プライバシー設定

このサイトでは、第三者のウェブサイト追跡技術を使用して、当社のサービスを提供および継続的に改善し、ユーザーの興味に応じた広告を表示します。同意します。また、将来的に有効となる限り、いつでも同意を取り消したり、変更したりすることができます。

すべての記事

ITガバナンスとは？経営と情シスの役割・5ステップ

ジョーシス編集部

SaaS運用に課題を感じている方へ

現在の状況をヒアリングし、最適な改善方法をご提案します。

Last updated:

October 22, 2026

この記事は読むことができます 5 分

この記事は 1 分で読むことができます

By:

ジョーシス編集部

この記事は 1 分で読むことができます

コピー

ITガバナンスとは、経営層がITをどう活用するかの方針を定め、その実行状況を監督する仕組みです。IT部門の日常業務だけを指す言葉ではなく、IT投資を経営目標に結び付け、リスクや費用対効果を判断する経営の役割を含みます。

たとえばSaaSの導入では、経営層が投資の目的と承認基準を定め、情シスが選定・運用を進めます。導入後に利用状況やコスト、残るリスクを報告し、経営層が継続や改善を判断するところまでが一連の取り組みです。

ITマネジメントとの違い、管理すべき要素、フレームワークの役割を押さえると、自社で誰が何を決めるべきかを整理できます。SaaSの棚卸しやアクセス権管理も、この役割分担の中で進めていきます。

ITガバナンスとは何か

ITガバナンスとは、企業がITをどう活用するかを経営レベルで方向付け、監督する仕組みです。経営層の判断と情シスの実行を分けて捉えると、担当する役割が明確になります。

経済産業省・ISO38500による定義

経済産業省が策定した「システム管理基準」では、ITガバナンスを次のように定義しています。

「組織体のガバナンスの構成要素で、取締役会等がステークホルダーのニーズに基づき、組織体の価値および組織体への信頼を向上させるために、組織体におけるITシステムの利活用のあるべき姿を示すIT戦略と方針の策定およびその実現のための活動」

難解な表現ですが、平易に言い換えると「経営層が株主・顧客などのステークホルダーの期待に応えるため、IT戦略の方向を定め、その実現を監督する活動」です。

国際標準規格ISO/IEC 38500も同様の概念を定義しており、責任・戦略・取得・パフォーマンス・適合・人間行動という6つの原則を通じて、経営層がITを適切に評価・指示・監視することを求めています。ここで重要なのは、ITガバナンスは情報システム部門だけが担うものではなく、経営層が主体的に関与すべき経営課題だという点です。

ITガバナンスとITマネジメントの違い

ITガバナンスと混同されやすいのが「ITマネジメント」です。両者の役割を整理しておきましょう。

項目	ITガバナンス	ITマネジメント
主な担い手	経営層・取締役会・CIO	情報システム部門・IT部門長
役割	方向設定・監督・評価	計画・実行・統制
視点	経営戦略との整合性	IT業務の効率・品質・コスト
タイムスパン	中長期（3〜5年）	短〜中期（1年以内）
問い	何のためにITに投資するか	どのようにITを動かすか

経営層が投資の目的と優先順位を決め、情シスがその方針に沿って日々の運用を担います。承認を得ることに加え、実行した結果を経営層へ報告する関係です。

SaaS導入を例に見る経営層と情シスの役割

経営層と情シスの役割は、同じSaaSの導入でも異なります。経営層は何のために投資し、どのリスクを受け入れるかを判断します。情シスはその方針に沿って候補を調べ、導入・運用・見直しを進めます。役割を次のように分けると、承認だけで終わる状態を避けやすくなります。

場面	経営層が決める・確認すること	情シスが実行・報告すること
新規導入	経営目標との関係、投資の優先順位、承認基準	要件、候補サービス、費用、セキュリティリスク
利用開始後	当初の目的に対する成果、残るリスクへの対応	利用率、発生した課題、アクセス権や契約の状況
契約更新	継続・見直しの判断と次の改善方針	重複機能、未使用ライセンス、改善案と費用対効果

報告先と判断者を決めておけば、情シスが把握した問題を経営判断につなげられます。台帳やルールの作成に加えて、誰が報告を受け、何を決めるかまで運用に組み込んでください。

