グローバルガバナンスの構築において課題となるのは地理的・文化的要因だけではない。「海外拠点で生成されるデータや設備・システムは不十分であることも少なくない。人員自体が不足している場合もある」と辻田氏は述べる。現地人員に作業させるとしても、作業内容や作業結果を全て把握・管理することは難しい。

PwCあらた有限監査法人の辻田弘志氏

　「日本企業は欧米の先進企業と比べてリスク管理・対策のIT化が遅れている」と辻田氏は説明する。人や仕組み、監査機関などの組織による管理が中心の場合、監査や対策に不完全な部分が生じたり、担当者の負担が増したりといった問題が起こる。その結果、取得すべきデータの品質低下や、リスク分析不足による不祥事につながる。加えて人手によるリスク管理では、モニタリングや内部監査が部分的・形式的になりやすいという。「短期間かつ特定の作業環境でのみデータを収集し、それを基に判断するような、その場しのぎの監査では、リスク対策は万全とは言えない」（同氏）

解決策となる技術と応用例

PwCあらた有限監査法人の熊田清志氏

　人手による不完全なリスク分析・管理を脱し、抜け漏れのない分析調査を実現するために有効な手段として、熊田氏がまず紹介するのはAI（人工知能）技術だ。AIエンジンに学習データを与えモデルを作成する。これを利用して、大量の文書に対して、高いリスクを持つ文書の発見や、情報間での整合性確認が自動でできるようになる。業務システムのイベントログを基に、業務プロセスの可視化や分析を可能にする「プロセスマイニング」ツールも有効だという（図1）。通常とは異なるプロセスの発見だけでなく、無駄なプロセスを突き止めることによるプロセスの改善も期待できる。

図1　購買プロセスのプロセスマイニング例（出典：PwCあらた有限監査法人）《クリックで拡大》

　不完全なリスク管理に加え、部分的・形式的なモニタリングの解決策にもなるテクノロジーとして、熊田氏は「GRC」（Governance Risk Compliance）ツールを挙げる（図2）。これは多様なリスクとそれにまつわるデータを一元管理できるシステムだ。GRCツールは定期的にデータを取得し、人に代わってリスク評価やモニタリングなどの業務を実行できる。その結果、業務の負荷を削減し、正確性を高められる。さらに継続的なモニタリングが可能となり、監査のための特別な作業が不要になる。「リスク評価やモニタリングの結果を定期レポートとしてシステムに作成させる。それを定期的なコンプライアンス評価として扱う、といった運用が考えられる」と、熊田氏は例を提示する。「企業に関わるリスクと、それに関するデータは多様化している。そうしたデータを、表計算ソフトウェアなどを使って人が管理していると、いずれデータの増加に追い付かなくなる。この観点においてもGRCツールは有用だ」（同氏）

図2　GRCツールの概要（出典：PwCあらた有限監査法人）《クリックで拡大》

　熊田氏は「テクノロジーはあくまでも手段」であると強調する。「広い視野を持ち、全体としての目的が何かを正しく設定すべきだ。誰がどのデータ、あるいはどのツールを使うべきかを考えなければいけない」とも語る。この考え方はグローバルガバナンス強化だけでなく、どの業務分野においても必須だろう。