ISACA 東京⽀部 基準委員会委員
檜垣 元朗（CISA、CISM、CGEIT、CRISC、CIA）

本⽇お話しする内容
 COBIT講習会、改めての基礎編
 昨年度の基準委員会での活動成果を補⾜ COBIT 5 とは何か
 どんな特徴を持っているか どのように使っていけばよいか…についてのヒント2

⽬次
 はじめに（COBIT 5 とは）
 COBIT 5 フレームワーク
 COBIT 5 の5つの原則
 COBIT 5 のプロセス参照モデル（COBIT 5： Enabling Processes）
 導⼊ガイダンス（COBIT 5 Implementation）
 COBIT 5 のプロセス評価モデル（Process Assessment Model (PAM))
 おわりに3

COBIT 5 とは
 事業体の情報と技術(IT)のガバナンスおよびマネジメン

トに関する、完全かつ国際的に承認されたフレームワーク

 IT ガバナンスとマネジメントの優れた実践⼿法の開発、導⼊、継続的改善、モニタリングについて事業体をサポートする

 COBITは、もともと “Control Objectives for

Information and related Technology”に由来しているが、COBIT 5 では、頭⽂字のみが使⽤されている。
出典：COBIT 5 付録H ⽤語解説(⽇本語版 p.102）
5

COBIT 5 における「ガバナンス」 (1) ガバナンス：

ステイクホルダーのニーズや、条件、選択肢を評価し、優先順位の設定と意思決定によって⽅向性を定め、合意した⽅向性と⽬標に沿ってパフォーマンスや準拠性をモニターすることで、事業体の⽬標がバランスを取って、合意の上で決定され、達成されることを保証するもの
 マネジメント：
事業体の⽬標の達成に向けてガバナンス主体が定めた⽅向性と整合するようにアクティビティを計画、構築、実⾏
し、評価すること
出典：COBIT 5 付録H ⽤語解説(⽇本語版 p.103、104）6

COBIT 5 における「ガバナンス」 (2) 「ガバナンス」は「舵取り」

ギリシャ語の動詞 kubernáo（舵を取る） に由来
⽇本では「統治」が⼀般的（押さえつけるような語感）
 ITガバナンス
IT部⾨（CIO）の視点、IT部⾨中⼼のガバナンス
 事業体のITガバナンス（GEIT; Governance of Enterprise IT）
経営トップ（CEO）の視点、ビジネスガバナンス〜ITが経営の中⼼的な役割になってきているので
7

COBIT 5 における「フレームワーク」
 複雑な課題を解決したり対策を講じたりするために使われる基本的な概念構造
 アプローチや理解の⽅法、関連するエンティティ間の関係とそれらの役割、境界を定義する上での⼀連のコンセプト、
仮説、実践⼿法
出典：COBIT 5 付録H ⽤語解説(⽇本語版 p.103）

8

COBIT 5 とは(続き-1)
 効果の実現、リスクの最適化、資源の最適化とのバランスを維持し、ITにより最適な価値を創り出すこと（=「情報システムに信頼を注ぎ込み、価値を導き出す」（“Trust In, and Value From, Information
Systems”））を⽀援
 営利、⾮営利、公的機関等、すべての規模の事業体に適⽤でき、有効なもの

9

COBIT 5 とは(続き-2)
 事業体のITガバナンスとマネジメントにおける最新の知⾒が組み込まれており、グローバルに受け⼊れられている原則や実践事例、分析ツール、モデルを提供
 COBIT4.1をベースとしつつ、ISACAのVal ITやRisk ITに加えて、ITIL®(*)や関連する国際標準(IS)を統合する
ことで拡張が図られている。

(*) Information Technology Infrastructure Library
10

COBIT 5 とは(続き-3)
 ビジネスプロセスと技術に責任を負う⼈々、適切で信頼の置ける情報を頼る⼈々、情報や関連するテクノロジーに
品質や信頼性、統制を与える⼈々によりグローバルに利⽤されている 主要なユーザは、事業体のエグゼクティブや、下記の分野
におけるコンサルタント等
 監査と保証 コンプライアンス
 IT運⽤ ガバナンス セキュリティとリスクマネジメント

11

COBIT 5 に⾄るまで
スコ プの進化事業体のITガバナンス（GEIT）
ITガバナンス
Val IT 2.0

マネジメント(2008)

コントロール

Risk IT(2009)

監査
COBIT1

COBIT2

COBIT3

1996

1998

2000

COBIT4.0/4.1 COBIT 5

2005/72012

ISACAが提供するビジネスフレームワーク www.isaca.org/cobit© 2012 ISACA® All rights reserved.

12

COBIT 5 さまざまなプロダクト
 イネーブラーガイド
 COBIT 5: Enabling Processes COBIT 5: Enabling Information

 プロフェッショナルガイド
 COBIT 5: Implementation
 COBIT 5 for Information Security
 COBIT 5 for Assurance
 COBIT 5 for Risk

 COBIT アセスメントプログラム
 Process Assessment Model (PAM): Using COBIT 5
 Assessor Guide: Using COBIT 5
 Self-assessment Guide: Using COBIT 5

13COBIT 5 プロダクトファミリー⽇本語版
COBIT 5 プロダクトファミリー
済

COBIT® 5
COBIT 5 イネーブラーガイド
COBIT® 5: Enabling
Processes
済

COBIT® 5: Enabling
Information

その他のイネーブラー
ガイド

COBIT 5 プロフェッショナルガイド
COBIT® 5
Implementation

済

COBIT® 5 forInformation
Security

COBIT® 5 for
Assurance

着手

COBIT® 5 for
Risk

その他の
プロフェッショナル
ガイド

COBIT 5 オンライン コラボレーション環境
出典: COBIT® 5 ⽇本語版, 図表11 © 2012 ISACA® All rights reserved.

COBIT Assessment Programme
COBIT® Process Assessment
Model (PAM): Using COBIT 5

着手

COBIT® Assessor Guide:
Using COBIT 5

COBIT® Self-Assessment
Guide: Using COBIT 5

14COBIT 5-Related Guides
 COBIT 5 Principles: Where Did They Come From?

