同調査は、年商500億円以上の日本企業のCIO（最高情報責任者）やデジタルビジネス担当エグゼクティブ（ITエグゼクティブ）を対象に2024年4月に実施された。

　同調査で、「自社のCEOがIT部門に抱いていると考えられる不満」と尋ねた設問では、「経営戦略に対してIT、デジタルを活用した積極的な提案がない」(39％)と「ITがビジネスにどのように貢献しているか分からない」(35％）の2つが上位に挙がり、「経営メンバーが納得するIT、デジタル戦略が描けていない」(28％)、「IT部門の活動が経営、ビジネスにどのように貢献しているか分からない」(26％）が続いた。

CEOがIT部門に抱いている（と考えられる）不満（複数回答可）（出典：ガートナーのプレスリリース）

　「経営戦略に対してIT、デジタルを活用した積極的な提案がない」と「経営メンバーが納得するIT、デジタル戦略が描けていない」を合わせると56％に達した（重複回答を除く）。これらの結果を受けて、ガートナーは「IT部門が経営メンバーにとって価値のあるIT、デジタル戦略を作れていない」とCIOが認識していることが分かるとしている。

　一方、「ITがビジネスにどのように貢献しているか分からない」と「IT部門の活動（企画、開発、運用）が経営、ビジネスにどのように貢献しているか分からない」を合わせると、51％に上る（重複回答を除く）。CIOの半数以上がIT部門の価値を経営層に示せていないと考えていることが明らかになった。

　同調査で、上位4つの項目のいずれかを選択した回答者の割合は78％に上った。ガートナーの片山博之氏（バイス　プレジデント　アナリスト）は、「IT部門、またはIT投資の価値を経営陣に認められていないと自覚しているCIO、またはITエグゼクティブが大多数であることを示している」と分析する。

　その上で、同氏は「経営、ビジネス上の目的は、ビジネス側のステークホルダー（CxO）ごとに異なる。IT部門の価値、またはIT投資の価値を高めるためには、CIOは各ステークホルダーと密に連携を取りながら、それぞれの目標達成に貢献できるITソリューションを提案、構築し、それらを効率的に運用する基盤を整備する必要がある」と提言する。

リスク軽減のためのIT投資、どう優先順位を付けるべき？

　同調査には、IT投資の中で「何もしなかったら発生し、損失につながるようなリスク」を軽減するための投資について、企業のどの層が優先順位付けをしているかに関する設問もある。主な評価組織として最も多く選ばれたのはIT部門（IT部門トップ、CIO）で、CISO（最高情報セキュリティ責任者)、IT投資評価委員会、経営企画・戦略室が続いた。

リスク軽減IT投資の優先順位付けを評価する組織（出典：ガートナーのプレスリリース）

　今回の調査では、IT部門のみを選択した回答者（「IT部門トップ、CIO」または「IT部門内の投資戦略・企画組織」のいずれかを選び、その他を選択しなかった企業）の割合は18％だった。

　片山氏は、「リスク軽減案件をIT部門のみで評価することは、ビジネスリスクよりもテクノロジーリスクにフォーカスが置かれるケースが多いと推測できることから、リスク評価としては不十分だ」と指摘する。

　同調査では、リスクの専門家や、リスクが顕在化した際に影響を受けるビジネス側の責任者、サイバーセキュリティの専門家、コストの最終決定責任者などで構成される「リスク関連全般の投資を評価する専門組織」(リスク評価専門委員会）を設置しているとの回答は18％にとどまった。

　この点について片山氏は、次のように分析する。「リスク軽減投資では、リスクが『起こる可能性』と『起こったときの不利益』の両方を評価する必要がある。リスク軽減投資は、新たなビジネス価値をもたらすものではないため、その価値を定量評価することは難しい。リスク関連全般の投資を評価する専門組織、いわゆる『リスク評価専門委員会』の設置が重要になる。投資しなかった時のリスクによるビジネスへの影響度と、リスクが起こる可能性を相対的に評価し、そのリスクをどこまで軽減するか、その軽減に必要な施策にはどのようなものがあるか、その施策に必要なコストはどの程度かなど、リスク軽減投資の優先順位付けの評価を迅速かつ効果的に実現することが重要だ。CIOには、同委員会の設置をサポートするとともに、テクノロジーの活用でビジネス価値を高めて、企業全体のデジタルビジネスに貢献する役割が求められる」