るための表現形式として位置づけられる。
自己表現には様々な形態が考えられるが、事例における経営トップによる情報発信は自己表現の一例である。また、自己表現によって予測可能性を高める

95

5 IT ガバナンスの社会モデル

ためには、成功事例、好事例だけでなく、インシデントや失敗事例を含めることも重要である。そのため、失敗をポジティブに捉え、チャレンジを推奨する
文化の形成が求められる。また、継続的に自己表現を行うためには、自組織の情報を掌握する体制・仕組みの構築が必要となる。このような体制・仕組みは情報システムの構築・改訂によって実現される。すなわち、IT ガバナンスこそが信頼形成の基盤である。
新制度派経済学からは青木(2011)において社会関係資本は、期待される社会的利得の現在価値和として定義され、組織体が蓄積した社会関係資本は、ステー
クホルダーにとって便益をもたらす資産とみなされる。社会貢献を好むステー
クホルダーによって、CSR に関する社会関係資本は組織体が社会貢献活動を行
うためのインセンティブとなり、市場へのシグナルとして機能する。
社会関係資本の定義より、期待の総和である社会関係資本と、一般化された期待である信頼は密接な関係にある。青木(2011)における CSR の例と同様に、プラットフォーマー、サプライチェーンなどシステム接続を前提とする社会シ
ステムにおいては、組織体の情報システムに関する社会関係資本はインセンテ
ィブとして機能する。
最後に、業界は、自己表現のためのクローズドな場と、自己表現を相互に理解するためのコードを提供する。業界そのものがルーマンの社会システムの一種であり、特定の団体や組織だけでなく、二社間の相互関係も含まれる。業界によって、組織体にとって安全に自己表現を行い、社会関係資本を蓄積することが可能となる。また、ケーススタディからはシステム障害やサイバー攻撃によって信頼が毀損されても、組織体は業界の信頼を活用して自らの信頼回復を図ることが可能である。

96

6 結論と今後の課題

6 結論と今後の課題
6-1. 本論文の概要と結論
本論文では、IT ガバナンスに関する理論を体系化するため、3 つのモデルを提示した。
① IT ガバナンスの概念モデル② IT ガバナンスの組織モデル③ IT ガバナンスの社会モデル

定義に関するモデル
組織内の役割に関するモデル
社会における効果に関するモデル

2 章および 3 章では、IT ガバナンスに関するさまざまな定義を統合することを目指し、国内外の文献、ガイドラインから IT ガバナンスの定義を収集し、IT
ガバナンスの概念モデルを構築した。
IT ガバナンスに関する多様な定義を統合することを試みた先行研究について考察し、IT ガバナンスの定義は単一の概念ではなく、研究者や組織によって異なっていること、IT ガバナンスの定義は、複数の概念の組合せによって表現されることを明らかにした。IT ガバナンスの定義を構成する概念は「メカニズム」、「能力」、「規律」、「行動」、「責任」に関する 5 つのグループに分類されるという仮説をたて、ガイドラインの分析によって検証した。検証では、経済産業省「システム管理基準」を使用した。
「システム管理基準」は、2004 年度に改訂された際に IT ガバナンスに関する言及が行われ、2018 年度に改定された際には IT
ガバナンスに関する国際標準・国内規格を参照し、IT ガバナンスの定義が拡張された。分析に際して、主観を極小化するために、文章中に出現する単語同士の関連性を用いて分析する手法である計量テキスト分析を用いて、「システム管理基準」の 2004 年度版と 2018 年度版を比較した。その結果、2004 年度版、2018年度版の双方に 5 つの概念グループが出現すること、また、2018 年度版の IT ガ
バナンスの定義における「行動」概念グループの追加は、本文にも反映され、「行
動」グループの出現率とともに、「経営者」との関連性が上昇していることを示した。
検証された仮説を IT ガバナンスの概念モデルと名づけ、既存の文献およびガイドラインにおける IT ガバナンスの定義に適用することで、十分な説明性を有していることを確認した。
しかし、IT ガバナンスを向上するには、IT ガバナンスの概念モデルのみでは不十分である。なぜなら、IT ガバナンスに概念モデルは、なぜ、IT ガバナンスの定義を構成する概念が 5 つのグループに分類されるのかという点を説明して97

6 結論と今後の課題

いないためである。
そのため、4 章では、組織における IT ガバナンスの位置づけを明らかにすることを目指し、IT ガバナンスの組織モデルを検討した。
IT ガバナンスが複数の概念の組合せによって構成されること、IT ガバナンスを構成する概念は背景の異なる 5 つのグループに分類されることは、それぞれに異なる作動原理を有していることを反映している。このような複数の作動原理を統合する組織モデルの一つに遠山モデルがある。遠山モデルでは、組織を人体、情報システムを神経系とみなし、「自己維持機能」と「自己組織化機能」の 2 つの作動原理を統合することを説明した。しかし、遠山モデルでは、人体を神経系によってトップダウンで意思を伝達する体系として単純化しているた
めに、より複雑な組織を説明することができない。近年における研究では、人体は複合的なネットワークでありことが明らかになっている。人体内の情報伝
達は、神経系以外にも、メッセージ物質と名づけられた多数の物質による臓器間、細胞間の情報伝達が用いられており、極めて複雑な情報処理が行われている。このような人体に関する最新の知見と社会システム理論を参考に遠山モデルを拡張したのが、IT ガバナンスの組織モデルである。組織モデルにおいて、複雑化した組織体は、内部組織（機能システム）に処理を委ねることで階層化する。各機能システムはそれぞれの機能に応じた動作原理を有するとともに、機能システム間で情報を交換し、それぞれの動作を調整する。人体のメタファ
ーより、組織体において機能システム間の情報伝達を行う仕組みを「情報系」と名づける。情報系は、書面や口頭での情報伝達を含むものの、IT によって高速化、大容量化されることで、組織体全体の効率性を改善する。情報系に IT を導入することが IT ガバナンスであり、複雑化した組織体において、円滑な組織運営を図るには IT ガバナンスは不可欠な存在となる。
このような、IT ガバナンスの組織モデルは、垂直型コーディネーション、水平型コーディネーシヨン、情報のフィルタリングの 3 つの機能を持つ。
垂直型コーディネーションは、トップダウンで機能システムに情報を伝達し、かつ機能システムから情報を吸い上げる機能である。事例では経営陣によるリーダーシップの発揮、および経営陣における IT リテラシーの向上が該当する。
水平型コーディネーションは、機能システム間の連携、すなわちボトムアップのアプローチである。事例では、事業部門の IT リテラシー向上に向けた取り
組み、および情報システム部門と事業部門の人材交流が該当する。
情報のフィルタリングは、情報系が収集した情報を集約することで、経営陣が対処すべき複雑性を縮減する働きである。事例では、事業部門への権限移譲、および人材育成が該当する。
しかし、IT ガバナンスの組織モデルだけでは、金融庁(2019b)の事例の全てを98

