トレッドウェイ委員会支援組織委員会

全社的リスクマネジメント

クラウドコンピューティングのための全社的リスクマネジメント

マイク・グローブ

ヴィクトリア・チェン

2021 年７月

本稿に記載している情報は一般的な内容であり、変更される可能性のある情報源に基づいている。特定の状況へ本稿の情報が適用できるかは、専門家との協議を通じて決定すべきである。また、本稿は専門家のサービスに代わるものではなく、組織に影響を与える可能性のある意思決定や活動の根拠として使用すべきものでもない。

著

者

Ｃｒｏｗｅ社シカゴ、コンサルティング部門

Ｃｒｏｗｅ社シカゴ、コンサルティング部門

プリンシパル・パートナー

マネージング・ディレクター

マイク・グローブ

ヴィクトリア・チェン

トレッドウェイ委員会支援組織委員会（ＣＯＳＯ）理事
ポール・Ｊ．ソーベル

ダニエル・Ｃ．マードック

ダグラス・Ｆ．プラット

ジェフリー・Ｃ．トムソン

ジェニファー・バーンズ

パティ・Ｋ．ミラー

ＣＯＳＯ会長国際財務担当経営者協会

米国会計学会

管理会計士協会

米国公認会計士協会

序内部監査人協会

文本プロジェクトは、トレッドウェイ委員会支援組織委員会（ＣＯＳＯ）から委嘱されたものである。ＣＯＳＯは、組織のパフォーマンスや監督を改善するとともに、組織における不正を減らすために立案された内部統制、全社的リスクマネジメントおよび不正抑止に関する包括的なフレームワークとガイダンスの開発を通じて先進的な考え方を提供することに取り組んでいる。ＣＯＳＯは、次の団体の協賛と資金提供によって運営されている民間部門主導の団体である。

米国会計学会（American Accounting Association）

米国公認会計士協会（American Institute of Certified Public Accountants）
国際財務担当経営者協会（Financial Executives International）
管理会計士協会（Institute of Management Accountants）
内部監査人協会（Institute of Internal Auditors）

トレッドウェイ委員会
支援組織委員会

coso.org

全社的リスクマネジメント

クラウドコンピューティング

ブロックチェーンと
のための

内部統制

全社的リスクマネジメント

調査委嘱者

トレッドウェイ委員会支援組織委員会

2021 年７月

一般社団法人日本内部監査協会および公益財団法人日本内部監査研究所は、著作権保有者、トレッドウェイ委員会支援組織委員会（「ＣＯＳＯ」）から、この翻訳物を翻訳することを許可されており、実質的な内容は原文と同じです。
本書の一部またはすべてを、著作権保有者の事前の書面による許可を得ずに、複製、検索システムに蓄積、および伝送することは、
いかなる形式や手段（電子的、機械的、複写、録音、その他の方法）においても禁止されています。

Copyright © 2021, Committee of Sponsoring Organizations of the Treadway Commission (COSO).
1234567890 PIP 198765432
COSO images are from COSO Enterprise Risk Management - Integrating with Strategy and Performance ©2017,
American Institute of Certified Public Accountants on behalf of the Committee of Sponsoring Organizations of the Treadway
Commission (COSO). COSO is a trademark of the Committee of Sponsoring Organizations of the Treadway Commission.
All Rights Reserved. No part of this publication may be reproduced, redistributed, transmitted, or displayed in any form orby any means without written permission. For information regarding licensing and reprint permissions, please contact theAmerican Institute of Certified Public Accountants, which handles licensing and permissions for COSO copyrighted materials.
Direct all inquiries to copyright-permissions@aicpa-cima.com or AICPA, Attn: Manager, Licensing & Rights, 220 Leigh Farm
Road, Durham, NC 27707 USA. Telephone inquiries may be directed to 888-777-7077.
Design and production: Sergio Analco.

coso.orgクラウドコンピューティングのための全社的リスクマネジメント

目次

全社的リスクマネジメント

ページ

はじめに

1

クラウドコンピューティング環境での全社的リスクマネジメント

3

ガバナンスとカルチャー

5

戦略と目標設定9

パフォーマンス13

レビューと修正

21

情報、伝達および報告

23

結論

25

付録Ａ．クラウドコンピューティングへの行程

27

付録Ｂ．役割と責任

30

付録 C．用語集と定義

33

著者について35

ＣＯＳＯについて

36

ＣＲＯＷＥについて

36

coso.orgiii

iv

全社的リスクマネジメント

coso.org

クラウドコンピューティングのための全社的リスクマネジメント

クラウドコンピューティングのための全社的リスクマネジメント

全社的リスクマネジメント

1

はじめに
クラウドコンピューティングが初めて導入されて以来、クラウドは成長し拡大してきた。2020 年の新型コロナウイルス

は、2019 年の市場規模を 2,140 億ドルと評価し、2020 年はクラウドコンピューティングには、いくつかの定義がある

ルに成長すると予測した４。パンデミックとリモートワークの「クラウドコンピューティングは、共用の構成可能なコン

感染症のパンデミックに先立ち、2019 年 4 月にガートナー社
16.5％増の 2,500 億ドル、2021 年には 15.7％増の 2,890 億ド必要性を踏まえ、クラウドコンピューティングの拡大はより

ピューティングリソース（ネットワーク、サーバー、ストレーの 2020 年 11 月、ガートナー社は世界のパブリッククラウド

簡便に、必要に応じて、ネットワーク経由でアクセスするこ

早くなり、多くの組織で導入時期が前倒しされた。１年半後サービスの 2019 年の収益が 2,430 億ドルであったと報告し、2020 年は６％増の 2,580 億ドル、2021 年には 18％増の 3,050

億ドルになると予測した５。これらは、2020 年予測で３％増、１年半後の 2021 年予測で 5.5％増となる。

一部の業種では、クラウドコンピューティングを活用する

ジ、アプリケーション、サービス）の集積に、どこからでも、とを可能とするモデルであり、最小限の利用手続きまたはサービスプロバイダとのやりとりで速やかに割当てられ提供されるものである１。」－米国国立標準技術研究所（ＮＩＳＴ）
・・・

ことが、ある時点では戦略的な優位性であったかもしれない。

「セルフサービスのプロビジョニング及びオンデマンド管理

で柔軟な労働環境の必要性と、そのために組織を支援するＩ

仮想的なリソース共用へのネットワークアクセスを可能にすの活用は、市場で競争するために必要不可欠な要素となって－国際標準化機構（ＩＳＯ）

パンデミックによって浮き彫りになったのは、よりリモートを備える、スケーラブルで伸縮自在な共有できる物理的又はＴインフラの必要性であった。クラウドコンピューティング

るパラダイム２。」

いる。

クラウドコンピューティングは、調達から導入までのスピー

ドが速いことが大きな特徴である。しかし、クラウドベース

へのアクセスを加速することに慣れてしまい、クラウド環境

におけるリスクを軽減するために設計された適切な統制を実施する能力がない組織があるかもしれない。

・・・「インターネットを介してアクセスできる複数のサーバに、定期的に使用するコンピュータのデータを保存する方法３。
」
メリアム・ウェブスター
・・・
最も簡単に言えば、クラウドコンピューティングとは、インターネット上にプールされたリソースを利用するコンピュー

ティングモデルである。基盤となるサーバやプロセスの管理は、他の組織に委託する場合がある。

１ The NIST Definition of Cloud Computing Special Publication 800-145 – September 2011https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-145.pdf（訳注：邦訳は、独立行政法人情報処理推進機構「NIST によるクラウドコンピューティ
ングの定義 米国国立標準技術 研究所による推奨」によるもの。https://www.ipa.go.jp/files/000025366.pdf）
２ ISO/IEC 17788:2014 In formation technology — Cloud computing — Overview and vocabulary – October 2014
https://www.iso.org/obp/ui/#iso:std:iso-iec:17788:ed-1:v1:en（訳注：邦訳は、「日本工業規格 JIS X 9401：2016（ISO/IEC 17788：2014）情報技術－クラウドコンピュー
ティング－概要及び用語」によるもの。https://kikakurui.com/x9/X9401-2016-01.html）
３ Merriam-Webster
４ https://www.gartner.com/en/newsroom/press-releases/2019-04-02-gartner-forecasts-worldwide-public-cloud-revenue-to-g
５ https://www.gartner.com/en/newsroom/press-releases/2020-11-17-gartner-forecasts-worldwide-public-cloud-end-user-spending-to-grow-18-percent-in-2021

coso.org

2

全社的リスクマネジメント

クラウドコンピューティングのための全社的リスクマネジメント

トレッドウェイ委員会支援組織委員会（ＣＯＳＯ）の『内

本稿の目的は、ＣＯＳＯのフレームワークを活用して、ク

部統制の統合的フレームワーク』（2013 年） ⅰ と、
『全社的

ラウドコンピューティングのガバナンスを確立するためのガ（2017 年） は、
クラウドコンピューティングとクラウドセキュ

ングを導入するための行程（付録Ａ．クラウドコンピューティ

リスクマネジメント－戦略およびパフォーマンスとの統合』
ⅱ

リティのガバナンスと統制のための包括的な基盤を提供している。ＣＯＳＯの全社的リスクマネジメント（ＥＲＭ）フレー
ムワークは、組織がガバナンスを確立し、リスクを識別して対応し、パフォーマンスをモニタリングし、コミュニケーションを維持し、組織やその事業目標、または業界やその環境に変化があった場合に調整するための仕組みを提供している。
また、ＣＯＳＯの内部統制フレームワークは、リスクとリスク対応を評価するために、ＣＯＳＯ ＥＲＭフレームワークのパフォーマンスという構成要素で通常使用するツールも提供している。

イドを提供することである。また、クラウドコンピューティ

ングへの行程）も提供し、適切な役割と責任（付録Ｂ．役割と責任）も説明する。本稿は、多くの組織がハイブリッドな
ＩＴ環境（インハウス・オンプレミスのＩＴリソースとクラウドコンピューティングリソースの両方を使用）であることを認識している。本稿では、クラウドコンピューティングの検討事項のみに焦点を当てている。

クラウドコンピューティングの採用と導入においては、組

織はさまざまな成熟段階にある。初期段階にある組織には、
このガイダンスが役に立つ。また、導入が完了した組織は本ガイドを利用して評価し、必要に応じてガバナンスと統制の強化を遡及的に実施できる。クラウドガバナンスを強化する

ことで、組織のリスクを低減し、また、より効率的かつ効果的なクラウドコンピューティングの利用とマルチクラウド環
境でのモニタリングが可能になる。

ⅰ 訳注：邦訳は、八田進二・箱田順哉監訳、日本内部統制研究学会・新ＣＯＳＯ研究会訳『内部統制の統合的フレームワーク』日本公認会計士協会出版局、2013 年。
ⅱ 訳注：邦訳は、一般社団法人日本内部監査協会・八田進二・橋本 尚・堀江正之・神林比洋雄監訳、日本内部統制研究学会ＣＯＳＯ - ＥＲＭ研究会訳『COSO 全社
的リスクマネジメント－戦略およびパフォーマンスとの統合』同文舘出版、2018 年。

coso.orgクラウドコンピューティングのための全社的リスクマネジメント

全社的リスクマネジメント

3

クラウドコンピューティング環境での全社的リスクマネジメント
クラウドコンピューティング環境は、パブリッククラウド、

2004 年版のＣＯＳＯ『全社的リスクマネジメント－フレー

プライベートクラウドまたはハイブリッドクラウドのいずれ

ムワーク篇』ⅲは、戦略の設定や組織のパフォーマンスを推進のサービスプロバイダと多くの業務機能を統合する必要があ2017 年版『ＣＯＳＯ 全社的リスクマネジメント－戦略およびに配置されるかにかかわらず複雑である。さまざまな第三者るため、その管理は同じく複雑である。同様に複雑なのは、組織が使用する総体的なＥＲＭプロセスとフレームワークの中にクラウドガバナンスを統合することである。

する上でリスクを識別して対処することの重要性に着目して、パフォーマンスとの統合』へと改訂された。この改訂により、組織には、クラウドコンピューティング環境のガバナンスと管理に適用する強固なフレームワークが提供された。

図１．『ＣＯＳＯ 全社的リスクマネジメント―戦略およびパフォーマンスとの統合』

ミッション、ビジョン
およびコアバリュー

ガバナンスと
カルチャー

戦略の策定

戦略と
目標設定

事業目標の体系化

実践とパフォーマンス

パフォーマンス

レビューと修正

価値の向上

情報、伝達
および報告

出典：2017 COSO Enterprise Risk Management – Integrating with Strategy and Performance （邦訳は、『COSO 全社的リスクマネジメント－戦略およびパフォーマンス
との統合』）

組織の経営者には、組織に対するリスクを管理する責任がされ、カルチャーに組み込まれるべきである。ＥＲＭの成功と統合されるように、取締役会や主要な利害関係者をＥＲＭ

よびパフォーマンスにまで及ぶ。効果的なクラウドコンピューある。経営者はリスクマネジメントが組織の戦略や事業目標
プログラムに組み込まなければならない。効果的なＥＲＭは
複数の部門や機能が関与するものであり、組織の戦略に統合