(white paper) Controls and Assurance in the Cloud: Using COBIT 5(book)
 Relating the COSO Internal Control̶Integrated
Framework and COBIT (white paper) Vendor Management: Using COBIT 5 (book) Securing Mobile Devices Using COBIT 5 for Information
Security (book) Transforming Cybersecurity: Using COBIT 5 (book) Configuration Management Using COBIT 5 (book) RBI Guidelines Mapping With COBIT 5 (India WP) Securing Sensitive Personal Data or Information Under
Indiaʼs IT Act Using COBIT 5 (India WP)
15

COBIT 5 資料の⼊⼿⽅法
ISACA国際本部のWebサイトからダウンロード可能（⼀部無償）
http://www.isaca.org/COBIT/Pages/COBIT-5japanese.aspx
⽇本語訳は以下の3冊（2014年9⽉時点）

COBIT 5 ⽇本語
COBIT 5 Enabling Processes
COBIT 5 Implementation

追加資料

COBIT 5 の紹介
COBIT 5 エグゼクティブサマリー
16

COBIT 5 プロダクトファミリー⽇本語版
COBIT 5 プロダクトファミリー
済

COBIT® 5
COBIT 5 イネーブラーガイド
COBIT® 5: Enabling
Processes
済

COBIT® 5: Enabling
Information

その他のイネーブラー
ガイド

COBIT 5 プロフェッショナルガイド
COBIT® 5
Implementation

済

COBIT® 5 forInformation
Security

COBIT® 5 for
Assurance

着手

COBIT® 5 for
Risk

その他の
プロフェッショナル
ガイド

COBIT 5 オンライン コラボレーション環境
出典: COBIT® 5 ⽇本語版, 図表11 © 2012 ISACA® All rights reserved.

COBIT Assessment Programme
COBIT® Process Assessment
Model (PAM): Using COBIT 5

着手

COBIT® Assessor Guide:
Using COBIT 5

COBIT® Self-Assessment
Guide: Using COBIT 5

18

COBIT 5 フレームワーク (1) 正式名称：「COBIT 5 : A Business Framework for theGovernance and Management of Enterprise IT」
 COBIT 5 プロダクトの中⼼であり、全体を包括する。
 エグゼクティブサマリーと、COBIT ５ フレームワークの全ての構成要素を含む。
 COBIT 5 の５つの原則
 COBIT 5 の７つのイネーブラー
 COBIT 5 のプロセス参照モデル
 COBIT 5 の導⼊ガイダンスの紹介(COBIT 5 Implementation)
 COBITアセスメントプログラムの紹介（COBIT 5 固有ではない）および、ISACAによってCOBITに採⽤されているプロセス能⼒
アプローチの紹介
19

COBIT 5 フレームワーク(2) 付録として収められているもの
 参考⽂献 事業体の達成⽬標とIT達成⽬標の詳細なマッピング IT達成⽬標とIT関連プロセスの詳細なマッピング ステークホルダーのニーズと事業体の達成⽬標
 COBIT 5 と他の関連する標準やフレームワークとのマッピング
 COBIT 5 情報モデルとCOBIT 4.1 情報要請規準との⽐較
 COBIT 5 イネーブラーの詳細説明
 ⽤語解説

20

COBIT 5 の5つの原則
1. ステーク
ホルダーの
ニーズを
充⾜

5. ガバナンスとマネジメントの分離

2. 事業体全体の包含

COBIT 5の原則

4. 包括的アプローチの実現

3. ⼀つに統合された
フレームワークの適⽤

出典：COBIT® 5 ⽇本語版, 図表2 © 2012 ISACA® All rights reserved.

21

COBIT 5 の7つのイネーブラー
2. プロセス

３．組織構造４．⽂化、倫理および⾏動

1. 原則、ポリシーおよびフレームワーク

５. 情報

６．サービス、
インフラストラクチャ
およびアプリケーション

７．⼈材、スキル
および遂⾏能⼒

資源

Source: COBIT® 5, figure 12. © 2012 ISACA® All rights reserved.

出典: COBIT® 5 ⽇本語版, 図表12 © 2012 ISACA® All rights reserved.

22

COBIT 5 プロセス参照モデル
事業体ITガバナンスのためのプロセス
評価、⽅向付けおよびモニタリング
EDM01
ガバナンスフレームワークの設定と維持の確保

EDM02
効果提供の確保EDM03
リスク最適化の確保

EDM01
ステークホルダーへの透明性の確保

EDM04
資源最適化の確保

整合、計画および組織化
APO01

ITマネジメント
フレームワークの管理

APO08
関係管理

APO02
戦略管理

APO09

サービス契約の管理

APO03

エンタープライズ
アーキテクチャ管理

APO04
イノベーション管理

APO05
ポートフォリオ管理

APO06
予算と費⽤の管理

APO10
サプライヤーの管理

APO11
品質管理

APO12
リスク管理

APO13
セキュリティ管理

BAI04
可⽤性とキャパシ
ティの管理

BAI05

BAI06
変更管理

APO07
⼈材の管理

MEA01
成果と整合性のモニタリング、評価およびアセスメント

構築、調達および導⼊
BAI01

プログラムとプロジェクトの管理

BAI02
要件定義の
管理

BAI03

BAI08
知識の管理

BAI09
資産の管理

BAI10
構成の管理

ソリューションの特定と構築の管理

組織の変⾰実現の管理

提供、サービスおよびサポート
DSS01
オペレーション管理

DSS02

サービス要求とインシデントの
管理

DSS03
問題管理

DSS04
継続性管理

DSS05

セキュリティ
サービスの管理

DSS06

ビジネスプロセスのコントロールの管理

モニタリング、評価およびアセスメント

BAI07
変更受⼊と
移⾏の管理

MEA02
内部統制システムのモ
ニタリング、評価およびアセスメント

MEA03
外部要求へのコンプライアンスのモニタリング、評価およびアセスメント

事業体のITマネジメントのためのプロセス
出典: COBIT® 5 ⽇本語版, 図表16 © 2012 ISACA® All rights reserved.

23

COBIT 5 導⼊ガイダンス

出典: COBIT® 5⽇本語版 図表17 © 2012 ISACA® All rights reserved.

24

COBIT 5 プロセス能⼒モデル

出典: COBIT® 5⽇本語版 図表19 © 2012 ISACA® All rights reserved.
25まとめとして…
 COBIT 5 は、５つの原則を結び合わせることで、事業体が効果的なガバナンス とマネジメントのフレームワークを構築することを可能とする。これは情報と技術の投資と活⽤を最適化する、包括的な７つのイネーブラーのセットに基づくものであり、ステークホルダーへの効果をもたらすものである。
 そのために責任を持つべきビジネスおよび機能領域の隅から隅までを引き受け、内外部のステークホルダーのIT関連の利害に配慮している。
 COBIT 5 の 原則とイネーブラー は、営利、⾮営利もしくは公的機関であれ、すべての規模の事業体にとって⼀般的であり有⽤なものである。
26

COBIT 5 の5つの原則（再掲）1. ステーク
ホルダーの
ニーズを
充⾜

5. ガバナンスとマネジメントの分離

2. 事業体全体の包含

COBIT 5の原則

4. 包括的アプローチの実現

3. ⼀つに統合された
フレームワークの適⽤

出典：COBIT® 5 ⽇本語版, 図表2 © 2012 ISACA® All rights reserved.

