データガバナンスは、社内のデータについて「誰が定義を決め、誰が見てよく、品質が落ちたら誰が直すか」を決める仕組みです。この記事では、データマネジメントの国際的な知識体系であるDMBOKの枠組みを使って定義を整理し、データマネジメント・MDM・ITガバナンスとの違いを層で示します。そのうえで、オーナーとスチュワードの役割分担、小さく始める5つの手順、データ基盤側の権限設計と品質監視まで、発注者として判断できる粒度での解説です。最後に、取り組むべき企業と、まだ早い企業の線引きを言い切ります。
まとめ｜データガバナンスで最初に決める3つの権限と小さく始める順番の要点
データガバナンスの中身は、定義を決める権限、見る権限、直す責任の3つに集約できます。全社委員会や分厚い規程から入る必要はありません。売上・顧客・商品のように、部門間で数字が食い違って困っているデータを1つ選び、そのデータのオーナーとスチュワードを決め、用語定義とアクセス権を文書にするところから始めるのが現実的な順番です。
仕組みが紙で終わらないよう、決めた内容はデータ基盤の権限設定・データカタログ・品質チェックに落とし込みます。社員数が数十名で、データを扱う部門が1つしかない会社なら、ガバナンス体制を別立てする段階ではありません。複数の部門が同じデータを別々に加工し、経営会議で数字の突き合わせに時間を使っている会社から取り組む価値が出ます。
データガバナンスとは何か・DMBOKの枠組みで見る定義とデータマネジメントの関係
データガバナンスの定義と「誰が何を決めるか」に絞った読み方のコツ
Google Cloudはデータガバナンスの解説ページで、データの取得から使用・廃棄までのライフサイクル全体を原則に沿って管理する取り組みと説明しています。定義の言い回しは提供元ごとに異なりますが、共通するのは「データの扱いについての意思決定と、その責任の所在を決める」という点です。
実務では、定義を次の3つの問いに置き換えると迷いが減ります。この数字の正しい定義は誰が決めるのか。このデータを誰が見てよいのか。品質が崩れたとき誰が直すのか。3つの問いに名前で答えられないデータは、ガバナンスが効いていないデータです。
DMBOK2の11知識領域でガバナンスが中心に置かれる構造と理由
データマネジメントの知識体系として広く参照されるのが、米国の非営利団体DAMA Internationalがまとめた DAMA-DMBOK です。現行の第2版（DMBOK2）は、データアーキテクチャ、データモデリング、データストレージ、データセキュリティ、データ統合、ドキュメントとコンテンツ管理、参照データとマスターデータ、DWHとBI、メタデータ、データ品質の10領域を、データガバナンスが取り囲む形で図示しています。
ガバナンスが真ん中にある理由は単純で、ほかの10領域はすべて「誰が決めるか」が決まっていないと動かないからです。DAMAは2025年6月25日に次版のDAMA-DMBOK 3.0プロジェクトを始動しており、AIやクラウド、最新のデータ基盤を取り込む方針を示しています。2026年11月時点で刊行日は公表されていないため、社内の規程づくりは当面DMBOK2の枠組みで進めて差し支えありません。
データマネジメント・MDM・ITガバナンスとの違いを層で整理する比較表
似た用語が多く、混同したまま体制を作ると役割が重なります。決める層と実行する層に分けると違いが見えます。
| 用語 | 層 | 扱う問い | 成果物の例 |
|---|---|---|---|
| データガバナンス | 決める層 | 誰が定義し誰が見てよいか | データポリシー・役割表 |
| データマネジメント | 実行する層 | 決めたことをどう実装し運用するか | データ基盤・品質チェック |
| MDM（マスターデータ管理） | 実行する層の一部 | 顧客・商品の正本をどう1つにするか | 名寄せルール・統合マスタ |
| ITガバナンス | 決める層（IT全体） | IT投資と情報システムの方向づけ | IT戦略・決裁権限表 |