6 結論と今後の課題

説明することはできないため、5 章では、組織および社会における IT ガバナン
スの効果を明らかにすることを目指し、社会における IT ガバナンスの効果に関する IT ガバナンスの社会モデルを検討した。
IT ガバナンスの社会モデルは信頼、社会関係資本、業界の 3 つの機能で構成される。
ルーマンにおける信頼とは、期待とその結果の内省を繰り返すことで、予測可能性が高まった状態であり、組織体が複雑性に対処する手段である。組織体
は自己表現を行うことで、自らの予測可能性を高め、他の組織からの信頼を獲得することが可能となる。複雑化した組織体において、IT ガバナンス抜きに自己表現を行うことは不可能であり、IT ガバナンスが信頼の基盤となる。また、組織による自己表現は、他の組織に理解できる形式でなければならない。IT ガ
バナンスに関するガイドラインは組織間で自己表現に関する共通認識を得るための表現形式として位置づけられる。
自己表現には様々な形態が考えられるが、事例における経営トップによる情報発信は自己表現の一例である。また、自己表現によって予測可能性を高める
ためには、成功事例、好事例だけでなく、インシデントや失敗事例を含めることも重要である。そのため、失敗をポジティブに捉え、チャレンジを推奨する
文化の形成が求められる。また、継続的に自己表現を行うためには、自組織の情報を掌握する体制・仕組みの構築が必要となる。このような体制・仕組みは情報システムの構築・改訂によって実現される。すなわち、IT ガバナンスこそが信頼形成の基盤である。
新制度派経済学からは青木(2011)において社会関係資本は、期待される社会的利得の現在価値和として定義され、組織体が蓄積した社会関係資本は、ステー
クホルダーにとって便益をもたらす資産とみなされる。社会貢献を好むステー
クホルダーによって、CSR に関する社会関係資本は組織体が社会貢献活動が行うことへのインセンティブであり、市場へのシグナルとして機能する。
社会関係資本の定義より、期待の総和である社会関係資本と、一般化された期待である信頼は密接な関係にある。青木(2011)における CSR の例と同様に、プラットフォーマー、サプライチェーンなどシステム接続を前提とする社会シ
ステムにおいては、IT に関する社会関係資本はインセンティブとして機能する。
最後に、業界は、自己表現のためのクローズドな場と、自己表現を相互に理解するためのコードを提供する。業界そのものがルーマンの社会システムの一種であり、特定の団体や組織だけでなく、二社間の相互関係も含まれる。業界によって、組織体にとって安全に自己表現を行い、社会関係資本を蓄積することが可能となる。また、ケーススタディより信頼が毀損されても、組織体は業界を活用して信頼回復を図ることが可能である。

99

6 結論と今後の課題

6-2. 3 つの IT ガバナンスモデルの関係
本節では、IT ガバナンスモデルの関係について整理する。
本論文における IT ガバナンスモデルは「IT ガバナンスの概念モデル」、「IT ガ
バナンスの組織モデル」、「IT ガバナンスの社会モデル」の 3 つである。
「IT ガバナンスの概念モデル」は文献で記述される IT ガバナンスの定義に関するモデルであり、概念モデルを組織論に展開したものが「IT ガバナンスの組織モデル」である。
一方、「IT ガバナンスの組織モデル」では、組織体の内部を表現するモデルであり、金融庁(2019b)で表現される組織体の外部との関係性は含まれない。
「IT ガバナンスの組織モデル」には含まれない組織と社会の関係を表現するのが「IT ガバナンスの社会モデル」であり、「IT ガバナンスの社会モデル」には組織体の内部は記述されない。すなわち、「IT ガバナンスの組織モデル」と「ITガバナンスの社会モデル」とは相補関係にある。
以上の関係を図示すると図 36 のようになる。

図 36 3 つの IT ガバナンスモデルの関係
本論文における 3 つの IT ガバナンスモデルは独立したモデルではない。IT ガ
バナンスに関するガイドラインや論文を分析するには「IT ガバナンスの概念モ
デル」、組織体における IT ガバナンスの実装や改善策を検討するには「IT ガバ
ナンスの組織モデル」、IT ガバナンスによる効果を検討するには「IT ガバナンスの社会モデル」と、用途に応じて適したモデルを使い分ける必要がある。

100

6 結論と今後の課題

6-3. 今後の課題
本論文では、組織体における IT ガバナンスを対象としていることから、付随する以下の 3 点については、取り扱うことができなかった。
第一に、本論文の対象は「IT ガバナンス」であり、「情報セキュリティガバナ
ンス」、「AI ガバナンス」といった概念においても、5 つの概念グループが適用できるのか、それとも新たな概念グループが存在するのかは今後の検討を待つ必要がある。同様に、IT ガバナンスの組織モデルでは IT ガバナンスをコーポレート・ガバナンスの中核に位置づけたが、情報セキュリティガバナンス、AI ガ
バナンスと IT ガバナンスはどのような関係にあるのか、また、コーポレート・
ガバナンスの関係性についても、今後の課題となる。
第二に、本論文における IT ガバナンスは組織体を対象としている一方で、レッシグ(2007)、鈴木(2013)、ボッツマン(2018)ではインターネットというアーキ
テクチャ（コード）を介した個人の繋がりとによって構成される世界と、その世界における規律、規制について議論を展開している。個人においては、「組織内における機能システム」を前提とした情報系は存在せず、したがって、すな
わち本論文における IT ガバナンスと同じものは存在しない。一方、インターネ
ット上で展開されるサービスについては、個人からの何らかの信頼を前提としなければ存続は不可能である。このような個人からの信頼とその基盤について、レッシグ(2007)、鈴木(2013)、ボッツマン(2018)らの議論と本論文における信頼と IT ガバナンスの関係性がどのように異なるかは、インターネットにおける規制を巡る議論において、重要なテーマと考えられる。
第三に、本論文においては、組織体が自己表現を行う場であり、かつガイドラインを提供する存在として、「業界」をとりあげたが、一方、規制当局など政府関係者の観点では、「業界」は国家という社会システムにおける機能システム
として、組織体をまとめ、国家レベルにおける複雑性の縮減に寄与するものととらえることが可能である。例えば、サイバーセキュリティにたいする金融 ISACの活動は、参加企業間の情報共有を通じて相互の信頼を構築することで、サイバーリスクという不確実性に対して、金融システムを安定させることに寄与しているものと考えられる。一方、業界からみると、規制当局からの支援はシス
テム信頼の確立に寄与する一方で、規制当局の利害と参加企業の利害調整が必要となる。これらの政府（規制当局）−業界−組織体の関係性を分析するためには、新たに政治学、社会学的なアプローチが必要となる。
以上の三点はいずれも魅力的な研究テーマであると同時に、本論文におけるIT ガバナンスに基づくモデルの充実、拡張に寄与することが期待される。今後の課題として取り組みたい。