28

COBIT 5 の5つの原則
1. ステークホルダーのニーズを充⾜（Meeting Stakeholder Needs）
2. 事業体全体の包含（Covering the Enterprise End-to-end）
3. ⼀つに統合されたフレームワークの適⽤（Applying a Single Integrated Framework）
4. 包括的アプローチの実現（Enabling a Holistic Approach）
5. ガバナンスとマネジメントの分離（Separating Governance From Management）
29

原則1: ステークホルダーのニーズを充⾜(1)1. ステーク
ホルダーの
ニーズを
充⾜

5. ガバナンスとマネジメントの分離

2. 事業体全体の包含

COBIT 5の原則

4. 包括的アプローチの実現

3. ⼀つに統合された
フレームワークの適⽤

出典：COBIT® 5 ⽇本語版, 図表2 © 2012 ISACA® All rights reserved.

30

原則1: ステークホルダーのニーズを充⾜(2) 事業体はそのステークホルダーの価値を創出するために存在する。

ステークホルダーのニーズ推進

ガバナンス⽬標：価値創出
効果の実現

リスク最適化資源最適化

出典: COBIT® 5 ⽇本語版, 図表3 © 2012 ISACA® All rights reserved.
31

原則1: ステークホルダーのニーズを充⾜(3) 事業体には多くのステークホルダーが関わることから、「価値の推創出」は各々にとって異なり、時に⽭盾する。
 ガバナンスは、異なるステークホルダー間の価値の利害を調整し意思決定することである。
 ガバナンスの仕組みは、効果、資源およびリスクアセスメントの意思決定を⾏う際に、全ステークホルダーを考慮しなければならない。
 各々の意思決定では、以下の事項を問うことができ、問われなければならない。
 その効果は誰のためのものであるか？
 誰がそのリスクを負うのか？
 どのような資源が必要とされるのか？
32原則1: ステークホルダーのニーズを充⾜(4) ステークホルダーのニーズを事業体の実⾏可能な戦略に変換
 COBIT 5 の達成⽬標のカス
ケード（展開）：

ステークホルダーのニーズを、その状況における、具体的で、実⾏可能で、そして カスタマ
イズされた、事業体の達成⽬標、IT達成⽬標、そして、
イネーブラーの達成⽬標へと変換

ステークホルダーのドライバー（環境、技術⾰新、…）
影響

ステークホルダーのニーズ
効果の実現

リスク
最適化

資源
最適化
カスケード（展開）事業体の達成⽬標
カスケード（展開）IT達成⽬標カスケード（展開）

イネーブラーの達成⽬標

出典: COBIT® 5 ⽇本語版, 図表4 © 2012 ISACA® All rights reserved. 33

原則1: ステークホルダーのニーズを充⾜(5)COBIT 5における達成⽬標のカスケード（展開）の効果
 事業体の（戦略）⽬標および関連するリスクに基づいて、事業体のITガバナンスにおける、導⼊、改善およびアシュアラ
ンスの優先順位づけを定義することを可能とする。
 実⾏において⽬標のカスケードによって、 適切で明確な達成⽬標を、多様なレベルでの実⾏責任において定義する。
 事業体の⽬標に基づいて、特定の導⼊、改善もしくはアシュア
ランスのプロジェクトに取り⼊れる適切なガイダンスを引き出すた
めに、COBIT 5 の知識ベースから選択を⾏う。
 事業体の⽬標を達成するために、（時には運⽤レベルの）イネーブラーが重要であることを、明確に認識し情報共有する。

34

原則1: ステークホルダーのニーズを充⾜(6)

出典: COBIT® 5 ⽇本語版, 図表５ © 2012 ISACA® All rights reserved.
35

原則1: ステークホルダーのニーズを充⾜(7)
事業体の達成⽬標とのマッピング

COBIT 5ではP（主要）とS（副次）で事業体達成⽬標とのマッピングを⽰している（COBIT® 5 ⽇本語版 図表22参照）

出典: COBIT® 5 ⽇本語版, 図表6 © 2012 ISACA® All rights reserved.
36原則1: ステークホルダーのニーズを充⾜(8)

出典: COBIT® 5 日本語版, 図表6.© 2012 ISACA® All rights reserved.

出典: COBIT® 5 ⽇本語版, 図表23 © 2012 ISACA® All rights reserved.

37

原則2: 事業体全体の包含 (1)1. ステーク
ホルダーの
ニーズを
充⾜

5. ガバナンスとマネジメントの分離

2. 事業体全体の包含

COBIT 5の原則

4. 包括的アプローチの実現

3. ⼀つに統合された
フレームワークの適⽤

出典：COBIT® 5 ⽇本語版, 図表2 © 2012 ISACA® All rights reserved.

38

原則2: 事業体全体の包含 (2) COBIT 5 は、事業体全体にわたる包括的な視点から、情報とそれに関連する技術のガバナンスとマネジメントを取り扱う。

 これは次のことを意味する：
 COBIT 5 は、事業体のITガバナンスを、事業体のガバナンスに統合する。
すなわち、COBIT 5 によって、事業体のITのためのガバナンスシ
ステムは、いかなるガバナンスシステムともシームレスに統合される。
なぜならば、COBIT 5 はガバナンスに関する最新の観点と整合しているからである。
 COBIT 5 は、事業体の中の全ての機能とプロセスをカバーする。
COBIT 5 はIT機能だけに焦点を当てているのではなく、情報とそれに関する技術を、その事業体の全員が資産として扱う必要のある他のいかなるものと同様の資産であるとして扱っているからである。
39

原則2: 事業体全体の包含 (3)ガバナンス⽬標：価値創出
効果の実現

ガバナンスシステムにおけるキーとなる構成要素

リスク
最適化

ガバナンス
イネーブラー

資源
最適化

ガバナンス
スコープ

役割、アクティビティ、関係性
出典: COBIT® 5 ⽇本語版, 図表8 ©2012 ISACA® All rights reserved.
役割、アクティビティ、関係性
オーナーおよび
ステーク
ホルダー

委任
説明責任

ガバナンス
主体

⽅向付け

指⽰、整合

マネジメント
モニター

運営、実⾏
報告

出典: COBIT® 5 ⽇本語版, 図表９ ©2012 ISACA® All rights reserved.
40

原則3: ⼀つに統合されたフレームワークの適⽤ (1)1. ステーク
ホルダーの
ニーズを
充⾜

5. ガバナンスとマネジメントの分離

2. 事業体全体の包含

COBIT 5の原則

4. 包括的アプローチの実現

3. ⼀つに統合された
フレームワークの適⽤

出典：COBIT® 5 ⽇本語版, 図表2 © 2012 ISACA® All rights reserved.

