「非IT部門によるサービス導入」が肯定されるようになる？ 「シャドーIT」との違いは？：ガートナー調査

ガートナージャパンは「シャドーIT」の現状に関する調査結果を発表した。高まり続けるITへの需要とIT部門の深刻な人材不足を背景に、これまで避けるべきとされていたシャドーITへの見方に変化の兆しが出てきた。

[＠IT]

　ガートナージャパンは2024年9月4日、「シャドーIT」の現状に関する調査結果を発表した。これは、国内のITユーザー企業でITシステムの構築、導入、保守、運用、サービス委託先の選定に関わる担当者を対象に、事業部門などの「非IT部門」によるIT製品、サービスの調達について調査した結果をまとめたもの。

セルフサービス化とシャドーITはどう違うのか

　DX（デジタルトランスフォーメーション）関連のプロジェクトにおけるITベンダーの活用度合いについては「積極的にITベンダーを活用」と回答した企業の割合は2.7％、「必要に応じて補完的にITベンダーを活用」は48.9％で、7割以上の企業がITベンダーを活用していた。DXプロジェクトでよく利用される「クラウドサービス」については、43.3％の企業がITベンダーの選定、交渉は事業部門などの「非IT部門」が担当していた。

DXプロジェクトにおけるITベンダーの活用状況（提供：ガートナージャパン）

　「非IT部門がITベンダーを選定、交渉する」と回答した企業に、それによって得られた成果は何かを聞いたところ「非IT部門の要件を最大限織り込んだサービスを調達できた」（57.6％）という回答が最も多かった。

　非IT部門が主体となって調達するということはIT部門は導入に関わらない可能性がある。これはいわゆる“シャドーIT”につながる取り組みに見える。だがガートナージャパンは、全社共通のフレームワークによって「取引リスク」を評価し、リスクが低いものについては非IT部門に調達を委ねる仕組みを「セルフサービス」と呼び、シャドーITとは区別している。同社は今回の調査結果を基に「効率的なリソース配置や迅速性の向上を目的に、企業がビジネス部門のセルフサービスによる調達を増やす必要に迫られている」と指摘している。

　ガートナージャパンの土屋隆一氏（シニアディレクターアナリスト）はそれに加えて「多角的にクラウドのリスクを評価する必要がある」と言う。非IT部門によるセルフサービスを認めるだけでは、既存システムと重複した機能のサービスを購入してしまいかねないからだ。

　調査結果によると、非IT部門が主体となりクラウドを調達する際の課題として、「ベンダーへのセキュリティ評価がされない、あるいは不十分」（39.3％、複数回答、以下同）や「調達するサービスと周辺システムとの互換性が検証されない、あるいは不十分」（38.8％）、「既存システムと（一部または全部）重複した機能のサービスを購入してしまう」（25.8％）などの回答が多かった。

非IT部門がベンダーとの調整を実施する際に生じる課題（提供：ガートナージャパン）

　土屋氏は、「重複したサービスの購入は、無駄な支出や機能重複による社内システムの複雑化を招き、結果的に障害の増加につながる恐れがある。ITベンダーの選定に関わるリーダーはIT部門の関係者と協働し、ビジネス部門自らがベンダーのリスクを一次評価できる仕組みや、社内で推奨するクラウドを優先利用させるなどの調達ルールを策定することが求められる」と述べている。