第5回 COBIT 5 講習会

COBIT 5 Implementation
使ってみようCOBIT 5
June 4, 2014
ISACA 東京支部 基準委員会 神橋基博

今回の目標COBIT 5を使ってみよう

2

内容
1. COBIT 5の概要

2. COBIT 5 Implementationの概要

3. 使ってみようCOBIT 5〜COBIT 5 Implementationの活用

3

1. COBIT 5の概要

COBIT 5とは
 事業体の情報と技術のガバナンスおよびマネジメントに関する、完全かつ国際的に承認されたフレームワーク
 IT ガバナンスとマネジメントの優れた実践手法の開発、導入、継続的改善、モニタリングについて事業体をサポートする
COBIT 5 Framework p102 付録H 用語解説
5

COBIT 5におけるガバナンス
事業体IT ガバナンス（GEIT：Governance of Enterprise IT)
ITガバナンス
CIOの視点
IT部門中心GEIT
ITが経営の中心

CEOの視点
ビジネスガバナンス

6COBIT 5におけるガバナンス
COBIT 5におけるガバナンスの定義
ステークホルダーのニーズや、条件、選択肢を評価し、優先順位の設定と意思決定によって方向性を定め、合意した方向性と目標に沿ってパフォーマンスや準拠性をモニターすることで、事業体の目標がバランスを取って、合意の上で決定され、達成されることを保証するものである。
COBIT 5 Framework p103 付録H 用語解説
7

GEITの目標と効果

8

COBIT 5 のフレームワーク
COBIT 5におけるフレームワークの定義
 複雑な課題を解決したり対策を講じたりするために使われる基本的な概念構造
 アプローチや理解の方法、関連するエンティ
ティ間の関係とそれらの役割、境界を定義する上での一連のコンセプト、仮説、実践手法
COBIT 5 Framework p103 付録H 用語解説
9

COBIT 5 の構成要素とプロダクトファミリー

フレームワークの構成要素

 ５つの原則
 ７つのイネーブラー
 プロセス参照モデル
 導入ガイダンス
 評価ガイド
10

COBIT 5の5つの原則

11COBIT 5の７つのイネーブラー
イネーブラー
効果的なガバナンスの実
現を支援するもの

12

COBIT 5 資料の入手方法
ISACA国際本部のWebサイトからダウンロード可能（一部無償）http://www.isaca.org/COBIT/Pages/COBIT-5-japanese.aspx
日本語訳は以下の３冊（2014年6月時点）
COBIT 5 Framework
COBIT 5 Enabling Processes
COBIT 5 Implementation

追加資料
COBIT 5の紹介
COBIT 5 エグゼクティブサマリー

2. COBIT 5 Implementationの概要

COBIT 5 Implementationの目的
イネーブラー導入を支援するフレームワーク
 GEIT導入における落とし穴を避ける
 最新の優れた実践手法を活用する 時間が経過してもガバナンスやマネジメントが成功し続けるような成果を得る

COBIT 5 Implementation pXXX

15

適切な環境の整備指針となる原則、決定権限、説明責任のフレー
ムワークを特定・設計する
RACIチャート：関係者の役割を明確化
RAC
I：Responsible：Accountable：Consulted：Informed

実行責任
説明責任
協議先
報告を受ける16

GEIT改善の取組み
継続的な改善ライフサイクルアプローチ
取り組みが一回限りのアクティビティでない事実を強調するために継続したライフサイクルとして描かれている
COBIT 5 Implementation p26

17

GEIT導入ライフサイクルのコンポーネント
３つのコンポーネント
 プログラム管理 変革の実現
 継続的な改善ライフサイクル

７フェーズ

出典：COBIT® 5 Implementation 日本語版, 図表5，6. 2012© ISACA® All rights reserved.

