[論文レビュー] Controlling End User Computing Applications - a case study

Jamie Chambers, John Hamill|ArXiv.org|Sep 21, 2008

Spreadsheets and End-User Computing参考文献 5被引用数 8

ひとこと要約

この事例研究は、銀行環境におけるエンドユーザー計算（EUC）アプリケーション（主にスプレッドシート）を管理する包括的なフレームワークを提示する。ポリシー開発、トレーニング、インventry監視、ライセンス管理、リスク指標の各分野における連携された取り組みを通じて、EUCツールに対する機関の統制が可能であることが示された。その結果、ガバナンスの向上、リスクの低減、公式IT運用と整合した文化の形成が実現された。

ABSTRACT

We report the results of a project to control the use of end user computing tools for business critical applications in a banking environment. Several workstreams were employed in order to bring about a cultural change within the bank towards the use of spreadsheets and other end-user tools, covering policy development, awareness and skills training, inventory monitoring, user licensing, key risk metrics and mitigation approaches. The outcomes of these activities are discussed, and conclusions are drawn as to the need for appropriate organisational models to guide the use of these tools.

研究の動機と目的

• 金融機関における制御のきかないエンドユーザー計算（EUC）アプリケーションの増加するリスクに取り組むこと、特に業務に不可欠なプロセスに使用されるスプレッドシートを対象とする。
• 伝統的に分散化された銀行環境において、EUCツールの公式ガバナンスに対する文化的・運用的抵抗を克服すること。
• EUCの実務を組織的統制下に置き、システミックリスクを低減するための包括的かつ多面的なアプローチを開発・実装すること。
• EUCガバナンスの継続的改善を可能にするために、測定可能なリスク指標と是正戦略を確立すること。
• 規制対象の金融分野において、EUC制御の機関モデルが実際に実装可能であることを示すこと。

提案手法

• 業務に不可欠なスプレッドシートの使用にあたっての許可、所有権、承認プロセスを明確にするための公式EUCポリシーフレームワークを策定した。
• ユーザーの能力向上とガバナンス基準への準拠を促進するための意識向上およびスキル研修プログラムを実施した。
• 既存のEUCアプリケーションのインventryを実施し、重要なシステムの特定とリスク露出の評価を実施した。
• 使用者の責任と追跡可能性を確保するため、ライセンス管理およびアクセス制御を導入した。
• EUCアプリケーション全体における準拠状況、エラーレート、データ整合性の監視に役立つ、主要リスク指標（KRIs）を確立した。
• 同僚レビュー、バージョン管理、監査証跡などの是正戦略を適用し、エラーおよび不正のリスクを低減した。

実験結果

リサーチクエスチョン

• RQ1 どのようにして、銀行のような高リスク環境においてエンドユーザー計算アプリケーションを効果的にガバナンスできるか？
• RQ2 EUC関連リスクを低減するうえで、ポリシー、トレーニング、技術的制御のどの組み合わせが最も効果的か？
• RQ3 分散化された組織において、公式EUCガバナンスを支援する文化的変化をどの程度達成できるか？
• RQ4 EUCアプリケーションの品質と準拠状況を監視・改善するために、どのような測定可能なリスク指標が利用可能か？
• RQ5 規制対象産業において、EUCツールの長期的統制を維持するために必要な機関モデルは何か？

主な発見

• 構造的なガバナンスフレームワークの導入により、銀行全体で制御のきかないEUC使用が顕著に減少した。
• トレーニングおよび意識向上活動のおかげで、ユーザーのEUCリスクおよび準拠要件に関する理解が著しく向上した。
• インベントリ監視により、IT部門が以前に把握していなかった大量の業務に不可欠なスプレッドシートが判明し、可視性の必要性が浮き彫りになった。
• 主要リスク指標の活用により、高リスクEUCアプリケーションの事前の特定と是正が可能になった。
• ライセンス管理およびアクセス制御の導入により、責任の所在が明確になり、不正または承認のないEUCツール使用が減少した。
• 継続的なポリシーの強化とリーダーシップの関与を通じて、責任あるEUC使用への文化的転換が達成された。