SaaSの利用状況やアクセス権を把握する仕組みを検討する方は、5分でわかるJosysで機能概要を確認することから始められます。

コーポレートガバナンスとの関係

ITガバナンスは、より広い概念であるコーポレートガバナンス（企業統治）の一部として位置づけられます。コーポレートガバナンスが企業全体の方向性・透明性・説明責任を確保するものであるのに対し、ITガバナンスはその中でIT領域を担う下位概念です。

経営層には、IT投資の妥当性や効果を株主・投資家に説明する責任があります。情シスからの利用状況やコストの報告が、その判断を支えます。

IT統制・ITGCとの違い

ITガバナンスが経営の方向付けと監督を担うのに対し、IT統制は業務やIT環境の管理に関わります。財務報告の信頼性を支えるIT統制は、IT全般統制とIT業務処理統制に分けて整理できます。

ITガバナンスを強化するための実践ステップ

実践は、可視化、ルール策定、アクセス権管理、ログ取得、KPI設定の5ステップで進めます。最初に管理対象を把握し、その結果をルールや運用の見直しにつなげます。

Step1 IT資産・SaaS利用状況を可視化する

まず全社のSaaS・IT資産を棚卸しします。次の項目が台帳にそろっているかを確認してください。

□ 利用SaaSの名称・カテゴリ・利用部門
□契約者（部門・個人）・月額コスト・更新日
□ 利用者数・ライセンス数・実際の利用率
□ セキュリティ認証の有無（SOC2・ISO27001等）
□ 個人情報や機密情報の取り扱い有無

手動での棚卸しは初期調査として有効ですが、その後の継続管理には限界があります。JosysのSaaS Discoveryのように、ログイン・ブラウザ活動からSaaS利用を検出する仕組みを使うと、申請されていないSaaSも継続的に把握しやすくなります。棚卸しの結果と検出結果を照合し、台帳から漏れているサービスを洗い出してください。

関連記事：SaaS棚卸しの手順と確認項目を読む

Step2 ITポリシーとSaaS利用ルールを策定する

可視化によって現状を把握したら、次はあるべきルールを明文化します。情報セキュリティポリシーをベースに、SaaS利用に特化した規程を整備することが現代的なITガバナンスの要件です。

策定すべき主なルール項目は次のとおりです。

SaaS新規導入の申請・審査・承認フロー
無料トライアル開始の可否と条件
使用可能なSaaSカテゴリと禁止カテゴリ
データの取り扱い基準（個人情報・機密情報の入力禁止SaaSの指定）
アカウント発行・削除のルールとタイムライン

ルールは策定だけでは機能しません。新入社員研修・定期的な全社向けアナウンス・社内イントラへの掲示など、継続的な浸透施策も合わせて設計してください。

関連記事：情報セキュリティポリシーの作り方

Step3 アクセス権管理と定期棚卸しの仕組みを作る

アクセス権管理は、ITガバナンスとJ-SOX対応の双方で最も重視される領域の一つです。誰がどのシステムにアクセスできるかを適切に設計・管理し、定期的に見直す仕組みが必要です。

基本的な考え方は最小権限の原則です。必要最低限のアクセス権のみを付与するという原則に基づき、職種・役職・業務内容に基づくロールベースアクセス制御（RBAC）を設計し、SaaS・社内システムのアカウント付与・削除をそのロールに基づいて行います。

定期的なアクセス権レビュー（半年〜年1回）を実施し、人事異動・昇降格・退職に伴うアクセス権変更が正確に反映されているかを確認してください。退職者のアカウントが残存する孤立アカウントは、不正アクセスの温床となる深刻なリスクです。

アクセス権限棚卸し方法

Step4 監査ログを取得・保管できる体制を整える

J-SOXのIT統制対応において、監査ログの取得・保管は必須要件です。誰がいつ何にアクセスし、何を操作したかの記録がなければ、内部監査・外部監査の証跡として機能しません。

SaaSごとにログ取得設定が異なるため、利用中のSaaSの監査ログ機能を確認し、必要な設定を有効化することが先決です。主要な取得ログの種類は、ログイン・ログアウト記録、ファイルアクセス・ダウンロード記録、管理者権限操作記録、アカウント作成・削除記録などです。

JosysのAccess Reviewsはアクセス権レビューを支援します。レビュー対象の管理と、各SaaSが保持する操作ログの取得・保存は区別して設計し、必要な証跡をどのサービスから取り出すかを確認してください。

