日本版SOX法・徹底解析

経営コンサルタント

情報システムコントロール協会 東京支部　理事

日本ITガバナンス協会　事務局長

梶本 政利

http://itpro.nikkeibp.co.jp/article/COLUMN/20091119/340802/?ST=management

　前回まで，IT投資のフレームワーク（枠組み）である「Val IT」の全体像を説明してきた。今回と次回で，Val ITを使ってどのようにIT投資計画を作成していくかを解説する。今回は，IT投資計画を作成するための10のステップに触れる。

ポートフォリオを作って全体を把握する

　IT投資計画を作成するためには，Val ITが提唱するIT投資のポートフォリオのプロトタイプ（原型）を構築する必要がある。システムの状況全体を管理できるようにするのが狙いである。

　プロトタイプが出来上がったら，それに基づいて管理しつつ，ポートフォリオの精度を高めていく。若干，遠回りに思えるかもしれないが，長期的に見ればこの形が有意義だと考えている。

　ポートフォリオの作成は以下の10ステップで進める。

方針の決定，初期の実施体制の確立

事業の洗い出し

システムの洗い出し，過去の修正・トラブル履歴（およびそのためのコスト）の確認

現状の測定（短期モニタリング）

将来の予測

システムの貢献度（金額換算した効果，ROIなど）の見積もり

撤退限界（条件）の確認，撤退コストと代替手段コストの見積もり

優先順位付け（事業に対する必要性，コスト効果などをもとに）

全体把握（第1段階のポートフォリオの作成）

継続案件，変更案件，撤退案件の選別（業務改善・改革，代替手段への移行，ベンダーとの契約の見直し，その他）

　順に説明しよう。

1. 方針の決定，初期の実施体制の確立

　まず、今後どのようなビジネスに対する投資を重視するのか，コストダウンと価値創造のどちらに主軸に置くか，といったIT投資に関する基本的な方針を具体的かつ明確に示す。IT投資のポートフォリオにおける優先順位付けは，この基本方針によって大きく変わってくる。

　基本方針を作成する狙いは，IT投資に関する全社的なガバナンスを確立することにある。それには経営トップ層が明確に方針を示し，それを周知していく必要がある。

　次に，この基本方針に基づいてポートフォリオの原型を作成するためのプロジェクト・チームを編成する。プロジェクト・チームは，与えられた期間内に2.以下のステップを実行するための計画を立て，承認を得た上で行動を開始する。

　その際，プロジェクトはあくまで経営の視点に基づいて進めることが大切である。利用部門とシステム部門に対して中立な立場で活動できるようにプロジェクト・チームの体制を作ると同時に，その実行のための権限を与えることが肝要だ。

2. 事業の洗い出し

　2つ目のステップでは，事業の洗い出しを実行する。どのような事業を実施しているか，改善すべき事項は何か，事業に関する今後の計画，などを調査してまとめる。J-SOX（日本版SOX法）対応に必要ないわゆる3点セットと呼ばれる文書を作成するわけではないので，それほど綿密に調査する必要はない。

　この段階で，情報システムの利用部門にはどのようなものがあるのか，情報システムに関連する問題点や要望なども調査する。ITガバナンスのフレームワークであるCOBITでは，システムの基本要素として「人材」「情報（データ）」「アプリケーション」「システム基盤（ハードやネットワークなど）」を挙げている。これらについて，事業担当者の視点に立って調査していく。

3. システムの洗い出し，過去の修正・トラブル履歴（およびそのためのコスト）の確認

　3つ目のステップでは，システム担当者に調査する。全社のシステムを統括している部門がある場合はその部門に，個々の現場が個別にシステムを運用しているのであれば，各部門の運用担当者にヒアリングすることになる。

　ここで調査するのは，以下のような項目である。

システム構成

データベースの状況

ネットワークの状況

セキュリティ対策の状況

運用管理の状況

システム間の相互関係

システムトラブルの発生状況

システム変更に関するニーズの把握状況

トラブルの発生状況

トラブル対応にかかるコストの発生状況

システム更改の必要性

　計画中あるいは開発中のシステムに関しても，できる限り情報を収集する。

4. 現状測定（短期モニタリング）

　前のステップで現状のシステムの状況を洗い出した。しかし，それだけでシステムの実態を正確に把握できているとは限らない。システムは正常に稼働しているが，負荷が適切でない可能性もある。逆に，システムが実は全く使われていないというケースもあり得る。

　そこで4つ目のステップとして，システムの状況を実際にある期間，モニタリングする必要がある。期間は，例えば月次処理が見える1カ月程度など，短期間でよい。この間に，システムの負荷や利用の状況を測定する。通常時とピーク時でどの程度差があるか，時間帯ごとの状況などを把握する。

5. 将来予測

　4つ目のステップまでで，システムにかかわる現状を把握できた。5つ目のステップではそれまでの調査結果に基づいて，システムの将来予測を実施する。現在のシステムを更改・廃棄すべき時期まで運用するとしたら，どのような効果が得られるか。そのために費用がどの程度かかるかなどを予測する。

　効果については，できるだけ定量的な形で把握する。最終的に金額に換算しやすいからだ。定性的な効果についても，可能な限り具体的に把握するよう努めたい。同時に，当該システムを利用する業務に関して，今後新たな規制などの影響を受ける可能性があるか，などを確認しておく。