ITガバナンスはシステム投資全体を扱い、データガバナンスはその中のデータという資産に焦点を当てます。経済産業省のシステム管理基準に沿った整理はITガバナンスの定義とIT統制との違いで解説しています。
データガバナンスが必要になる場面と放置したときに起きる失敗の具体例
売上や顧客数が部門ごとに食い違う定義不一致による集計コストと典型例
もっとも多いのは、同じ「売上」が部門で違う数字になるケースです。営業部はSFAの受注日基準、経理部は会計システムの計上日基準、EC部門は返品控除前の注文金額で集計しており、経営会議の前に毎月数日かけて突き合わせている。こうした状態は珍しくありません。
「アクティブ顧客」も揺れやすい指標です。直近90日に購入した人か、ログインした人か、メルマガを開封した人か。定義を決める人がいないまま各部門がBIツールで独自に集計すると、ダッシュボードが増えるほど数字の不一致も増えます。ガバナンスで最初に手を付けるべきは、こうした経営判断に直結する指標の定義です。
個人情報保護法の安全管理措置と生成AIへのデータ投入で問われる統制
法令面の根拠として押さえておきたいのが、個人情報保護委員会の個人情報保護法ガイドライン（通則編）です。別添の「講ずべき安全管理措置の内容」は、組織的・人的・物理的・技術的の4区分で措置を示しており、技術的安全管理措置にはアクセス制御やアクセス者の識別と認証が含まれます。誰がどの個人データを見てよいかを決めていない会社は、この技術的措置の前提を欠いた状態です。
生成AIの業務利用も、データガバナンスの範囲を広げました。社内文書を検索拡張生成（RAG）に取り込む場合、元の文書に設定されていた閲覧権限がAIの回答経由で外れてしまう事故が起こり得ます。AI固有の統制はAIガバナンスの枠組みと最新ガイドラインで扱っていますが、その土台は「どのデータを誰が見てよいか」というデータガバナンスの決定です。
データガバナンスの進め方・体制とポリシーを決める5つの手順と役割分担
対象データを絞って小さく始める5つの手順と各段階で作る成果物の具体例
全社一斉に始めると、対象が広すぎて何も決まりません。対象データを絞り、決める・実装する・見直すの順で回します。
- 対象データを1つ選ぶ：数字の食い違いで困っている「売上」「顧客」などを選び、困りごとを1文で書く
- 役割を名前で割り当てる：データオーナー（定義を決める部門長）とデータスチュワード（日々の品質を見る担当者）を指名する
- 用語定義とポリシーを書く：指標の計算式、正本のシステム、閲覧してよいロール、保存期間をA4数枚にまとめる
- 基盤に実装する：決めたアクセス権をDWHのロールに設定し、定義をデータカタログに登録し、品質チェックを組む
- 四半期ごとに見直す：品質チェックの失敗件数と問い合わせ件数を見て、定義と権限を更新する
最初の対象を1つに絞ると、3か月ほどで1周回せます。2周目から対象データを増やすほうが、最初から10種類を並行するより定着が早くなります。
オーナー・スチュワード・カストディアンの役割をRACIで割り当てる方法
データガバナンスの体制で登場する役割は、実務上3つ押さえれば足ります。データオーナーは定義と閲覧範囲を決める責任者で、通常はそのデータを生む業務部門の部長が担います。データスチュワードは日々の品質を見て、定義どおりにデータが入っているかを確認する担当者です。データカストディアン（管理者）は、基盤の権限設定やバックアップを実装する情報システム部門や開発会社が担います。
| 作業 | オーナー | スチュワード | カストディアン |
|---|---|---|---|
| 指標の定義を決める | A（承認） | R（起案） | I（共有） |
| 閲覧ロールを決める | A（承認） | C（相談） | R（設定） |
| 品質異常を直す | I（共有） | A（責任） | R（修正） |
