データ センターが配置されているエリアで発生する可能性のある環境災害を特定した企業は、次にデータ センターへの発生可能性と影響を評価する必要があります。これは、リスク レベルを評価し、適切なリスク対応戦略​​を優先順位付けするのに役立つためです。発生可能性と影響の評価では、潜在的な災害の頻度、重大性、期間、範囲、およびデータ センターの可用性、整合性、機密性、パフォーマンスへの潜在的な影響を考慮する必要があります 12。参照:= ISACA、CGEIT レビュー マニュアル、第 7 版、2019 年、75 ～ 76 ページ。

新しい規制要件をサポートするためにリスク評価を実施する場合、IT リスク委員会はまず企業のリスク プロファイルを考慮する必要があります。既存の脆弱性、脅威、および潜在的なリスクの影響を含む全体的なリスク状況を理解することで、新しい規制要件が組織にどのような影響を与えるかを評価する基礎が得られます。この最初のステップにより、コンプライアンス活動を含むその後のリスク管理の取り組みが、企業のリスク許容度および戦略目標と一致することが保証されます。コスト、システムの準備、および運用の中断は重要な考慮事項ですが、企業のリスク プロファイルのコンテキストで評価する必要があります。

IT ガバナンスを実装する最初のステップは、IT の役割と責任を確立することです。つまり、取締役会は、取締役会自体、上級管理職、事業部門、IT 機能、外部関係者など、IT ガバナンスに関与する主要な利害関係者の権限、説明責任、決定権を定義する必要があります。そうすることで、取締役会は、IT ガバナンスが企業のガバナンスと戦略と一致し、IT パフォーマンスと価値の提供が監視および評価されることを保証できます。IT の役割と責任を確立することは、IT ポリシーと手順の定義、IT 対応投資のポートフォリオの開発、および IT バランスト スコアカードの実装の前提条件でもあります。参照:= CGEIT 試験内容概要、ドメイン 1: エンタープライズ IT ガバナンスのフレームワーク 1、COBIT 5: 有効化プロセス、第 4 章、セクション 4.1.12、IT ガバナンスを改善してビジネス成果を推進

ビジネス コントロールの実行の保証は、IT ガバナンス プロセスとアクティビティが確立されたポリシー、標準、および手順に従って実行されることを保証するため、効果的なガバナンス フレームワークを維持するための主要な要素です。保証では、IT ガバナンス フレームワークのパフォーマンス、コンプライアンス、および結果に関するフィードバックと監視も提供され、改善と最適化の領域が特定されます12。参照:= CGEIT 試験内容概要、ドメイン 1、サブトピック A: ガバナンス フレームワーク、タスク 5: IT ガバナンス フレームワークが効果的に設計され、運用されているという確信を与える保証プロセスが確立されていることを確認します。

ビジネス ケースは、提案された投資のコスト、利点、リスク、価値提案の構造化された包括的な分析を提供するため、クラウド サービスへの投資に関する戦略的な決定を下すための最適な方法です。ビジネス ケースは、クラウド サービスの必要性を正当化し、さまざまなオプションや代替案を比較し、投資を企業の戦略や目標に合わせるのに役立ちます。情報要求 (RFI) は、潜在的なベンダーやサプライヤーから情報を求める文書ですが、意思決定のフレームワークは提供しません。ベンチマーキングは、企業のパフォーマンスやプラクティスを他の企業と比較するプロセスですが、クラウド サービスの実現可能性や望ましさを評価するものではありません。バランスト スコアカードは、戦略的な目標や目的に対して企業または事業部門のパフォーマンスを測定および監視するツールですが、クラウド サービスの実行可能性や適合性を評価するものではありません。
参考資料: : CGEIT レビューマニュアル (デジタル版)、第 3 章: メリット実現、セクション 3.2: IT 投資管理、サブセクション 3.2.1: IT 投資管理の概要、97 ページ : CGEIT レビューマニュアル (デジタル版)、第 3 章: メリット実現、セクション 3.2: IT 投資管理、サブセクション 3.2.4: IT 投資管理プロセス、104 ページ : ビジネスケースの書き方: テンプレートと例 1