Section: Volume C

企業がコアテクノロジーサービスの提供に影響を与える可能性のある新しい規制を知った後、最初に行うべきことは、新しい規制に関連するリスクを評価することです。リスク評価とは、企業の目標、プロセス、リソースに対するリスクイベントの潜在的な脅威と影響を特定、分析、評価するプロセスです1。リスク評価は、企業が新しい規制の性質、範囲、重大性、およびそのコンプライアンス要件、コスト、および利点を理解するのに役立ちます。リスク評価は、企業がリスクの回避、削減、移転、または受け入れなどの適切なリスク対応を優先順位付けして実装するのにも役立ちます2。COBIT 5 によると、IT ガバナンスの 7 つのイネーブラーの 1 つはリスク管理であり、これには IT 関連のリスクの評価と企業のリスクとの整合が含まれます3。リスク評価は、IT ガバナンスのドメイン 3: リスク管理4 の一部でもあります。
他の選択肢は、企業が新しい規制を知った後に最初に行うべきことではありません。
リスク管理フレームワークの更新は、企業内の IT リスクを管理するためのポリシー、手順、および実践を見直し、改善することを伴うため、新しい規制に関連するリスクを評価した後に実行できるステップです。取締役会が規制に準拠するかどうかを決定することは、新しい規制に関連するリスクを評価した後に実行できるステップです。これは、規制に準拠するかどうかの戦略的および倫理的影響について取締役会やその他の利害関係者と協議することを伴うためです。リスク チームにアクション プランを要求することは、新しい規制に関連するリスクを評価した後に実行できるステップです。これは、コンプライアンスを達成し、リスクを軽減するためのタスクとアクティビティを定義および実行することを伴うためです。

データ スチュワードは、組織内のデータの品質、整合性、セキュリティの管理者であるため、IT ガバナンスのフレームワークを適用してセキュリティ制御の必要性とビジネス要件のバランスを取ることが主な責任です。データ スチュワードは、データ ポリシー、標準、手順を定義および実装し、データのコンプライアンスとパフォーマンスを監視して報告します。また、データ スチュワードは、データ所有者、データ ユーザー、データ サイエンティストなどの他の関係者と連携して、データがビジネス目標と一致し、規制および倫理の要件を満たしていることを確認します。
データ サイエンティスト、データ アナリスト、データ プロセッサは、データの収集、分析、処理の技術的な側面に重点を置いているため、IT ガバナンスのフレームワークを適用する主な責任はありません。データ サイエンティストは、高度な方法とツールを使用して、データから洞察と価値を抽出します。データ アナリストは、記述的統計と推論的統計を使用して、データを探索および解釈します。データ プロセッサは、入力、検証、変換、保存、取得などのデータ操作を実行します。

セクション: 巻 B