101

6 結論と今後の課題

6-4. 金融機関の経営者への提言
本論文から得られる知見より、以下の 3 点を金融機関の経営者に提言する。
第一に、IT ガバナンスの向上には総合的な施策が必要である。
「IT ガバナンスの概念モデル」より、IT ガバナンスは 5 つの原理によって構成されることが示される。このことは、単なる組織改編だけでは、IT ガバナン
スを向上できないということを示す。同様に、経営者によるリーダーシップの発揮も、単独では IT ガバナンスを向上させることはできない。経営者がリーダーシップを発揮するためには、経営者を支える組織体のメカニズムと能力が不可欠であり、組織体のメカニズムが機能し、能力を発揮するためには組織体の責務と規律が前提となる。したがって、IT ガバナンスの向上には組織のメカニ
ズム、能力、規律、行動、責務を組み合わせた総合的な施策が重要となる。
第二に、IT ガバナンスへの投資は経営者にとって有益である。
「IT ガバナンスの組織モデル」において、組織体の根本的な目的は環境の複雑性に対処することである。経営者の処理能力は有限の資源である。組織が拡大し、複雑化すると経営者が組織体のすべてを把握し、直接、指揮命令することは困難となる。このような状況下で経営者が組織体を掌握するためには、組織体内部の情報伝達を情報システムによって効率化することが不可欠である。
一方、情報システムであればどんなものであっても IT ガバナンスに寄与する訳ではない。情報システムが IT ガバナンスとして機能するためには、「IT ガバ
ナンスの組織モデル」における「垂直型コーディネーション」、「水平型コーディネーション」、「フィルタリング」のいずれかの役割を果たす必要がある。また、情報システムを用いる業務（＝「機能システム」）は環境の複雑性に対処するために変化を続けることから、特に情報システムの更改に際して「現状維持」
あるいは「水準移行」を求めることは、むしろ IT ガバナンスを阻害する恐れがある。したがって、経営者は情報システムへの投資に積極的に関わることが望ましい。
第三に、組織体が信頼を獲得する上で、「業界」への貢献は有益である。
「IT ガバナンスの社会モデル」において、組織体への信頼は組織体自身の自己表現によって得られるものであり、組織体が自己表現を行う場として「業界」は存在する。また、「業界」が「システム信頼」を獲得することで、組織体の信頼獲得あるいは信頼回復に寄与することが可能となる。
したがって、経営者は「業界」が「システム信頼」を獲得し、維持できるよう積極的に貢献することが望ましい。
「業界」が「システム信頼」を獲得するた
めには、自らを制約する「制度」を維持し、「業界」による自己表現を継続する必要がある。
「業界」の受益者である参加団体は、独立性確保の観点から「業界」の維持に必要な資源（費用、人材等）を負担することが望ましい。

102

6 結論と今後の課題

6-5. 本論文の貢献
本論文では IT ガバナンスに関するモデルとして概念モデル、組織モデル、社会モデルの 3 つを提示した。
IT ガバナンスの概念モデルによって、多様な IT ガバナンスの定義を 5 つの概念グループの組合せとして理解できるようになった。このモデルは IT ガバナン
スに関する文献やガイドラインの分析に有効であるだけでなく、「情報セキュリ
ティガバナンス」や「AI ガバナンス」といった関連領域の分析にも応用が期待できる。
IT ガバナンスの組織モデルによって、組織体の動作原理を複雑性への対処とし、組織内の情報伝達について、垂直型コーディネーション、水平型コーディ
ネーシヨン、フィルタリングの 3 つの機能で説明できるようになった。このモデルからは、IT リテラシー、IT 人材の育成、権限移譲について、理論的な裏付けを与えることが可能となる。
IT ガバナンスの社会モデルによって、信頼、社会関係資本、業界の概念が導入された。組織体が信頼を獲得する上で、IT ガバナンスはその基盤となる。また、信頼より、失敗をポジティブに捉え、チャレンジを推奨する文化の必要性が説明される。また、「期待」を介して社会関係資本と信頼を接合したことで、組織体における信頼の必要性を明確にした。信頼を通して蓄積される社会関係
資本は、ステークホルダーにとって便益をもたらす資産であり、市場へのシグナルとして機能する。社会関係資本が機能するためには、自己表現としての「場」が必要であり、同時に業界から得られる他社の自己表現を IT ガバナンス向上に活用することが可能となる。
これらのモデルをもって理論の体系化と位置づけるのは時期尚早だろう。しかしながら、IT ガバナンスの概念を整理し、経営学、社会学、経済学等の広く周知される理論に対応付けたことによって、IT ガバナンスに関する客観的な議論を始める第一歩を踏み出したということは可能である。筆者にとって本論文
は IT ガバナンスに関する自己表現であり、本論文で提示されたモデルや見解に対する異論は IT ガバナンスに対する信頼を強化する上で歓迎すべきものである。
本論文によって、日本においても IT ガバナンスに関する議論が活性化すれば幸
甚である。

103

謝辞

謝辞
本論文は筆者が情報セキュリティ大学院大学情報セキュリティ研究科情報セキュリティ専攻博士後期課程に在籍中の研究成果をまとめたものである。同専
攻教授 原田要之助先生、湯淺墾道先生には指導教官として数多くの適切なご助言を頂いた。ここに深くお礼を申し上げる。
また、自己啓発の一環として同専攻に通学することを許容いただいた三井住友フィナンシャルグループ、三井住友銀行にもお礼を申し上げる。