は内部統制にとどまらず、ガバナンス、カルチャー、戦略おティングとクラウドＥＲＭは、組織の戦略と目標を支え、カルチャーと調和し、価値を高め、組織内で統合される。

ⅲ 訳注：邦訳は、八田進二監訳、中央青山監査法人訳『全社的リスクマネジメント フレームワーク篇』東洋経済新報社、2006 年。

coso.org

4

全社的リスクマネジメント

クラウドコンピューティングのための全社的リスクマネジメント

ＣＯＳＯの全社的リスクマネジメントのフレームワーク自体は、相互に関連する５つの構成要素に整理された一連の原則である。

パ フォーマンス：戦略と事業目標の達成に影響を及ぼす可能性のあるリスクは、識別し、評価する必要がある。
リスクは、リスク選好に基づいて、その重大度により優先順位づけられる。組織は、リスクへの対応を選択し、 バナンスとカルチャー：ガバナンスは、全社的リス
ガ
クマネジメントの重要性を重視し、それに対する監督責任を確立する組織の気風を醸成する。カルチャーは、事業体の倫理観、望ましい行動およびリスクの理解に関係している。

想定したリスク量のポートフォリオの視点を得る。このプロセスの結果は、主要なリスクのステークホルダーに報告される。

レ ビューと修正：事業体のパフォーマンスをレビューすることにより、組織は、全社的リスクマネジメント戦
 略と目標設定：戦略計画立案プロセスにおいて、全社的リスクマネジメント、戦略および目標設定は、一体となって機能する。リスク選好が設定され、戦略との整合性が図られる。事業目標は、戦略を実践するとともに、リスクの識別、評価および対応の基礎となる。

の構成要素が、長期的かつ大きな変化を踏まえた上で、どの程度有効に機能しているか、そして、どのような修正が必要かを検討できる。

情報、伝達および報告：全社的リスクマネジメントには、必要な情報を入手し、共有する継続的なプロセスが必要である。情報は、内部および外部から入手され、組織内を下から上へ、上から下へ、そして、横断的に流
れる６。

図２．
『ＣＯＳＯ 全社的リスクマネジメント－戦略およびパフォーマンスとの統合』－５つの構成要素と結びついた 20 の原則

ガバナンスとカルチャー
１．取締役会によるリスク監視を行う
２．業務構造を確立する
３．望ましいカルチャーを定義づける
４．コアバリューに対する
コミットメントを表明する
５．有能な人材を惹きつけ、育成し、保持する戦略と目標設定
６．事業環境を分析する
７．リスク選好を定義する
８．代替戦略を評価する
９．事業目標を組み立てる

パフォーマンス

レビューと修正

10．リスクを識別する
11．リスクの重大度を価する
12．リスクの優先順位
けをする
13．リスク対応を実施する
14．ポートフォリオの視点を策定する

15．重大な変化を評価する
16．リスクとパフォーマン
スをレビューする
17．全社的リスクマネジメ
ントの改善を追求する

情報、伝達
および報告
18．情報とテクノロジーを有効活用する19．リスク情報を伝達する
20．リスク、カルチャーおよびパフォーマンスについて報告する

出典：2017 COSO Enterprise Risk Management – Integrating with Strategy and Performance（邦訳は、『COSO 全社的リスクマネジメント－戦略およびパフォーマンス
との統合』）

以下の章では、『ＣＯＳＯ 全社的リスクマネジメント－戦略

ンピューティングのリスクを考える上で、ＣＯＳＯ ＥＲＭフ法として、各構成要素の評価に加えて、20 の原則をクラウド

ウドコンピューティングは、組織が事業戦略を達成し、価値およびパフォーマンスとの統合』のフレームワークの適用方
コンピューティングガバナンスに適用する方法を説明し、その後、原則をクラウドコンピューティングに適用する方法についてのガイダンスを示している。本ガイドは、クラウドコ

レームワークを活用するための仕組みを提供している。クラを創造するためのもう１つのツールであるため、クラウドコ
ンピューティングの戦略、リスクおよびＥＲＭは、組織内のＥＲＭプログラム全体に組み込まれるべきである。

６ 2017 COSO Enterprise Risk Management – Integrating with Strategy and Performance （邦訳は、『COSO 全社的リスクマネジメント－戦略およびパフォーマンスとの統合』）

coso.orgクラウドコンピューティングのための全社的リスクマネジメント

全社的リスクマネジメント

5

ガバナンスとカルチャー
表１. １ 『ＣＯＳＯ 全社的リスクマネジメント－戦略およびパフォーマンスとの統合』－ガバナンスとカルチャーの原則７
原則

説明

１．取 締役会によるリスク監視を行う

取締役会は、戦略を監視し、ガバナンスの責任を果たすことにより、経営者が戦略と事業目標を達成できるよう支援する。

２．業務構造を確立する

組織は、戦略と事業目標を達成するために、業務構造を確立する。

３．望 ましいカルチャーを定義づける

組織は、事業体の望ましいカルチャーを特徴づける望ましい行動を定義づける。

４．コアバリューに対するコミッ
トメントを表明する

組織は、事業体のコアバリューに対するコミットメントを表明する。

５．有 能な人材を惹きつけ、育成し、保持する組織は、戦略と事業目標にふさわしい人的資本の形成にコミットメントする。

１

取締役会によるリスク監視を行う
組織のガバナンスとカルチャーは、取締役会と経営者から

取締役会はその監督の役割を利用して、以下のような質問を組織に投げかけるべきである。

取締役会はその戦略と目標を監督すべきである。組織の事業

・テクノロジーは組織の目標達成にどのように役立つか。
・テクノロジーは（第三者のリスクを含む）組織のリスク

必要な専門知識を提供するためには、業界、組織、テクノロ

・現在および将来のクラウドのトレンドと業界のテクノロ

広い知識を持つ者を集めた多様な取締役会が必要である。

・（オンプレミス・インフラの廃棄を含め）クラウドコン

始まる。経営者が事業目標とカルチャーを定義する一方で、目標を実現するための経営者の活動をモニタリングするのにジー、ガバナンスとコンプライアンスおよび財務に関する幅をどのように増加または減少させるか。
ジーの変化は何か。

ピューティングが組織に与える影響は何か。

・組織の戦略とクラウドサービスプロバイダ（ＣＳＰ）の戦略はどのように整合しているか。

・組織は同業他社やベンチマークと比較してどうか。

７ 2017 COSO Enterprise Risk Management – Integrating with Strategy and Performance （邦訳は、『COSO 全社的リスクマネジメント－戦略およびパフォーマンスとの統合』）

coso.org

全社的リスクマネジメント

6２

クラウドコンピューティングのための全社的リスクマネジメント

業務構造を確立する

３
４

組織はクラウドコンピューティングに移行する前に、フレー

ムワークとガバナンスを定義する必要がある。組織は事業目

望ましいカルチャーを定義づける
コアバリューに対するコミットメントを表明する
組織全体で一貫したガバナンスを実施するためには、組織

標を支えるための組織構造を整備する必要がある。これらの全体でクラウドを意識したカルチャーを作ることが必要であできるかを検討すべきである（すなわち、追加の役割は定義

ライバシー、データセキュリティおよびサイバーセキュリティ

組織構造が、クラウドコンピューティングをどのように支援されるか、追加の報告は行われるか、責任はどこにあるかなど）。
必要なガバナンス構造を構築するために、組織はクラウド

コンピューティング運営委員会の設置を決定し、どのようなプロセス、アプリケーションおよびデータがクラウドコン

ピューティングに移行されるかについて適切な監督が行われるようにすることができる。このクラウドコンピューティン

グ運営委員会は、方針、手続、シャドーＩＴ（ＩＴ部門の承認を受けていないＩＴリソース）を回避するための監督およびクラウドコンピューティングのパフォーマンスをモニタリングするための組織構造など、適切なクラウドガバナンス構造を確保すべきである。クラウドコンピューティング運営委

員会は得られた教訓を再確認して、継続的にリスクカルチャーを強化できる。

クラウドコンピューティングのアクティビティは、組織内の複数の領域に影響を及ぼす。例えば、法務、財務、情報テ
クノロジー、リスク、ベンダー管理、コンプライアンス、内る。経営者は、クラウドのカルチャー、使用方法、データプの方向性を決定する。クラウドコンピューティングは組織内のどの部署でも利用する可能性があるため、全員が自身の役

割とクラウドコンピューティングに関連する全社的なリスクを理解する必要がある。透明性を確保するためには、クラウ

ドコンピューティングを部門横断的な計画プロセスに統合する必要がある。クラウドコンピューティングを総体的な戦略の一部として捉えることは、各部門が業務上のニーズを満たすために独立したソリューションを見つけることとは異なり、優れたクラウドガバナンスモデルに不可欠である。説明責任者を定めることで、組織のコアバリューに対するコミットメ
ントが表明できる。

また、ＣＳＰパートナーのカルチャーや価値観を理解することも重要な要素である。ＣＳＰを活用すると、ＣＳＰは組織の延長線上の存在となる。この関係を理解して適切なパートナーを選択すれば、組織のカルチャーやコアバリューが反映され強化される。

部監査および影響を受けるすべての業務部門は、クラウドコ

５

透明性を保ちながら協力的に取り組むべきである。

管理するために必要な社内リソースを特定すべきである。従ンピューティングの採用とモニタリングのプロセスについて

さらに、組織はＣＳＰと協力して、組織、ＣＳＰおよび該当する場合はＣＳＰにとってのＣＳＰの運用体制と責任を定義する必要がある。例えば、サービスとしてのソフトウェア（ＳａａＳ）のＣＳＰが、サービスとしてのインフラストラクチャ（ＩａａＳ）プロバイダのオペレーティングシステムとデータ
ベースサービスを使用する場合、組織のＣＳＰであるＳａａ
Ｓ企業には、ＩａａＳ企業というＣＳＰも存在することにな
る。ベンダー間の役割分担とパフォーマンス指標を明確にすることが、優れたガバナンスには不可欠である。

ＲＡＣＩ（responsible（実行責任者）－ accountable（説有能な人材を惹きつけ、育成し、保持する

人的資本管理の一環として、組織はクラウドガバナンスを業員がクラウドコンピューティング環境でしっかり業務ができるように、適切な研修を開発して提供すべきである。クラウドコンピューティングのタスクの中には、クラウドコン

ピューティングにおける相違に対していくつかの追加研修や微調整をすることによって、既存の機能に組み込めるものがある。エンドユーザの役割は、クラウドベンダーの管理やユーザの管理の担当者の役割とは異なる。役割にかかわらず、クラウドコンピューティングのガバナンスフレームワークの確立においては、組織のカルチャーと価値観が反映されるべきである。

ＣＳＰを利用する場合、テクノロジーに対する一定の責任

明責任者）－ consulted（相談先）－ informed（報告先））マがＣＳＰの組織に移ることになるが、同様に、人的資本管理

てれば、説明責任とコミュニケーション、そして組織がクラチと、それが組織の能力をどのように補完するかを理解する

トリクスなどの明確な責任分担マトリクスを担当者に割り当
ウドコンピューティングで達成しようとするオープンで前向きな思考と協力的なカルチャーが生み出せる。オープンなコ

ミュニケーション経路と各ＲＡＣＩレベルにおける個人の適切な関与は、リスクの考え方を理解させ、組織のカルチャーに根付かせるのに効果的である。クラウドコンピューティン

グに必要な主な役割は、付録Ｂ．役割と責任を参照されたい。

coso.org

もＣＳＰに移ることになる。ＣＳＰの人的資本管理のアプロー
ことは、クラウドコンピューティングの人的資本管理を総合
的なＥＲＭプロセスの一部として見るための方法である。

クラウドコンピューティングのための全社的リスクマネジメント

全社的リスクマネジメント

7

表１. ２ クラウドコンピューティングのための主要な活動―ガバナンスとカルチャーの原則
原則

説明

クラウドコンピューティングＥＲＭの主要な活動

１．取 締役会によるリスク監視を行う

取締役会は、戦略を監視し、ガバナンスの責任を果たすことにより、経営者が戦略と事業目標を達成できるよう支援する。

取締役会は、クラウドコンピューティング、トレンドおよ２．業務構造を確立する

組織は、戦略と事業目標を達成するために、業務構造を確立する。

組織は、クラウドコンピューティングの移行と導入を監督

び組織や業界への潜在的な影響を理解する。

するために、クラウドコンピューティング運営委員会を設置する。

３．望 ましいカルチャーを定義づける

組織は、事業体の望ましいカルチャーを特徴づける望ましい行動を定義づける。

経営幹部は、クラウド利用カルチャーを定義し、また、組織のミッション、ビジョン、コアバリュー、戦略および事業目標を支えるために、クラウドコンピューティングをどのように活用できるかを定義する。

４．コアバリューに対するコミッ
トメントを表明する

組織は、事業体のコアバリューに対するコミット
メントを表明する。

クラウドコンピューティング運営委員会は、コミュニケー
ションとフォローアップを通じて、クラウドガバナンスの説明責任を向上させる。

５．有 能な人材を惹きつけ、育成し、保持する組織は、戦略と事業目標にふさわしい人的資本の形成にコミットメントする。

組織は必要な人材を定義し、組織全体でクラウドガバナン
ス活動を実施して管理する包括的な環境を構築できる多様な人材を特定し、惹きつけ、育成し、管理し、報酬を与え、保持する。

coso.org

8

全社的リスクマネジメント

coso.org

クラウドコンピューティングのための全社的リスクマネジメント

クラウドコンピューティングのための全社的リスクマネジメント

全社的リスクマネジメント

9

戦略と目標設定
表２. １ 『ＣＯＳＯ 全社的リスクマネジメント―戦略およびパフォーマンスとの統合』―戦略と目標設定の原則８
原則

説明

６．事業環境を分析する

組織は、リスクプロファイルに対する事業環境の潜在的影響を検討する。

７．リスク選好を定義する

組織は、価値の創造、維持、実現の観点からリスク選好を定義する。

８．代替戦略を評価する

組織は、代替戦略とリスクプロファイルに対する潜在的影響を評価する。

９．事業目標を組み立てる

組織は、戦略と結びつき、かつ、戦略を支える事業目標をさまざまな階層において設定する際にリスクを検討する。

６

事業環境を分析する
クラウドコンピューティングは参入が容易で迅速な変化をもたらすが、クラウドに移行する前に、組織はクラウドコン

ピューティング全体の戦略とクラウドに移行する目標を正式に定義すべきである。ＩＴ環境の一部または全部をクラウドに移行する理由は数多くあるが、恩恵と価値を得るためには、
ＩＴ組織は事業部門と協力して目標と戦略を理解し、事業を支えるクラウドコンピューティング戦略の策定を支援しなけ

