>
>
公開日
最終更新日
ITガバナンスとは、経営陣がIT戦略と方針を策定し組織のIT活用を統制・評価する活動です。
情シス担当者にとってITガバナンスは、単なる端末管理や障害対応ではありません。経営目標に沿ってIT投資の優先順位を決め、SaaS・端末・データ・AI利用のリスクを把握し、運用の成果を経営へ報告するための仕組みです。
本記事では、ISO/IEC 38500やNIST CSF 2.0などの公的ガイドラインを参照しながら、ITガバナンスとは何か、ITマネジメントとの違い、強化するための実践ステップを解説します。IT資産管理（ITAM）やSaaS管理ソフトウェアの役割や、導入時に失敗しやすい点も整理します。なお、GRC（ガバナンス・リスク・コンプライアンスの統合管理）やITSM（ITサービスマネジメント）はITガバナンスと関連しますが対象範囲が異なるため、本記事ではITAMおよびSaaS管理を中心に扱います。
ITガバナンスとは
ITガバナンスとは、企業の経営目標に沿ってITを活用し、投資効果・リスク・コンプライアンスを継続的に統制する仕組みです。単に情報システム部門の業務を管理することではなく、経営層がITに関する意思決定の基準、責任範囲、評価方法を定め、組織全体で運用することを指します。
例えば、新しいSaaSを導入する際には、現場の利便性だけで判断せず、事業戦略との整合性、費用対効果、既存システムとの連携、情報セキュリティ、契約上の条件、利用終了時のデータ取り扱いまでを判断対象にします。こうした判断の軸をあらかじめ定め、個別の導入案件に一貫して適用できる状態がITガバナンスです。
ISO/IEC 38500（正式名称：Information technology — Governance of IT for the organization）は、ISO（国際標準化機構）とIEC（国際電気標準会議）が共同で策定した国際規格です。組織の統治機関およびその支援者に向け、ITを効果的・効率的・受容可能な形で利用するための6原則（責任・戦略・取得・パフォーマンス・適合・人間行動）を定めています。企業規模や業種を問わず適用できる設計となっており、現在および将来のIT利用を統治の対象としています。最新版はISO/IEC 38500:2015で、ISO公式サイト（iso.org）のカタログから参照できます。
ITガバナンスが必要とされる背景
クラウドサービスやSaaSの普及により、IT導入の意思決定は情報システム部門だけで完結しにくくなりました。部門単位で契約したツールが把握されないまま利用されると、重複コスト、アカウント管理の漏れ、退職者アカウントの残存、機密情報の持ち出しなどにつながります。
また、IT投資の対象は基幹システムだけではありません。データ分析基盤、生成AI、営業支援、勤怠管理、電子契約、コミュニケーションツールなど、事業活動の多くがITサービスに依存しています。そのため、経営戦略とIT戦略を別々に扱うのではなく、投資判断・リスク判断・成果評価を結び付ける必要があります。
近年の指針でもガバナンスの位置付けは明確です。米国国立標準技術研究所（NIST）が2024年2月に公開した「NIST Cybersecurity Framework 2.0（CSF 2.0）」では、従来の5機能（識別・防御・検知・対応・復旧）に「GOVERN（統治）」を加えた6つの機能でサイバーセキュリティの成果を整理しています。GOVERNでは、リスク管理の方針、役割と責任、リスク許容度、ポリシーの策定・伝達・監視を扱います。原文はNISTの公式サイト（nist.gov/cyberframework）で無償公開されており、日本語参考訳はIPAが提供しています。ITガバナンスは、セキュリティを技術部門だけの課題にせず、経営リスクとして扱うための土台にもなります。
ITガバナンスの主な構成要素
ITガバナンスは、特定の会議体や規程だけで成立するものではありません。戦略、組織、ルール、可視化、評価を連動させることで、意思決定と現場の運用をつなげます。