41

原則3: ⼀つに統合されたフレームワークの適⽤ (2) COBIT 5 は、事業体で利⽤される、最新の関連する

他の標準やフレームワークと整合をとっている。
 事業体: COSO、COSO ERM、

ISO/IEC 9000（品質マネジメント）
ISO/IEC 31000（リスクマネジメント）
 IT関連: ISO/IEC 38500（ITガバナンス）
ISO/IEC 27000シリーズ（情報セキュリティマネジメント）
ITIL、TOGAF、PMBOK/PRINCE2、CMMI

 これによって事業体は、COBIT 5 をガバナンスとマネジメ

ントのフレームワークを統合するものとして利⽤することが可能になる。

42

原則3: ⼀つに統合されたフレームワークの適⽤ (3)

出典: COBIT® 5 ⽇本語版, 図表25 ©2012 ISACA® All rights reserved.

43

原則4: 包括的アプローチの実現 (1)1. ステーク
ホルダーの
ニーズを
充⾜

5. ガバナンスとマネジメントの分離

2. 事業体全体の包含

COBIT 5の原則

4. 包括的アプローチの実現

3. ⼀つに統合された
フレームワークの適⽤

出典：COBIT® 5 ⽇本語版, 図表2 © 2012 ISACA® All rights reserved.

44

原則4: 包括的アプローチの実現 (2)COBIT 5のイネーブラーは、
 事業体のITにおけるガバナンスとマネジメントに対して、何かが作⽤するかどうかについて、個々にかつ集合的に、影響を与える要因である。
 ⽬標のカスケード（展開）により推進される。
すなわち、ハイレベルの IT 関連の達成⽬標により、異なるイネーブラーが達成すべきことが定義される。
 COBIT 5 のフレームワークにより、７つのカテゴリー で記述されている。

45

原則4: 包括的アプローチの実現 (3)COBIT 5 の7つのイネーブラー
2. プロセス

３．組織構造４．⽂化、倫理および⾏動

1. 原則、ポリシーおよびフレームワーク

５. 情報

６．サービス、
インフラストラクチャ
およびアプリケーション

７．⼈材、スキル
および遂⾏能⼒

資源

Source: COBIT® 5, figure 12. © 2012 ISACA® All rights reserved.

出典: COBIT® 5 ⽇本語版, 図表12 © 2012 ISACA® All rights reserved.

46

原則4: 包括的アプローチの実現 (4)1. 原則、ポリシーおよびフレームワーク̶要求される⾏動を⽇々のマネジメントの実践的なガイダンスに変換する⼿段。
2. プロセス̶⽂書化され組織化された、確かな⽬標を達成しIT関連⽬標をサポートするアウトプットの集合を⽣み出すための実践と活動の組織化された集合を記述。
3. 組織構造̶組織における重要な意思決定の実体（エンティティ）。
4. ⽂化、倫理および⾏動̶各個⼈のものであり、組織のもの。多くの場合、ガバナンスとマネジメントの活動の成功要因として過⼩評価されている。
（続く）
47

原則4: 包括的アプローチの実現 (5)5. 情報̶いかなる組織でも全体に深く浸透しているもの。事業体で⽣み出され使⽤されている全情報が取り扱われる。情報はその組織の運営を維持し、うまくガバナンスされるために必要とされるが、多くの場合、運⽤レベルでは、情報が事業体そのものの重要な⽣産物。
6. サービス、インフラストラクチャおよびアプリケーション
̶情報技術処理とサービスを事業体に提供するインフ
ラストラクチャ、技術およびアプリケーション。
7. ⼈、スキルおよび遂⾏能⼒̶⼈とリンクし、全ての活動
がうまく完了し、正しい意思決定を⾏い、是正措置を⾏うために必要。
48

原則4: 包括的アプローチの実現 (4) 相互接続されたイネーブラーによる、体系的なガバナン

スとマネジメント̶事業体の主⽬標を達成するためには、常に相互接続されたイネーブラーの集合を考慮しなければならない。

 イネーブラーが⼗分に効果的であるために、他のイネーブラーからのインプットが必要である。
例えば、プロセスは情報が必要であり、組織構造はスキルと⾏動が必要である。
 イネーブラーは、他のイネーブラーへ効果をもたらすアウトプットを提供する。
例えば、プロセスは情報を提供し、スキルと⾏動はプロセスを効
率化する。

49

原則4: 包括的アプローチの実現 (5)イネーブラーの特質

イネーブラーのパフォーマンスの管理

イネーブラーの特質 共通で、シンプルで構造化された⽅法を提供する
 複雑な相互作⽤をマネジメントすることを可能とする
 成果達成を⼿助けする
ステークホルダー•内部のステークホルダー•外部のステークホルダー

ステークホルダーのニーズに対応しているか？

達成⽬標•本質的な品質•状況に応じた品質（適切性、有効性）•アクセスビリティとセキュリティ

イネーブラーの達成⽬標が達成されているか？

達成⽬標の達成度に関する測定指標（遅⾏指標）

ライフサイクル•計画•設計•構築/調達/作成/導⼊•利⽤/運⽤•評価/モニター•更新/廃棄ライフサイクルが管理されているか？

優れた実践⼿法•実践事例•作業成成果物（インプット/アウトプット）

優れた実践⼿法が適⽤されているか？

実践⼿法の運⽤に関する測定指標（先⾏指標）

出典: COBIT® 5 ⽇本語版, 図表13 © 2012 ISACA® All rights reserved.

50

原則5: ガバナンスとマネジメントの分離 (1)1. ステーク
ホルダーの
ニーズを
充⾜

5. ガバナンスとマネジメントの分離

2. 事業体全体の包含

COBIT 5の原則

4. 包括的アプローチの実現

3. ⼀つに統合された
フレームワークの適⽤

出典：COBIT® 5 ⽇本語版, 図表2 © 2012 ISACA® All rights reserved.

51

原則5：ガバナンス とマネジメントの分離(2) ガバナンスとマネジメントの間に明確な区別 異なるタイプの活動を包含する
 異なる組織構造を必要とする
 異なる⽬的を持つ

 ガバナンス̶ほとんどの事業体において、ガバナンスは取締役会の責任であり、その取締役会議⻑のリーダーシップのもとにある。
 マネジメント̶ほとんどの事業体において、マネジメントは経営幹部の責任であり、最⾼経営責任者（CEO）のリーダ
ーシップのもとにある。
52

原則5：ガバナンス とマネジメントの分離(3) ガバナンス：

ステイクホルダーのニーズや、条件、選択肢を評価し、優先順位の設定と意思決定によって⽅向性を定め、合意した
⽅向性と⽬標に沿ってパフォーマンスや準拠性をモニターすることで、事業体の⽬標がバランスを取って、合意の上で決定され、達成されることを保証するもの
 ステイクホルダーのニーズや、条件、選択肢を評価（Evaluate）
 優先順位の設定と意思決定によって⽅向性を定め（Direct）
 合意した⽅向性と⽬標に沿って成果や準拠性をモニターする（Monitor）

53

原則5：ガバナンス とマネジメントの分離(4) マネジメント：

事業体の⽬標の達成に向けてガバナンス主体が定めた⽅向性と整合するようにアクティビティを計画、構築、実⾏
し、評価すること 計画（Plan) 構築（Build) 実⾏ (Run) モニタｰ (Monitor)54

原則5：ガバナンス とマネジメントの分離(5) COBIT 5 では、組織がガバナンスとマネジメントのプロセスを導⼊し、主要な分野をカバーすることを推奨している。
ビジネスニーズ
評価（Evaluate)

ガバナンス

⽅向付け
(Direct)

マネジメントフィードバック

モニター(Monitor)

マネジメント

計画
(APO)

構築
(BAI)

実⾏
(DSS)

モニター
(MEA)

出典: COBIT® 5 ⽇本語版, 図表15 © 2012 ISACA® All rights reserved.

