COBIT・ISO/IEC 38500とは（全体像）
ITガバナンスとは、会社の経営陣（トップ）が「ITをどう使い、どう統制するか」を方向づけ、見張ること。船にたとえると、ガバナンスは「どこへ向かうか決めて監督する船長」、現場の運用（ITILなど）は「実際に船を動かす乗組員」。経営の立場からITを正しく導くのがガバナンス。
このITガバナンスを進めるための代表的な枠組みが、COBITとISO/IEC 38500。
- COBIT … ITガバナンス・管理のフレームワーク（お手本集）。ISACAという団体が策定し、最新はCOBIT 2019。
- ISO/IEC 38500 … ITガバナンスの国際規格（ISOが定めたもの）。
「お手本集のCOBIT」と「国際規格のISO/IEC 38500」、この2つがITガバナンスの代表、と押さえる。
詳しく：ガバナンスと運用の違い・似た規格との区別
ここが心臓部。まず「ガバナンス（統治）」と「運用」の階層を表で押さえる。
ガバナンス（統治）と運用は階層が違う
| 層 | 役割 | 代表 |
|---|---|---|
| ITガバナンス（統治） | 経営陣がITを方向づけ・監督 | COBIT・ISO/IEC 38500 |
| ITサービスマネジメント（運用） | 現場でサービスを回す | ITIL |
一番大事なのが、COBITとITILは「階層が違う別もの」だということ。COBITは経営の立場からITを方向づける「ガバナンス（統治）」、ITILは現場でサービスを運用する「マネジメント」。「COBIT＝ITIL」と思うのは誤りで、上に立つのがCOBIT、現場を回すのがITIL、という役割の違いがある。
COBIT 2019には、ガバナンスの原則や、統治と管理を分けた複数のドメイン（領域）、たくさんの目的が定められているが、まずは「COBITはITガバナンスのフレームワーク」と押さえれば十分。
次に、似た名前のISO規格との区別。
ISO/IEC 38500 と ISO/IEC 27001 は別もの
| 規格 | 何の規格か |
|---|---|
| ISO/IEC 38500 | ITガバナンスの国際規格 |
| ISO/IEC 27001 | 情報セキュリティ（ISMS）の国際規格 |
ISO/IEC 38500はITガバナンスの規格、ISO/IEC 27001は情報セキュリティ（ISMS）の規格で、まったく別のもの。番号が似ているので混同しやすいが、「38500＝ガバナンス、27001＝情報セキュリティ」と区別する。
わかりやすく言い換えると
要するに、ITガバナンスは「経営者がITの舵取りをして監督すること」で、その代表がCOBITとISO/IEC 38500だとイメージするとラク。
つまり、COBITはお手本集（ISACA作）、ISO/IEC 38500は国際規格。役割はどちらも「上に立ってITを正しく方向づける」こと。
そして混同しやすい2つ。COBIT（統治）とITIL（運用）は階層が違う。ISO/IEC 38500（ガバナンス）とISO/IEC 27001（情報セキュリティ）は別の規格。この2つの区別が覚えどころ、というわけ。
試験のツボ
🔴 一番出る：COBITとISO/IEC 38500はITガバナンスの枠組み
①COBIT＝ITガバナンス・管理のフレームワーク（ISACA策定・最新COBIT 2019）
②ISO/IEC 38500＝ITガバナンスの国際規格
🔴 次に出る：COBIT（統治）とITIL（運用）の階層
①COBIT＝経営の方向づけ（ガバナンス・上位）
②ITIL＝現場の運用（マネジメント）。COBIT＝ITILではない
🟡 押さえると安定：似た規格との区別
ISO/IEC 38500＝ITガバナンス、ISO/IEC 27001＝情報セキュリティ（ISMS）。番号が似ているが別もの。
よくある間違い
①「COBITとITILは同じもの」→ ✗ COBITは経営の方向づけ（ガバナンス）、ITILは現場の運用で、階層が違う別もの。
②「ISO/IEC 38500とISO/IEC 27001は同じ規格」→ ✗ 38500はITガバナンス、27001は情報セキュリティ（ISMS）の規格で別もの。
③「ITガバナンスは現場の担当者だけが行う運用作業だ」→ ✗ ITガバナンスは経営陣がITを方向づけ・監督すること。現場の運用より上位の役割。
試験での出題パターン
実際の問題でたしかめてみよう。
オリジナル問題1（COBITとは）
COBITに関する次の記述のうち、正しいものはどれか。
- COBITは表計算ソフトの操作方法をまとめたもので、ITガバナンスとは関係がないものとされている