また、クラウド戦略では、感覚的に操作できるユーザイン

ターフェイスによる使いやすさ、カスタマイズの少なさ、導入スピードの速さ、拡張性の容易さなど、クラウドコンピュー
ティングに関連する機会にも焦点を当てることになる。これ

らはすべて組織が迅速に方向転換し、新たな事業目標を支えることを可能にするイノベーションとデジタルトランス
フォーメーションを実現するものである。

事業目標に大きな変更がない、より確立された組織のクラればならない。このクラウド戦略は、経営者だけでなく取締ウド戦略は、ＩＴ部門にとって保守が容易なことや、ピークを評価すべきである。

ティングだけを使用することによるコスト削減など、効率性役などの他の利害関係者とともに吟味し、他の影響や方向性

2017 年版のＥＲＭフレームワークによると、事業環境には「事業体に影響を及ぼしたり、より明確にしたり、または変更時の容量を維持する代わりに必要なストレージとコンピューが重視できる。

クラウド戦略には、組織とその目標、そして組織の成長ををもたらすかもしれない傾向、事象、関連性およびその他の支えるために必要なものが含まれる。組織の基盤となるミックは、多くの組織の事業環境を変化させた。その結果、多く

ラウド戦略に反映される。クラウド戦略は、インフラやアプ

要素」が含まれる 。新型コロナウイルス感染症のパンデミッ
９の企業は従業員がシステムやデータにリモートでアクセスできるようにするために、クラウドコンピューティング戦略をション、ビジョンおよび価値観、そしてその「理由」は、ク
リケーションの移行や取得のためのガイダンスを提供する。

迅速に変更する必要があった。マイクロソフト社のサティア・
ナデラ最高経営責任者は、2020 年 4 月、
「この２か月で ２年分に匹敵するほどのデジタルトランスフォーメーションが起こった」と述べた 10。

８ 2017 COSO Enterprise Risk Management – Integrating with Strategy and Performance （邦訳は、『COSO 全社的リスクマネジメント－戦略およびパフォーマンスとの
統合』
）
９ 同上。
10 https://www.microsoft.com/en-us/microsoft-365/blog/2020/04/30/2-years-digital-transformation-2-months/

coso.org

10

全社的リスクマネジメント

クラウドコンピューティングのための全社的リスクマネジメント

クラウド戦略には、マルチクラウド戦略、マルチクラウド

以下の図 3 のリングで示されるように、クラウド戦略は組配置モデルおよびマルチクラウドサービスモデル が含まれる

織にリスクをもたらす可能性がある。クラウド戦略が事業戦

戦略は複数年にわたる行程の場合もあるため、当面の戦略やングの利用によって事業戦略の遂行に新たなリスクが生じる

ⅳ

場合がある（付録Ｃ．用語集と定義参照）。さらに、クラウドアプローチと最終結果は異なって見え、その過程でのリスクや使用するベンダーも異なる可能性がある。

クラウド戦略とＣＳＰの利用は組織のリスクプロファイルに影響を与えるため、分析が必要である。ＣＳＰが異なると、
ＣＳＰのＥＲＭガバナンス、ＣＳＰのベンダーのＥＲＭガバ

ナンスおよびＣＳＰの顧客のＥＲＭガバナンスによっては、組織のリスクプロファイルに異なる影響を与える可能性がある。
７

略と整合していない可能性もあるし、クラウドコンピューティ
可能性もある。例えば、クラウド戦略やクラウドアプリケー

ションが、組織の製品やサービスラインの一部しかサポートしていない可能性がある。また、クラウド戦略によって１つのＣＳＰに集中し、潜在的な脆弱性や高いリスクプロファイ
ルをもたらすなどの影響もあり得る。これらを適切に管理して対処した場合、組織のパフォーマンスは向上する。

組織はクラウド戦略に関するリスク選好を定義する必要がある。例えば、従業員個人を特定できる情報（ＰＩＩ）と、他の事業組織を顧客とする場合の顧客データでは、リスク選リスク選好を定義する
一旦クラウド戦略が決定されると、組織はその戦略に対するリスクを評価し、リスク選好に影響があるかを見極めなけ
ればならない。この理解は、ＥＲＭのパフォーマンスという構成要素において、異なるクラウド配置モデル、クラウドサー
ビスモデルまたは特定のＣＳＰに基づいて、固有リスクと残余リスクおよび可能性と影響の評価に対する詳細なクラウド
コンピューティング・シナリオ評価の結果を組織が適切に判断するのに役立つ。例えば、ハイブリッドなＩＴ環境の一部

好が異なると判断できる。同様に、組織はアプリケーション

ごとに異なる可用性要件と復旧時間目標を持つ場合がある。
例えば、発注システムは研修システムよりも要件が厳しい可能性がある。このような知識と理解により、組織は何がクラ

ウドコンピューティング戦略に適しているかが評価でき、そのクラウド戦略は、それらのプロセスに関連するリスク選好に応じて、組織の異なる部分（例えば、事業部門や部署）ごとに異なる場合がある。

には、機密データのデータアナリティクスのためには社内管理のアプリケーションを使用し、企業資源計画（ＥＲＰ）ア

プリケーションはクラウドＳａａＳ上にあり、プライベート

ＰａａＳ（サービスとしてのプラットフォーム）にはデブオ

プス（ＩＴの開発（Development）と運用（Operations）を組み合わせた造語）があるといったことが考えられる。経営者が固有リスクと残余リスクを分析することで、組織に適したＩＴ環境を選択することが可能になる。

図３．ミッション、ビジョンおよびコアバリューの観点からの、また、事業体の全体的な方向性とパフォーマンスの原動力とおよびコアバリュー

選択
され

能性
可
い

戦略、事業目標
および
パフォーマンス

らの示唆
略か
戦
た

ミッション、ビジョン、

戦略と整合しなしての、ＣＯＳＯ全社的リスクマネジメント

パフォーマンス
の向上

戦略
ク
とパ
リス
フォー
る
係
マンスに
y

出典：2017 COSO Enterprise Risk Management – Integrating with Strategy and Performance （邦訳は、『COSO 全社的リスクマネジメント－戦略およびパフォーマンスとの統合』）

ⅳ 訳注：原文では、クラウドのサービスモデルのことを「cloud service delivery model」または「cloud delivery model」と表記しているが、いずれも「クラウドサー
ビスモデル」と訳した。

coso.orgクラウドコンピューティングのための全社的リスクマネジメント

８

全社的リスクマネジメント

11・不適切な技術的ソリューション－ビジネス要件に対処す

代替戦略を評価するるために、より戦略的な長期的選択肢があるにもかかわ当初のクラウド戦略を定義することで、組織は代替案を客らず、短期的またはより慣れ親しんだアプローチを選択

観的にレビューして「価値の創造、維持、実現」という観点すること。

から評価することができるようになる 。さまざまなクラウ
11・時代遅れのテクノロジー－時代遅れのオペレーティング

ド戦略、クラウドサービスモデルおよびクラウド配置モデルを検討する際には、組織のリスクプロファイルと事業目標のシステム、ソフトウェアパッケージおよびインフラ。

達成能力、そしてそれらの目標が最終的にどのように成長、生産性、効率および価値を促進するかを検討すべきである。

組織が代替戦略を考えて評価する際に考慮すべきことは、その戦略がイノベーションの機会にどのような影響を与える
かである。従来のオンプレミス型システムは、テクノロジー

負債と呼ばれるものを蓄積することが知られている。テクノ

ロジー負債は、既存のシステムを維持するためのコストと、最新のシステムを優先させなかったことによる機会費用として要約できる。

テクノロジー負債が多い組織は、通常、リスクが高まり、（負債の維持と解消の両方に）高いコストがかかる。適切な行動を決定するために、組織はテクノロジー負債を増加させる原因となるコスト（図 4 に表示）と、負債を解消するための代替策を比較検討しなければならない。同様に、テクノロジーに効果的な投資をしてこなかった組織は、テクノロジーの導入や関連事項に関する効率性や有効性が失われるため、リスクが高まりコストが増加する可能性がある。

組織はクラウドの代替案を評価してテクノロジー負債を見テクノロジー負債の一般的な原因には、以下のようなもの直す際に、特定のアプリケーションの機能に合わせてプロセ

・過度にカスタマイズされたパッケージソフトウェア－大マルチテナンシーによる追加のサイバーセキュリティリスクがある。

幅にカスタマイズされたＥＲＰシステムを導入すると、ソフトウェアベンダーからの更新を受ける組織の機能をスを変更するコスト、代替ソリューションを導入する時間、のバランスを取るべきである。

阻害するおそれがある。

図４．テクノロジー負債と代替コストの一因となる要素

クラウドソリューション

オンプレミスソリューション

元本

当初の設計を決定するコスト

利息

古いコードや不適切なテクノロジーソリューション
を維持するコスト

運用コスト

モニタリング、
ダウンタ
イム管理、パフォーマン
ス低下のコスト

交換コスト

テクノロジーの交換
コスト

サブスクリプション料金

クラウドプロバイダへの費用

機会費用

新しいテクノロジー
やアイデアが活用できない

イノベーション機会
新しいテクノロジー
やアイデアが活用できない

11 2017 COSO Enterprise Risk Management – Integrating with Strategy and Performance （邦訳は、『COSO 全社的リスクマネジメント－戦略およびパフォーマンスとの統合』）

coso.org

12

全社的リスクマネジメント

９

事業目標を組み立てる

クラウドコンピューティングのための全社的リスクマネジメント

事業戦略や事業目標は、組織が成長するにつれて、あるい一旦クラウド戦略が定まれば、事業目標を支えるためのク

ラウド目標を定めるべきである。クラウド目標には、クラウ

ドガバナンスの一環として、クラウドセキュリティモデルを含めるべきである。

は外部の事象に対応するために更新される。これらの更新は、
ＥＲＭフレームワークの観点からクラウド戦略の継続的な評価を促進する。さらに、リスク選好は時間の経過とともに変化する可能性があるため、同様に定期的に更新すべきである。

表２. ２ クラウドコンピューティングのための主要な活動―戦略と目標設定の原則
原則

説明

クラウドコンピューティングＥＲＭの主要な活動

６．事業環境を分析する

組織は、リスクプロファイルに対する事業環境の潜在的影響を検討する。

組織は、さまざまなクラウド戦略（クラウド配置モデル、
クラウドサービスモデルなど）が、戦略や事業目標の達成に与える影響を評価する。

７．リスク選好を定義する

組織は、価値の創造、維持、実現の観点からリス
ク選好を定義する。

組織は、データプライバシー、アクセス、信頼性、コンプライアンスおよびサイバーセキュリティなどのクラウドリ
スクに対応するための、クラウドガバナンスのリスク選好を定義する。

８．代替戦略を評価する

組織は、代替戦略とリスクプロファイルに対する潜在的影響を評価する。

組織は、代替クラウド戦略と事業目標への影響を検討する。

９．事業目標を組み立てる

組織は、戦略と結びつき、かつ、戦略を支える事
業目標をさまざまな階層において設定する際にリスクを検討する。

組織は、事業目標を支えるために、クラウド目標を定義す

coso.orgる。

クラウドコンピューティングのための全社的リスクマネジメント

全社的リスクマネジメント

13

パフォーマンス
表３. １ 『ＣＯＳＯ 全社的リスクマネジメント―戦略およびパフォーマンスとの統合』―パフォーマンスの原則 12
原則説明

10．リスクを識別する

組織は、戦略および事業目標のパフォーマンスに影響を及ぼすリスクを識別する。

11．リスクの重大度を評価する

組織は、リスクの重大度を評価する。

12．リ スクの優先順位づけをす

組織は、リスク対応選択の基礎として、リスクの優先順位づけを行う。

る
13．リスク対応を実施する

組織は、リスク対応を識別し、選択する。

14．ポ ートフォリオの視点を策組織は、リスクのポートフォリオの視点を策定し、評価する。

定する

10

リスクを識別するクラウドコンピューティングのリスクは内部環境や外部環境から生じ、戦略、財務、業務、コンプライアンスおよび／
または報告の目標に影響を与える可能性がある。クラウドコ

ンピューティング戦略のパフォーマンスと達成に影響を与え、それによって事業目標の達成と価値の創造に影響を与えるリ
スクを識別することは非常に重要である。

組織がクラウドコンピューティングを採用する場合、１つ以上のＩＴの責任を外部に移管することになる。大部分の組織はこれらの責任を自社の中核業務として遂行する戦略的パートナーを見つけることができるため、このアプローチには大きな利点がある。しかし、これらの責任を委ねることはガートナー社は、2025 年までにクラウドのセキュリティ障

害の 99％は顧客の責任になると予測している 13。組織はもはや、クラウドが自らにとって十分に安全かどうかを問うべきではない。より適切な質問は、「組織はクラウドを安全に利用しているか」である。