104

参考文献

参考文献
Guldentops, E. (2004). Governing Information Technology through COBIT. In Strategies for Information
Technology Governance. (pp. 269-309). Igi Global.
Henderson, J. C., & Venkatraman, H. (1999). Strategic alignment: Leveraging information technology fortransforming organizations. IBM systems journal, 38(2.3), 472-484.
Henderson, J. C., & Venkatraman, N. (1994). Strategic alignment: a model for organizationaltransformation via information technology (pp. 202-220). Oxford University Press: New York.
ISACA (2012). COBIT 5 A Business Framework for the Governance and Management of Enterprise IT.
https://www.isaca.org/COBIT/Pages/COBIT-5-Framework-product-page.aspx(2019.09.21 アクセス)
Knight, F. H. (2012). Risk, uncertainty and profit. Courier Corporation.
Luftman, J. (2004). Assessing Business-IT Allignment Maturity. In Strategies for information technology
governance (pp. 99-128). Igi Global.
Luftman, J., Ben-Zvi, T., Dwivedi, R., & Rigoni, E. H. (2010). IT Governance: An alignment maturity
perspective. International Journal of IT/Business Alignment and Governance (IJITBAG), 1(2),13-25.
Sambamurthy, V., & Zmud, R. W. (1999). Arrangements for information technology governance: A theoryof multiple contingencies. MIS quarterly, 261-290.
Smits, D., & Hillegersberg, J. V. (2013). The continuing mismatch between IT governance theory andpractice: Results from a Delphi study with CIO’s.
https://aisel.aisnet.org/amcis2013/StrategicUse/GeneralPresentations/28/ (2019.11.08 アクセス)
Smits, D., & Hillegersberg, J. V. (2017). The development of a hard and soft IT governance assessment
instrument. Procedia computer science, 121, 47-54.
Urbach, N., Buchwald, A., & Ahlemann, F. (2013, June). Understanding IT Governance Success And Its
Impact: Results From An Interview Study. In ECIS (p. 55).
Van Grembergen, W., De Haes, S., & Guldentops, E. (2004). Structures, processes and relational
mechanisms for IT governance. In Strategies for information technology governance (pp. 1-36). Igi
Global.
Waterman Jr, R. H., Peters, T. J., & Phillips, J. R. (1980). Structure is not organization. Business horizons,23(3), 14-26.
Webb, P., Pollard, C., & Ridley, G. (2006, January). Attempting to define IT governance: Wisdom orfolly?. In Proceedings of the 39th Annual Hawaii International Conference on System Sciences(HICSS'06) (Vol. 8, pp. 194a-194a). IEEE.
Weill, P., & Ross, J. W. (2004). IT governance: How top performers manage IT decision rights forsuperior results. Harvard Business Press.
アルフレッド・D・チャンドラーJr.著, 有賀 裕子訳 (2004). 組織は戦略にしたがう
ダイヤモンド社
ダイヤモンド社ウィーナー著, 池原 止戈夫, 彌永 昌吉, 室賀 三郎, 戸田 厳 訳 (2011). サイバ
ネティックス 動物と機械における制御と通信.岩波文庫
J. R. ガルブレイス著, D. A. ネサンソン著, 岸田民樹訳 (1989). 経営戦略と組織デザイン. 白桃書房
ジェイコブ・ソール著, 村井章子訳 (2018). 帳簿の世界史. 文藝春秋
ニコラス・ルーマン著, 大庭 健訳, 正村 俊之訳 (1990). 信頼 社会的な複雑性の縮減メカニズム.
勁草書房
ニクラス・ルーマン著, 小松 丈晃訳 (2014). リスクの社会学. 新泉社

105

参考文献

ニクラス・ルーマン著, 馬場 靖雄訳, 赤堀 三郎訳, 菅原 謙訳, 高橋 徹訳 (2009a). 社会の社会
1. 法政大学出版局
ニクラス・ルーマン著, 馬場 靖雄訳, 赤堀 三郎訳, 菅原 謙訳, 高橋 徹訳 (2009b). 社会の社会
2. 法政大学出版局
ハーバート・A・サイモン著, 稲葉 元吉訳, 吉原 英樹訳 (1999). システムの科学 第 3 版. パー
ソナルメディア社
フォン・ベルタランフィ著, 長野 敬訳, 太田 邦昌訳 (1973)，一般システム理論 その基礎・発展・応用. みすず書房
ヘンリー・ミンツバーグ著, ブルース・アルストランド著, ジョセフ・ランペル著, 齋藤 嘉則訳(2012). 戦略サファリ 第 2 版 -戦略マネジメント・コンプリート・ガイドブック. 東洋経済
新報社
レイチェル・ボッツマン著, 関 美和訳(2018). TRUST 世界最先端の企業はいかに信頼を攻略したか. 日経 BP 社
ローレンス・レッシグ著, 山形 浩生訳 (2007). CODE VERSION 2.0 株式会社翔泳社
ロバート・Ｓ．キャプラン著, デビッド・Ｐ．ノートン著 櫻井 通晴監訳 伊藤 和憲監訳 長谷川 惠一監訳 (2005). 戦略マップ−バランスト・スコアカードの新・戦略実行フレームワ
ーク−. ランダムハウス講談社
ロバート・Ｓ．キャプラン著, デビッド・Ｐ．ノートン著 櫻井 通晴監訳 伊藤 和憲監訳 長谷川 惠一監訳 (2007). BSC によるシナジー戦略 組織のアラインメントに向けて. ランダ
ムハウス講談社
ITGI (2007). 取締役会のための IT ガバナンスの手引き 第 2 版.
https://www.itgi.jp/application/files/1515/5170/1369/board-briefing_Japanese.pdf(2019.11.08 アクセス)
ITGI (2008). "IT 統制の保証ガイド:Using COBIT. ITGI"
https://www.itgi.jp/application/files/1315/5171/6220/ITAssuranceGuide_J.pdf(2019.11.08 アクセス)
ITGI (2019).
COBIT2019 登場の背景 . https://www.itgi.jp/index.php/cobit2019/background(2019.11.08 アクセス)
ITGI (2019).
日本 IT ガバナンス協会案内 .
https://itgi.jp/application/files/3615/4865/0650/itgipamph.pdf(2019.11.08 アクセス)
JEITA/IDC Japan (2017). プレスリリース ”JEITA、2017 年 国内企業の「IT 経営」に関する調査
結果を発表”. https://www.jeita.or.jp/japanese/exhibit/2018/0116.pdf (2019.11.08 アクセス)
JIPDEC (1999). 企業における情報化動向に関する調査研究報告書−情報化投資の現状と課題−.
財団法人 日本情報処理開発協会. https://www.jipdec.or.jp/archives/publications/J0002846(2019.11.08 アクセス)
JIPDEC (2000). 情報化白書 2000 21 世紀情報化の展望と課題. コンピュータエージ社
JIS Q 31000:2019. リスクマネジメント−指針
JIS Q 38500:2015. 情報技術−IT ガバナンス
JUAS (2002). "平成 13 年度「IT ガバナンスに関する研究」~その１ ガバナンスレベル測定手法の開発研究~", 日本情報システムユーザー会 IT ガバナンス研究プロジェクト
青木 昌彦 (1989). 日本企業の組織と情報. 東洋経済新報社
青木 昌彦著, 谷口 和弘訳 (2011). コーポレーションの進化多様性 集合認知・ガバナンス・制
度. NTT 出版