RはResponsible（実行）、AはAccountable（最終責任）、CはConsulted（相談）、IはInformed（報告）を指します。Aが2人いる行は必ず揉めるため、1行に1人だけ置きます。
データ品質の評価軸をISO/IEC 25012とAISIガイドブックで決める手順
「品質が悪い」という訴えは、そのままでは直せません。評価軸を先に決めます。国際規格ISO/IEC 25012はデータ品質を正確性・完全性・一貫性・最新性など15の特性で定義しており、社内で使う軸はこの中から3〜5個を選べば十分です。顧客マスタなら完全性（必須項目の欠損率）と一貫性（同一顧客の重複件数）、売上データなら正確性と最新性が優先になります。
AI用途のデータを扱う場合は、AIセーフティ・インスティテュート（J-AISI）のデータ品質マネジメントガイドブックも参照先になります。2026年5月14日に Version 1.02 が公開され、同日付でデータ品質マネジメントチェックリスト（Version 1.00）も出ています。英語版が正式版で、日本語版は参考訳という位置づけです。
データ基盤側で実装する権限設計とメタデータ管理・品質監視の仕組み
列単位・行単位のアクセス制御とロールの切り方を決める判断基準
決めた閲覧範囲は、データ基盤の機能で強制しないと守られません。主要なDWHは列と行の両方で制御できます。BigQueryはポリシータグによる列レベルのアクセス制御と行アクセスポリシー、Snowflakeはマスキングポリシーと行アクセスポリシー、DatabricksはUnity Catalogの列マスクと行フィルタを備えています。
ロールの切り方は「部署×機密区分」の掛け算から始め、個人単位の例外は作りません。個人に直接権限を付けると、異動や退職のたびに棚卸しが必要になるからです。Microsoft 365を使う会社なら、分類ラベルとデータ損失防止をMicrosoft Purviewの3系統の守備範囲で整理しておくと、DWH側の権限との役割分担が決めやすくなります。
データカタログとリネージで「どこから来た数字か」を追える状態の作り方
用語定義をExcelで管理すると、半年ほどで実際のテーブルとずれます。定義の登録先はデータカタログで、テーブルや列に直接ひも付ける形です。あわせてリネージ（データの系譜）を取ると、ダッシュボードの数字がどのシステムのどの列から、どの加工を経て来たかを画面上でたどれます。
定義の不一致が起きたとき、原因の切り分けにかかる時間が大きく変わるのはこの部分です。カタログの選び方とメタデータ管理の仕組みはデータカタログの意味と導入判断で詳しく比較しています。
データ品質監視を自動化する範囲と業務上の意味を人が確認する範囲の線引き
欠損率、重複件数、更新の遅れ、件数の急増減は、ルールを書けば機械で毎日検知できます。ここは自動化し、閾値を超えたらスチュワードに通知する形にします。一方で「この取引先コードの付け替えは正しいか」のような業務の意味に関わる判断は、自動化しても誤検知が多く、人の確認を残すべき範囲です。
目安として、件数と形式のチェックは自動、意味のチェックは月次のサンプル確認、と分けると運用が回ります。監視の仕組みを本格的に組む段階では、データオブザーバビリティの五つの柱が設計の参考になります。
データガバナンスに取り組むべき企業と過剰になる企業の判断と導入失敗の型
委員会と規程から始めて形骸化する失敗パターンと避けるための条件
失敗の典型は、全社のデータガバナンス委員会を先に作り、数十ページの規程を整えたところで止まる型です。規程はできても、DWHの権限設定やカタログに反映されないため、現場の集計方法は何も変わりません。半年後には委員会の開催が途切れます。
取り組むべき企業の条件ははっきりしています。複数部門が同じデータを別々に加工している、個人データを部門横断で使っている、生成AIに社内文書を取り込む計画がある、のいずれかに当てはまるなら着手する価値があります。逆に、データを扱う部門が1つで、数字の食い違いも起きていない段階では、専任の体制を置くのは過剰です。その場合は、閲覧権限の棚卸しと用語定義の1枚紙だけで足ります。