組織は一部の作業をＣＳＰに移管することはできるが、すべてのリスクを移管することはできない。例えば、ＣＳＰがパッチ適用などの合意した作業を行わず、その脆弱性が組織のデータ漏洩に悪用された場合、組織には直接落ち度がなかったとしても、顧客からの信頼失墜やデータの消失に対処する必要がある。

ＣＳＰを利用する場合、組織のリスクプロファイルは、組責任の所在を移すことではあるが、リスクを取り除くことに織のクラウドベンダーのリスクプロファイルと繋がることにめの責任）は、配置モデルによって異なる。組織が犯し得るクラウドベンダーの利用により、ＥＲＭフレームワークが他はならない。リスク（およびそのようなリスクを軽減するた

最も一般的なリスクは、あるリスクに対する統制をどの組織が所有しているかを誤解することであると言える。統制に責任を持つ組織は、組織に対するリスクの影響度に作用する。

なる。マルチクラウド環境では、図 5 に示すように、複数のの多くのベンダーのものと複雑に絡み合ってしまう。さらに、一部のＣＳＰはサポート用に別のＣＳＰを利用するため、さらに多くのベンダーを巻き込むことになる。多くの組織は、マルチクラウド環境を導入して複数のＣＳＰを利用している。
ある組織で起きたことが、別の組織に影響を与える可能性がある。例えば、ＰａａＳでクラウドが停止すると、その基盤となるインフラにＰａａＳを利用しているＳａａＳのＣＳＰに影響が及ぶ。

12 2017 COSO Enterprise Risk Management – Integrating with Strategy and Performance （邦訳は、『COSO 全社的リスクマネジメント－戦略およびパフォーマンスとの統合』）
13 https://www.gartner.com/smarterwithgartner/is-the-cloud-secure/coso.org

14

全社的リスクマネジメント

クラウドコンピューティングのための全社的リスクマネジメント

図５．戦略およびパフォーマンスと統合したＣＯＳＯ全社的リスクマネジメントのフレームワーク－組織とＣＳＰの表示付き

CSP

CSPの
CSP

顧客

CSPの
CSP

顧客

組織
CSP

顧客

CSP

顧客

責任の所在の誤解

すべてのクラウド環境では、何らかの形で権限委譲が行われることが想定されている。図 6 に示すように、多くのクラウドサービスモデルやクラウド配置モデルでは責任が共有される。しかし、多くの組織は、自らが負う責任やＣＳＰと共有する責任を過小評価している。これは、ＩａａＳやＰａａ

Ｓのモデルを扱う場合に特に重要であるが、ＳａａＳにも当てはまる。組織は責任を移転することはできても、リスクを外部に委託することはできないことを覚えておくことが重要である。ここでは、よくある誤解の領域を浮き彫りにするた
めの質問をいくつか紹介する。

・どの部分がマルチテナント環境なのか。

ある程度は、すべてのクラウド環境で共有が成り立つ。
重要なのは、何が共有され、誰がその境界をコントロー
ルするのかを理解することである。マルチテナンシーに・どのようなアクセス制御を組織が管理するのか。

すべてのクラウド配置モデルでは、利用する組織がある
程度のアクセス制御を管理することが求められる。ファイアウォール、ＶＰＮ（仮想プライベートネットワーク）、
多要素認証などの分野では、（組織とＣＳＰの間で）責任を共有することが多い。これらの機能を提供するＣＳＰ
は、コンフィギュレーションや実行を利用する組織に任せることが多い。

・インフラの冗長性は、どの程度までクラウドプロバイダ
によって管理されるのか。

組織は、クラウドのあらゆる要素が予め冗長化ⅴされていると過度に思い込むべきではない。ＣＳＰは確かに責任の大部分を担っているが、配置モデルによっては、その責任が別の当事者にある場合もある。

は、さまざまな意味がある。

ⅴ 訳注：機器やシステムの構成要素について、同じ機能や役割の要素をあらかじめ複数用意しておき、異状が発生した時に肩代わりできるよう待機させておくこと。

coso.orgクラウドコンピューティングのための全社的リスクマネジメント

全社的リスクマネジメント

15

図６．クラウド配置モデルとクラウドサービスモデルの責任分担
オンプレミス

プライベートクラウド
ＩＡＡＳ

パブリッククラウド
ＩＡＡＳ

パブリッククラウド
ＰＡＡＳ

パブリッククラウド
ＳＡＡＳ

ＩＡＡＳのＣＳＰを基盤にしたパブリッククラウド
ＳＡＡＳ

ＰＡＡＳのＣＳＰを基盤にしたパブリッククラウド
ＳＡＡＳ

データの説明責任クライアントとエンドポイントの保護アカウントとアクセスの管理
ＩＤ管理
アプリケーション・コントロールとコンフィギュレーション
アプリケーション・
ソースコードプラットフォーム・
コントロール－冗長性、ネットワーキング、
スケーリング
オペレーティング
システムとデータベース
仮想化
物理的説明（Legend）

11
12

組織が管理

組織とＣＳＰが共有

リスクの重大度を評価する
リスクの優先順位づけをする

クラウドコンピューティングのリスクは、一旦識別されたら優先順位づけされ重大度が評価されるべきである。評価は定性的にも定量的にも可能であり、リスクの影響度と発生可能性を考慮すべきである。さらに、さまざまな種類のデータについて、複数の時点や組織全体にわたって評価すべきである。例えば、同じユーザアクセスというリスクでも、クラウ

ＣＳＰが管理13

ＣＳＰがＣＳＰのＣＳＰと共有ＣＳＰのＣＳＰが管理

リスク対応を実施する

リスク対応は、残余リスクを評価し、組織がリスク選好とリ

スクキャパシティー内のどこに位置するかを判断するために実施され評価される。図 7 に示すように、ゴールはリスクの許容度の範囲内に収まることである。

図７．ＣＯＳＯ ＥＲＭ－リスクプロファイル

ドアプリケーションの種類や、クラウドの配置モデルやサービスモデルによって、重大度が異なる可能性がある。例えば、
プライベートＩａａＳクラウドで管理するカスタム・アプリ
ケーションの場合と、ＣＳＰによって管理され基盤となるＰ

ａａＳのＣＳＰがそれをサポートするパブリックＳａａＳア
プリケーションの場合の違いである。

特定のＣＳＰ、クラウド配置モデルおよびクラウドサービ

スモデルを評価する場合、組織はアプローチとベンダーを選択する前に、リスクを定義し、リスクを評価し、リスクに優先順位をつける。一旦ＣＳＰが決定されると、ＣＳＰが提示■リスクプロファイル ■リスク選好 ■リスクキャパシティ

出典：2017 COSO Enterprise Risk Management – Integrating with Strategy and
Performance （邦訳は、『COSO 全社的リスクマネジメント－戦略およびパフォーマンスとの統合』）

する特定のリスクとシナリオに対処するために、適切なリスク対応が策定される。リスク対応には、受容、回避、活用、低減および共有などがある。

coso.org

16

全社的リスクマネジメント

クラウドコンピューティングのための全社的リスクマネジメント

主なリスク対応は５つあるが、クラウドコンピューティン

グの場合は低減が中心となる。

・受容－クラウドコンピューティングのリスクを受容する

ことは、他のクラウド利用者のリスクプロファイルを受2013 年版ＣＯＳＯ『内部統制の統合的フレームワーク』の活用は、クラウドコンピューティングのリスク低減対応を構築して展開するための１つのアプローチである。また、図８に示すように、組織の内部統制フレームワークとＣＳＰの内部統制フレームワークの統合を認識することが重要である。

容するなど、組織が制約を感じるような特定のシナリオ（より大きいキューブ内のキューブで表されている）ＣＳＰの値に照らして評価しなければならない。

部統制の一部となる。すべてのクラウドサービスモデルにおでは可能である。組織はこれを自らのリスク許容度の閾・回避－一般に、回避が有効なのは、特定のデータプライ
バシー要件に対応するために国際的なＰａａＳではなく国内のＰａａＳを選択する場合、知的財産など特定の種類のデータをパブリッククラウドに置けないと判断する

場合、完全なプライベートクラウドソリューションを導入する場合など、特定の状況においてのみである。このようなシナリオの場合でも、さらなるリスクが発生する可能性があり、低減と緩和に取り組む必要がある。

・活用－クラウドに移行する場合、組織がイノベーションとデジタルトランスフォーメーションをさらに進め、効率性を高めることが可能になるため、組織の価値を創造、維持および実現する新たな機会が頻繁に生じる。

いて、プロセスと統制の一部がＣＳＰに委託される。組織はそれらの内部統制の実施をＣＳＰに委ねる。組織はＣＳＰの統制の設計がリスクに適切に対処していることを理解してレビューする必要があり、また、統制の効果的な実施をモニタリングする必要がある。

図８．2013 年版ＣＯＳＯ『内部統制の統合的フレームワー
ク』14 －組織とＣＳＰを結びつけた視点

務

業

ングに対する最も一般的なリスク対応である。

情報と伝達

・共有－共有がクラウドコンピューティングに適した対応となるには限界がある。サイバー侵害のように、サイバー保険に加入してリスクを共有することである程度対応で

機能

統制活動

業務単位

ングやＣＳＰへの外部委託によって組織にもたらされる

ンス
ア
イ
ラ
プ
ン
コ

部門

リスク評価

追加リスクを軽減するための、クラウドコンピューティ

報

統制環境

することで、リスクを低減することができる。これは、テクノロジーの固有リスクと、クラウドコンピューティ

告

全社レベル

・低減－クラウドガバナンスとモニタリングの統制を追加

内部統制は、（より大きいキューブで表されている）組織の内モニタリング活
動きるリスクも少しはある。しかし、クラウドコンピュー
ティングの主なリスクは共有することができない。

『ＣＯＳＯ 全社的リスクマネジメント－戦略およびパフォーマンスとの統合』のパフォーマンスの構成要素は、リスク対応に焦点を当てている。以下は、典型的なクラウドコ

ンピューティングのリスクに対して推奨されるいくつかの対応を詳しく説明したものである。

14 2013 COSO Internal Control – Integrated Framework（邦訳は、『内部統制の統合的フレームワーク』）（訳注：原文では「18」となっているが、前の注の番号に続けて「14」とした。以後の番号もこれに合わせた。）

coso.orgクラウドコンピューティングのための全社的リスクマネジメント

全社的リスクマネジメント

17

リスク－信頼性と脆弱性
対応

パフォーマンスのモニタリング、セキュリティのモニタリングおよびインシデント対応

組織はまず、信頼性の高いＣＳＰとの提携を模索すべきである。次に、組織はＣＳ

Ｐのパフォーマンスと稼働時間をモニタリングする必要がある。

大部分のクラウドサービスモデルでは、ＣＳＰがインフラの管理を行い、セキュリ

ティ評価と脆弱性評価を実施するはずである。これらの評価結果やＣＳＰがどのように問題に対応して修復するかは、組織に共有され、組織がモニタリングすべきである。
ＣＳＰは、自社で発生したインシデントを特定するための適切なインシデント対応を整備すべきである。さらに、ＣＳＰは、組織がＣＳＰにインシデントを報告するためのプロセスと、組織がインシデントの進捗を追跡するためのプロセスを整備すべきである。アプリケーションとサービスの管理は連動しているため、インシデント対応も連動すべきである。

リスク－マルチテナンシー、データ漏洩およびデータ盗難
対応

データの分類、データの破棄およびセキュリティ
パブリッククラウドやマルチテナンシーの場合、データの盗難や漏えいのリスクがより高くなる。組織は、クラウド上に置いた場合にどのようなデータが適切に保護されるかを徹底的に評価すべきである。データのリスクを分類して評価するデータ分類の作業を行うことで、（どのようなアプリケーションとともに）どのようなデータをどのような種類のクラウド配置モデルやクラウドサービスモデルに置くべきかというパラメータが定義できる。組織はデータをどの程度管理したいかを評価すべきである。

組織はデータの分類方針だけでなく、データの破棄方針も実施すべきである。こうすることで、組織は過剰なデータや古くなった可能性のあるデータをクラウドに残さなくなる。分析のために個人データをクラウドに保管すると、データが通知要件から外されてしまい、組織が個人デー
タを明示された許可の範囲外で使用できるようになり、プライバシー規則に違反する可能性がある。

データ周りのセキュリティは、セキュアアクセスサービスエッジ（ＳＡＳＥ）ソリューションの導入により得ることができる。ＳＡＳＥには、
セキュアウェブゲートウェイ、ＣＡＳＢ（クラウドアクセスセキュリティ

ブローカー）、高度な脅威防御、ゼロトラストネットワークアクセスなどのネットワークとセキュリティの要素が含まれている。ＳＡＳＥには、

オンプレミスやリモートのユーザとデバイスがクラウドに接続する際に、組織のセキュリティ方針を適用するための、接続性とセキュリティの層を提供するネットワークセキュリティの仕組みが含まれている。

coso.org

全社的リスクマネジメント

18

クラウドコンピューティングのための全社的リスクマネジメント

リスク－単一障害点
対応

冗長性、事業継続計画およびインシデント対応
クラウドコンピューティング環境では、すべてのデータとトランザクションがインターネットを経由する必要があるため、接続に単一障害点が存在することになる。組織は必要に応じてトラフィックを迂回できるように、クラウドコンピュー

