はじめに、ＩＴ活用の進展・ＩＣＴ技術の進歩・システム能力の向上・高頻度取引（ＨＦT)・情報セキュリティー事故の問題等、ＩＴガバナンスを理解するための環境について解説いただいた。

続いて本論では日本監査役協会に設置されたＩＴガバナンス研究会でまとめた報告書「監査役に期待されるＩＴガバナンスの実践」を参照しつつ、総論（基本認識）と各論（監査役としての着眼点）に区分して講演いただいた。

１．ＩＴガバナンスとは 　　 定義

• コーポレートガバナンスのうち「ＩＴの利用に関するガバナンス機能」を指す。
• また監査役の立場からはコーポレートガバナンスの一側面と位置付けられる。
• すなわち、ＩＴの戦略的活用とそれに伴うリスクに対し、取締役から独立した立場で監視・検証することにより、企業グループ全体としてのＩＴ活用の推進とリスク対処を効果的にする仕組みないし活動である。

２．監査役としてＩＴガバナンスにどのように取り組むべきか

• ＩＴガバナンスに特別な方法・仕組みは不要。
• 取締役が果たすべき職能と責任を独立した立場から監視・検証する。
• ＩＴリスクは技術的リスクではなく、取締役が対応すべき重要な経営リスクである。
• 取締役と監査役の役割・責任は「車の両輪」と認識すべき。
• 事業戦略にＩＴ戦略がどのようにビルトインされているかチェックする必要がある。

３．ＩＴガバナンスに係る監査上のチェックポイント

• 業務の重要性に応じて、取締役がＩＴ活用に関するリスクを認識しているか。
• リスクの影響を部門横断的に把握できる仕組みがあるか。
• 情報システムの長時間機能停止などの緊急事態にも対応できる体制をとっているか。

４．ＩＴガバナンスの目的とは

• 対外的目的（要素は企業価値向上および社会的責任の履行）。
• 対内的目的（要素は業務の有効性と効率性の達成および事業・業務継続の確保）。
• 内外２つの目的を実現させるために、４つの要素を全体サイクルとして機能させること。

５．ＩＴガバナンスの構成要素

• ＩＴ利活用をめぐる組織風土の健全性の確保とその監視。
• 経営戦略としてのＩＴ戦略の明確化とその監視。 経営リスクとしてのＩＴリスクの評価とその監視。
• ＩＴ管理方針・体制の整備とその監視。
• ＩＴプロセスの定期的チェックとその監視。
なお
• ＩＴガバナンスの構成要素は、体系性をもった「一連のチェーン」である。
• 監視とは取締役による相互監視と監査役による独立的監視・検証である。

１．監査役がＩＴ監査を実施する上でチェックすべき項目

• ＩＴの利活用を巡る組織風土の健全性が確保されているか―これが全ての構成要素の土台。
• ＩＴ戦略の明確化がなされているか―具体的には、長期的な経営ビジョンに基づく事業戦略とＩＴ戦略の整合性の確保・ＩＴ戦略が内包するリスクの認識・戦略を実現するために必要なＩＴ投資に関する意思決定等が明確か。
• 経営リスクとしてのＩＴリスクの評価（ＩＴリスクの連鎖・派生を含めて）―ＩＴリスクは取締役が対処すべき経営リスクであり、全取締役によるリスク認識の共有化とリスク対処についての相互監視の状況はどうか。
• ＩＴ管理方針・体制の整備―取締役から管理者層への指揮・命令体制はどうか。
• ＩＴ管理プロセスの定期的チェック―ＩＴ管理結果報告・ユーザー管理者からの報告システム機能変更・運用体制変更等への対応はどうか。

２．会社法内部統制システム面でのリスク認識と監査役の対応

リスクの所在：

• ＩＴの利活用を巡る組織風土の健全性が確保されているか―これが全ての構成要素の土台。
• ＩＴ戦略の明確化がなされているか―具体的には、長期的な経営ビジョンに基づく事業戦略とＩＴ戦略の整合性の確保・ＩＴ戦略が内包するリスクの認識・戦略を実現するために必要なＩＴ投資に関する意思決定等が明確か。
• 経営リスクとしてのＩＴリスクの評価（ＩＴリスクの連鎖・派生を含めて）―ＩＴリスクは取締役が対処すべき経営リスクであり、全取締役によるリスク認識の共有化とリスク対処についての相互監視の状況はどうか。
• ＩＴ管理方針・体制の整備―取締役から管理者層への指揮・命令体制はどうか。
• ＩＴ管理プロセスの定期的チェック―ＩＴ管理結果報告・ユーザー管理者からの報告システム機能変更・運用体制変更等への対応はどうか。

３．「ＩＴへの対応」と監査

ＩＴ監査に必要な着眼点：

• 
  会場の様子
  経営者に適切なＩＴ戦略・計画があるか。
• 内部統制整備に際して経営者にＩＴ環境の理解と、これを踏まえた方針があるか。
• ＩＴを利用することによる新たなリスクが考慮されているか。
• 全般統制・業務統制・ＩＴによる業務処理統制についての方針・手続きが適切か。
• 要は効果的にＩＴが利用されているかどうか、取締役全員がITのリスクについて同じ認識でいるか、大局的に見ることが肝要である。