18

GEIT導入ライフサイクルの7フェーズ
フェーズ1

ドライバーは何か？

現在の変革ドライバーを識別し、経営幹部レベルにおいて、そのときのビジネスケースの概要の中で表現される変革要求を作り出す

フェーズ2どの位置にいるのか？

IT 達成目標を事業体の戦略とリスクに整合させ、最も重要な事業体の達成目標、IT 達成目標、プロセスを優先付ける

フェーズ3

どの位置を目指すか？

潜在的な解決策を特定するためにギャップ分析に従った改善目標を設定する

何をする必要があるか？

正当なビジネスケースによってサポートされるプロジェクトを定義し、導入の変革計画を開発することにより、実現可能で有用な解決策を計画する

どのように達成するか？

日々の実践に向けた解決策導入の提案と、ビジネスとの整合が達成され、成果が測定できることを確実にする測定指標とモニタリングシステムの確立を提供する

フェーズ6

そこに到達したか？

改善されたガバナンスおよびマネジメントが持続可能なように通常の事業運営に移行されること、および、成果測定指標と期待する効果を使った改善の達成度モニタリングに注目する

フェーズ7

どのように推進力を維持できるか？

取り組み全体としての成功を振り返り、さらなるガバナンスやマネジメントの要件を識別し、継続的な改善の必要性を補強する

フェーズ4
フェーズ5

19

フェーズ1: ドライバーは何か？
目標• フェーズの目標プログラムの背景と目的、および最新のガバナンスアプローチについての理解の取得• 最初のプログラムの概念としてのビジネスケースの定義• すべての主要なステークホルダーの関与と約束の取り付け

インプット• 事業体の方針、戦略、ｶﾞﾊﾞﾅﾝｽ計画と事業計
画、監査報告書• 事業体の取り組み• IT 関連の現状の問題点を示すｲﾝﾌﾟｯﾄ• 有益で適切な業界情報、ｹｰｽｽﾀﾃﾞｨ
等

CICE

PM

行動の必要性を認識する

変革要求を確立するプログラムを開始する

アウトプット• ﾋﾞｼﾞﾈｽｹｰｽの概要• ﾊｲﾚﾍﾞﾙの役割と責任• ｽﾃｰｸﾎﾙﾀﾞｰの情報• ﾌﾟﾛｸﾞﾗﾑのｳｪｲｸｱｯﾌﾟ
ｺｰﾙやｷｯｸｵﾌ連絡等

CI:継続的改善、CE:変革実現、PM:プログラム管理 20

フェーズ2: どの位置にいるのか？
目標• プログラムチームの事業体の達成目標およびITを使った価値提供方法の理解• 必要なプロセスあるいは改善計画の実施に必要なその他のイネーブラーの特定• 事業リスクや事業体の現在と将来のリスク嗜好状況がプログラムに与える影響の判断• 選択したプロセスの現在の能力を判定と、事業体の変革に対する許容度と対応能力の理解

インプット

CI

アウトプット

現状を評価する• ﾌｪｰｽﾞ1のｱｳﾄﾌﾟｯﾄ• 事業とIT の計画と戦略• ITﾌﾟﾛｾｽの説明、方針、基準、手続き、技術的仕様• 監査報告書、ﾘｽｸ管理
方針、IT 成果報告書、ﾀﾞｯｼｭﾎﾞｰﾄﾞ、ｽｺｱｰｶｰﾄﾞ

CE

強力な導入チームを組成する• 合意されている事業体のIT 関連達成目標とIT 部門への影響• ﾘｽｸと影響度についての共通理解• 達成目標や現在の能力評価結果

等

PM

問題と機会を定義する

等

CI:継続的改善、CE:変革実現、PM:プログラム管理 21

フェーズ3: どの位置を目指すか？
目標• 選定されたプロセスのそれぞれに対して目標設定された能力の決定• 選定されたプロセスにおける現状とあるべき姿の位置付けの間のギャップの特定、および、ギャップの改善機会の変換• 詳細なビジネスケースやハイレベルのプログラム計画の作成

インプット• ﾌｪｰｽﾞ2のｱｳﾄﾌﾟｯﾄ• 内外の能力ﾍﾞﾝﾁﾏｰｸ結果• COBIT 5 やその他の参照先からの優れた実践事例• ｽﾃｰｸﾎﾙﾀﾞｰ分析結果
等

CI

達成目標の状態を定義し、ギャップを分析する

アウトプットCE

求められる成果を明確にし、コミュニケーションを図る• 目標となる能力の評
価結果• 改善機会に関する詳細記述• 変革実現計画• 詳細なﾋﾞｼﾞﾈｽｹｰｽ• ﾊｲﾚﾍﾞﾙなﾌﾟﾛｸﾞﾗﾑ計画とその評価指標