ティング環境でどのような冗長性オプションが利用可能かを検討すべきである。

クラウドツールを導入する場合、組織は障害を想定した設計を行うべきである。
さらに、組織は短期的および中期的な回避策を含む事業継続計画を策定すべきである。

一般的なシステム信頼性のリスクと同様に、インシデント対応プロセスはオン

ライン復旧に不可欠である。

リスク－コンプライアンス
対応

内部環境、外部環境およびベンダーのモニタリング
規制は進化し、組織は時とともに変化する。したがって、組織のコンプライア

ンスのニーズも変化する。組織は内部環境をモニタリングし、組織が行った変更とコンプライアンス要件への影響を理解する必要がある。同様に、組織は外部環境をモニタリングし、追加または変化するコンプライアンス要件を評価する必要がある。

さらに、組織はＣＳＰベンダーをモニタリングして、ＣＳＰのコンプライアン

ス能力を評価し、コンプライアンスに対応するために組織が行わなければならな
い追加の手順がある場合には、それを評価する必要がある。

リスク－サイバー攻撃
対応

インシデント管理
クラウドコンピューティングに対するサイバーセキュリティの脅威には、多くの種類がある。最も一般的なものは、マルウェアの侵入、サービス妨害（ＤｏＳ）、ＡＰＩⅵ攻撃および不正アクセスによる乗っ取りなどである。また、オープンソーステクノロジーを使用することで、脆弱性が一般に知られるようになり、サイバー攻撃へのリスクが高まる可能性がある。サイバーセキュリティはオンプレミスとクラウドの両方に存在するリスクであるが、マルチテナンシーによる更なるリスクも存在する。マルチテナントモデルは、組織をより価値の高いターゲットにする可能性がある。

組織はＣＳＰが潜在的な脅威をモニタリングして検知し、どのように対策を講じるかについて、そのプロセスを理解する必要がある。さらに、組織はインシデントをＣＳＰに通知し、ＣＳＰと共にインシデントを管理する仕組みが必要である。

ⅵ 訳注：「Application Programming Interface」の略で、あるソフトウェアが持つ機能を共有するための仕組み。

coso.orgクラウドコンピューティングのための全社的リスクマネジメント

全社的リスクマネジメント

リスク－シャドーＩＴ
対応

方針と手続およびセキュリティ対策ツール
クラウドコンピューティングのサービスやベンダーはどのようなものが許されるのか、誰がサービスを調達できるのか、どのようなデー

タをクラウドに移行できるのかについて、従業員への期待を定める方

針と手続によって、未承認のクラウドアクティビティを減らすためのフレームワークが提供できる。

さらに、ファイアウォール、プロキシサーバおよびウェブフィルタを使用することで、組織内で使用されるシャドーＩＴの量がさらに減らせる。これらの設定は、新しいソフトウェアやウェブサイトがリリースされたときにも有効であるように、常に維持して適用する必要がある。また、組織はデータ損失防止ツールを使用して、データが組織の外に出ないようにモニタリングと制限も行える。

表３. ２は、一般的なクラウドコンピューティングのリスクと、考えられるリスク対応をまとめたものである。この表は一般的なリスクと対応を示しているものの、すべてのクラウドコンピューティングリ
スクを完全に網羅しているわけではない。

表３. ２ 一般的なクラウドコンピューティングのリスクとリスク対応
クラウドコンピューティングのリスク

クラウドコンピューティングのリスク対応

信頼性と脆弱性・ベンダーデューデリジェンスプロセス
・パフォーマンスモニタリングプロセス
・セキュリティモニタリングプロセス
・インシデント対応プロセス

マルチテナンシー、データ漏洩、データ盗難

・データ分類方針・データ破棄方針
・セキュリティプロセス

単一障害点・データの冗長性・事業継続方針・インシデント対応プロセス

コンプライアンス・外部環境モニタリングプロセス
・内部環境モニタリングプロセス
・ベンダーモニタリングプロセス

サイバー攻撃・インシデント管理プロセス

シャドーＩＴ・クラウドコンピューティング方針
・データ損失防止プロセス
・セキュリティモニタリングプロセス

coso.org

19

全社的リスクマネジメント

20

14

クラウドコンピューティングのための全社的リスクマネジメント

ポートフォリオの視点を策定する

クラウドコンピューティングは事業戦略を支える全体的なＩＴ戦略の一部であるため、リスクに対するポートフォリオの視点を策定する必要がある。これには、パブリック、プラ
イベートおよびハイブリッドのクラウドモデルにおけるリス
クと、さまざまなＣＳＰベンダーの利用が、組織を支えるＩ

Ｔ環境全体の一部であるクラウド戦略全体にどのように影響するかを評価することが含まれる。また、ビジネスプロセス

内のクラウドコンピューティングをレビューし、その利用が脅威は、他のＥＲＭリスクと総合的に検討すべきである。例
えば、財務計画・分析部門が使用している予測ツールへのサイバー侵害と、同部門が使用している財務データウェアハウ
スへのサイバー侵害では、サイバーリスクの影響が異なる可能性があることも留意すべき点である。サイバーセキュリティ
リスクに対するポートフォリオの視点を評価する際には、組織のクラウドコンピューティングの利用状況をデータ分類方
針と照らし合わせて検討すべきである。

組織がクラウドコンピューティングのリスクを検討する際事業部門にどのような影響を与えるかを確認することも含まには、さまざまな視点や部門および関連するすべてのクラウ

継続性に関するリスクが財務部門に与える影響（報告や支払なリスクは、戦略、財務、業務、コンプライアンスおよび報れ、これはさまざまな可能性がある。例えば、ＥＲＰの事業いが遅れる可能性）は、製造現場に与える影響（製造が中断する可能性）とは大きく異なる。

ドシステムから総合的に検討すべきである。これらの全体的告の目標の観点から検討すべきであり、ＥＲＭリスクポート
フォリオ全体の中に組み込むべきである。

クラウドコンピューティングのリスクを考える際には、サイバーセキュリティのリスクを考慮すべきである。サイバー表３. ３ クラウドコンピューティングのための主要な活動―パフォーマンスの原則
原則

説明

クラウドコンピューティングＥＲＭの主要な活動

10．リスクを識別する

組織は、戦略および事業目標のパフォーマンスに組織は、クラウドコンピューティングのリスクを識別する

影響を及ぼすリスクを識別する。

ために、内部環境と（業界、ＣＳＰおよびＣＳＰのベンダーを含む）外部環境を評価する。

11．リスクの重大度を評価する

組織は、リスクの重大度を評価する。

組織は、組織全体のクラウドコンピューティングのリスクを評価する際に、リスクの影響度とリスクの発生可能性を考慮する。

12．リスクの優先順位づけをする

13．リスク対応を実施する

組織は、リスク対応選択の基礎として、リスクの組織は、クラウドコンピューティングのリスクに対応する

優先順位づけを行う。

ために、リスクとリスク対応の優先順位づけを行う。

組織は、リスク対応を識別し、選択する。

組織は、リスク対応を実施するためのプロセスと統制を設計する。

14．ポ ートフォリオの視点を策定する

組織は、リスクのポートフォリオの視点を策定し、 組織は、クラウドコンピューティングのリスクを、戦略、評価する。

財務、業務、コンプライアンスおよび報告の目標に対するリスクとして総合的に捉える。

coso.orgクラウドコンピューティングのための全社的リスクマネジメント

全社的リスクマネジメント

21

レビューと修正表４. １ 『ＣＯＳＯ 全社的リスクマネジメント―戦略およびパフォーマンスとの統合』―レビューと修正の原則 15
原則説明

15．重大な変化を評価する

組織は、戦略や事業目標に重大な影響を与え得る変化を認識し、評価する。

16．リ スクとパフォーマンスを

組織は、事業体のパフォーマンスの結果をレビューし、リスクを考慮する。

レビューする17．全 社的リスクマネジメント

組織は、全社的リスクマネジメントの改善を追求する。

の改善を追求する

15

重大な変化を評価する

ＥＲＭは継続的で反復的なプロセスである。ＥＲＭは孤立して実施され棚上げされるものではなく、同様に、毎年取り出して更新し、更新時以外は無視されるものでもない。ＥＲ
Ｍは組織の業務方法に組み込まれるべきものである。

前章で述べたように、規制やコンプライアンス環境における外部の変化もクラウドコンピューティングに影響を与える可能性があり、モニタリングすべきである。例えば、シンガポー
ルでは 2021 年２月から改正個人情報保護法が施行される予定
で、データ侵害の通知に関する要件が盛り込まれている。

クラウドコンピューティングのテクノロジーは絶えず進歩

ＥＲＭは環境、組織またはＣＳＰに重大な変化がある場合している。これらの進歩により、クラウドのセキュリティとビスの導入と統合に関する決定は、重大な変更に該当するか、織の付加価値を生み出す能力にどのような影響を及ぼすか、は常に更新されるべきであり、また、クラウドベースのサー

それを促す可能性がある。経営者は日常的にリスクを評価し、リスクが組織のリスク選好を超える可能性がある状況を特定する責任がある。2020 年は、新型コロナウイルス感染症のパ移行に新たな選択肢が加わり、組織はこれらが事業目標や組日常的に評価する必要がある。

その他にも、合併、買収および事業売却など、社内の大き

ンデミックによる変化もこれに含まれていた。多くの組織が、な変化があり得る。組織は売却の際に移行サービス契約を結

員がテクノロジーに接して事務所以外の場所で効率的に業務に、また別の複雑さが加わる可能性がある。

リモートワークの推進を急いだ。多くの場合、これには従業を遂行できるようにするための、クラウドコンピューティン
グアプリケーションの拡張が含まれていた。また、組織が事

ぶことがよくあるが、クラウドの契約やアクセスなどの管理

経営者は自社のカルチャーについても評価して判断すべき業を展開する地理的な場所の追加も、実質的な変化として考である。新型コロナウイルス感染症のパンデミックで見られ旧に適切な対応をするために変更が必要になるかもしれない

た。

えられる。組織が提携するＣＳＰは、遅延への対応や災害復し、取り組みを支援するＣＳＰを追加する必要があるかもし

たように、リモートワークは多くの組織のカルチャーを変えれない。

15 2017 COSO Enterprise Risk Management – Integrating with Strategy and Performance （邦訳は、『COSO 全社的リスクマネジメント－戦略およびパフォーマンスとの統合』）

coso.org

全社的リスクマネジメント

22

16

クラウドコンピューティングのための全社的リスクマネジメント

リスクとパフォーマンスをレビューする

クラウドコンピューティングのガバナンスプロセスは、改善点を特定するためにレビューしなければならない。クラウドコンピューティングのガバナンスプロセス強化には、バラ

ンススコアカードの利用が考えられる。クラウドベンダーは、
通常、可用性を含むサービスレベル合意書に照らして評価しなければならない。クラウド契約は継続や自動更新の前に常にレビューすべきである。ベンダーは監査すべきであり、そうでなければＳＯＣ（システムおよび組織統制）報告書を取得してレビューすべきである。組織はＣＳＰに変化があるかも評価すべきである。侵害などの重大な項目は、たとえそれクラウドコンピューティングとクラウドガバナンスのプロ

セスは、組織の全階層に組み込まれ、明確な役割分担のもとで運用されるべきである。クラウドコンピューティングガバ
ナンスは組織の一部だけで行うべきではなく、組織全体が一体となって取り組むべきである。リスクは、統制実施後の実際の残余リスクがリスク許容度内にあることを確認するためにレビューされるべきである。その結果はＥＲＭプロセス全
体に組み込むべきである。
17

全社的リスクマネジメントの改善を追求する

クラウドガバナンスとサプライヤー管理の一環としてクラが組織に影響を及ぼさなかったとしても、当面の事業目標をウドベンダーのパフォーマンスをレビューするだけでなく、を評価した結果、組織のリスク選好よりも高いリスクが生じ

マンスをレビューしなければならない。組織はリスクとパ達成する組織の能力に影響を及ぼす可能性がある。ベンダーる状況が発生することがある。そのような場合、組織はリス

クをレビューし、リスクに対処するために適切な措置を講じる必要がある。さらに、組織が維持し実施する統制についても、その遵守状況をレビューすべきである。統制のパフォーマン
スのレビューは、経営者、コンプライアンスまたは内部監査が行う場合がある。

クラウドコンピューティングのプロセスについてもパフォー
フォーマンスのレビューを利用して、クラウドガバナンスのプログラム、プロセスおよび統制を更新すべきである。さらに、組織はクラウドガバナンスとクラウドプロセスが、組織のＥ

ＲＭプロセス全体にどのように反映されているかを確認すべきである。組織はクラウドガバナンスプログラムにおける部門間の協力のレベルを評価し、更新を伴うＥＲＭプロセスの改善を図るべきである。また、組織はＥＲＭプロセスのアウ

トプットを活用し、更新とアウトプットをクラウドガバナン
スプログラムに適用すべきである。

表４. ２ クラウドコンピューティングのための主要な活動―レビューと修正の原則
原則

説明

クラウドコンピューティングＥＲＭの主要な活動

15．重大な変化を評価する

組織は、戦略や事業目標に重大な影響を与え得る

組織は、内部および外部の変化と事業戦略や事業目標への変化を認識し、評価する。

影響、それらがクラウドコンピューティング戦略に与える
影響、あるいは、クラウドコンピューティングがその変化を実現するための効果的なインフラをどのように提供できるかを評価する。