106

参考文献

石島 隆 (2003). IT ガバナンスと IT 内部統制. 研究紀要, 1.1: 1-12.
石島 隆 (2004). IT ガバナンス改善のためのアプローチ. 生産管理, 10.3: 49-54.
井庭 祟編著, 宮台 真司著, 熊坂 賢次著, 公文 俊平著 (2011). 社会システム理論 不透明な社会を捉える知の技法. 慶応義塾大学出版
井原 久光 (2008). テキスト経営学: 基礎から最新の理論まで. ミネルヴァ書房
入山 章栄 (2012). 世界の経営学者はいま何を考えているのか―知られざるビジネスの知のフロ
ンティア. 英知出版
宇野 重規 (2012). なぜ『ガバナンス』が問題なのか？政治思想史の観点から . 東京大学社
会科学研究所全所的プロジェクト研究「ガバナンスを問い直す」ディスカッションペーパ
ー. 東京大学社会科学研究所. https://web.iss.u-tokyo.ac.jp/gov/research/(2019.09.21 アクセス)宇野 重規 (2012). なぜ『ガバナンス』が問題なのか？政治思想史の観点から . 東京大学社
会科学研究所全所的プロジェクト研究「ガバナンスを問い直す」ディスカッションペーパ
ー. 東京大学社会科学研究所. https://web.iss.u-tokyo.ac.jp/gov/research/(2019.09.21 アクセス)
NHK スペシャル「人体」取材班 (2017). NHK スペシャル 人体 神秘の巨大ネットワーク 第 1
巻:【プロローグ】神秘の巨大ネットワーク【第 1 集】 腎臓"が寿命を決める. 東京書籍
NHK スペシャル「人体」取材班 (2018). NHK スペシャル 人体 神秘の巨大ネットワーク 第 2
巻:【第 2 集】驚きのパワー! 脂肪と筋肉 が命を守る/【第 3 集】 骨 が出す!最高の若返り物質. 東京書籍
NHK スペシャル「人体」取材班 (2018). NHK スペシャル 人体 神秘の巨大ネットワーク 第 3
巻:【第 4 集】万病撃退! 腸"が免疫の鍵だった/【第 5 集】 脳"すごいぞ! ひらめきと記憶の正体. 東京書籍
梶本 政利 (2008). ITGI が提唱する IT ガバナンス、そして IT 投資のガバナンスのフレームワーク（Val IT)について .
https://expo.nikkeibp.co.jp/erm/2008/pdf/H1.pdf (2019.11.08 アクセス)
川崎 真郷，後藤 厚宏 (2018). インシデント情報開示に基づく企業価値変動.
情報処理学会 第 80 回全国大会講演論文集. 1 号. pp.523-524
菅野 博史 (1999). “リスク社会としての再帰的近代をめぐって: 近代化論における個人主義的ア
プローチとシステム理論的アプローチ”. 三田社会学, (4), 33-44.
金 榮愨, 深尾 京司, 牧野 達治 (2010). “「失われた 20 年」 の構造的原因”. 経済研究, 61(3),237-260.
金融庁 (2019a). 金融機関の IT ガバナンスに関する対話のための論点・プラクティスの整理
https://www.fsa.go.jp/news/30/20190621/01.pdf (2019.11.08 アクセス)
金融庁 (2019b). 金融機関の IT ガバナンスに関する実態把握結果（事例集）
https://www.fsa.go.jp/news/30/20190621/02.pdf (2019.11.08 アクセス)
経済産業省 (2004a). システム監査基準.
https://www.meti.go.jp/policy/netsecurity/downloadfiles/system_kansa.pdf(2019.10.20 アクセス)
経済産業省 (2004b). システム管理基準.
https://www.meti.go.jp/policy/netsecurity/downloadfiles/system_kanri.pdf(2019.10.20 アクセス)
経済産業省 (2005). 新版 システム監査基準/システム管理基準解説書―平成 16 年基準改訂版.
日本情報処理開発協会

107

参考文献

経済産業省 (2018a). システム監査基準. 経済産業省
https://www.meti.go.jp/policy/netsecurity/downloadfiles/system_kansa_h30.pdf(2019.09.21 アクセス)
経済産業省 (2018b). システム管理基準. 経済産業省
https://www.meti.go.jp/policy/netsecurity/downloadfiles/system_kanri_h30.pdf(2019.09.21 アクセス)
経済産業省 (2019). デジタルガバナンスコードの策定に向けた検討. デジタルガバナンスに関する有識者検討会.
https://www.meti.go.jp/shingikai/mono_info_service/digital_governance/pdf/report_001.pdf(2019.10.20 アクセス)
経済同友会 (2003). 「市場の進化」と社会的責任経営 企業の信頼構築と持続的な価値創造に向けて. https://www.doyukai.or.jp/whitepaper/articles/no15.html (2019.10.20 アクセス)
甲賀 憲二, 林口 英治, 外村 俊之 (2002). IT ガバナンス. NTT 出版
甲賀 憲二, 林口 英治, 外村 俊之, 黒田 明裕 (2000). 第 2 版 最適融合の IT マネジメント 競争
優位を実現する戦略立案ステップ. ダイヤモンド社
小林 陽太郎 (2003). 社会と企業 −あらためてその関係を問う− . 「市場の進化」と社会的責任経営 −企業の信頼構築と持続的な価値創造に向けて−. 経済同友会, p.16-35
小松 丈晃 (2005). “社会システム理論とリスク: 旧東ドイツ圏の地域計画における有害廃棄物汚
染地 (Altlasten) 問題を手がかりに (大会報告論文: システムのリスクと安全を考える). 社
会・経済システム, 26, 119-126.
小松 丈晃 (2013). “科学技術のリスクと<制度的リスク>”. 社会学年報, 42, 5-15.
酒井 泰弘 (2007). “経済学におけるリスクとは”. リスク学入門 1 リスク学とは何か.岩波書店.
pp.55-85
鈴木 健 (2013). なめらかな社会とその敵 PICSY・分人民主主義・構成的社会契約論
勁草書房
首藤 明和 (2019). “N. ルーマンの社会システム理論におけるリスク論”. 多文化社会研究, 5,
307-319.
重田 園江 (2018). 統治の抗争史 フーコー講義 1978-79. 勁草書房
島田 祐次 (2008). IT ガバナンスと内部統制報告制度. 経営情報学会, 経営情報学会 2008 年春季
全国研究大会発表, pp.386-389
進化経済学会 (2006). 進化経済学ハンドブック. 共立出版
総務省 (2019). 情報通信白書 令和元年版.
https://www.soumu.go.jp/johotsusintokei/whitepaper/r01.html (2019.12.01 アクセス)
谷本 寛治 (2004). CSR 経営―企業の社会的責任とステイクホルダー. 中央経済社
田村 達也 (2002). コーポレート・ガバナンス. 中公新書
遠山 曉 (1994). わが国における情報戦略の再検討 (世界の中の日本企業). 經營學論集 64. 日
本経営学会, p. 218-224.
遠山 曉, 松嶋登(2010). "IT 経営力概念の理論基盤: 特集号に向けて (< 特集> 技術力から経営力へ)". 日本情報経営学会誌, 31.1: 44-55.
遠山 曉, 村田 潔, 岸 眞理子 (2015). 経営情報論(新版補訂). 有斐閣
原田 要之助 (2009). 企業に求められる IT ガバナンスの新しいモデル. InfoCom Review Vol.47,
pp1-15
原田 要之助 (2016).
AI のガバナンスについて −IT ガバナンスの系譜からの考察− . 情報
セキュリティ総合科学. 情報セキュリティ大学院大学, 第 8 号