PM

ロードマップを定義する

等

CI:継続的改善、CE:変革実現、PM:プログラム管理 22

フェーズ4: 何をする必要があるか？
目標• 改善機会から正当に貢献するプロジェクトへの変換• 影響が大きいプロジェクトへの優先と注力• 改善プロジェクトを全体のプログラム計画への統合• 短期的成功の実現

インプット• ﾌｪｰｽﾞ3のｱｳﾄﾌﾟｯﾄ• 機会ﾜｰｸｼｰﾄ、優れた実践手法と基準、外部評価、技術評価• 機会ｸﾞﾘｯﾄﾞ、ﾌﾟﾛｼﾞｪｸﾄ定義、ﾌﾟﾛｼﾞｪｸﾄ・ﾎﾟｰﾄﾌｫﾘ
ｵ管理計画、ﾘｿｰｽ計画、
IT予算• 初期段階で識別された
強みCI

アウトプット
改善を設計、構築する

CE

各種役割の担当者に権限を付与し、短期的成功を識別する• 改善ﾌﾟﾛｼﾞｪｸﾄの定義• 定義された変革対応
計画• 識別された短期的成
功体験• 配置されたﾘｿｰｽとﾌﾟﾛｸﾞﾗﾑ計画• 成功評価基準

PMプログラム計画を策定する

等

等
CI:継続的改善、CE:変革実現、PM:プログラム管理 23

フェーズ5： どのように達成するか？
目標• 事業体のプログラム/ プロジェクト管理の能力、基準および実践手法を活用し、詳細な善プロジェクトを導入する。
• プロジェクトの進捗に関し、モニタリングし、測定し、報告する。

インプット• ﾌｪｰｽﾞ4のｱｳﾄﾌﾟｯﾄ• ﾌﾟﾛｼﾞｪｸﾄ定義、プロジェ
クトｶﾞﾝﾄﾁｬｰﾄ、変革対応計画、変革戦略• 統合されたﾌﾟﾛｸﾞﾗﾑ/ ﾌﾟﾛｼﾞｪｸﾄ計画
等

CI

改

アウトプット

改善を導入する

CE運用と利用を実現する• 改善の導入• 変革対応計画の導入• 短期的成功の実現と成功した変革の可視化の実現• うまくいっているｺﾐｭﾆ
ｹｰｼｮﾝの状況

PM

計画を実行する等
CI:継続的改善、CE:変革実現、PM:プログラム管理 24

フェーズ6： そこに到達したか？
目標
目標• プロジェクト成果と全体的なガバナンス改善プログラムによる効果の実現についての測定指標の、定期的、定常的に実行されるモニタリングの成果測定システムへの統合

インプット• ﾌｪｰｽﾞ5のｱｳﾄﾌﾟｯﾄ• 既存の測定指標とｽｺｱｶｰﾄﾞ• ﾋﾞｼﾞﾈｽｹｰｽの効果• 変革対応計画とｺﾐｭﾆ
ｹｰｼｮﾝ戦略等

CI

アウトプット
運用し測定する

CE
CE

新しいアプローチを組み込む

PM効果を実現する• 更新されたﾌﾟﾛｼﾞｪｸﾄとﾌﾟﾛｸﾞﾗﾑのｽｺｱｶｰﾄﾞ• 変革の有効性の測定
結果（ 事業上と認識上の両方）• ｽｺｱｶｰﾄﾞの結果を説明する報告• 業務運営に定着した
改善等

CI:継続的改善、CE:変革実現、PM:プログラム管理 25

フェーズ7： どのように推進力を維持できるか？
目標• プログラムから得た結果と経験の評価、並びに、学んだ教訓の共有• 変革のための組織構造、プロセス、役割と責任体制の改善と、継続的最適化• 更なる改善に向けた更なるインテレーションの促進• 継続的な成果のモニタリングと、定期的な報告による、説明責任と実行責任の遂行