16．リ スクとパフォーマンスをレビューする組 織 は、 事 業 体 の パ フ ォ ー マ ン ス の 結 果 を レ

組織は、クラウドガバナンスプログラムをレビューする。

ビューし、リスクを考慮する。

また、ＣＳＰやクラウドリスクをレビューするために、クラウドガバナンス活動を行う。

17．全 社的リスクマネジメントの改善を追求する

coso.org

組織は、全社的リスクマネジメントの改善を追求

クラウドプログラムを評価し、組織のＥＲＭプログラム全する。

体に適用すべき改善点を追求する。

クラウドコンピューティングのための全社的リスクマネジメント

全社的リスクマネジメント

23

情報、伝達および報告表５. １ 『ＣＯＳＯ 全社的リスクマネジメント―戦略およびパフォーマンスとの統合』―情報、伝達および報告の原則 16
原則説明

18．情 報とテクノロジーを有効活用する

組織は、全社的リスクマネジメントをサポートするために、事業体の情報とテクノロジーシステムを有効活用

19．リスク情報を伝達する組織は、全社的リスクマネジメントをサポートするために、コミュニケーション経路を利用する。

20．リ スク、カルチャーおよび組織は、リスク、カルチャーおよびパフォーマンスを複数の階層に、また、全社にわたって報告する。

する。

パフォーマンスについて報告する

18

情報とテクノロジーを有効活用する

組織はクラウドコンピューティングのリスクを識別し、伝19

リスク情報を伝達する

優れたガバナンスの重要な要素は、明確な伝達と報告であ達し、対応し、管理するＥＲＭ機能を支援するために、テクる。適切な者に最新の情報が提供されなければ、適切な意思リングするための情報は、モニタリングアプリケーション、

ナンスプログラムのすべての関連する役割間で報告され、透ノロジーを活用すべきである。クラウドガバナンスをモニタ
内部監査のテストと評価、ベンダー管理システムおよびガバ
ナンスとコンプライアンスのツールなど、さまざまなソース
から得ることができる。

組織の財務的健全性を評価する金融格付け機関に加え、データを収集し、ウェブサイト、ベンダーまたはＣＳＰのセキュ

リティー・スコアを提供するＩＴセキュリティ組織も複数存決定は行えない。情報はクラウドコンピューティングのガバ
明であるべきである。オープンなコミュニケーションとデー
タの共有により、全関係者がリスクへの最新の影響とリスクへの対応を認識できる。また、全部門が参加して説明責任を果たすことで、組織内で共有された総体的なリスクマネジメ
ントのカルチャーが促進される。

クラウドコンピューティングが組織内で採用されるにつれ在する。これらのセキュリティ格付けは、ＣＳＰのセキュリて、個人の役割と責任は変化する。アプリケーションやプロの評価に含まれる評判リスクを評価する組織もある。これらは複数のコミュニケーション経路を通じて、リスクを認識す

ティに対する姿勢に関する洞察を提供する。また、ベンダーのツールは、クラウドインフラとサービスの状態（パフォー

マンスや可用性など）を評価する他のクラウドモニタリング
ツールとともに、クラウドコンピューティングの管理に利用できる。これらの外部ツールは、クラウドコンピューティン

グのガバナンスプログラムに影響を与え得る新たな情報を取得するために使用すべきである。

一部のテクノロジーは、組織が利用するためにＣＳＰから

セスによる責任の変更は、従業員に伝達すべきである。組織るカルチャーを継続的に強化すべきである。組織はクラウド

ガバナンスプログラムがＥＲＭプログラム全体の一部であることを伝え、各従業員の役割を確実に理解させるべきである。
クラウドコンピューティング運営委員会は、クラウドへの移行や継続的なクラウドコンピューティングのパフォーマンスについて最新情報を入手すべきである。

提供される場合がある。また、ＣＳＰは組織に対する責任の遂行に関する情報を収集し共有するために、テクノロジーツー
ルを活用する場合もある。

16 2017 COSO Enterprise Risk Management – Integrating with Strategy and Performance （邦訳は、『COSO 全社的リスクマネジメント－戦略およびパフォーマンスとの統合』）

coso.org

全社的リスクマネジメント

24

クラウドコンピューティングのための全社的リスクマネジメント

組織とＣＳＰの間には、明確なコミュニケーション経路が存在すべきである。これらは、問題の上申や、定期的な情報更新およびベンダーとその関係管理に必要である。
20

 スク、カルチャーおよびパフォーマンスについてリ報告する

取締役会は、クラウド戦略とそれが事業目標に与える影響について、最新情報を入手すべきである。また、組織はクラウドコンピューティングのパフォーマンスについて報告するとともに、カルチャーの変革管理とリスクカルチャーに関す
る進捗を組織全体に伝えるべきである。組織内のカルチャーを変えるには時間がかかる。オープンで透明性の高いコミュ

ニケーションは、組織に必要な協力的なカルチャーを生み出
すのに役立つ。一貫したメッセージが提供され、進捗と変化

が組織全体で理解されるためには、組織の全階層で報告が入手できるようにすべきである。

各部門の異なる階層は、異なる最新情報を取締役会に伝達する必要がある。例えば、第１ラインである経営者は、クラウド戦略や事業目標の変更を伝えるべきである。第２ラインの一部であるコンプライアンスは、ＣＳＰのモニタリングとリスクを報告すべきである。内部監査は第３ラインとして、
第 1 ラインと第 2 ラインで対応されなかったリスクに関する問題の伝達を含め、組織のクラウドコンピューティングと活動について、独立的かつ客観的に報告すべきである。

表５. ２ クラウドコンピューティングのための主要な活動―情報、伝達および報告の原則
原則

説明

クラウドコンピューティングＥＲＭの主要な活動

18．情 報とテクノロジーを有効活用する

組織は、全社的リスクマネジメントをサポートす組織は、全社的リスクマネジメントをサポートするために、るために、事業体の情報とテクノロジーシステム

クラウドコンピューティングの情報とテクノロジーデータを有効活用する。

を活用し、統合するための利用可能なプラットフォームを追加し、適宜導入する。

19．リスク情報を伝達する組織は、全社的リスクマネジメントをサポートす組織は、全社的リスクマネジメントをサポートするためるために、コミュニケーション経路を利用する。

に、クラウドコンピューティングに関わるあらゆる人とのコミュニケーション経路を利用する。

20．リ スク、カルチャーおよび組織は、リスク、カルチャーおよびパフォーマン

組織は、クラウドコンピューティングのリスクとパフォー

パフォーマンスについて報スを複数の階層に、また、全社にわたって報告す

マンスを、複数の階層と組織全体にわたって報告する。

告する

る。

coso.orgクラウドコンピューティングのための全社的リスクマネジメント

全社的リスクマネジメント

25

結論
クラウドコンピューティングは、組織が利用できる多くのＥＲＭフレームワークを導入せずにクラウドコンピューテクノロジーの選択肢の 1 つである。関連するリスクに対処

ティングへの道を既に歩んでいる組織でも、クラウドガバナ

ンピューティングガバナンスプログラムを含むクラウドコン

べきである。クラウドガバナンスのプロセスは、事業戦略、し、ＥＲＭプログラムに組み込まれた、総体的なクラウドコ

ピューティングを体系的に導入すると、組織は最も価値を引き出し、その戦略目標の達成を可能にする。

組織が競争力を維持するためには、ＩＴ戦略を駆使して事業を強化する必要がある。クラウドコンピューティングをＩ

Ｔ戦略に統合し、ＩＴ組織を戦略的パートナーにすることで、組織の成功に必要な多くのツールやフレームワークが提供できる。

クラウドコンピューティングのリスクは、組織の広範なＥ

ンスをプロセスに追加することは可能であり、また、そうす

ＩＴ戦略およびクラウドコンピューティングに関連する継続的な活動に組み込まれるべきであるため、クラウドガバナン

スは継続的に更新して新たな情報に基づいて改訂すべきである。組織がクラウドガバナンスプログラムを作成していない
場合は、いつでも作成することができ、変更が生じた場合は継続的に更新できる。組織のクラウドコンピューティングプ
ロセスにクラウドガバナンスを組み込むことで、組織は組織の戦略と目標を脅かすリスクを管理しやすくなる。

『ＣＯＳＯ 全社的リスクマネジメント－戦略およびパ

ＲＭプログラムとの関連で識別して管理しなければならない。

フォーマンスとの統合』のフレームワークを使用することで、対する説明責任は委託できない。リスクの所有権は組織にとる。クラウドコンピューティングのガバナンスアプローチでタスク、プロセスおよび保守は外部委託できるが、リスクにどまるので、組織は組織内とＣＳＰの内部統制をモニタリン
グする必要がある。

クラウドを安全に利用するために、組織はさまざまなセキュ

リティツールに投資して導入すべきである。組織は利用可能
なテクノロジーを活用して、クラウドコンピューティングのテクノロジー、ベンダーおよびＥＲＭプログラムをモニタリ

ングし、報告し、評価の更新を継続的に行う必要がある。また、クラウドコンピューティングを組織のＥＲＭ機能に統合できは、組織全体を通したクラウドコンピューティングの全体像が把握できる。ガバナンスと伝達および報告は、クラウド戦略、
パフォーマンスおよびモニタリングと修正に密接に結びついている。これは、クラウドコンピューティングの導入により、
ＣＳＰのクラウドコンピューティングガバナンスプロセスと組織のガバナンスプロセスを融合させることを目的として実施される。

上級経営者と統治機関は内部監査部門が独立したアシュアラ
ンスと助言を提供するために、リスクベースの計画プロセスにクラウドベースのサービスを組み込んでいることも確認すべきである。

coso.org

26

全社的リスクマネジメント

coso.org

クラウドコンピューティングのための全社的リスクマネジメント

クラウドコンピューティングのための全社的リスクマネジメント

全社的リスクマネジメント

27

付録Ａ．

クラウドコンピューティングへの行程
クラウドの導入戦略を計画することは、方法論的なプロセ

アプリケーションの合理化プロセスでは、アプリケーショ

スである。この付録Ａでは、従来のオンプレミスのワークロー

ンは、アプリケーションの複雑性、（将来のビジネストレンドを説明する。主にＩａａＳとＰａａＳに焦点を当てる。

化される。各アプリケーションには、移行段階で従うべき移ドをクラウドコンピューティングに移行するための検討事項

この行程は、組織がクラウドの旅を始めるにあたって、ガバナンスと戦略が十分に考慮されている理想的な状態を表している。しかし、状況や組織の焦点は変化するため、クラウド戦略も同様に変化させる必要があり得る。クラウドコン
ピューティングガバナンスは、必要に応じて再評価し、取り組みを方向転換するためのチェックポイントとして、プロセ
スのさまざまな段階で遡及的に追加することができる。

段階的アプローチ

クラウド移行を成功させるための４つの基本的な段階を以下に示す。段階的なクラウド移行アプローチには、ＣＯＳＯ

ＥＲＭフレームワークの構成要素をいつ組み込むかが織り込まれている。

クラウド移行を開始する際は、ＩＴ環境の詳細な評価に先を含む）重要性および依存関係などの要因によってグループ
行経路が割り当てられる。総所有コスト（ＴＣＯ）分析が行

われ、「現状」のコストとクラウドで「実現すべき」コストが比較される。通常、この段階では、組織はクラウドへの行程を成功させるためのチームを特定して移行計画を作成する。
一般に、クラウドは使用量に応じたストレージとコンピュー
ティングパワーのみを支払い、コストを（資産化された費用

ではなく）業務費用に振り向けることでコスト削減を実現する。

移行経路が確定した時点は、ＥＲＭフレームワークのパフォーマンスの構成要素を使用して、クラウドのパフォーマ
ンスをレビューする良い機会である。クラウドに対するリスクを識別して軽減策を講じるべきである。

構築

この段階では、組織はスケール、セキュリティ、ガバナン

立ち、組織はクラウドのガバナンスとカルチャーを定義すべ

ス、ネットワーキングおよびアイデンティティを考慮したクを行い、責任マトリクスを構築することができる。一旦監督

ディングゾーンと呼ばれている。基盤の計画が不十分であるきである。クラウドコンピューティング運営委員会は、監督体制が確立されると、組織はＥＲＭの戦略と目標設定の際に、組織全体のミッションと戦略目標に関連したクラウド戦略が定義できる。

評価

この段階では、組織はＩＴポートフォリオを評価し、インフラの発見とアプリケーションの合理化を行う。インフラの発見を評価する間、「現状の」インフラ状況を分析し、サーバ構成、使用率パラメータ、ネットワークセグメンテーション、
ストレージ割り当ておよび依存関係などの詳細を収集する。

ラウド環境を整備するための基盤が構築できる。これはランと、組織は遅延、混乱およびダウンタイムに直面し、クラウド移行の成功が危ぶまれる。クラウドランディングゾーンを設定する目的は、開発、テスト、配置、モニタリングおよび保守のための基盤を構築することである。ランディングゾー
ンを定義する際には、ガバナンス、管理およびサブスクリプ

ションが確立される。ネットワーク、計算、ストレージ、データベース、管理、モニタリング、セキュリティ、継続的統合と継続的開発（ＣＩＣＤ）、アプリケーション移行およびアナリティクス機能が確立される。変革の推進、ガバナンスの確立、
クラウドの中核的研究拠点の設立、あらゆるレベルのセキュ

リティの定義、コンプライアンスの履行、方針の設計、アー

キテクチャの定義および変革のための詳細計画（人、プロセス、
テクノロジー）のためのリソースにアクティビティが割り当てられる。

coso.org

28

全社的リスクマネジメント

クラウドコンピューティングのための全社的リスクマネジメント

移行

最適化

階で定義された移行経路に従って、クラウドのランディング

めのランディングゾーンの設定は、小規模から始めて拡張す

オの規模にもよるが、クラウドへの移行はワークロードを移する。最適化の段階では、クラウド環境をより効率的にする

この段階では、アプリケーションとワークロードは評価段

ゾーンに移行される。組織のアプリケーションポートフォリ
行するための反復プロセスである。これらの反復は基本的に、評価段階で移行計画に定義された依存関係マトリクスとビジネスの優先順位に基づいて、異なる波や移動グループとなる。
クラウドの設定と拡張に伴い、環境や組織の変化を評価するために、クラウドガバナンスの継続的なレビューと修正をすべきである。