55

原則5：ガバナンス とマネジメントの分離(6) COBIT 5 のフレームワークでは、イネーブラーの７つのカテ

ゴリー（原則４）が記述されている。プロセスは⼀つのカテ
ゴリーである。
 必要とされるガバナンスとマネジメント⽬標がすべてカバーされる限り、事業体はそのプロセスが⾃組織に合うように組み⽴てることができる。同じ⽬標をすべてカバーするために、より⼩さな事業体は、より少ないプロセスとなるであろうし、より
⼤きな、より複雑な事業体は多くのプロセスを実現することになるであろう。

56

原則5：ガバナンス とマネジメントの分離(7) COBIT 5 には、多くのガバナンスとマネジメントのプロセスが詳細に定義され、記述された、プロセス参照モデル(PRM) が含まれている。この具体的なイネーブラーのモデルの詳細はCOBIT 5: Enabling Process の資料に収められている。

57

COBIT 5: Enabling Processes (1)COBIT 5 プロダクトファミリー
済

COBIT® 5
COBIT 5 イネーブラーガイド
COBIT® 5: Enabling
Processes
済

COBIT® 5: Enabling
Information

その他のイネーブラー
ガイド

COBIT 5 プロフェッショナルガイド
COBIT® 5
Implementation

済

COBIT® 5 forInformation
Security

COBIT® 5 for
Assurance

着手

COBIT® 5 for
Risk

その他の
プロフェッショナル
ガイド

COBIT 5 オンライン コラボレーション環境
出典: COBIT® 5 ⽇本語版, 図表11.© 2012 ISACA® All rights reserved.

COBIT Assessment Programme
COBIT® Process Assessment
Model (PAM): Using COBIT 5

着手

COBIT® Assessor Guide:
Using COBIT 5

COBIT® Self-Assessment
Guide: Using COBIT 559

COBIT 5: Enabling Processes (2) “COBIT 5: Enabling Processes”

COBIT 5を補完し、「COBIT 5 プロセス参照モデル」に定義されているプロセスに関する詳細な参照ガイドである。
 第1章 はじめに
 第2章 事業体とIT関連の達成⽬標のカスケード（展開）と測定指標
 第3章 COBIT 5 プロセスモデル
 第4章 COBIT 5 プロセス参照モデル（プロセス参照モデルが図解されている）
 第5章 COBIT 5 プロセス参照ガイド（COBIT 5 全37プロセスの詳細プロセス情報が記述されている）

60

プロセス：イネーブラの1つ
COBIT 5 の7つのイネーブラー
2. プロセス

３．組織構造４．⽂化、倫理および⾏動

1. 原則、ポリシーおよびフレームワーク

５. 情報

６．サービス、
インフラストラクチャ
およびアプリケーション

７．⼈材、スキル
および遂⾏能⼒

資源

Source: COBIT® 5, figure 12. © 2012 ISACA® All rights reserved.

出典: COBIT® 5 ⽇本語版, 図表12（⼀部改変） © 2012 ISACA® All rights reserved.

61イネーブラとしてのプロセスの特徴 (1) プロセスは、「複数のソース（他のプロセスも含む）からインプットを受け、そのインプットを操作し、アウトプット（製品、サービスなど）を⽣成する、事業体のポリシーや⼿続きに影響される実践⼿法の集合体

 ステークホルダー： プロセスのステークホルダーとその責任レベル

はRACIチャートで表現される 達成⽬標： プロセスの達成⽬標は、本質的な⽬標、状況に応じた⽬標、アクセシビリティとセキュリティ⽬標に分類できる。
達成⽬標の測定指標は、SMART̶具体的（Specific）、測定可能（Measurable）、実⾏可能（Actionable）、
適切（Relevant）、適時（Timely）̶である必要がある。

62

イネーブラとしてのプロセスの特徴 (2)イネーブラーのパフォーマンス管理

イネーブラーの特質

ステークホルダー•内部のステーク
ホルダー•外部のステーク
ホルダー

ステークホルダーのニーズに対応しているか？

⽬的•本質的な品質•状況に応じた品質（適切性、有効性）•アクセシビリティとセ
キュリティ

イネーブラーの達成⽬
標が達成されているか？

達成⽬標の達成度に関する測定指標（遅⾏指標）

ライフサイクル•計画•設計•構築/調達/作成/導⼊•使⽤/運⽤•評価/モニター•更新/廃棄プロセスのための⼀般的な実践⼿法

ライフサイクルが管理されているか？

優れた実践⼿法•プロセスの⼿法、アクティ
ビティ、詳細なアクティビ
ティ•作業成果物（インプット/アウトプット）

優れた実践⼿法が適⽤されているか？

実践⼿法の適⽤に関する測定指標（先⾏指標）

出典: COBIT® 5 ⽇本語版, 図表29 © 2012 ISACA® All rights reserved. 63

COBIT 5 プロセス参照モデル(1) COBIT 5 プロセス参照モデルは、事業体におけるIT関連の実践と活動を２つの主要領域に分割している。

 ガバナンスドメインは５つのガバナンスプロセスで構成される。

各プロセスの中に、評価、⽅向付け、モニタリング（EDM）の実践が定義されている。
 マネジメントドメインは、複数プロセスの4つのドメインにさらに分割され、計画、構築、実⾏およびモニター（PBRM）の責任
領域に対応している。

64

COBIT 5 プロセス参照モデル(2)（再掲）
事業体のITガバナンスのためのプロセス
評価、⽅向付けおよびモニタリング
EDM01
ガバナンスフレームワークの設定と維持の確保

