DXの取り組みで「シャドーIT」への見方に変化の兆し–ガートナー調査

今回は「DXの取り組みで「シャドーIT」への見方に変化の兆し–ガートナー調査」についてご紹介します。

関連ワード （CIO／経営等） についても参考にしながら、ぜひ本記事について議論していってくださいね。

本記事は、ZDNet Japan様で掲載されている内容を参考にしておりますので、より詳しく内容を知りたい方は、ページ下の元記事リンクより参照ください。

　ガートナージャパンは9月4日、デジタルトランスフォーメーション（DX）の取り組みにおける「シャドーIT」の現状について調査結果を発表した。

　同社によると、エンドユーザーが社内に公知せずに導入する「シャドーIT」はできるだけ避けるべきものであり、専門知識を有するIT部門による管理・統制が望ましいとされてきた。だが、ビジネス部門が主導するDXの増加やクラウドの普及により、ビジネス部門自らがITを選定・導入する機会や環境が整ってきたとする。また、IT部門での深刻な人材不足も背景となり、企業におけるシャドーITへの見方に変化の兆しが出てきている。

　ガートナーは4月、国内のITユーザー企業で、ITシステムの構築・導入・保守・運用や、サービス委託先の選定に関与している担当者を対象に調査を実施。DX関連のプロジェクトで企業がITベンダーをどの程度活用しているかを聞いたところ、7割以上の回答企業がITベンダーを活用していることが分かった（図1）。

　一方、DXプロジェクトで利用頻度が高いクラウドサービスについて、ITベンダーの選定・交渉する組織を聞いたところ、43.3％の回答企業はビジネス部門側の意向が反映されやすい「非IT部門」で選定、交渉が行われていることが分かった。同調査での非IT部門には、既存のビジネス部門、IT部門と共同で新設した専任部門、部門横断的なチームなどが含まれる。

　シニア ディレクター アナリストの土屋隆一氏は、「昨今、国内では（システムの）内製化への取り組みが話題になっているが、今回の調査結果からは依然、ITベンダーへのニーズは旺盛であることがうかがえる。管理を担当すべきIT要員が慢性的に不足している状況を鑑みても、今後もシャドーITは減ることはなく、むしろ増えると見込んでいる。シャドーITのリスクを低減しつつ、適切な形でビジネス部門に一部のIT調達を委ねられる仕組みを検討することは、企業にとって喫緊の課題と言える」と述べる。

　ガートナーでは、全社共通のフレームワークにより取引リスクを評価し、「低リスク」の取引についてはビジネス部門の権限と責任の下に調達を委ねる仕組みを「セルフサービス」と称している。これはIT部門が存在を掌握できていないシャドーITとは意味を区別しているという。その上で同社は、効率的なリソース配置や迅速性の向上を目的に、企業は今後、ビジネス部門のセルフサービスによる調達を増やす必要に迫られている、と指摘する。

　調査では、ビジネス部門が主体的にクラウド調達に関わっていると回答した43.3％の企業に対し、実際の効果と課題についても聞いた。ビジネス部門が実現できた効果として最も多く挙げたのは、「ビジネス部門の要件を最大限織り込んだサービスを調達できた」（57.6％）だった。

　一方、ビジネス部門が主体となりクラウドを調達する際の課題については、全体を通して「課題がない」と回答した企業はわずか6.2％にとどまっており、残りの93.8％が何らかの課題があることが分かった。

　個別の回答を見ると、「ベンダーへのセキュリティ評価がされない、あるいは不十分」（39.3％）、「調達するサービスと周辺システムとの互換性が検証されない、あるいは不十分」（38.8％）という回答が特に高く、シャドーITが過去から持つ懸念事項が根強いことが改めて浮き彫りになった（図2）。

　ベンダーへのデューデリジェンス（取引先などの信用調査）の不足を指摘する回答も29.2％を占めた。土屋氏は「昨今では、業界に特化したソリューションや、ニッチな技術を提供するクラウドを採用することも少なくない。こうしたベンダーの財務／経営面の脆弱（ぜいじゃく）性リスクについては、あらかじめ感知し、採用時にコンティンジェンシープラン（緊急時の対応計画）も併せて検討することが重要」とアドバイスする。

　「また、『既存システムと（一部または全部）重複した機能のサービスを購入してしまう』（25.8％）は、潜在リスクが大きな課題であり、軽視すべきではない。重複したサービスの購入は、無駄な支出や機能重複による社内システムの複雑化を招き、結果的に障害の増加につながる恐れがある。ソーシング／調達／ベンダー管理（SPVM）を担うリーダーは、ビジネス部門によるセルフサービスを認めるだけではなく、多角的にクラウドのリスクを評価する必要がある。そして、IT部門の関係者（セキュリティやITインフラストラクチャー＆オペレーション〈I＆O〉、ITアプリケーション担当）と協働し、ビジネス部門自らがベンダーのリスクを一次評価できる仕組みや、社内で推奨するクラウドを優先利用させるなどの調達ルールを策定することが今後求められる」（同氏）