組織の成熟度に応じて、クラウド環境の基盤を確立するたることができる。成熟した組織は通常、全社的な規模で開始ための改良が行われる。これは環境の進化に伴う継続的かつ連続的なプロセスである。

クラウドの業務が開始されたら、組織はクラウドをＥＲＭの情報、伝達および報告に活用すべきである。これにより、組織はクラウドとＣＳＰについて報告できるようになる。

図９ⅶ．クラウドへの行程にはＣＯＳＯ ＥＲＭフレームワークを含めるべきである
ガバナンスとカルチャー
戦略と目標設定評価

パフォーマンス

構築

移行

レビューと修正

最適化

情報、伝達および報告

戦術的な移行戦略

リホスト（Rehost）

る移行経路があり、それぞれにリスクが伴う。これは６Ｒ手

アプローチでは、組織の現在のサーバとワークロードを、ソ

評価段階で決められる。クラウド移行は、主に後述する「Ｒ」

目的のクラウド環境に移行することができる。多くの移行でワークロードをクラウドに移行するためには、６つの異な法とも呼ばれている。これらの移行経路は、クラウド移行ののいずれかのアプローチを採用して行われる。

保持（Retain）

このアプローチは、組織がワークロード全体をクラウドに

これは、クラウドへの移行で最も簡単な方法である。このフトウェアやプラットフォームに一切変更を加えることなく、は、ワークロードを単純にリホストできるものもあれば、より複雑なアプローチを必要とするものもある。これは、リフ
ト＆シフトと呼ばれることがよくある。

移行する準備ができていないハイブリッドのＩＴ環境に適用

リプラットフォーム（Replatform）

備が整うまで、オンプレミスのワークロードの一部を「保持」

ムの変更が必要になる場合がある。これには、ソフトウェア

わたるプロジェクトになる可能性があり、オンプレミスのサー

タベースエンジンへのデータ転送が必要になる場合がある。

される傾向がある。これは通常、組織が完全な移行に臨む準する一時的なアプローチである。クラウドへの移行は長期にビスを一時的に（または永久に）保持することが含まれる場合がある。

ワークロードによっては、それが動作するプラットフォーが動作するオペレーティングシステムの変更や、新しいデー
ワークロードによっては、クラウドプラットフォームに直接移行できるものもあるが、リプラットフォームが必要なものもある。

ⅶ 訳注：原文では「Diagram 10」となっているが、原文には「Diagram ９」に相当する図がないため、この図を「図９」とした。

coso.orgクラウドコンピューティングのための全社的リスクマネジメント

全社的リスクマネジメント

29

再購入（Repurchase）

アソリューションは、クラウドにうまく対応できない可能性

通常はＳａａＳアプリケーションに切り替える。このアプロー

アのリファクタリングには、最終的なソリューションのリプ

このアプローチは、製品を完全に切り替える選択肢であり、チは通常、オンプレミスで稼働しているサードパーティ製品
で、同じ製品のクラウド版にライセンスを移植できないもの（例えば、商用オフザシェルフ（ＣＯＴＳ）ⅷアプリケーショ
ンなど）に適用される。

リファクタリング（Refactor）

クラウドネイティブ のサービスを十分に活用するために
ⅸ

は、ワークロードのアーキテクチャを変更する必要がある場合が多い。リファクタリングには、組織がクラウドのリソー

スを最大限に活用できるように、コンテナ化するためにソフトウェアを再構築して、組織のソリューションを変更することが含まれる場合がある。古いモノリシック ⅹなソフトウェがあり、リファクタリングが有効な場合がある。ソフトウェ
ラットフォームもある程度必要な場合がある。

廃止（Retire）

このアプローチは、クラウド移行の評価段階において移行計画の中で廃止することが確認された資産やアプリケーションに対して行われる。これには既にクラウドへの移行が完了したワークロードや、クラウド環境では不要となったソリュー
ションが含まれる場合がある。

以下の表で、主な移行アプローチのリスクと利点を紹介する。

表６. １ 戦術的なクラウド移行アプローチのリスクと利点
アプローチ

利点

リスク

リホスト

・移行速度の向上

・ＰａａＳサービスを使用しない可能性

・移行に伴うリスクの低減

・同じ性能特性を受け継ぐ可能性

・この移行アプローチをネイティブにサポートするツール

・テクノロジー負債の解消は限定的のＣＳＰとパートナーのエコシステム
・自動化やツールによる支援も可能
リプラットフォーム

・コード変更なしでクラウドサービスを利用

・移行に時間とコストがかかる可能性

・物理的なハードウェアプラットフォームへの依存がない

・追加の計画や調整が必要

・新しいプラットフォームへの移行
・テクノロジースタックⅺを最新化する機会
・場合によっては自動化ツールの利用が可能
再購入

・カスタム・ハードウェアや独自のテクノロジー・プラッ
トフォームへの依存を排除
・ＳａａＳソリューションの直接導入により、アプリケー

・パートナーやベンダーの慎重な評価が必要
・一部のユースケースは時間と労力が増大する可能性
・データの移行が必要

ションやインフラの維持にかかる間接費の削減が可能
リファクタリング・クラウドネイティブの機能を活用
・効率性と迅速性を向上させ、コストを改善
・最新の顧客ニーズへ対応
・顧 客のハードウェアや独自のテクノロジー・プラット
フォームへの依存を排除
・ユーザエクスペリエンスの向上

・複雑でコストがかかり、移行スケジュールにも影響する可能性・アプリケーションのあらゆる側面、コンプライアンス、
規制要件、セキュリティ、コード、デザインなどを十分に理解する必要性
・一部のユースケースは時間と労力が増大する可能性

ⅷ 訳注：「Commercial Off-The Shelf（COTS）」とは、既製品で販売やリースが可能となっているソフトウェア製品やハードウェア製品、または一般向けにライセンス提供されるもの。
ⅸ 訳注：最初からクラウド上で動くことを前提にクラウドならではの特性を活かせるよう設計されたシステムやサービス。
ⅹ 訳注：組織や機器、システムなどの構造について、要素に分割されておらず全体が一体になっている様子。
ⅺ 訳注：１つのアプリケーションを構築および実行するのに使用される一連のテクノロジーサービス。

coso.org

30

全社的リスクマネジメント

クラウドコンピューティングのための全社的リスクマネジメント

付録Ｂ．
役割と責任
クラウドのアクティビティを管理するための強力なＥＲＭプログラムでは、経営者がさらなる責任を負うことが必要である。

以下では、クラウドの主要な責任の割り当てを説明する。

組織の規模や複雑性によっては、これらの役職が直接一致しない場合があるため、これらをガイドとして組織内の適切な人と調整や統合をしていただきたい。また、可能な限り、組織はクラウドガバナンスの責任を既存のＥＲＭの責任と一致させるべきである。

表７. １ クラウドにおける役割と責任
職位

職位の責任

取締役会

・クラウドコンピューティングの動向を把握し、クラウドが業界やビジネスモデルに与える影響について経営者の視点を理解する・クラウドサービスなどの変革的なＩＴプロジェクトを認識して監督する
・経営者が事業戦略やテクノロジー戦略の一環として、クラウドの利点とリスクのバランスをどのようにとっているかを理解する
・内部監査のリソースを活用し、クラウド構想が組織のリスク選好や統制の考え方と整合しているかについてアシュアランス
を得る
・ＥＲＭプロセスに参加する

最高経営責任者

・組織の事業戦略と、クラウドコンピューティングによるその実現方法を定める
・外部委託に関する組織の見解と方針を定める
・クラウドコンピューティングが組織の属する業界に与える影響を理解する・組織がクラウドコンピューティングをどこで、どのように使用しているかを認識する
・ＥＲＭプロセスに参加する

最高財務責任者

・財務報告においてクラウド利用に関する新たな開示を行う
・クラウドコンピューティングと社内ＩＴサービスの総所有コストと投資対効果の評価とモニタリングを行う
・クラウドコンピューティングの税務・会計上の利点と代替案を評価する
・クラウドサービスの調達に関する方針と統制を導入する
・各ＣＳＰの財務の健全性をモニタリングする・クラウドのガバナンスプロセスに参加する・ＥＲＭプロセスに参加する

最高法務責任者

・組織のクラウドアクティビティが法令を遵守していることを確認する
・コンプライアンスの必要性が増すような組織内の変化をモニタリングする・組織のクラウドソリューションやＣＳＰに影響を及ぼす可能性のある新しい法律や規制をモニタリングする・クラウドサービス調達方針をレビューして承認する
・データ分類方針とプロセスに関する情報を提供する
・ＣＳＰとの契約をレビューして組織の利益と権利の保護を確実にする
・さまざまな国で運営されているクラウドサービスを使用することに関連する、組織の業務に関する法的側面を理解する・クラウドのガバナンスプロセスに参加する・ＥＲＭプロセスに参加する

coso.orgクラウドコンピューティングのための全社的リスクマネジメント

全社的リスクマネジメント

31

表７. １ クラウドにおける役割と責任
職位

職位の責任

最高リスク管理責任者

・クラウドコンピューティングの導入を含む、組織全体のＥＲＭの取り組みを管理する・組織と環境全般の変化をモニタリングする・ＣＳＰのコンプライアンスに関して最高コンプライアンス責任者と連携する・カルチャーの変化をモニタリングして評価する

最高コンプライ・コンプライアンスの必要性が増すような組織内の変化をモニタリングする

アンス責任者・クラウドアクティビティに影響を与える新たな規制に対するコンプライアンス計画を策定する
・コンプライアンス要件に照らした組織のクラウドアクティビティをモニタリングする・ＳＯＣ２、ＰＣＩ－ＤＳＳまたは規制コンプライアンスなどの外部レビューに参加する・適用されるコンプライアンスについてＣＳＰをモニタリングする・クラウドのガバナンスプロセスに参加する・ＥＲＭプロセスに参加する

最高情報責任者

・現在の事業戦略や新規事業の機会を支援するためのクラウドコンピューティングの可能性を理解してモニタリングする

または・新製品や新サービスのためのクラウドソリューションの活用と連携について、全般的な戦略を確立する

最高テクノロジー・クラウドソリューションの業務、組織および現行のＩＴインフラへの統合を促進する

責任者

・クラウドにおける組織の変化と成功を可能にする・組織のＥＲＭプログラムへのクラウドガバナンスの組み込みを支援する
・データ所有者と連携して、データ分類スキームを導入する・リソースプロビジョニングⅻ、ユーザアクセス管理および変更管理のためのクラウドプロセスを確立する
・組織内のクラウドインシデント管理プログラムを確立する
・インシデント管理のためのＣＳＰとのプロセスとプロトコルを確立する
・ＥＲＭプロセスに参加する

最高情報セキュ・クラウド上の情報とテクノロジー資産を保護するための戦略と監督を確立する

リティ責任者・クラウドにおける組織の変化と成功を可能にする・侵入評価などのサイバーセキュリティ評価を実施する、またはクラウドベンダーからの結果をレビューする・クラウドベースのサービスに対して適切なセキュリティ管理が確立されていることを確認する
・クラウドベースのサービスに対してサイバー攻撃やリソースの内部不正使用の指標となるものをモニタリングする・クラウドのガバナンスプロセスに参加する・ＥＲＭプロセスに参加する

内部監査部門長・リスクベースの監査を実施して統制とプロセスがＣＳＰと共有される混合型統制環境の設計と有効性を評価する
・ＣＳＰを監査する、あるいは、ＳＯＣ、ＰＣＩ－ＤＳＳまたはその他の規制コンプライアンスレポートをレビューして、組織が依拠するＣＳＰの統制手段の有効性を検証する
・外部のクラウド上に存在するデータについて定期的なコンプライアンス監査を実施してデータ分類方針の遵守状況を検証する
・ＣＳＰに対する支出と契約の遵守状況を監査する・クラウドガバナンスを評価する
・クラウドのガバナンスプロセスに参加する・ＥＲＭプロセスに参加する

プライバシー

・組織のプライバシー保護プログラムを維持する

責任者

・データ分類方針とクラウドに移行する可能性のあるデータをレビューする・ＣＳＰが組織のプライバシー要件をどのように遵守しているかをモニタリングする・ＥＲＭプロセスに参加する