EDM02
効果提供の確保EDM03
リスク最適化の確保

EDM01
ステークホルダーからみた
透明性の確保

EDM04
資源最適化の確保

整合、計画および組織化
APO01

APO03

APO02
戦略管理

ITマネジメント
フレームワークの管理

エンタープライズ
アーキテクチャ
管理

APO09

APO10
サプライヤーの管理プログラムとプロジェクトの
管理

BAI02
要件定義の
管理

BAI03

ソリューションの特定と
構築の管理

BAI08
知識管理

BAI09
資産管理

BAI10
構成管理

APO08
関係管理

サービス契約の管理

APO04
イノベーション管理

APO11
品質管理

APO05
ポートフォリオ管理

APO06
予算とコストの管理

APO12
リスク
管理

APO13
セキュリティ
管理

BAI05

BAI06
変更管理

APO07
⼈的資源の管理

MEA01
成果と整合性のモニタリング、評価およびアセスメント

構築、調達および導⼊
BAI01

BAI04
可⽤性とキャパシ
ティの管理

組織の変⾰実現の管理提供、サービスおよびサポート
DSS01
オペレーション管理

DSS02

サービス要求とインシデントの
管理

DSS03
問題管理

DSS04
継続性
管理

DSS05

セキュリティ
サービスの管理

DSS06

ビジネスプロセス
コントロールの管理

モニタリング、評価およびアセスメント

BAI07
変更受⼊と
移⾏の管理

MEA02
内部統制システムのモニタリング、評価およびアセスメント

MEA03
外部要件への準拠性のモニタリング、評価およびアセスメント

事業体の IT マネジメントのためのプロセス

出典: COBIT® 5 ⽇本語版, 図表16 © 2012 ISACA® All rights reserved.

65

COBIT 5 プロセス参照モデル(3) EDM（Evaluate, Direct and Monitor）

評価、⽅向付けおよびモニタリング
 APO(Align, Plan and Organise）
整合、計画および組織
 BAI（Build, Acquire and Implement）
構築、調達および導⼊ DSS（Deliver, Service and Support）
提供、サービスおよびサポート MEA（Monitor, Evaluate and Assess）
モニタリング、評価およびアセスメント

66

RACIチャート (1) プロセスの実践における異なる役割や組織への責任分担レベルの例⽰。フレームワーク内において、実⾏責任者、説明責任者、協議先、報告先を図⽰する。
 R（Responsible：実⾏責任者） ̶プロセスのアクティビ

ティを実⾏し、意図した結果を⽣み出すための運⽤上の責任を負う役割。（誰がタスクを成し遂げるのか。）
 A（Accountable：説明責任者） ̶タスクの達成に対する全体的な責任を負う役割。（誰がタスクの成功に責任を負うのか。誰が責任転嫁を⽌めるのか） C（Consulted：協議先） ̶インプットとなる情報を提供する役割。（誰がインプットを提供するのか。）
 I（Informed ：報告先） ̶タスクの達成状況や成果物の報告を受ける役割。（誰が情報を受け取るのか。）
67

RACIチャート (2)RACIチャートの例

出典: COBIT® 5: Enabling Processes ⽇本語版, p.35 © 2012 ISACA® All rights reserved.

68

COBIT 5 Implementation
COBIT 5 プロダクトファミリー
済

COBIT® 5
COBIT 5 イネーブラーガイド
COBIT® 5: Enabling
Processes
済

COBIT® 5: Enabling
Information

その他のイネーブラー
ガイド

COBIT 5 プロフェッショナルガイド
COBIT® 5
Implementation

済

COBIT® 5 forInformation
Security

COBIT® 5 for
Assurance

着手

COBIT® 5 for
Risk

その他の
プロフェッショナル
ガイド

COBIT 5 オンライン コラボレーション環境
出典: COBIT® 5 ⽇本語版, 図表11.© 2012 ISACA® All rights reserved.

COBIT Assessment Programme
COBIT® Process Assessment
Model (PAM): Using COBIT 5

着手

COBIT® Assessor Guide:
Using COBIT 5

COBIT® Self-Assessment
Guide: Using COBIT 570

経営者の認識 情報と情報技術（IT）は、ビジネスと社会⽣活の全ての局

⾯でますます拡⼤
 事業体のITガバナンス（GEIT）の改善は、事業体ガバナ
ンスにとって必須の部分
 IT投資からより多くの価値を⽣み出したい 事業上の優越性
 コストの最適化

 増⼤するIT関連リスクをしっかり管理したい 情報をビジネスで利⽤することにかかわる規制と法律の増⼤にしっかり対応したい

71

COBIT 5 Implementation（続-1)
 COBIT 5 は、良いGEITを導⼊するためのフレームワーク、

ベストプラクティス、標準である。

 フレームワーク、ベストプラクティス、標準は効果的に選択、適⽤されるべき 成功のためには、乗り越えるべきチャレンジと課題がある

 COBIT5 Implementationは、これらを効果的に⾏うためのガイダンス。

 COBIT 5 を活⽤したGEITの導⼊ガイダンス〜「COBIT 5 の導⼊ガイダンス」ではない
 時間が経過してもガバナンスやマネジメントが成功し続けるような成果を得る
72

COBIT 5 Implementation（続-2)
COBIT 5 Implementation の内容
 事業体内におけるGEITの位置付け
 GEIT の改善に向けての第１歩を踏み出すこと
 改善への挑戦と成功要因
 GEITに関連する組織および⾏動の変⾰の実現
 変⾰実現とプログラム管理が含まれる継続的改善の導⼊ COBIT 5 とその構成要素の利⽤

73

適切な環境の整備
 指針となる原則、決定権限、説明責任のフレームワークを特定・設計する 関係者の役割を明確化した、RACIチャートの活⽤が有効

R：実⾏責任（Responsible）
 A：説明責任（Accountable）
 C：協議先（Consulted）
 I：報告先（Informed）


出典: COBIT® 5 Implementation ⽇本語版 図表4 © 2012 ISACA® All rights reserved.

74

GEIT導⼊ライフサイクルのコンポーネント
 ３つのコンポーネント
 プログラム管理（外部リング）
 変⾰の実現（中間リング） 継続的な改善ライフサイクル（内部リング）

取り組みが⼀回限りのアク
ティビティでない事実を強調するために継続したライフサイ
クルとして描かれている

 7つのフェーズ

出典: COBIT® 5⽇本語版 図表17 © 2012 ISACA® All rights reserved.