IT戦略と投資方針：経営計画や事業戦略を踏まえ、どの領域にIT投資を行うか、優先順位をどのように付けるかを定めます。
意思決定権限と責任分担：経営層、CIO・情報システム部門、セキュリティ部門、各事業部門、外部委託先の役割を明確にします。
ポリシー・標準・手続き：SaaS導入、アカウント発行、端末利用、権限管理、データ保管、委託先管理などの判断基準を文書化します。
IT資産とリスクの可視化：ハードウェア、ソフトウェア、SaaS、契約、ID、管理者権限、利用状況を把握します。
モニタリングと評価：コスト、稼働率、セキュリティインシデント、監査結果、利用率、投資対効果などを定期的に確認し、方針や施策に反映します。
構成要素のうち、特に見落とされやすいのがIT資産の把握です。導入済みのSaaS、契約更新日、利用部門、管理責任者、退職者アカウントの有無が見えなければ、統制ルールを定めても実効性を判断しにくくなります。
▲ 意思決定と現場運用を連動させるITガバナンスの5つの構成要素
ITガバナンスとITマネジメントの違い
ITガバナンスとITマネジメントは密接に関係しますが、目的と主体が異なります。ITガバナンスは「何を目指し、どの基準で意思決定するか」を定める統治の領域です。ITマネジメントは、その方針に基づいて「どのように日々のITを運用するか」を担う管理の領域です。
比較項目 | ITガバナンス | ITマネジメント |
|---|---|---|
主な目的 | 経営目標に沿ったIT活用、投資対効果とリスクの統制 | ITサービス・システム・資産の日常的な運用管理 |
主な担い手 | 経営層、取締役会、CIO、経営会議、統制部門 | 情報システム部門、IT運用担当者、各システムの管理者 |
主な対象 | IT戦略、投資判断、リスク許容度、責任分担、評価指標 | 障害対応、アカウント管理、保守、ヘルプデスク、変更管理 |
時間軸 | 中長期かつ全社横断 | 日次・月次を中心とした継続的な運用 |
成果物の例 | IT戦略、投資基準、セキュリティ方針、承認ルール、KPI | 運用手順書、台帳、監視記録、障害報告、作業計画 |
例えば、全社で利用するSaaSの契約上限額や、取り扱う情報の区分ごとに必要なセキュリティ条件を決めることはITガバナンスです。一方で、実際にSaaSのアカウントを発行し、利用者を棚卸しし、更新契約の事務を行うことはITマネジメントに当たります。
なお、上表の「主な担い手」は主たる責任を整理したものです。中堅・中小規模の組織では、情報システム部門の担当者がガバナンス設計と日常運用の両方を兼任するケースも多く、その場合は「統治と管理を同じ担当者が担うが、判断の性質（方針決定か実務執行か）によって使い分ける」という意識が実務での混乱を防ぎます。
両者が分断されると、現場ではルールだけが増え、経営側ではITの実態が見えない状態になりがちです。統治で定めた方針を運用に落とし込み、運用で得られたデータを統治の見直しへ戻す循環をつくることがポイントです。
▲ 経営視点の「ITガバナンス」と現場運用視点の「ITマネジメント」の役割対比
ITガバナンスを実践する手順
ITガバナンスの整備は、制度を一度に作り込むよりも、現状の可視化と優先課題の特定から始めます。組織の規模やIT環境に応じて、次の流れで進めると整理しやすくなります。
現状のIT資産・契約・運用を棚卸しする
利用中の端末、ソフトウェア、SaaS、ID、管理者、契約先、更新日、費用、利用部門を一覧化します。シャドーITや未使用アカウントの有無も確認対象に含めます。経営課題とIT課題を対応付ける
売上拡大、業務効率化、法令遵守、セキュリティ強化などの経営課題ごとに、ITが生む価値と想定リスクを整理します。意思決定のルールを定める
導入・更新・廃止の承認者、費用基準、セキュリティ審査、例外申請、緊急時の対応方針を定義します。評価指標を設定する