クラウドコンピュー・クラウド移行プロセスに対して監督を行う

ティング運営委員会

・クラウドガバナンス全体がプロセスに組み込まれるように組織をモニタリングする・ＥＲＭプロセスに参加する

ⅻ 訳注：必要に応じてネットワークやコンピュータの設備などのリソースを提供できるよう予測して準備しておくこと。

coso.org

32

全社的リスクマネジメント

クラウドコンピューティングのための全社的リスクマネジメント

表７. １ クラウドにおける役割と責任
職位

職位の責任

戦略的ソーシング・ビジネスプロセスオーナーと連携してクラウドベンダーの要件を定義する

または調達・承認されたクラウドベンダーのリストを維持する
・ＣＳＰ候補の適性を評価する
・ＥＲＭプロセスに参加する

ベンダーリスク・ＣＳＰ用のベンダー管理方針を定める

マネジメント・ＣＳＰのサービスレベル合意書をモニタリングする・ＣＳＰとクラウドテナント顧客のアクティビティをモニタリングする・ＥＲＭプロセスに参加する

テクノロジー・クラウド戦略およびシステムやソフトウェアなどの環境を含む、組織全体のテクノロジー戦略を設計する

設計者

・ＩＴ環境全般を実装して維持する

ネットワーク・クラウド内外のシステムとアプリケーションの可用性を実現するためのネットワークアーキテクチャを設計して実装する

エンジニア

・クラウドインフラストラクチャ（ＩａａＳとＰａａＳ）を維持する
・ネットワークソフトウェアを最適化する・クラウド内外の通信とハードウェア接続を実装して維持する

セキュリティ

・クラウド環境のセキュリティ、機密性、完全性およびプライバシーを保護するための戦略を策定してツールを実装する

エンジニア

・潜在的な脅威に対してクラウド環境をモニタリングする・組織のためのインシデント対応を管理する
・インシデント対応のためにＣＳＰと連携する

デブオプス

・クラウドの開発と運用のためのプロセスを維持する

エンジニア

・機能性、拡張性、耐障害性に優れたクラウド向けアプリケーションを作成する

品質評価

・クラウドに対応したシステムとアプリケーションの変更点をテストする

エンジニア

・クラウドの事業継続計画のためのデータを準備する

システム・アプリ

・クラウドシステムとアプリケーションに対してアプリケーションユーザ管理とセキュリティを維持する

ケーション管理者

・システム構成を管理する
・クラウドプロセスのマネージドサービスⅹⅲをモニタリングする
・必要に応じて、クラウドシステムの保守を管理する

ＣＳＰリレーション

・部署によって複数存在することに注意する

シップマネージャー

・ＣＳＰとの関係や連絡を維持する
・必要に応じてＣＳＰとの間でインシデントを上申する・ＣＳＰとのサービスレベル合意書をモニタリングして執行する

エンドユーザ・クラウドアプリケーションとツールを安全かつ適切に使用する・データのプライバシーとセキュリティの実務を理解する

ⅹⅲ 訳注：通信サービスやＩＴサービスなどのうち、サービスの利用に必要な機器やソフトウェアの導入や管理、運用などの業務も一体的に請け負うサービス。

coso.orgクラウドコンピューティングのための全社的リスクマネジメント

全社的リスクマネジメント

33

付録Ｃ．

用語集と定義「はじめに」では、クラウドコンピューティングの３つの定

在し、組織のセキュリティ方針をクラウドリソースに適用

ウドコンピューティングとは、インターネット上にプールさデータの保護とセキュリティ方針の適用に使用される。

義を説明した。繰り返しになるが、最も簡単に言えば、クラれたリソースを利用するコンピューティングモデルである。
基盤となるサーバやプロセスの管理は、他の組織に委託する場合がある。以下では，本稿で使用する主なクラウド用語の概要を説明する。

クラウドコンピューティングの用語

一般的なクラウドコンピューティングの用語を以下に説明する。

・クラウドサービスプロバイダ（ＣＳＰ）－クラウドコン

するセキュリティアプリケーションである。ＣＡＳＢは、・セキュアアクセスサービスエッジ（ＳＡＳＥ）－クラウ

ドベースの方針を適用し、安全なクラウドアクセスを提供する。ＳＡＳＥは、ネットワーキングとセキュリティに重点を置いている。

・コンテナ化－ワークロードやサービスを管理するための手法で、自動化を容易にする。

ピューティングサービスを提供するベンダーで、インフクラウド配置モデル

む場合がある。

は、次のようなものがある。

ラ、ネットワークまたはビジネスアプリケーションを含・マネージドシステムプロバイダ（ＭＳＰ）－組織のＩＴ

ニーズを管理するベンダー。ＣＳＰはＭＳＰであるが、ＭＳＰはＣＳＰである必要はなく、ＭＳＰはクラウド以
外のプロセスも管理する場合がある。

・マネージドクラウドサービス－組織のＣＳＰが提供するマネージドサービス。これらはサービス提供方法と契約によって異なる。

・マルチクラウド－複数の配置モデル、サービスモデルおよび／または異なるプラットフォームを異なるパブリッ

クＣＳＰと利用している組織は、マルチクラウド環境にある。マルチクラウドは、戦略的な決定の場合もあれば、異なる部門の協調的でない取り組みから発生する場合もある。

・マ ル チ テ ナ ン ト － ほ と ん ど の Ｃ Ｓ Ｐ テ ク ノ ロ ジ ー ソ
リューションでは、顧客は共通のリソースとテクノロジーを共有する多数のテナントの中の 1 つのテナントになる。
マルチテナントのコンセプトは、ＣＳＰが顧客に提供するリソースの構成や提供方法に影響する。例えば、あるクラウド利用者のデータは、同じクラウドソリューショ
ンの複数のテナントのデータと共有される単一の大規模

データストレージ・プラットフォームに格納される場合がある。

・クラウドアクセス・セキュリティブローカー（ＣＡＳＢ）

最も一般的なクラウドコンピューティングの配置モデルに・プ ライベートクラウド－プライベートクラウドは、1 つの組織のためだけに構築され、その組織またはＣＳＰによって管理される。

・コミュニティクラウド／パートナークラウド－コミュニ

ティクラウドやパートナークラウドは、共通の関心事（例

えば、ミッションや業界協業など）を持つ組織によって共有される。コミュニティ組織またはＣＳＰによって管理される場合がある。

・パブリッククラウド－パブリッククラウドは、ＣＳＰによって管理され、サービスを利用または購入したい人々や組織が利用できるようにする。

・ハイブリッドクラウド－ハイブリッドクラウドは、プライベートクラウドを含む２つ以上のクラウド（プライベー

ト、コミュニティまたはパブリック）環境で構成されており、各クラウドエンティティ間の通信を伴う固有のエンティティを維持しなければならない。ハイブリッドク
ラウドは、ワークロードに柔軟性を持たせるために使用される。

・ガバメントクラウド－ガバメントクラウドは、政府のセキュリティ要件を満たすために、政府組織や政府機関向けに設計されたものである。これらは政府またはＣＳＰ
によって管理される場合がある。

－クラウドユーザとクラウドアプリケーションの間に存

coso.org

34

全社的リスクマネジメント

クラウドコンピューティングのための全社的リスクマネジメント

クラウドサービスモデル

クラウド料金モデル

ルには、次のようなものがある。

は、次のようなものがある。

最も一般的なクラウドコンピューティングのサービスモデ

・サービスとしてのインフラ（ＩａａＳ）－ＣＳＰは、リソース（例えば、コンピューティングリソースやストレー
ジリソース）の仮想データセンター全体を提供する。

・サービスとしてのプラットフォーム（ＰａａＳ）－ＣＳ

Ｐは、ＣＳＰが提供するホストインフラ上で動作するア
プリケーションシステムやプログラムの作成を容易にする独自のツールを提供する。

・サービスとしてのソフトウェア（ＳａａＳ）－ＣＳＰは、組織が特定の機能やプロセスを実行するために使用できるビジネスアプリケーションを提供する（例えば、電子メール、顧客管理システム、エンタープライズリソース
プランニングシステム）。

最も一般的なクラウドコンピューティングの料金モデルに・サブスクリプション－通常、ライセンスまたはシートに基づいて料金を支払う。これはＳａａＳでよく使われ、通常、月単位で設定される。

・使 用量－使用量に基づくもので、使用するストレージ、計算能力、時間、帯域幅、バックアップおよび／またはサポートが含まれる場合がある。

・階層－使用量や機能に応じた料金体系。サブスクリプショ
ンや使用量のモデルに連動することもある。

・複合－使用量、階層および／またはサブスクリプションの側面を併せ持つ料金モデル。

・ダイナミック－需要と供給に基づいて調整される料金モ

デル。ユーザは現在の需要料金を支払うか、予約料金を支払って設定された時間にリソースを取得することができる。

・マーケット－料金は、組織がオンデマンド時間を使用する場合と、制限料金を設定する場合とで異なることがある。料金設定はサービス提供時の需要と供給に基づいて変化する。組織がリバースオークションのように制限料金を設定し、組織の設定した料金まで下がれば組織のワー
クロードが実行される。

・広告－料金は通常、低料金か無料であるが、システムを利用するために広告を表示することが条件となる。

coso.orgクラウドコンピューティングのための全社的リスクマネジメント

全社的リスクマネジメント

35

著者についてＣｒｏｗｅ社プリンシパル・パートナー

マイク・グローブ

マイク・グローブは、Ｃｒｏｗｅ社のコンサルティング部門のプリンシパルである。クラウドトランスフォーメーションサービスを主導しており、顧客のＩＴサービスの近代化を支援する役割を担っている。ＡｚｕｒｅとＤｙｎａｍｉｃｓのマイクロソフト認定プロフェッショナルである。
ミシガン州立大学でメディアコミュニケーション戦略の理学士号を取得している。

Ｃｒｏｗｅ社マネージング・ディレクター

ヴィクトリア・チェン

ヴィッキーは、Ｃｒｏｗｅ社のコンサルティング部門のマネージング・ディレクターである。ＩＴリスクマネジメントとクラウドガバナンスを専門としている。
イリノイ大学を卒業。イリノイ州公認会計士であり公認情報システム監査人でもある。米国公認会計士協会、イリノイ州公認会計士協会、内部監査人協会およびＩＳＡＣＡの会員である。

coso.org

全社的リスクマネジメント

36

クラウドコンピューティングのための全社的リスクマネジメント

ＣＯＳＯについて1985 年に設立されたＣＯＳＯは、5 つの民間団体の共同イニシアチブであり、全社的リスクマネジメント（ＥＲＭ）、内部統

制および不正抑止に関するフレームワークとガイダンスの開発を通じて、先進的な考え方を提供することに取り組んでいる。ＣＯＳＯの支援団体は、内部監査人協会（ＩＩＡ）、米国会計学会（ＡＡＡ）、米国公認会計士協会（ＡＩＣＰＡ）、国際財務担当
経営者協会（ＦＥＩ）、管理会計士協会（ＩＭＡ）である。

本稿には一般的な情報のみが含まれており、ＣＯＳＯ、その構成団体または本稿の執筆者のいずれも、本稿によって、会計、ビジネス、金融、投資、法律、税務またはその他の専門的なアドバイスやサービスを提供するものではない。本稿に掲載されている情報は、このような専門的なアドバイスやサービスの代わりになるもの
ではなく、ビジネスに影響を与える可能性のある意思決定や行動の根拠となるものではない。本稿で述べている見解、意見または解釈は、関連する規制当局、自主規制機関またはその他の当局の見解とは異なる場合があり、また、時間の経過とともに変化する法律、規制または慣行を反映している場合がある。本稿に掲載されている情報の評価は、利用者自身の責任で行っていただきたい。本稿に記載されている事項に関して、利用者のビジネスに影響を与える可能性のある意思決定や行動を行う前に、関連する有資格の専門アドバイザーに相談していただきたい。ＣＯＳＯ、その構成団体および執筆者は、本稿に記載されている誤り、脱落、不正確さ、あるいは本出版物に依拠した者が被った損失について、いかなる責任も負わないものとする。

ＣＲＯＷＥについてＣｒｏｗｅ社は世界各地に拠点を持つ、会計、コンサルティングおよびテクノロジーの事務所である。同社の熱心な専門家は、業界や専門分野の深い知識と革新的なテクノロジーを融合させ、誠実さと客観性をもって顧客のために価値を創造している。また、顧客の声に耳を傾けることで、顧客のビジネスと顧客が直面する独特な課題について学んでいる。さらに、コアバリューと専門職基準を守りながら、卓越した顧客サービスを提供することを意図してそれぞれの関係を構築している。同社が将来に投資するのは、賢明な決断が顧客、人々および専門職のために永続的な価値を築くことを知っているからである。

一般社団法人日本内部監査協会
内部監査および関連する諸分野についての理論および実務の研究、ならびに内部監査の品質および内部監査人の専門的能力の向上を推進するとともに、内部監査に関する知識を広く一般に普及することにより、わが国の産業、経済の健全な発展に資することを目的に活動。
また、国際的な内部監査の専門団体である内部監査人協会（The Institute of Internal Auditors：ＩＩＡ）の日本代表機関として世界的な交流活動を行うとともに、内部監査人の国際資格である “ 公認内部監査人（Certified Internal Auditor：ＣＩＡ）” 等の認定試験を実施している。
1957（昭和 32）年創立。
公益財団法人日本内部監査研究所
内部監査に関する研究調査を推進するとともに、わが国の内部監査の普及発展に貢献することにより、わが国経済、社会の健全な発展に資することを目的として、2020 年７月に設立。2021 年６月に公益財団法人としての認定を受け「公益財団法人日本内部監査研究所」となった。
監訳者
八田

進二

橋本

尚

訳

（大原大学院大学

会計研究科（青山学院大学大学院教授／

青山学院大学

会計プロフェッション研究科

名誉教授）

教授）

者
堺

咲子	
（内部監査人協会（ＩＩＡ）国際本部
プレミアアンチエイジング株式会社

coso.org

北米外地域筆頭理事
社外取締役

／

／

インフィニティコンサルティング

ＣＩＡ，ＣＲＭＡ , ＣＣＳＡ，ＣＦＳＡ）

代表／

全社的リスクマネジメント

トレッドウェイ委員会
支援組織委員会

coso.org

全社的リスクマネジメント

クラウドコンピューティングのための全社的リスクマネジメント

トレッドウェイ委員会支援組織委員会
coso.org