ITガバナンスと監査（その３）

今回は「ITガバナンスと監査（その3）」として成熟度モデルについて書いてみます。

内部監査は統制のレベルにより監査の方法が変わるこ とを「内部監査テーマと監査手続」で触れました。統制レベルの目安として、COBITでは０～５までの６段階の成熟度モデルを提供しています。成熟度は以 下のような段階が設定されています。それぞれについ大まかな基準を付記しました。

０．不在

• 課題を管理する必要性が認識されていない。
• 事象の根本原因の特定も行われない。
  

１．初期/その場対応

• 課題を管理し、解決する手続の必要性が個人レベルで認識されている。
• 課題管理の実行責任は割り当てられていない。
  

２．再現性はあるが直感的：

• 課題を管理し、解決する手続の必要性は広く認識されている。
• 情報共有は非公式で、知識は体系化されていない。

３．定められたプロセスがある

• 課題管理を管理し、解決する手続の必要性が公式に認識され文書化されている。
• 公式な手続を使用するか否かは個人依存である。
  

４．管理され、測定可能である

• 課題を管理し、解決する手続が標準化され監視・測定可能である。
• 手続は継続的に改善されている。
  

５．最適化

• 外部のベストプラクティスと同等のレベルで管理されている。
• 手続は継続的に目標レベルまで改善される。
  

前々回紹介した吉田洋氏によれば、日本の企業は重要なプロセスの成熟度についてレベル３を当初の目標とすることが現実的だそうです。
監査は内部統制の成熟度に応じて観点・手法を変える必要があるので成熟度をよく理解することは重要だと考えられます。