75

GEIT導⼊ライフサイクルの7つのフェーズ
ドライバーは何か？

現在の変⾰ドライバーを識別し、経営幹部レベルにおいて、そのときのビジネスケースの概要の中で表現される変
⾰要求を作り出す

フェーズ2

どの位置にいるのか？

IT 達成⽬標を事業体の戦略とリスクに整合させ、最も重要な事業体の達成⽬標、IT 達成⽬標、プロセスを優
先付ける

フェーズ3

どの位置を⽬指すか？

潜在的な解決策を特定するためにギャップ分析に従った
改善⽬標を設定する

何をする必要があるか？

正当なビジネスケースによってサポートされるプロジェクトを定義し、導⼊の変⾰計画を開発することにより、実現可能で有⽤な解決策を計画する

どのように達成するか？

⽇々の実践に向けた解決策導⼊の提案と、ビジネスとの整合が達成され、成果が測定できることを確実にする測定指標とモニタリングシステムの確⽴を提供する

フェーズ6

そこに到達したか？

改善されたガバナンスおよびマネジメントが持続可能なよ
うに通常の事業運営に移⾏されること、および、成果測
定指標と期待する効果を使った改善の達成度モニタリン
グに注⽬する

フェーズ7

どのように推進⼒を維持できるか？

取り組み全体としての成功を振り返り、さらなるガバナンス
やマネジメントの要件を識別し、継続的な改善の必要性
を補強する

フェーズ1

フェーズ4
フェーズ5

76

フェーズ1: ドライバーは何か？
⽬標• フェーズの⽬標プログラムの背景と⽬的、および最新のガバナンスアプローチについての理解の取得• 最初のプログラムの概念としてのビジネスケースの定義• すべての主要なステークホルダーの関与と約束の取り付け

インプット

CI

⾏動の必要性を認識する• 事業体の⽅針、戦略、
ガバナンス計画と事業
計画、監査報告書• 事業体の取り組み• IT 関連の現状の問題点を⽰すインプット• 有益で適切な業界情報、ケーススタディ

CE 変⾰要求を確⽴する

等

PM プログラムを開始する

アウトプット• ビジネスケースの概要• ハイレベルの役割と責任• ステークホルダーの情報• プログラムのウェイクアッ
プやキックオフ連絡等

CI:継続的改善、CE:変⾰実現、PM:プログラム管理77

フェーズ2: どの位置にいるのか？
⽬標• プログラムチームの事業体の達成⽬標およびITを使った価値提供⽅法の理解• 必要なプロセスあるいは改善計画の実施に必要なその他のイネーブラーの特定• 事業リスクや事業体の現在と将来のリスク嗜好状況がプログラムに与える影響の判断• 選択したプロセスの現在の能⼒を判定と、事業体の変⾰に対する許容度と対応能⼒の理解

インプット• フェーズ1のアウトプット• 事業とIT の計画と戦略• ITプロセスの説明、⽅針、基準、⼿続き、技術的仕様• 監査報告書、ﾘｽｸ管理
⽅針、IT 成果報告書、
ダッシュボード、スコア
カード
等

CI

アウトプット

現状を評価するCE 強⼒な導⼊チームを組成する• 合意されている事業体のIT 関連達成⽬標とIT 部⾨への影響• リスクと影響度についての共通理解• 達成⽬標や現在の能⼒評価結果

PM 問題と機会を定義する

等

CI:継続的改善、CE:変⾰実現、PM:プログラム管理78

フェーズ3: どの位置を⽬指すか？
⽬標• 選定されたプロセスのそれぞれに対して⽬標設定された能⼒の決定• 選定されたプロセスにおける現状とあるべき姿の位置付けの間のギャップの特定、および、ギャップの改善機会の変換• 詳細なビジネスケースやハイレベルのプログラム計画の作成

インプット• フェーズ2のアウトプット• 内外の能⼒ベンチマー
ク結果• COBIT 5 やその他の参照先からの優れた実践事例• ステークホルダー分析
結果
等
等

CI

達成⽬標の状態を定義し、ギャップを分析する

アウトプットCE コミュニケーションを図る• ⽬標となる能⼒の評価
結果• 改善機会に関する詳細記述• 変⾰実現計画• 詳細なビジネスケース• ハイレベルなﾌﾟﾛｸﾞﾗﾑ
計画とその評価指標

PM ロードマップを定義する

等求められる成果を明確にし、CI:継続的改善、CE:変⾰実現、PM:プログラム管理79

フェーズ4: 何をする必要があるか？
⽬標• 改善機会から正当に貢献するプロジェクトへの変換• 影響が⼤きいプロジェクトへの優先と注⼒• 改善プロジェクトを全体のプログラム計画への統合• 短期的成功の実現

インプット• フェーズ3のアウトプット• 機会ワークシート、優れた実践⼿法と基準、
外部評価、技術評価• 機会グリッド、プロジェク
ト定義、プロジェクト・
ポートフォリオ管理計画、
リソース計画、IT予算• 初期段階で識別された
強み
等

CI

アウトプット

改善を設計、構築するCE し、短期的成功を識別する• 改善プロジェクトの定義• 定義された変⾰対応
計画• 識別された短期的成
功体験• 配置されたリソースとプログラム計画• 成功評価基準

PM プログラム計画を策定する

等

各種役割の担当者に権限を付与

CI:継続的改善、CE:変⾰実現、PM:プログラム管理80

フェーズ5： どのように達成するか？
⽬標• 事業体のプログラム/ プロジェクト管理の能⼒、基準および実践⼿法を活⽤し、詳細な改善プロ
ジェクトを導⼊する。
• プロジェクトの進捗に関し、モニタリングし、測定し、報告する。

インプット

CI

改善を導⼊する

アウトプット• フェーズ4のアウトプット• プロジェクトの定義、プロジェクトガントチャート、変⾰対応計画、変⾰
戦略• 統合されたプログラム/
プロジェクト計画

CE 運⽤と利⽤を実現する• 改善の導⼊• 変⾰対応計画の導⼊• 短期的成功の実現と成功した変⾰の可視化の実現• うまくいっているコミュニ
ケーションの状況

等

PM 計画を実⾏する

等

CI:継続的改善、CE:変⾰実現、PM:プログラム管理81

フェーズ6： そこに到達したか？
⽬標• プロジェクト成果と全体的なガバナンス改善プログラムによる効果の実現についての測定指標の、定期的、定常的に実⾏されるモニタリングの成果測定システムへの統合

インプット• フェーズ5のアウトプット• 既存の測定指標とスコ
アカード• ビジネスケースの効果• 変⾰対応計画とコミュ
ニケーション戦略
等

CI

アウトプット

運⽤し測定する

CE 新しいアプローチを組み込む
PM 効果を実現する• 更新されたプロジェクトとプログラムのスコアカー
ド• 変⾰の有効性の測定
結果（ 事業上と認識
上の両⽅）• スコアカードの結果を説明する報告• 業務運営に定着した
改善等

CI:継続的改善、CE:変⾰実現、PM:プログラム管理82

フェーズ7：どのように推進⼒を維持できるか？
⽬標• プログラムから得た結果と経験の評価、並びに、学んだ教訓の共有• 変⾰のための組織構造、プロセス、役割と責任体制の改善と、継続的最適化• 更なる改善に向けた更なるインテレーションの促進• 継続的な成果のモニタリングと、定期的な報告による、説明責任と実⾏責任の遂⾏

インプット

CI

モニタリングおよび評価を実施する• フェーズ6のアウトプット• 導⼊後レビューの報告• 成果報告• 事業戦略とIT 戦略• 新しい規制の要求事項のような新たなトリガー