108

参考文献

原田 要之助 (2018). "IT と情報セキュリティに対するガバナンスの経営者のための効果測定."
研究報告電子化知的財産・社会基盤 (EIP) 2018.13 : 1-6.
内部監査人協会 (2016). 内部監査の専門職的実施の国際基準
https://global.theiia.org/translations/PublicDocuments/IPPF-Standards-2017-Japanese.pdf(2019.09.21 アクセス)中山 竜一 (2007). “リスクと法”. リスク学入門 1 リスク学とは何か.岩波書店. pp.87-116
日本監査役協会 (2011). 監査役に期待される IT ガバナンスの実践.
http://www.kansa.or.jp/support/IThoukokusyo.pdf (2018.12.01 アクセス)
日本経済団体連合会 (2018). Society 5.0 ともに創造する未来.
https://www.keidanren.or.jp/policy/2018/095_honbun.pdf (2019.11.08 アクセス)林 絋一郎, 田川 義博, 淺井 達雄 (2011). セキュリティ経営 ポスト 3.11 の復元力. 勁草書房
廣松 毅 (2011). 情報セキュリティ事故が企業価値に与える影響の分析 イベント・スタディ法を用いたリスク評価の試み. 情報セキュリティ総合科学. 第 3 号
樋口 耕一 (2014). 社会調査のための計量テキスト分析. ナカニシヤ出版
樋口 耕一 (2019). KH Coder 3 リファレンスマニュアル. https://khcoder.net/dl3.html(2019.10.13 アクセス)堀江 正之(2006). IT 保証の概念フレームワーク −IT リスクからのアプローチ−. 森山書店
丸山 優二, NHK スペシャル「人体」取材版 (2019). 人体 神秘の巨大ネットワーク 臓器たちは語り合う. NHK 出版新書
三谷 宏治 (2013). 経営戦略全史. ディスカヴァー・トゥエンティワン
吉川 富夫 (2011)，ガバナンス概念にかかる理論的・歴史的考察，Journal of the Faculty ofManagement and Information Systems, Prefectural University of Hiroshima 2011 No.3 pp.83-106
吉川 富夫(2011). ガバナンス概念にかかる理論的・歴史的考察，Journal of the Faculty ofManagement and Information Systems, Prefectural University of Hiroshima 2011 No.3 pp.83-106
吉武 一, 辻本 要子, 茅野 耕治, 小池 聖一・パウロ(2018). 内部監査人のための IT 監査と IT ガ
バナンス. 一般社団法人日本内部監査協会編. 同文館出版

109

付録

付録
付録 A. 用語集
本論文において重要な用語について、その定義・解釈を以下にまとめる。
IT ガバナンス
組織体内の機能システムの一つである情報系に、IT を用いた情報システムを導入・改訂・更改することで、機能システム間におけるコーディネーションの向上を図ることであり、その目的は、組織体が対処すべき複雑性の縮減にある。
その他の定義については「付録 B．主要な IT ガバナンスの定義」を参照。
コード
社会システム内のコミュニケーションにおいて用いられる言語。
社会システム理論から導入した概念であり、ルーマン(2009a, 2009b)によると、
社会そのものだけでなく、組織体、および相互行為も社会システムの一種であり、それぞれに固有のコードを持つ。
レッシグ(2007)においては、コードは規制の一つの様式であり、サイバー空間
において実装されたアーキテクチャを指す。人の振る舞いに影響を及ぼす点は共通するものの、強制力を持たない点がレッシグと異なる。
情報系
組織体の機能システムの一つであり、機能システム間の情報伝達を司る機能を有する。
組織としての情報系にはハードウェア、ソフトウェア、ネットワーク、データなどで構成される情報システムだけでなく、情報システムの企画・開発・保守・運用に携わる従業員、外部委託業者、情報システムの利用者も含まれる。
また、情報系が取り扱う情報には、口頭や書面での伝達や、文化・慣習といった非言語的コミュニケーションといったデータ化されていないものが含まれ、大量かつ繰り返しの処理については IT を用いた情報システムを導入することで効率化が可能となる。
信頼
ルーマン(1990)によると信頼とは「過去から入手しうる情報を過剰利用して将来を規定するというリスクを冒す」(ルーマン(1990). p.33)こと。
ルーマンの社会システム理論において、システムは外部環境の複雑性に対処しようとするが、どんなに情報を集めても複雑性を完全に理解することはでき

110

付録

ない。その代わりとして入手した情報を用いて将来を予測（期待）する。十分な情報が得られないために、この予測は必ずしも当たるとは限らない（過剰利用によるリスク）。外れた場合には期待を修正し、修正を繰り返すことで、期待とのズレが小さくなる。この状態が一般化であり、このように一般化された期待が信頼である。
垂直型コーディネーション
経営陣あるいは管理職が事前の情報にしたがって、ある一定期間における組織体の生産物に関する効率的な計画を策定し、組織体が計画に従って生産を行うこと。
水平型コーディネーション
緊急事態にたいして、労働者が自律的に対応すること。特に、労働者、職場、部署が単独で対処することよりも、他の労働者、他の職場、他の部署とのコミュニケーションを通じた調整の面が強調される。
複雑性取りうる可能性のすべて。ルーマンの社会システム理論において、人間の意
識的な処理能力はあまりにも小さすぎるため、環境の複雑性をあるがままの姿で把握することができない。環境の複雑性を人間が対処できるまで単純化（縮減）するために社会システムが形成される。

111

付録

付録 B. 主要な IT ガバナンスの定義
日本語で利用できる主要な文献およびガイドラインにおける IT ガバナンスの定義を下表にまとめた。
なお、表の項目は以下の通り。
・年月・発行者, 文書・定義

文献またはガイドラインの公開・出版された年および月
文献またはガイドラインの名称
文献またはガイドラインにおける IT ガバナンスの定義

年月

発行者, 文書定義1999 年
3月

通商産業省，企業の IT ガバ
ナンスの向上に向けて企業が競争優位性構築を目的に、IT（情報技術）戦略の策定・実行をコントロールし、あるべき方向に導く組織能力2001 年
4月

JUAS，ＩＴガバナンスに関する研究

IT 活用に関する行動を、企業の競争優位構築のためにあるべき方向へ導く権限と責任の枠組みである。

2002 年

甲賀他，IT ガバナンス

IT ガバナンスは IT 戦略の一環であり、IT 戦略の策定から実現までの一連の活動をコントールし、IT のあるべき姿の実現に向けた IT マネージメントプロセ
ス、IT 標準および IT 体制を構築する組織だった活動のことである。

