>
>
公開日
最終更新日
ITガバナンスとは、取締役会等が組織のITシステムの利活用に責任を負う統治の領域です。経済産業省の『システム管理基準』は、経営者が責任を負うITマネジメントと区別しています。
IT統制の整備を担う情シス担当者は、IT資産・SaaS・契約・アカウントを棚卸しし、その結果を経営の投資判断とリスク判断につなげます。
本記事のポイント
ITガバナンスは、IT投資やリスクに関する意思決定の基準と責任を定めます。
ITマネジメントは、定めた方針に沿ってシステムやIT資産を管理・運用します。
実践は棚卸しから始め、課題整理、ルール整備、KPI設定、定期レビューの5段階で進めます。
管理ソフトウェアは、自社の資産・SaaSを把握できる範囲と運用上の制約で比較します。
以下では、構成要素や両者の違いを整理し、承認手続きや評価指標を現場の運用へ落とし込む方法を解説します。
ITガバナンスとは
ITガバナンスとは、企業の経営目標に沿ってITを活用し、投資効果・リスク・コンプライアンスを継続的に統制する仕組みです。単に情報システム部門の業務を管理することではなく、経営層がITに関する意思決定の基準、責任範囲、評価方法を定め、組織全体で運用することを指します。経済産業省の「システム管理基準」（2023年版）も、取締役会等が責任を負う領域をITガバナンス、経営者が責任を負う領域をITマネジメントとして区別しています。
例えば、新しいSaaSを導入する際には、現場の利便性だけで判断せず、事業戦略との整合性、費用対効果、既存システムとの連携、情報セキュリティ、契約上の条件、利用終了時のデータ取り扱いまでを判断対象にします。こうした判断の軸をあらかじめ定め、個別の導入案件に一貫して適用できる状態がITガバナンスです。
ISO/IEC 38500（正式名称：Information technology — Governance of IT for the organization）は、ISO（国際標準化機構）とIEC（国際電気標準会議）が共同で策定した国際規格で、組織の統治機関とその支援者に向け、ITを効果的・効率的・受容可能な形で利用するための原則を定めています。2015年版は6原則（責任・戦略・取得・パフォーマンス・適合・人間行動）でしたが、2024年2月の第3版（ISO/IEC 38500:2024）では、組織統治の規格ISO 37000に合わせて11原則に改められました。企業規模や業種を問わず適用でき、現在および将来のIT利用を対象としています。システム管理基準は、取締役会等の活動を「ステークホルダーへの対応」と、ITマネジメントに対する「評価（Evaluate）・指示（Direct）・モニタ（Monitor）」で構成しています。
ITガバナンスが必要とされる背景
クラウドサービスやSaaSの普及により、IT導入の意思決定は情報システム部門だけで完結しにくくなりました。部門単位で契約したツールが把握されないまま利用されると、重複コスト、アカウント管理の漏れ、退職者アカウントの残存、機密情報の持ち出しなどにつながります。
また、IT投資の対象は基幹システムだけではありません。データ分析基盤、生成AI、営業支援、勤怠管理、電子契約、コミュニケーションツールなど、事業活動の多くがITサービスに依存しています。そのため、経営戦略とIT戦略を別々に扱うのではなく、投資判断・リスク判断・成果評価を結び付ける必要があります。
近年の指針でもガバナンスの位置付けは明確です。米国国立標準技術研究所（NIST）が2024年2月に公開した「NIST Cybersecurity Framework 2.0（CSF 2.0）」では、従来の5機能（識別・防御・検知・対応・復旧）に「GOVERN（統治）」を加えた6つの機能でサイバーセキュリティの成果を整理しています。GOVERNでは、リスク管理の方針、役割と責任、リスク許容度、ポリシーの策定・伝達・監視を扱います。原文はNISTの公式サイトで無償公開されており、日本語参考訳はIPAが提供しています。この統治の考え方は、セキュリティを技術部門だけの課題にせず、経営リスクとして扱うための土台にもなります。