CE 持続させる等

PM プログラムの有効性をレビューする

アウトプット• 更なるGEIT アクティビ
ティに向けた推奨事項• ステークホルダーの満⾜度調査• ⽂書化された成功事例と得られた教訓• 進⾏中のコミュニケー
ション計画• 成果の報酬制度

CI:継続的改善、CE:変⾰実現、PM:プログラム管理

83

COBIT 5 Implementationの活⽤法
 COBIT 5 Implementationを「逆引き」することで、課題認識に応じて必要な情報を⾒つけることができる
COBIT 5
Implementation

現状の問題点を解決したい

付録A 図表45(p.78)

COBIT 5
Enabling Processes

リスクに備えて現状を評価したい

付録C 図表47(pp.83〜87)

COBIT 5 PAM(Process Assessment Model)

GEIT導⼊がうまく進まない

第4章図表9〜13(pp.37〜43)

COBIT 5
Implementation
84

COBIT Process Assessment Model (1)COBIT 5 プロダクトファミリー
済

COBIT® 5
COBIT 5 イネーブラーガイド
COBIT® 5: Enabling
Processes
済

COBIT® 5: Enabling
Information

その他のイネーブラー
ガイド

COBIT 5 プロフェッショナルガイド
COBIT® 5
Implementation

済

COBIT® 5 forInformation
Security

COBIT® 5 for
Assurance

着手

COBIT® 5 for
Risk

その他の
プロフェッショナル
ガイド

COBIT 5 オンライン コラボレーション環境
出典: COBIT® 5 ⽇本語版, 図表11.© 2012 ISACA® All rights reserved.

COBIT Assessment Programme
COBIT® Process Assessment
Model (PAM): Using COBIT 5

着手

COBIT® Assessor Guide:
Using COBIT 5

COBIT® Self-Assessment
Guide: Using COBIT 5

86

COBIT Process Assessment Model (2) プロセスアセスメントモデルは、ISO/IEC 15504に準拠しており、プロセスの改善をサポートするための事業体によるアセス
メントを可能にする。
 COBIT 5 PAMは、COBIT 5 に定義されているプロセスの⽬的・成果と、ISO/IEC 15504-2に定義されているプロセス属性を解釈する際に、ガイダンスとして利⽤するための指標を提供している COBIT プロセスアセスメントモデルの概要
 プロセス軸とプロセスパフォーマンス指標
 プロセス能⼒指標87ISO/IEC 15404
 ISO/IEC 15404“Information technology -- Process assessment”（「情報技術－プロセスアセスメント」）
 原案作成に寄与したプロジェクト名にちなんで

SPICE(Software Process Improvement andCapability dEtermination)という愛称でも知られる
 “JIS X 0145” として JIS化されている。

 プロセス改善や能⼒判定を⾏う際のフレームワーク
 「成熟度モデル」ではなく「プロセス能⼒モデル」を⽤いる
 任意のプロセス参照モデルを⽤いてアセスメントを実施することができる88アセスメントモデルとアセッサーガイド

出典: COBIT® 5 Process Assessment Model （PAM) ⽇本語版 図表1 © 2013 ISACA® All rights reserved.

89

アセスメント指標

出典: COBIT® 5 Process Assessment Model （PAM) ⽇本語版 図表2 © 2013 ISACA® All rights reserved.

90

プロセス軸 COBIT 5 PAMでは、COBIT 5 のプロセス参照モデルをプ

ロセスを定義し、分類するためのプロセス軸として利⽤する：
 EDM (Evaluate, Direct and Monitor)

評価、⽅向付けおよびモニタリング
 APO (Align, Plan and Organise)
整合、計画および組織
 BAI (Build, Acquire and Implement)
構築、調達および導⼊ DSS (Deliver, Service and Support)
提供、サービスおよびサポート MEA (Monitor, Evaluate and Assess)
モニタリング、評価およびアセスメント
91

能⼒軸
 プロセスについて、事業の達成⽬標を満たすためのプロ
セスの能⼒についての測定
指標を提供
 プロセス能⼒は、プロセス能
⼒レベルとして、特定のプロセス属性の達成度を基に決定、表現される。

出典: COBIT® 5 Process Assessment Model （PAM) ⽇本語版 図表4 © 2013 ISACA® All rights reserved.

92評価スケール プロセス属性の評価は、ISO/IEC 15504で定義されている、標準的評価スケールを使⽤して⾏われる。
 各能⼒レベルは、下位のレベルが完全に達成された場合にのみ達成できる。
 プロセス能⼒レベル1と、それよりも⾼い能⼒レベルとの間には⼤きな違いがある。

出典: COBIT® 5 Process Assessment Model （PAM) ⽇本語版 図表6 © 2012 ISACA® All rights reserved.

93

COBIT 5 プロセス能⼒モデル(再掲)

出典: COBIT® 5⽇本語版 図表19 © 2012 ISACA® All rights reserved.
94

（参考）COBIT 4.1における成熟度モデル

出典: COBIT® 5 ⽇本語版 図表18 © 2012 ISACA® All rights reserved.

95

新COBITアセスメントプログラムとは
COBIT 4.1

COBIT 5
EDMドメイン
追加など

プロセス
参照
モデル

アセス
メント
モデル

COBIT 4.1
プロセス参照モデル（4ドメイン、34プロセス）

COBIT 5
プロセス参照モデル（5ドメイン、37プロセス）

従来のアセスメント

アセスメント可プロセス成熟度モデル（CMM：COBIT
Maturity Model）⇒成熟度レベル評価

プロセスアセスメントモデル（PAM：Process
Assessment Model）⇒能⼒度レベル評価

ISO15504に準拠

96アセスメントモデル⽐較
COBIT 4.1
成熟度モデルレベル
5
最適化されている
4
管理され、測定可能である
3
定義されたプロセス2
繰返し可能だが直感的
1
初期 / アドホック
0
存在しない

COBIT 5（ISO/IEC 15504）
コンテキストに基づいたプロセス能⼒
レベル 5：
最適化しているプロセス
レベル 4：
事業体の視点
予測可能なプロセス̶ 企業の知識レベル 3：
確⽴されたプロセス
レベル 2：
管理されたプロセス
レベル 1：
実施されたプロセス

インスタンスの視点
̶ 個⼈の知識レベル 0：
不完全なプロセス
出典: COBIT® 5 ⽇本語版 図表19 © 2012 ISACA® All rights reserved.
97

COBIT 5を使ってみるためのヒント IT中⼼のCIO視点から、会社経営⽬線のCEO視点へ（ITガバナンスからGEITへ） ガバナンス⽬標は価値創出〜組織は何のため
 ITだけではない〜Non ITにも適⽤可（ビジネスガバナンス）
 つまみ⾷いで良い〜わかるところ、使えるところから利⽤する
 変⾰の実現、困った時の COBIT 5 Implementation

99

Q&A

ご清聴
ありがとうございました。