データ基盤の構築で外部の開発会社に任せる範囲と自社に残すべき意思決定の線引き
外部に任せやすいのは、カストディアンの役割にあたる実装部分です。DWHのロール設計、列・行単位の制御、データカタログとリネージの導入、品質チェックの自動化は、基盤の構築と一体で発注すると手戻りが減ります。一創のデータ分析基盤構築・MLOps構築支援では、基盤の構築にあわせて権限設計と品質監視の仕組みを組み込む形で支援しています。
反対に、指標の定義と閲覧範囲の承認は外部に渡してはいけません。ここを開発会社に任せると、業務の実態と合わない定義が基盤に固定されます。発注時の仕様書には「定義の最終承認者は自社のデータオーナー」と明記しておくと、責任の境界がぶれません。
よくある質問
データガバナンスの検討段階でよく寄せられる疑問に、短く答えます。
データガバナンスとデータマネジメントの違いは何ですか？
データガバナンスは「誰が定義を決め、誰が見てよく、誰が直すか」を決める層で、データマネジメントは決めた内容を基盤や運用で実行する層です。DMBOK2では、データガバナンスがデータ品質やメタデータ、データセキュリティなど10の知識領域を取り囲む中心に置かれています。決める人がいないままデータマネジメントの作業だけを進めると、定義の異なるテーブルが増えていく結果になります。
データガバナンスの担当部署はどこに置くべきですか？
専任部署を新設する必要はありません。定義と閲覧範囲の承認は、そのデータを生む業務部門の部長がデータオーナーとして担い、実装は情報システム部門が担う形が一般的です。全体の調整役を1人置く場合は、経営企画部門かCDO（最高データ責任者）の配下が向いています。情報システム部門だけに任せると、業務定義の決定権が無いため止まりがちです。
中小企業でもデータガバナンスは必要ですか？
規模より状態で判断します。複数部門が同じデータを別々に加工している、個人データを部門横断で使っている、生成AIに社内文書を取り込む予定がある、のいずれかに当てはまれば、規模にかかわらず着手する価値があります。当てはまらない段階では、閲覧権限の棚卸しと主要指標の用語定義を1枚にまとめるだけで十分です。
データガバナンスの導入にはどれくらいの期間がかかりますか？
対象データを1つに絞れば、役割の割り当て・用語定義・基盤への権限設定・品質チェックまでを3か月程度で1周回せます。全社のデータを一度に対象にすると、定義の合意だけで半年以上かかることが多く、それが途中で止まる原因です。1周目の結果を見てから対象を広げる進め方を勧めます。
DMBOKは最新版を待ってから参照したほうがよいですか？
待つ必要はありません。DAMAは2025年6月にDMBOK 3.0のプロジェクトを始動し、AIやクラウドへの対応を進めていますが、2026年11月時点で刊行日は公表されていません。役割分担や知識領域の考え方は現行のDMBOK2で十分に通用するため、まずはDMBOK2の枠組みで社内の体制を作り、3.0の刊行後に差分を確認する順番が現実的です。
関連記事
- ITガバナンスとは？システム管理基準の定義とITマネジメント・IT統制との違い：データガバナンスの上位にあるIT投資全体の意思決定の枠組み
- データカタログとは？意味・メタデータ管理の仕組みからAI時代の導入判断まで解説：用語定義とリネージを基盤側で管理する道具の選び方
- IGAとは：IDライフサイクル管理とアクセス認証の仕組み、IAM・PAMとの違いと導入判断：閲覧権限の付与と棚卸しをID管理の側から整える方法
- Knowledge Catalog（旧Dataplex）とは：機能・料金・自己学習型コンテキスト強化とgcloud手順を実装目線で解説【2026年版】：Google Cloudでカタログと品質スキャンを実装する手順
- データレイクハウスとは？データレイク・DWHとの違いとアーキテクチャを実装視点で解説：ガバナンスを載せるデータ基盤の構成の選び方