ITガバナンスの主な構成要素
ITガバナンスは、特定の会議体や規程だけで成立するものではありません。戦略、組織、ルール、可視化、評価を連動させることで、意思決定と現場の運用をつなげます。
IT戦略と投資方針：経営計画や事業戦略を踏まえ、どの領域にIT投資を行うか、優先順位をどのように付けるかを定めます。
意思決定権限と責任分担：経営層、CIO・情報システム部門、セキュリティ部門、各事業部門、外部委託先の役割を明確にします。
ポリシー・標準・手続き：SaaS導入、アカウント発行、端末利用、権限管理、データ保管、委託先管理などの判断基準を文書化します。
IT資産とリスクの可視化：ハードウェア、ソフトウェア、SaaS、契約、ID、管理者権限、利用状況を把握します。
モニタリングと評価：コスト、稼働率、セキュリティインシデント、監査結果、利用率、投資対効果などを定期的に確認し、方針や施策に反映します。
構成要素のうち、特に見落とされやすいのがIT資産の把握です。導入済みのSaaS、契約更新日、利用部門、管理責任者、退職者アカウントの有無が見えなければ、統制ルールを定めても実効性を判断しにくくなります。
▲ ITガバナンスを構成する5つの要素と連動の仕組み
ITガバナンスとITマネジメントの違い
両者は密接に関係しますが、目的と主体が異なります。ITガバナンスは「何を目指し、どの基準で意思決定するか」を定める統治の領域です。一方、ITマネジメントは、その方針に基づいて「どのように日々のITを運用するか」を担います。
比較項目 | ITガバナンス | ITマネジメント |
|---|---|---|
主な目的 | 経営目標に沿ったIT活用、投資対効果とリスクの統制 | ITサービス・システム・資産の日常的な運用管理 |
主な担い手 | 取締役会等（経営の監督を担う機関） | 経営者（CEO・CIO等）、情報システム部門、IT運用担当者、各システムの管理者 |
主な対象 | IT戦略、投資判断、リスク許容度、責任分担、評価指標 | 障害対応、アカウント管理、保守、ヘルプデスク、変更管理 |
時間軸 | 中長期かつ全社横断 | 日次・月次を中心とした継続的な運用 |
成果物の例 | IT戦略、投資基準、セキュリティ方針、承認ルール、KPI | 運用手順書、台帳、監視記録、障害報告、作業計画 |
例えば、全社で利用するSaaSの契約上限額や、取り扱う情報の区分ごとに必要なセキュリティ条件を決めることは、ITガバナンスの役割です。一方で、実際にSaaSのアカウントを発行し、利用者を棚卸しし、更新契約の事務を行うことはITマネジメントに当たります。
なお、上表の「主な担い手」は主たる責任を整理したものです。中堅・中小規模の組織では、情報システム部門（情シス）の担当者がガバナンス設計と日常運用の両方を兼任するケースも多く、その場合は、判断の性質（方針決定か実務執行か）で両者を区別します。
両者が分断されると、現場ではルールだけが増え、経営側ではITの実態が見えない状態になりがちです。ITガバナンスで定めた方針を運用に落とし込み、運用で得られたデータを方針の見直しへ戻します。
▲ ITガバナンスとITマネジメントの目的や役割の違い
ITガバナンスを実践する手順
統治体制の整備は、制度を一度に作り込むよりも、現状の可視化と優先課題の特定から始めます。組織の規模やIT環境に応じて、次の流れで進めると整理しやすくなります。
現状のIT資産・契約・運用を棚卸しする
利用中の端末、ソフトウェア、SaaS、ID、管理者、契約先、更新日、費用、利用部門を一覧化します。シャドーITや未使用アカウントの有無も確認対象に含めます。経営課題とIT課題を対応付ける
売上拡大、業務効率化、法令遵守、セキュリティ強化などの経営課題ごとに、ITが生む価値と想定リスクを整理します。意思決定のルールを定める