監査ログ取り方 SaaS

Step5 KPIを設定してガバナンスの成熟度を測る

ITガバナンスは整備して終わりではなく、継続的に成熟度を高めていくものです。そのため、ガバナンスの状態を定量的に把握するKPIの設定が有効です。

主なKPIと目標の例を挙げます。目標値や確認頻度は、自社のリスクと運用条件に合わせて設定してください。

可視化率: 全社SaaSのうちIT部門が把握・承認済みの割合（目標: 95%以上
退職者アカウント削除完了率: 削除対象となる退職者アカウントのうち、削除が完了した割合（目標例: 100%・即日対応）
アクセス権レビュー実施率: 対象アカウントのうちレビュー完了の割合（目標: 100%・半期ごと）
IT統制テスト合格率: J-SOXの内部統制テストでの指摘事項ゼロ
ポリシー認識率: SaaS利用規程を認識・承認した従業員の割合

これらの指標を経営層への定期報告に組み込み、改善状況をモニタリングすることで、ITガバナンスは文書上の存在から動く仕組みへと進化します。

棚卸しやアクセス権レビューを自社でどう運用するか検討している方は、Josysのデモを予約することで、管理したいSaaSと連携対象を確認できます。

ITガバナンスが求められるようになった背景

2000年代初頭のシステム障害、J-SOXの制度化、SaaSの普及を背景に、ITを経営課題として管理する必要性が高まってきました。

みずほ銀行システム障害が示した教訓

2002年に発生したみずほ銀行のシステム障害は、ITガバナンスの重要性を日本の企業社会に広く認識させた事件です。合併に伴うシステム統合の失敗により、約250万件の口座振替が遅延・不能となり、社会的信頼に深刻なダメージを与えました。

この障害が明らかにしたのは、IT投資の判断やシステム統合プロセスに経営レベルの統治が機能していなかったという事実です。以来、大規模なシステム投資・移行には経営層の関与が不可欠という認識が業界全体に広まりました。情報システム部門の経営への報告体制整備や、CIOの設置が本格的に議論されるようになったのも、この事件を経てのことです。

J-SOXとIT統制の義務化

2008年に施行された金融商品取引法に基づく内部統制報告制度（J-SOX）は、上場企業および準大手企業に対して、財務報告の信頼性を確保するための内部統制の整備・評価・開示を義務付けました。

この制度の中で特に重要なのがIT統制の要素です。IT統制は大きく次の2つに分類されます。

IT全般統制（ITGC）: システム開発・変更管理・アクセス管理・ITオペレーションなど、IT環境全体の統制
IT業務処理統制: 個々の業務プロセスで取引が正確・完全に処理されることを担保する統制

さらに、2024年度から適用の改訂J-SOX（経済産業省「システム管理基準追補版」）では、クラウドサービスの利用・外部委託・リモートアクセス環境における新たなITリスクへの対応が明示されました。SaaSを多用する現代の情シス担当者にとって、この改訂内容は無視できません。

IT内部統制とは

SaaS普及でガバナンスが複雑化した

2010年代以降のSaaS普及とクラウド化は、ITガバナンスの難易度を飛躍的に高めました。オンプレミス環境では、IT部門が把握・管理できる範囲は比較的明確でした。しかし現在は、各部門が独自にSaaSを契約・利用する分散型ITが当たり前となり、IT部門が全体像を把握することが著しく困難になっています。

複数の調査によれば、従業員の80%以上がIT部門の承認を得ずに職場でSaaSを利用していると報告されています。こうした未承認SaaSの拡大は、セキュリティリスクの拡大・コンプライアンス違反・コストの無駄遣いという三重の問題をもたらします。さらに、AIツールの普及により「シャドーAI」という新たな管理課題まで生まれています。

シャドーITとは

参考: The Hidden Costs of Shadow IT | Josys Blog

ITガバナンスの8つの構成要素

ITガバナンスの構成要素は、戦略整合・組織・業務・コスト・運用・ルール・リスク・調達の8つです。実践ステップを進める際に、管理の抜け漏れを確認する視点となります。