- COBITはISACAが策定したITガバナンスのフレームワークで、最新版はCOBIT 2019だ
- COBITはネットワークケーブルの規格そのもので、経営のITの方向づけとは無関係なものとされる
- COBITは特定の一社だけが社内で使う専用ルールで、ほかの組織は参考にできないものとされている
解答は 2 だ、わが子よ。
COBITは、ISACAが策定したITガバナンス・管理のフレームワークで、最新はCOBIT 2019である。経営の立場からITを方向づけるお手本集ぞ。
選択肢1は「表計算ソフト」が誤り、選択肢3は「ケーブルの規格」が誤り、選択肢4は「一社専用」が誤りである。
| 選択肢 | 判定 | 理由 |
|---|---|---|
| 1 | ✗ | 表計算ソフトの操作方法ではない |
| 2 | ✓ | ISACA策定のITガバナンスの枠組みで正しい |
| 3 | ✗ | ケーブルの規格ではない |
| 4 | ✗ | 広く参考にされるフレームワークである |
オリジナル問題2（COBITとITILの違い）
COBITとITILの関係に関する次の記述のうち、正しいものはどれか。
- COBITとITILはまったく同じもので、経営の方向づけと現場の運用に違いはないものとされている
- COBITは現場の運用だけを扱い、ITILは経営の方向づけだけを扱うという対応になっているとされる
- COBITもITILも給与計算のしくみで、ITの統治や運用とはいっさい関係がないものとされている
- COBITは経営の方向づけ（ガバナンス）、ITILは現場の運用（マネジメント）で階層が異なるのだ
解答は 4 だ。
COBITは経営の方向づけ（ガバナンス）、ITILは現場の運用（マネジメント）で、階層が異なる別ものぞ。上に立つのがCOBIT、現場を回すのがITIL、と覚えるがよい、わが子よ。
選択肢1は「まったく同じ」が誤り、選択肢2は役割が逆で誤り、選択肢3は「給与計算」が誤りである。
| 選択肢 | 判定 | 理由 |
|---|---|---|
| 1 | ✗ | 階層が違う別ものである |
| 2 | ✗ | ガバナンスと運用の対応が逆 |
| 3 | ✗ | 給与計算のしくみではない |
| 4 | ✓ | COBIT＝ガバナンス・ITIL＝運用で階層が異なり正しい |
オリジナル問題3（ISO/IEC 38500）
ISO/IEC 38500に関する次の記述のうち、正しいものはどれか。
- ISO/IEC 38500は情報セキュリティ（ISMS）の規格で、ITガバナンスとは無関係なものとされている
- ISO/IEC 38500とISO/IEC 27001はまったく同じ規格で、内容に違いはないものとされている
- ISO/IEC 38500はITガバナンスの国際規格で、情報セキュリティの規格である27001とは別ものだ
- ISO/IEC 38500はゲームソフトの年齢区分を決める規格で、ITとは関係がないものとされている
解答は 3 だ、わが子よ。
ISO/IEC 38500はITガバナンスの国際規格で、情報セキュリティ（ISMS）の規格であるISO/IEC 27001とは別ものである。番号が似ているが、38500＝ガバナンス、27001＝情報セキュリティと区別するのぞ。
選択肢1は「情報セキュリティの規格」が誤り、選択肢2は「まったく同じ規格」が誤り、選択肢4は「ゲームの年齢区分」が誤りである。
| 選択肢 | 判定 | 理由 |
|---|---|---|
| 1 | ✗ | 38500はITガバナンスの規格 |
| 2 | ✗ | 38500と27001は別の規格 |
| 3 | ✓ | 38500＝ガバナンス・27001＝情報セキュリティで正しい |
| 4 | ✗ | ゲームの年齢区分の規格ではない |
まとめ
押さえどころ
- 🔴 COBITとISO/IEC 38500はITガバナンスの枠組み … COBIT＝ISACAのフレームワーク（最新COBIT 2019）、ISO/IEC 38500＝国際規格。
- 🔴 COBIT（統治）とITIL（運用）は階層が違う … COBITは経営の方向づけ、ITILは現場の運用。COBIT＝ITILではない。
- 🟡 似た規格との区別 … ISO/IEC 38500＝ITガバナンス、ISO/IEC 27001＝情報セキュリティ。番号が似ているが別もの。
次に学ぶ
- PMBOK 7th（原則ベース） ── プロジェクト管理の知識体系。COBIT（ガバナンス）と並ぶ代表的な枠組みとして対比で押さえると整理しやすい。
執筆: SikakuQuest編集部