導入・更新・廃止の承認者、費用基準、セキュリティ審査、例外申請、緊急時の対応方針を定義します。評価指標を設定する
ITコスト、契約数、未利用ライセンス数、管理対象外のSaaS数、重大インシデント数、監査指摘の改善状況などを指標にします。定期レビューで方針を更新する
事業環境、組織体制、利用するクラウドサービス、法規制、脅威の変化を踏まえ、ルールと投資判断を見直します。
最初からすべてのIT領域を統一する必要はありません。まずは契約・アカウント・端末など、情報漏えいやコストの発生源になりやすい領域を可視化し、改善効果を確認しながら対象を広げる方法が現実的です。
▲ ITガバナンスを段階的に実践する5つの手順
IT資産・SaaS管理を支えるソフトウェアの選び方
統治の仕組みを運用に定着させるには、Excelや個別台帳に分散しやすい情報を集約し、継続的に更新できる環境が役立ちます。IT資産管理やSaaS管理のソフトウェアを選ぶ際は、機能の多さだけでなく、自社の統制ルールを運用できるかという観点で比較します。
資産情報の一元管理：PC、スマートフォン、ソフトウェア、SaaS、ライセンス、契約情報を同じ台帳で関連付けられるかを見ます。
アカウントと利用状況の把握：誰がどのサービスを利用しているか、退職・異動時に権限削除が行われたかを追跡できるかを確認します。
契約・コスト管理：更新日、契約金額、ライセンス数、利用率を可視化できれば、重複契約や未利用ライセンスの発見につながります。
監査ログと権限管理：台帳情報の変更履歴、閲覧権限、管理者権限を管理できるかは、内部統制の観点でも判断材料になります。
他システムとの連携：IdP、MDM、勤怠・人事システム、会計システムなどと連携できると、入退社や組織変更に伴う情報更新の負担を抑えやすくなります。
導入前には、製品のデモ環境や仕様書で「資産台帳」「SaaS一覧」「契約・更新管理」「利用者・権限管理」「操作履歴」の情報をどこまで把握できるかを確認します。その際、以下の技術的な制約も合わせて確認すると、導入後のギャップを減らせます。
自動検知の範囲：ネットワークスキャンやエージェント方式による端末・ソフトウェアの自動検出は、管理対象外のBYOD端末やゲストWi-Fi経由の機器には届かないことがあります。製品仕様書やヘルプで、検知できるデバイスの範囲を確認します。
SaaSのAPI連携可否：候補製品の提供元が製品サイトで公開している連携済みSaaS一覧を確認し、自社の主要SaaSが対象に含まれるかを確認します。カバーされていない場合は手動入力か別ツールの併用が必要です。
シャドーITの検出限界：検知の元データ（通信ログ、IdPのログイン記録など）を製品仕様で確認し、対象外となる利用経路は経費精算データとの突合など別の手段で補います。
これらの制約を踏まえたうえで、統制対象を満たす範囲が確認できた場合は台帳集約や監査対応の効率化を見込めます。対象外の資産やサービスが多い場合は、連携機能や補完する運用の設計を選定基準に加えます。
ITガバナンスを形骸化させないためのポイント
統治の仕組みが形骸化する原因には、ルールの目的が共有されていないこと、現場の実態に合わないこと、評価データが意思決定に使われないことなどがあります。規程を作るだけで終わらせず、現場が守れる運用へ落とし込むことが欠かせません。
実務では、台帳更新、承認フロー、経営報告の3か所でつまずきやすくなります。
台帳を整備したが更新されない：入力担当が一人に集中し、異動・退職で空白期間が生まれます。更新をシステムの自動同期（IdP・MDM連携）に頼れる範囲はツールに任せ、手動入力が必要な情報は月次レビューの議題に組み込んで責任者を複数設ける設計が機能しやすいです。
承認フローが形骸化する：申請をすべて同じ手順で審査すると現場の負担が増えるため、少額・低リスクの枠を設けて迅速承認ルートを別に用意します。金額や保存データの条件は自社のリスク許容度に合わせて決めることで、ガバナンスを維持しながら現場の速度を確保できます。