ITコスト、契約数、未利用ライセンス数、管理対象外のSaaS数、重大インシデント数、監査指摘の改善状況などを指標にします。定期レビューで方針を更新する
事業環境、組織体制、利用するクラウドサービス、法規制、脅威の変化を踏まえ、ルールと投資判断を見直します。
最初からすべてのIT領域を統一する必要はありません。まずは契約・アカウント・端末など、情報漏えいやコストの発生源になりやすい領域を可視化し、改善効果を確認しながら対象を広げる方法が現実的です。
会議体と頻度については、組織規模によって現実的な設計が変わります。従業員数が100名未満でIT担当を兼任している場合、月1回の定例レビュー（参加者：経営者・IT担当・総務）で契約更新・インシデント・コストを一括確認する形が機能しやすいです。300〜1,000名規模になると、情報セキュリティ委員会（四半期）と運用レビュー（月次）を分けることで、戦略判断と日常管理の混在を防げます。1,000名超でCIOを置く場合は、IT投資審議会（四半期以上）・リスク委員会（四半期）・情シス定例（月次）の三層に分け、それぞれの会議体に経営層・事業部門・IT部門の参加者を明確に定めると、承認経路が機能しやすくなります。
▲ ITガバナンスを段階的に構築・運用するための5ステップ
IT資産・SaaS管理を支えるソフトウェアの選び方
ITガバナンスを運用に定着させるには、Excelや個別台帳に分散しやすい情報を集約し、継続的に更新できる環境が役立ちます。IT資産管理やSaaS管理のソフトウェアを選ぶ際は、機能の多さだけでなく、自社の統制ルールを運用できるかという観点で比較します。
資産情報の一元管理：PC、スマートフォン、ソフトウェア、SaaS、ライセンス、契約情報を同じ台帳で関連付けられるかを見ます。
アカウントと利用状況の把握：誰がどのサービスを利用しているか、退職・異動時に権限削除が行われたかを追跡できるかを確認します。
契約・コスト管理：更新日、契約金額、ライセンス数、利用率を可視化できれば、重複契約や未利用ライセンスの発見につながります。
監査ログと権限管理：台帳情報の変更履歴、閲覧権限、管理者権限を管理できるかは、内部統制の観点でも判断材料になります。
他システムとの連携：IdP、MDM、勤怠・人事システム、会計システムなどと連携できると、入退社や組織変更に伴う情報更新の負担を抑えやすくなります。
導入前には、製品のデモ環境や仕様書で「資産台帳」「SaaS一覧」「契約・更新管理」「利用者・権限管理」「操作履歴」の情報をどこまで把握できるかを確認します。その際、以下の技術的な制約も合わせて確認すると、導入後のギャップを減らせます。
自動検知の範囲：ネットワークスキャンやエージェント方式による端末・ソフトウェアの自動検出は、管理対象外のBYOD端末やゲストWi-Fi経由の機器には届かないことがあります。製品仕様書の「検知対象デバイス」欄で適用範囲を確認します。
SaaSのAPI連携可否：SaaS利用状況の自動取得は、対象サービスがAPIを公開しているかどうかに依存します。連携済みSaaS一覧が製品サイトに掲載されているため、自社の主要SaaSがカバーされているかを確認します。カバーされていない場合は手動入力か別ツールの併用が必要です。
シャドーITの検出限界：プロキシやSSWGを経由しないSaaS利用はログが残らず、管理ツール側では検知できません。シャドーIT対策が目的の場合は、CASBやSWGとの組み合わせが前提になります。
これらの制約を踏まえたうえで、統制対象を満たす範囲が確認できた場合は台帳集約や監査対応の効率化を見込めます。対象外の資産やサービスが多い場合は、連携機能や補完する運用の設計を選定基準に加えます。
ITガバナンスを形骸化させないためのポイント
ITガバナンスが形骸化する原因には、ルールの目的が共有されていないこと、現場の実態に合わないこと、評価データが意思決定に使われないことなどがあります。規程を作るだけで終わらせず、現場が守れる運用へ落とし込むことが欠かせません。