6. システムの貢献度の見積もり

　6つ目のステップでは，前のステップまでで把握したシステムの現状および将来に基づき，システムがどの程度貢献するかを見積もる。

　ここでは，各システムが実際にもたらしている効果（例えば人件費などをどの程度削減できたか），システムが存在しなければ実現できない機能（価値）とは何か，各システムの導入から運用にかかる費用の状況を把握する。これらの情報から，費用対効果はどの程度か，いつ投資を回収できる見込みか，などを分析できる。

7. 撤退限界（条件）の確認，撤退コストと代替手段コストの見積もり

　システムの貢献度の見積もり次第で，開発途中あるいは運用中のシステムの開発や利用を取りやめるという選択肢も考えられる。7つ目のステップでは，システムの開発や運用を続ける価値があるのか，取りやめたほうがよいのかを判断するために必要な調査を実行する。

　開発途中のシステムであれば，開発の前提条件が変化していないか，計画と比較して予算や期間などに大きな問題が発生していないかなどを点検する。運用中のシステムについては，他に費用対効果が優れた選択肢がないかを調査する。

　システムの開発や運用を取りやめることを検討する必要がある場合は，取りやめによって生じる費用や，別のシステムに切り替える費用を見積もる。これらの結果を基に，システムの開発や運用を取りやめるかを判断する基礎資料を作成する。

8. 優先順位付け

　以上の調査を基に，財務，顧客，業務プロセス，学習と成長というバランス・スコアカード（BSC）の視点から，各システムの状況をまとめることができる。各システム，ひいてはそれぞれのシステムが支える事業におけるリスクの大きさも把握できる。

　8つ目のステップでは，これらの結果を利用して，それぞれのシステムに対するIT投資の優先順位を付ける。組織として戦略的に重視する項目とそうでない項目をあらかじめ設定しておき，それらを1つ目のステップで設定した基本方針と照らし合わせて重み付けしていく。

　重み付けした結果から，システムに対するIT投資の優先順位を検討する。優先順位が高いシステムは「投資を今後も続ける」，中程度のシステムは「投資額を削減して継続」，低いシステムは「投資を打ち切る」などとみなせる。

　もちろん，各システムの価値を単純に数値化して比較できるとは限らない。それでも，この方法を採れば，組織にとっての戦略的な視点を重視しつつ，IT投資の方向性を考えることができるはずである。

9. 全体把握

　続いて，IT投資の意思決定に必要な情報を網羅した一覧表を作成する。ここまでの調査や検討を基に，各システムを優先順位に基づいて並べる。上位のシステムは「必須」，下位のシステムは「状況に応じて調整もしくは削減可能」などとなる。

　一覧表には，システム一覧に加えて，それぞれのシステムにかかっている費用や今後必要になる費用も記載しておく。これでポートフォリオの原型が完成する。

10. 継続案件，変更案件，撤退案件の選別

　最後のステップでは，ポートフォリオの原型を利用して，案件ごとに「継続」「変更」「撤退」のうち，どれを選ぶかを検討する。この選定作業は，組織における戦略や方針を重視しつつ，慎重に進めなければならない。

　特に変更あるいは撤退を選ぶ場合，それに伴う業務改善・改革は可能か，代替手段にどう移行するか，ベンダーとの契約を見直す必要がある場合はそのための手続きや費用がどの程度か，などを確認する必要がある。

　継続すべきとした案件についても，何もしなくてよいわけではない。業務改善・改革策を引き続き検討していく必要がある。それによって，より大きな利益を生む可能性があるからだ。

　以上の作業の結果から，業務改善・改革やシステムの変更などに関するIT投資計画を作成する。その上で，実行体制を整備し，予算を確保すれば，本格的に作業を開始できることになる。

　　　　　　◇　　　　　　　　　　　◇　　　　　　　　　　　◇

　ここまで説明した10のステップを実行すれば，Val ITで提唱しているフレームワークを導入可能な状態になる。ただし，ここで作成したのはあくまで第1段階のポートフォリオの原型である。ポートフォリオを継続的に見直し，精度を高めていく姿勢が重要だ。

　当然ではあるが，Val ITのフレームワークを導入すること自体を目的としてはならない。目的は，経営に資するIT投資を適切に実施しているかを判断できる状態を継続することにある。この点をくれぐれも忘れないでほしい。

梶本 政利（かじもと まさとし）

経営コンサルタント

情報システムコントロール協会 東京支部　理事

日本ITガバナンス協会　事務局長

コンピュータ・メーカーのシステムエンジニアを経験後，国内のコンサルティング会社でコンサルティングに従事。IT関連および業務改善，組織改革，人事改革などを経験。その後，外資系のコンサルティング会社に移籍，さらにその提携先であった大手監査法人に移籍し，監査やコンサルティングに従事。現在は独立し，元の監査法人との関係を軸としてITおよび経営などに関するコンサルティング活動を行っている。ISACA（当時はEDPAA）の東京支部に1992年に入会し，94年から現在に至るまで理事。2003～05年に会長。2006年に日本ITガバナンス協会の設立に参加し，事務局長として現在に至る。