報告がIT部門内で完結する：データを集めても経営会議のアジェンダに載らない場合、方針変更や予算判断につながりません。四半期ごとに経営層が確認する指標を3〜5本に絞り、前回との差分と対応策をセットで提示する形にすると議論が起きやすくなります。
そのためには、ルールごとに「何のリスクを抑えるのか」「誰が判断するのか」「例外が起きた場合はどう扱うのか」を明確にします。例えばSaaS導入の申請ルールでは、費用だけでなく、保存するデータの種類、SSOや多要素認証への対応状況、管理者権限、解約時のデータ削除条件などを判断項目として定めます。
また、経営層への報告では、技術的な指標だけでなく、事業への影響が分かる形に変換します。以下のKPIを継続して示すことで、IT投資とリスク対応の優先順位を議論しやすくなります。
未管理SaaS率（%）：（検出SaaS数 − 台帳登録済みSaaS数）÷ 検出SaaS数 × 100。検出SaaS数は、クレジットカード明細・費用精算データとIdPのログイン記録から月次で集計し、台帳に登録されていないサービスを分子とします。
未使用ライセンスコスト（円）：（契約ライセンス数 − 自社で定めた期間内にログインがあるアカウント数）× 単価。サービスアカウントや共用アカウント、年度末など季節的にしか使わないライセンスは対象から除き、ログインの記録はIdPや各SaaSの管理画面にある最終ログイン日から取得できる範囲で集計し、削減候補の把握に使います。
退職者アカウント残存件数：退職後もログインやAPI連携で利用できる状態のアカウントの件数。削除せずデータだけ保持していても、アクセス権を無効化済みなら数えず、目標は原則ゼロです。
SaaS導入審査の通過率（%）：申請件数に対して審査を経て承認されたSaaSの割合。通過率だけでは審査の良否は判断できず、低い場合でも機密データを扱う申請が多いなど申請内容のリスク水準が高いことが理由の場合があるため、却下理由の内訳や審査基準、審査にかかる日数と併せて、フローの煩雑さが原因かどうかを切り分けます。
SaaS導入審査のチェックリスト項目としては、①保存するデータの機密分類、②SSO（シングルサインオン）への対応可否、③多要素認証の強制設定が可能かどうか、④管理者権限の分離設計、⑤解約時のデータエクスポート・削除条件、⑥準拠法・データ保管国、⑦第三者機関によるセキュリティ評価の取得状況（SOC 2報告書、ISMS認証など）、の7項目を基本として整備しておくと、案件ごとの判断を標準化しやすくなります。
ITガバナンスは、経営判断の質を高めるための仕組みです。ITマネジメントによる日々の運用データを活用しながら、戦略・リスク・コスト・セキュリティを一体的に見直すことで、変化の速いIT環境にも対応しやすくなります。
まとめ
ITガバナンスとは、経営目標とIT活用を結び付け、IT投資の価値、セキュリティ、コンプライアンスを統制するための仕組みです。ITマネジメントが日常的な運用を担うのに対し、ITガバナンスは投資方針、責任分担、承認ルール、評価指標といった意思決定の枠組みを扱います。
実践では、IT資産・SaaS・契約・アカウントを可視化したうえで、経営課題との対応付け、ルール整備、KPI設定、定期レビューを進めます。IT資産管理・SaaS管理のソフトウェアも活用し、運用データを方針の見直しにつなげることで、ITガバナンスを継続的な経営基盤として機能させやすくなります。
本記事の内容に誤り等がございましたら、こちらからご連絡ください。
監修
Admina Team
情シス業務に関するお役立ち情報をマネーフォワード Adminaが提供します。
SaaS・アカウント・デバイスの管理を自動化し、IT資産の可視化とセキュリティ統制を実現。
従業員の入退社対応や棚卸し作業の工数を削減し、情報システム部門の運用負荷を大幅に軽減します。
中小企業から大企業まで、情シス・管理部門・経営層のすべてに頼れるIT管理プラットフォームです。