①戦略とITシステムの整合性

最初の構成要素は、ビジネス戦略とIT戦略の方向性を一致させることです。たとえば企業が「顧客対応速度を2倍にする」という経営目標を掲げているなら、そのために必要なCRMやコミュニケーションツールへのIT投資が優先されるべきです。しかし現実には、IT部門の判断と経営層の意図がずれ、「なぜこのシステムに投資したのか」が不明確なまま予算が消費されるケースも珍しくありません。

実践として有効なのは、年次のIT戦略計画を経営陣と情シスが共同で策定し、四半期ごとに達成度を評価するサイクルを確立することです。新規SaaS導入の申請に「経営戦略のどの目標に貢献するか」を審査基準として含めることで、戦略との整合性を日常業務レベルで担保できます。

②組織体制（CIO・IT委員会・情シスの役割分担）

ITガバナンスを機能させるには、誰が何を決定し、誰が実行するかという組織構造が明確でなければなりません。大手企業ではCIOを置き、その下にIT委員会・情報システム部門が連携する体制が一般的です。

中堅企業では専任CIOを置くリソースが限られることも多いですが、それでも「IT投資の最終承認者を経営層の誰かが担う」体制は外せません。情シス部門が単独ですべての判断を下す状態では、ITガバナンスは成立しないからです。IT委員会の設置が難しい場合でも、月1回の経営会議にIT投資・リスク状況の報告アジェンダを設けるだけで、ガバナンスの骨格を作ることができます。

③業務内容の把握（IT資産・SaaSの可視化）

組織内でどの部門がどのITシステムを使っているかを正確に把握することは、ITガバナンスの基盤です。SaaS時代においては、オンプレミスの台帳管理に代わり「SaaS棚卸し」が最重要タスクとなっています。

把握すべき情報は、SaaSの名称・契約主体（部門）・利用者数・月額コスト・更新日・セキュリティ認証の有無など多岐にわたります。これを手動のスプレッドシートで管理しようとすると、更新漏れや把握漏れが頻発します。SaaS管理プラットフォームを活用した自動可視化が、現実的かつ持続可能な解決策です。

SaaS棚卸しやり方

④コスト・費用対効果の算出

IT投資の全体像を把握し、費用対効果を適正に評価することも重要な要素です。SaaSの契約が部門ごとに分散している場合、全社のIT支出を正確に集計することは容易ではありません。機能が重複する複数のSaaSに無駄なコストが流れているケースも、多くの企業で見受けられます。

評価には、導入前に設定したKPIとの比較が有効です。工数削減時間・エラー率低下・顧客満足度向上といった指標で効果を測定し、定期的なコストレビューで利用実態に基づいてライセンス数を最適化する仕組みを持つことが、コスト管理の要となります。

⑤運用体系の構築

インシデント対応・変更管理・可用性管理・バックアップ管理など、IT運用の仕組みを体系化することがこの要素です。障害が発生したときに「誰が何をするか」が明確でない組織は、ITガバナンスが機能していない状態といえます。

SaaS環境では、ベンダー側の障害に対する対応フローも重要です。SLAの確認・障害時の連絡窓口の把握・事業継続性の担保（BCP観点）を、SaaS導入時の審査項目として組み込んでおくことを推奨します。

⑥ルール設定とガイドライン遵守

ITポリシー・情報セキュリティポリシー・SaaS利用規程などを策定し、全社員へ周知徹底し、遵守状況を定期的にモニタリングする体制まで含めて「ルール統制」です。ルールを作るだけでは不十分で、運用まで一体で設計することが求められます。

具体的には、SaaS新規導入の申請・承認フロー、アクセス権付与の基準、退職者アカウント削除のタイムライン、パスワードポリシーなどが主要なルール項目です。これらが文書化されていないと、担当者が異動・退職した際にガバナンスが一気に崩れるリスクがあります。

⑦リスク管理

ITリスクを特定・評価・対処・モニタリングするプロセスを確立することが7番目の要素です。情報漏洩・不正アクセス・システム障害・コンプライアンス違反・ベンダー破綻など、リスクの種類は多岐にわたります。

ISMSの文脈では、リスクアセスメントを年1回以上実施し、リスク対応計画を策定することが求められます。SaaS管理の観点では、各SaaSのセキュリティ評価（SOC2認証の有無・データ保存場所・アクセスログ取得機能など）を導入前審査に組み込むことが、実践的なリスク管理の入口です。

