🦉 Episode 2: 見えない操縦桿 --- ITガバナンス

入社2日目の朝。カイロウがオフィスに着くと、先輩の鷹山さんが大きなモニターの前で腕を組んでいた。画面には経営会議の議事録が映し出されている。

💼「昨日はサーバールームを見て、情報システムの中身を学んだな。今日はもっと大きな話をする。あの金属の箱たちを、誰が、何のために、どう動かすかを決める仕組み——ITガバナンスだ」

🦉「ガバナンス……統治、ですか？」

💼「そう。ITガバナンスは、ITの世界の交通法規みたいなものだ。道路がいくら整っていても、信号機やルールがなければ事故が起きる」

---

鷹山さんはホワイトボードに図を描き始めた。

💼「まず押さえておきたいのが、ITガバナンスの最終責任は誰にあるかだ。CIO？ IT部門長？」

カイロウは少し考えた。

🦉「……IT部門の偉い人ですか？」

💼「違う。取締役会だ」

🦉「取締役会？ サーバーの設定とか知らないですよね？」

💼「知らなくていい。取締役会の役割は方向付けと監督。『どのIT投資を優先するか』『セキュリティポリシーを承認する』『IT部門の成果を評価する』。日常のサーバー管理はIT部門の仕事だが、その大きな方針を決めて見守るのは経営層の責任だ」

カイロウの脳裏に森の光景が浮かんだ。森では長老フクロウが群れの行動方針を決め、若いフクロウたちが実行する。長老は一羽一羽のエサ取りを監督しないが、「今年はどの森の区域を使うか」「天敵への対応方針」を決める。それと同じ構造だ。

---

午前中、鷹山さんはCOBITというフレームワークについて説明した。

💼「COBITは、ITガバナンスの教科書みたいなものだ。ISACAという団体が作っている」

ホワイトボードにツリー図が描かれた。

💼「COBITの核心は、ガバナンスと管理を分けていること。EDMというガバナンス領域が『何をすべきか』を決め、APO・BAI・DSS・MEAという4つの管理領域が『どうやるか』を実行する」

🦉「EDM……評価して、方向付けして、監視する。取締役会の仕事そのものですね」

カイロウは素直に感心した。

💼「その通り。で、BAIは『Build, Acquire, Implement』——作る、買う、入れる。新しいシステムを導入するときのドメインだ。DSSは日常のサービス提供。MEAは監視と評価」

🦉「試験で聞かれそうですね……『ITソリューションの定義・調達・導入を担当するドメインは？』って」

💼「BAIだな。覚えておけ」

---

昼食後、鷹山さんはセキュリティポリシーの話に移った。

この章の試験での位置づけ

CPA Exam Blueprint（試験設計図） とは、AICPAが公式に公表している「試験で何が、どのくらいの比率で、どのレベルで問われるか」を定めた文書です。 全ての出題はこのBlueprintに基づいて作成されます。つまり Blueprintを知ることは、試験の設計者の意図を知ること です。

このChapterのポイント: ITガバナンスは「情報システムをどう管理・統治するか」の枠組み。Chapter 1で学んだITインフラが「モノ」だとすれば、ITガバナンスは「モノの使い方のルールと責任構造」。 COBIT 2019の5ドメイン（EDM/APO/BAI/DSS/MEA）の役割分担 、ポリシー階層（Policy→Standard→Guideline→Procedure） 、SLE/ARO/ALEのリスク定量計算 、RTO/RPOの数値問題 が最頻出。

前提知識 --- この章に入る前に、分かっているとラクなこと

---

1. なぜこの論点が必要か（Why）

ISC科目の全体像 --- 今どこにいるか

【ISC科目の全体構造】