利害関係者にとって IT ガバナンス レポートが引き続き有用であることを保証する最善の方法は、フィードバックを提供するための標準プロセスを確立することです。つまり、組織は IT ガバナンス レポートの目的、範囲、形式、頻度、配布を定義して伝達し、レポートが情報ニーズと期待をどの程度満たしているかについて利害関係者から意見を求める必要があります。フィードバック プロセスには、フィードバックを収集、分析、および対応するためのメカニズムと、実施または計画されている変更について利害関係者に報告するためのメカニズムも含める必要があります。これにより、IT ガバナンス レポートが関連性、正確性、タイムリー性、一貫性を備え、利害関係者の意思決定と説明責任をサポートすることが保証されます。

エンタープライズ アーキテクチャ (EA) は、企業に必要な IT 投資の計画をサポートする最適なオプションです。EA は、企業のビジネス プロセス、アプリケーション、データ、インフラストラクチャ、セキュリティの現在および将来の状態、およびそれらが企業のビジョン、ミッション、目標、目的とどのように整合しているかを記述および文書化する実践および規律であるためです。EA は、企業の IT アーキテクチャの全体的なビューを提供し、改善、革新、または変革のギャップ、ニーズ、機会を特定し、利害関係者と顧客に最大の価値をもたらす IT プロジェクト、プログラム、およびポートフォリオを優先順位付けして選択することで、企業が IT 投資を計画するのに役立ちます。ISACA の CGEIT ドメイン 2: IT リソース1 によると、「EA は、IT 投資の計画と意思決定の重要なイネーブラーです。EA は、IT 投資がビジネス戦略と整合し、ビジネス成果をサポートすることを保証するのに役立ちます。」さらに、ISACA の EA2 に関する記事によると、「EA は、複雑さ、重複、無駄を削減し、効率、俊敏性、相互運用性を高めることで、IT 支出の最適化に役立ちます」とのことです。したがって、EA は、企業に必要な IT 投資の計画をサポートする最良の方法です。

新しく結成された IT ガバナンス委員会が、レポートが規制に準拠していることを保証し、主要な IT リスクを特定するために最初に行うべきことは、IT 主要リスク指標 (KRI) トリガーを開発して監視することです。IT KRI は、企業の目的と目標に対する IT 関連リスクの可能性と影響を測定する指標です。IT KRI トリガーは、リスクが許容レベルに近づいているか、それを上回っていることを示すしきい値または値であり、IT ガバナンス委員会の注意やアクションが必要です。IT KRI トリガーを開発して監視すると、委員会が IT リスクを識別、優先順位付け、管理し、規制とポリシーに準拠していることを保証できます。
Directing the development of a reporting communication plan, training end users on regulation requirements, and implementing a mechanism to ensure reporting escalation are also important actions for the IT governance committee, but they are not the first step. A reporting communication plan is a document that defines the purpose, scope, format, frequency, audience, and distribution of IT reports, as well as the roles and responsibilities of the report creators and recipients. A reporting communication plan can help the committee to communicate effectively and efficiently with the stakeholders about IT performance, issues, and risks. Training end users on regulation requirements is a process that educates the end users on the rules and standards that apply to their use of IT systems and data, as well as the consequences of non-compliance. Training end users can help the committee to raise awareness and ensure adherence to regulations and policies. Implementing a mechanism to ensure reporting escalation is a procedure that defines the criteria, process, and channels for escalating IT reports to higher levels of authority or responsibility when necessary. Implementing a reporting escalation mechanism can help the committee to ensure timely and appropriate response and resolution of IT issues or risks.

セクション: 巻 B

セクション: 巻 A