2003 年

IT ガバナンス協会，取締役会のための IT ガバナンスの手引
第2版

IT ガバナンスとは、取締役会ならびに役員の責務である。IT ガバナンスは、企業のガバナンス全体の不可欠な構成要素であり、組織の IT が組織の戦略
ならびに目標を維持し発展させることを保証するリ
ーダーシップと組織構造、さらにプロセスから構成されている。

2006 年

堀江正之, IT 保証の概念フレームワーク −IT リスクからのアプローチ−

IT ガバナンスとは、コーポレート・ガバナンスの一側面であって、事業体の目的達成を効果的に方向づけるために、IT 戦略の実現と IT の運営を対象とした、事業体の内部および外部からする経営者層に対する規律づけと影響力の行使をいう

2007 年
3月

FISC，金融機関等のシステム
監査指針 第 3 版

IT を経営戦略の策定と実行に生かし、同時に、ITを利用して構築した情報処理と伝達のシステム(以下「情報システム」という)を安定的に運用するため、経営者の積極的な関与を前提とした全社的な取り組みが IT ガバナンスである。

112

付録

年月

発行者, 文書

定義
IT ガバナンスは、経営者のリーダーシップによる全社的な対応をキーワードとする対内的な観点からする仕組みと、顧客や株主などの外部ステークホル
ダーとの関係をキーワードとする対外的な観点からする仕組みの 2 つを含む概念として理解できる。
IT ガバナンスは、情報システムを要として、経営環
境、経営戦略、組織体制、業務プロセスを、相互の影響関係を考慮しながら、全社的な観点から整合性のとれたものにすることである。その実効性を確実なものとするために、CIO（情報システム統括役員）、CSO（情報セキュリティ統括役員）などを任命
して情報システムの運用に係る全社的な統治体制を敷き、監査役や監査委員会の積極的な関与を求めることも重要である。

2011 年
8月

日本監査役協会，監査役に期待される IT ガバナンスの実
践IT ガバナンスは、コーポレート・ガバナンスの一側面であって、取締役の職務執行の一部としての ITの利活用に関する全社的あるいは企業グループとしての推進体制と、監査役による独立的監視・検証を通じた取締役への規律付けからなる。
IT ガバナンスとは、コーポレート・ガバナンスの一側面であって、企業価値の向上を目指しつつ企業の社会的責任を果たし、かつ事業継続と業務の有効性及び効率性を達成するために、IT の戦略的利活用とそれに伴うリスクに対して、全社的に対処するための取締役の職能と責任の明確化、及びそれを独立した立場から監視・検証する監査役の職
能と責任を通じて、企業グループ全体としての IT
利活用の適切な推進と IT 利活用をめぐるリスク対処を効果的にするための仕組みないしは活動をいう。

2015 年7月

JIS Q 38500:2015，情報技術−IT ガバナンス

組織の IT の現在及び将来の利用を指示し、管理するシステム。IT ガバナンスは，組織を支援するた
めに IT の利用を評価すること及び指示すること，並びに計画を遂行するためにこの IT 利用をモニタすることに関係する。これには組織における ITの利用に関する戦略及び方針を含む。

113

付録

年月

発行者, 文書定義2017 年
5月

日本内部監査協会，内部監査の実務指針ＩＴガバナンスは、組織体の目的達成のための経営戦略の遂行をＩＴが効果的・効率的に支援するために、ＩＴ投資を含むＩＴ戦略を意思決定し、ＩＴ管理態
勢の構築を指導し、監督する、最高経営者および取締役会等が担うプロセスである。

2017 年
11 月

金融庁，平成 29 事務年度金
融行政方針

経営者がリーダーシップを発揮し、IT と経営戦略を連携させ、企業価値の創出を実現するための仕組みである。

2018 年
4月

経済産業省，システム管理基
準IT ガバナンスとは経営陣がステークホルダのニーズに基づき、組織の価値を高めるために実践する行動であり、情報システムのあるべき姿を示す情報シ
ステム戦略の策定及び実現に必要となる組織能力である。

2019 年
3月

FISC，金融機関等のシステム
監査基準

IT ガバナンスとは、金融機関等のミッションに基づいて、株主・顧客・規制機関等の外部ステークホル
ダーとの関係（ステークホルダーが及ぼす経営者に対する規律付け、及び経営者によるステークホルダ
ーのニーズの捕捉）に留意しつつ、IT 戦略を支援し、当該戦略の実現に伴うリスクに適切に対処することを確実にするための経営層の活動又はそれに関連するプロセスをいう。

2019 年
4月

経済産業省，システムガバナ
ンスの在り方に関する検討会とりまとめ資料

デジタルガバナンス：デジタルトランスフォーメーシ
ョンを継続的かつ柔軟に実現することができるよう、
経営者自身が、明確な経営理念・ビジョンや基本方
針を示し、その下で、組織・仕組み・プロセスを確立（必要に応じて抜本的・根本的変革も含め）し、常にその実態を掌握し評価をすること。

2019 年6月

金融庁，金融機関のＩＴガバ
ナンスに関する対話のための論点・プラクティスの整理

経営者がリーダーシップを発揮し、IT と経営戦略を連携させ、企業価値の創出を実現するための仕組みである「IT ガバナンス」が適切に機能することが金融機関にとって極めて重要となっている。

114

付録

付録 C. IT ガバナンス事例集との対応
金融庁「金融機関の IT ガバナンスに関する実態把握結果（事例集）」を本文中で参照するために、下表のとおり項番を付与した。
なお、下表の項目は以下の通り。
・考え方
・先行事例／課題事例
・本文の対応事例集における IT ガバナンスに関する 6 つの考え方
事例集における先行事例および課題事例の内容
本文における IT ガバナンスモデルとの対応
4-1：組織モデルにおける垂直型コーディネーション
4-2：組織モデルにおける水平型コーディネーション
4-3：組織モデルにおけるフィルタリング
5-1：社会モデルにおける自己表現と信用
5-2：社会モデルにおける業界

例えば、先行事例「経営陣が定期的に最新 IT 動向等のレクチャーを受けてリテラシー向上」を本文中で参照するときは、「先行事例①-1」、課題事例「経営陣がデジタル化推進責任者に戦略から投資判断までを一任している」を参照する
ときは、「課題事例①-2」と記載する。
考え方

先行事例／課題事例① 経営陣によるリーダーシップ＜先行事例＞①-1 IT をどのように活用するかについて経営陣がブレインストーミングを行っているほか、会議体においても議論・指示①-2 経営陣が定期的に最新 IT 動向等のレクチャーを受けてリテラシー向上①-3 経営者のリーダーシップにより、IT を使った業
務改革が短期間で実現①-4 業務改革を実施するにあたり、経営陣が積極的なチャレンジと多くの失敗を経験することを推奨①-5 経営陣が IT・デジタルの利活用等に関する取組
みなどを講演等で外部に発信＜課題事例＞①-1 経営陣の参加する会議体における経営陣の発言が既存システムのあり方等に限られ、デジタル化がもたらすビネスモデルの変革に関わるような議論はあまり行われていない①-2 経営陣がデジタル化推進責任者に戦略から投資判断までを一任している

