[論文レビュー] Applying the CobiT Control Framework to Spreadsheet Developments

Rika Butler|arXiv (Cornell University)|Jan 3, 2008

Personal Information Management and User Behavior被引用数 7

ひとこと要約

本稿では、スプレッドシートのリスクとコントロール問題をCobiTフレームワークにマッピングすることで、管理上の注意を喚起する。リスクを馴染みのあるガバナンスに整合した形式で提示することで、スプレッドシートのコントロールをCobiTの確立されたITガバナンス構造に一致させ、既存の企業ガバナンスプロセス内でのリスクの系統的同定と管理を可能にし、スプレッドシート関連リスクの責任体制と可視性を向上させる。

ABSTRACT

One of the problems reported by researchers and auditors in the field of spreadsheet risks is that of getting and keeping managements attention to the problem. Since 1996, the Information Systems Audit & Control Foundation and the IT Governance Institute have published CobiT which brings mainstream IT control issues into the corporate governance arena. This paper illustrates how spreadsheet risk and control issues can be mapped onto the CobiT framework and thus brought to managers attention in a familiar format.

研究の動機と目的

• 組織内でのスプレッドシートリスクに対する管理の関心を喚起し続ける課題に対処すること。
• CobiTフレームワークを活用して、スプレッドシートリスク管理をメインストリームのITガバナンスに統合すること。
• 標準化されたガバナンスモデルを用いて、スプレッドシート関連リスクの同定と制御を体系的かつ実行可能にする方法を提供すること。
• スプレッドシートリスク研究と企業ガバナンス実務の間のギャップを埋めること。
• 確立された制御フレームワークへの整合性を通じて、スプレッドシートリスクの可視性と管理可能性を高めること。

提案手法

• CobiTフレームワークの4つのドメイン（ITの計画と管理、ITの導入と実装、ITの提供と支援、監視と評価）にスプレッドシートリスク要因をマッピングすること。
• スプレッドシートの一般的なリスク（誤り、バージョン管理の欠如、アクセス管理の不備など）に対処するため、CobiTの制御目的とプロセスを適応させること。
• CobiTのプロセス参照モデルを用いて、スプレッドシートの開発と保守をガバナンス対象のITプロセスとして構造化すること。
• スプレッドシート固有の制御要件を、CobiT準拠の制御文に翻訳し、企業ガバナンスへの統合を可能にすること。
• 実世界のスプレッドシート開発シナリオにフレームワークを適用して、その適用可能性と使いやすさを検証すること。
• 監査担当者やITガバナンスチームがスプレッドシートガバナンスを評価・改善するためのツールとして、フレームワークを提示すること。

実験結果

リサーチクエスチョン

• RQ1 上級管理職がスプレッドシートリスクを重要視していない場合、どのようにして効果的にリスクを伝えられるか？
• RQ2 CobiTフレームワークは、スプレッドシート開発と使用の独自のリスクに対し、どの程度適合可能か？
• RQ3 スプレッドシートのコントロールをCobiTに一致させることで、ガバナンスの可視性と管理の関与が向上するか？
• RQ4 CobiTプロセスに意味的にマッピング可能なスプレッドシート開発の主要な制御目的は何か？
• RQ5 スプレッドシートリスク管理は、既存のITガバナンスおよび監査フレームワークにどのように制度化できるか？

主な発見

• CobiTフレームワークは、組織が確立されたITガバナンスの文脈内でスプレッドシートリスクを議論できる、体系的かつ馴染みやすい言語を提供する。
• スプレッドシートのコントロールをCobiTにマッピングすることで、スプレッドシートライフサイクル全体にわたるリスクの系統的同定と文書化が可能になる。
• リスクが技術的誤りそのものではなく、企業ガバナンスと制御の観点で提示されたことで、管理の関与が向上した。
• フレームワークにより、監査担当者やITチームが標準化された制御基準を用いてスプレッドシートプロセスを評価できるようになる。
• このアプローチにより、スプレッドシートガバナンスがエンタープライズリスクマネジメントおよび内部監査プログラムに統合されやすくなる。
• 本稿は、スプレッドシートリスクが孤立した問題ではなく、適切に文脈化すれば、広範なITガバナンスの一部として管理可能であることを示している。