インプット• ﾌｪｰｽﾞ6のｱｳﾄﾌﾟｯﾄ• 導入後ﾚﾋﾞｭｰの報告• 成果報告• 事業戦略とIT 戦略• 新しい規制の要求事項のような新たなﾄﾘｶﾞｰ
等

CI

モニタリングおよび評価を実施する

CE

持続させる

PM

プログラムの有効性をレビューする

アウトプット• 更なるGEIT ｱｸﾃｨﾋﾞﾃｨに向けた推奨事項• ｽﾃｰｸﾎﾙﾀﾞｰの満足度
調査• 文書化された成功事例と得られた教訓• 進行中のｺﾐｭﾆｹｰｼｮﾝ計画• 成果の報酬制度

CI:継続的改善、CE:変革実現、PM:プログラム管理 26

3.使ってみようCOBIT 5〜COBIT 5 Implementationの活用

COBIT 5を使ってみよう！ とはいうもののどこから手をつけたらいいのか28

COBIT 5 Implementationの活用
COBIT 5 Implementationを「逆引き」して必要な情報を見つけましょう。
COBIT 5Implementation

現状の問題点を解決したい

付録A 図表45(p.78)

COBIT 5
Enabling Processes

リスクに備えて現状を評価したい

付録C 図表47(p.83〜87)

COBIT 5 PAM(Process Assessment Model)

GEIT導入がうまく進まない

第4章図表9〜13(p.37〜43)

COBIT 5Implementation
29現状の問題点を解決したい
サービスレベルを達成できない
COBIT 5 Implementation 付録A 図表45①類似の問題点を探す②該当するプロセスを参照する（次ページへ続く）

30

現状の問題点を解決したい
COBIT 5 Implementation 付録A 図表45

図表45 − 問題点のCOBIT 5プロセスへのマッピング
COBIT 5プロセス
問題点合意したサービスレベル達成に連 EDM04, APO09, APO10
続して失敗するなどの、アウトソーシングサービス提供の問題

31

現状の問題点を解決したい③詳細をCOBIT 5 Enabling
Processesで確認
COBIT 5 Enabling Processes④使ってみる

COBIT 5 Implementation32リスクに備えて現状を評価したい
このプロジェクトは期限厳守しないと
COBIT 5 Implementation 付録C 図表47①類似のリスクシナリオを探す②該当するプロセスを参照する（次ページへ）33

リスクに備えて現状を評価したい
COBIT 5 Implementation 付録C 図表47

図表45 − リスクシナリオとCOBIT 5プロセス能力
リスクシナリオ
プロジェク • 内部開発部門によるITトの提供
プロジェクトが時々遅延• ITプロジェクト提供の定常的な遅延• 外部委託されたIT開発
プロジェクトの過度な遅延••••

COBIT 5プロセス能力
EDM01 GEITポリシー、組織構造と役割
EDM02 価値ガバナンスのモニタリング
APO06 投資のモニタリング
BAI01 プログラム管理、プロジェクト管理の計画策定とモニタリング

34

リスクに備えて現状を評価したい③評価方法を
COBIT 5 PAMで確認
COBIT 5 Process Assessment Model④評価し、改善プロセスを実行する
COBIT 5 Implementation

鋭意翻訳中です。

35

GEITの導入がうまく進まない
誰も言うことを聞いてくれない
COBIT 5 Implementation 第4章図表9〜13①類似の課題を探す②成功要因を適用する
36

GEITの導入がうまく進まない
図表10 −フェーズ2 − どの位置にいるのか？
フェーズ3 − どの位置を目指すか？
課題根本原因成功要因

改善目標への支持を取得・維持することができないIT部門とビジネス部門のコミュニケーションギャップ• 行動する理由が明確にされないか、そもそも理由がないのに無理強いしている• 必要な投資（費用）を十分に正当化するような効果の認識がないなど• 改善されたGEITの価値について同意や理解を得る• IT運営委員会のような適切な組織を作り、目標についてコミュニケーションや合意形成を促進するなど
37

まとめ
COBIT 5 ImplementationにはGEITを導入、維持、改善するために役立つ情報が掲載されています。
どこから手を付けたらいいか判
らない時は、まずCOBIT 5
Implementationを一読されることをお勧めします。
38

Q&A

ご清聴ありがとうございました。