115

本文の
対応
4-1

4-1
4-1
5-1
5-1

4-1

4-1

付録

考え方

先行事例／課題事例② 経営戦略と連携した「IT 戦略」＜先行事例＞②-1 将来の業務の姿を想定した上で、それを実現するためのデジタル化のあり方を検討しているほか、
非連続的なイノベーションへの対応（R&D 等）も推進②-2 業務と IT を融合させた事務の抜本的なデジタル化等を推進②-3 金融機関のプラットフォーマーになるべく、将来的にデータの収集・蓄積活用等で付加価値を創出すること目標に年間数十件の実証実験（PoC）等
を推進＜課題事例＞②-1 個別のシステム案件や共同センターの取り組みが中心で、目指す将来像や経営戦略との関わりが希薄になっている②-2 経営陣の指示によりフィンテックに関する対応
部署やワーキングループを組成したもの、外部動向の調査が中心であり、実効的な活動が停滞している②-3 デジタルトランスフォーメショへの取組みを世の中にアピールしているものの、内部での会議が1 回開催されたのみとなっている②-4 システム共同化等によるシステム部門の縮小に伴い、戦略的な IT 投資案件を迅速に実現できな
いなど、IT 戦略の選択肢に大きく制約を受けている②-5 多くの PoC を進めながらも現行システムの整備計画対応に手間を取られ、実用化が進まない＜先行事例＞③-1 ビジネス部門とシステム間の連携強化を目的として、システム単位等で両部門の役割と責任を明
確化、ビジネス部門主導による IT 活用強化③-2 ビジネス部門に IT 活用ができる人材を、システ
ム部門に営業の発想を持てる人材を、それぞれ育成していく観点から、相互の人事交流を実施③-3 デジタル先端人材のキャリア採用、地域の団体等と連携した IT 人材の定期採用③-4 経営陣の失敗談公表や失敗を恐れずチャレンジ
する文化の醸成③-5 IT・デジタル専門子会社でアジャイル開発等の取組み③-6 ビジネス部門が主体となり、IT に関する情報共
有や活用方針ついての議論を行い、PoC 案件の選
択・合意を行う枠組みを設置③ IT 戦略を実現する「IT 組織

116

本文の
対応
4-1

4-2
4-1

4-1

4-2

5-1

4-3

4-3

4-2

4-2

5-2
5-1
5-1
4-2

付録

考え方

先行事例／課題事例（前頁の続き）＜課題事例＞③-1 ビジネス部門とシステム間のコミュニケーョン
や信頼関係が不足し、システム開発システム開発
プロジェクトの長期化や見直しを繰り返している③-2 ビジネス部門とシステムの人事交流やビジネス部門内で IT・システムが分かる人材の育成といった取組みがキャリアパスと結び付いていない③-3 デジタル化に対してシステム部門が過度に保守的になっていたり、システム部門がコストセンタ
ーとしか認識されない③-4 IT 戦略を支えるカルチャー変革（失敗を恐れない文化の醸成、アジャイル開発、先端人材の採用等）を目標に掲げているが、具体的に取り組めていない＜先行事例＞（ヒト）④-1 新技術やグローバルへの対応、スキル継承、内製化推進等を目的に IT 人材育成専門組織の創設、キャリアパスの明確化（モノ）④-2 コスト削減や中長期的な生産性向上を目的とした API やプライベートクラウドの活用・既存インフラの最適化を目的とした各種システム基盤の集約、他行と周辺システムの共同開発の検討（カネ）④-3 システム維持・制度対応案件を抑制する一方で、戦略的な投資案件の強化④-4 毎年固定的に発生する保守費用について、システ
ム費用削減を目的に第三者による妥当性の検証、作業内容に応じた支払となるよう保守契約の見直し＜課題事例＞（ヒト）④-1 組織・戦略的に経営陣の IT リテラシリテラシーを高める取組み実施できていない④-2 システム共同化等によるシステム部門の縮小に伴い、次世代を担える IT 人材の育成が十分に行われていない（モノ）④-3 パブリックラウドの積極的な活用を掲げている
ものの、クリティカルな業務への活用にまで踏み込んだ検討ができていない④ 最適化された「ITリソース(資源管
理)」

117

本文の
対応
4-2

4-2

4-2

5-1

4-3

5-2

4-1
4-1

4-1
4-3

4-2

付録

考え方

先行事例／課題事例（前頁の続き）（カネ）④-4 システム更改案件や維持・制度等へ優先的に予算配賦され、戦略的な投資へ配賦する余裕がなくなっている＜先行事例＞⑤-1 デジタルトランスフォーメーション案件等は、ス
モールスタートを前提に、一定金額枠内で担当部に権限委譲⑤-2 投資効果（ROI）の見積・測定を行い、測定結果をもとにサービスの撤退・縮小・改善の判断を実施⑤-3 システムの利用実績を基に機能のスリム化や帳票削減を継続的に実施⑤-4 戦略案件やデジタルトランスフォーメーション案件の場合は、通常案件と同様の投資判断プロセスとしながらも、ROI 以外の定性評価を重視して都度判断を実施⑤-5 既存システムの保守期限切れ等に際して、単純な更改・更新は認めない方針を徹底し、機能の強化
やスリム化等の検討を実施＜課題事例＞⑤-1 投資に係る効果測定の実施を規定等に定めているが、継続的な効果測定を実施していない⑤-2 効果が出ず改善も見込めない案件等は、システムの廃棄を含め対応を検討することを明文化しているが、廃棄した実績はない⑤-3 短期的に ROI に繋がらない IT 案件の採否においては、起案者の説得力に左右されてしまい、必ずしも金融機関の経営戦略や今後の目指すビジネ
スモデル等に直接結びついている案件ばかりではない⑤-4 採用されている IT 投資案件について、短期間で着実に定量的目標を達成きる案件が中心となっている＜先行事例＞⑥-1 経営全般を取り巻くリスク事象の一つとして「新技術に対応しないこと」をリスクとして洗出し、リスク低減に向けた対応策や後のリスク低減に向けた対応策や後のリスク低減に向けた対応策
や後のリスク低減に向けた対応策や対応後の残存リスクについても議論＜課題事例＞⑥-1 IT 投資に対するリスク評価の一環として、具体的に新技術等を用いないことの機会損失については検証していない⑤ 企業価値の創出に繋がる「IT 投資管理」⑥ 適切に管理された「IT リスク」

118

本文の
対応
4-1

4-3

4-1

4-1
4-1

4-1

4-1
4-1

4-1

4-1

4-1

4-1