⑧システム調達方法の策定

SaaSや外部ITサービスを調達する際のプロセスを標準化することが最後の要素です。無料トライアルを気軽に始めてそのまま有料化するという非公式な導入が積み重なることで、シャドーITが拡大します。

適切な調達プロセスには、要件定義・複数ベンダーの比較評価・セキュリティ審査・契約条件確認・承認者による承認・利用開始後のフォローアップというステップが含まれます。このプロセスを明文化し、実際に運用することが、SaaS時代のITガバナンスにおける調達管理の核心です。

代表的なITガバナンスフレームワーク

COBIT 2019はガバナンスと管理の体系化、ISO/IEC 38500は経営層の原則、ITILは運用・サービス管理に用います。整備したい領域と担い手に合わせて使い分けます。

COBIT 2019

COBITは、アメリカの情報システムコントロール協会（ISACA）が策定したITガバナンスの代表的フレームワークです。最新版のCOBIT 2019では、ITに加えて情報（Information）まで対象範囲を広げ、I&Tガバナンスとして再定義されています。

COBITの特徴は、ガバナンスと管理を明確に分離した構造にあります。ガバナンス領域では「評価・指示・監視（EDM）」という5つの目標を定め、管理領域では整合・計画・組織（APO）、構築・取得・実装（BAI）、提供・サービス・サポート（DSS）、モニタリング・評価・アセスメント（MEA）という4つのドメインに40の管理目標が体系化されています。

中堅企業がCOBITを導入する際は、全40目標を一度に実装しようとするのではなく、自社のリスクプロファイルと経営優先課題に照らして重点領域を絞り込むことが現実的なアプローチです。まずアクセス管理・変更管理・セキュリティ管理などから着手するのがよいでしょう。

ISO/IEC 38500

ISO/IEC 38500は、経営層がITを適切にガバナンスするための原則を定めた国際標準規格です。責任・戦略・取得・パフォーマンス・適合・人間行動という6つの原則を軸に、取締役会・上位経営管理者がITに対して「評価・指示・監視」という3つのサイクルを回すことを求めています。

COBITに比べて抽象度が高く、具体的な実装手順は示していませんが、経営層向けの説明や取締役会での議論の枠組みとして機能します。「なぜITガバナンスが必要か」「経営層は何を見るべきか」を整理する際のよりどころとして活用できます。

ITILとの違い・使い分け

ITILはIT運用・サービス管理のベストプラクティス集です。COBITがガバナンスの「何を・なぜ」を定義するのに対し、ITILはIT運用の「どのように」を定めるものです。

フレームワーク	主な目的	主な対象者	難易度
COBIT 2019	ITガバナンス・管理の体系化	経営層・IT部門責任者	高
ISO/IEC 38500	経営層のITガバナンス原則	取締役・CIO	中
ITIL	IT運用・サービス管理	IT運用担当者・情シス	中〜高

実務では、COBITでガバナンス体制の骨格を設計し、ITILでインシデント管理・変更管理・リリース管理などの運用プロセスを整備するという組み合わせが、多くの企業で採用されています。

SaaS時代に情シスが直面する3つの課題

従来のITガバナンス論が想定していなかったSaaS全盛時代固有の課題が、現代の情シス担当者に重くのしかかっています。シャドーITの拡大・少人数体制での統制維持・J-SOX改訂への対応。この3つは相互に絡み合い、いずれか一つを解決するだけでは全体のガバナンスは機能しません。

課題①シャドーITの拡大で管理対象が見えなくなる

最も深刻な課題の一つが、シャドーITの急増です。シャドーITとは、IT部門が把握・承認していない業務用アプリやSaaSの利用のことです。営業部門がSlackを、マーケティング部門がNotionを、人事部門が既存ツールとは別のオンボーディングツールをそれぞれ独自に契約・利用しているというケースは、多くの組織で日常的に起きています。

シャドーITがITガバナンス上の問題となる理由は複合的です。未承認SaaSへのデータ入力で情報漏洩リスクが高まります。GDPRや個人情報保護法などのコンプライアンス要件に違反していても、IT部門が把握できないため対処できません。監査ログを取得できないため、J-SOXのIT統制要件を満たせなくなります。さらに、利用実態に基づかない重複・無駄なライセンス費用が蓄積します。

シャドーITの発見から排除・ルール化までのプロセスを体系化し、定期的に実施することがITガバナンス強化の出発点です。

‍シャドーITとは