失敗しやすいパターンとして多いのは次の3つです。①台帳を整備したが更新されない：入力担当が一人に集中し、異動・退職で空白期間が生まれます。更新をシステムの自動同期（IdP・MDM連携）に頼れる範囲はツールに任せ、手動入力が必要な情報は月次レビューの議題に組み込んで責任者を複数設ける設計が機能しやすいです。②承認フローが形骸化する：SaaS申請に2週間かかると、現場は費用精算でツールを購入し事後報告に切り替えます。迅速に承認できる少額・低リスク枠（例：月額1万円未満かつ機密データ非保存）を設け、迅速承認ルートを別に用意することで、ガバナンスを維持しながら現場の速度を確保できます。③報告がIT部門内で完結する：データを集めても経営会議のアジェンダに載らない場合、方針変更や予算判断につながりません。四半期ごとに経営層が確認する指標を3〜5本に絞り、前回との差分と対応策をセットで提示する形にすると議論が起きやすくなります。
そのためには、ルールごとに「何のリスクを抑えるのか」「誰が判断するのか」「例外が起きた場合はどう扱うのか」を明確にします。例えばSaaS導入の申請ルールでは、費用だけでなく、保存するデータの種類、SSOや多要素認証への対応状況、管理者権限、解約時のデータ削除条件などを判断項目として定めます。
また、経営層への報告では、技術的な指標だけでなく、事業への影響が分かる形に変換します。以下のKPIを継続して示すことで、IT投資とリスク対応の優先順位を議論しやすくなります。
未管理SaaS率（%）：把握済みSaaS数 ÷ 総SaaS数（クレジットカード明細・費用精算データから抽出）× 100。目標値の例：四半期ごとに10ポイント改善。
未使用ライセンスコスト（円）：（契約ライセンス数 − 過去90日以内にログインがあるアカウント数）× 単価。削減候補の把握に使います。
退職者アカウント残存件数：退職日から30日以上経過してもアクティブなアカウントの件数。ゼロが目標。
SaaS導入審査の通過率（%）：申請件数に対して審査を経て承認されたSaaSの割合。低すぎる場合は審査フローの煩雑さが原因である可能性があります。
SaaS導入審査のチェックリスト項目としては、①保存するデータの機密分類、②SSO（シングルサインオン）への対応可否、③多要素認証の強制設定が可能かどうか、④管理者権限の分離設計、⑤解約時のデータエクスポート・削除条件、⑥準拠法・データ保管国、⑦セキュリティ診断レポート（SOC2等）の取得有無、の7項目を基本として整備しておくと、案件ごとの判断を標準化しやすくなります。
ITガバナンスは、経営判断の質を高めるための仕組みです。ITマネジメントによる日々の運用データを活用しながら、戦略・リスク・コスト・セキュリティを一体的に見直すことで、変化の速いIT環境にも対応しやすくなります。
まとめ
ITガバナンスとは、経営目標とIT活用を結び付け、IT投資の価値、セキュリティ、コンプライアンスを統制するための仕組みです。ITマネジメントが日常的な運用を担うのに対し、ITガバナンスは投資方針、責任分担、承認ルール、評価指標といった意思決定の枠組みを扱います。
実践では、IT資産・SaaS・契約・アカウントを可視化したうえで、経営課題との対応付け、ルール整備、KPI設定、定期レビューを進めます。IT資産管理・SaaS管理のソフトウェアも活用し、運用データを統治の見直しにつなげることで、ITガバナンスを継続的な経営基盤として機能させやすくなります。
本記事の内容に誤り等がございましたら、こちらからご連絡ください。
監修
Admina Team
情シス業務に関するお役立ち情報をマネーフォワード Adminaが提供します。
SaaS・アカウント・デバイスの管理を自動化し、IT資産の可視化とセキュリティ統制を実現。
従業員の入退社対応や棚卸し作業の工数を削減し、情報システム部門の運用負荷を大幅に軽減します。
中小企業から大企業まで、情シス・管理部門・経営層のすべてに頼れるIT管理プラットフォームです。
