ほとんどの組織には、データそのものに問題があるわけではありません。問題となっているのは、データの断片化と、「知る」ことと「実行する」こととの間のギャップであり、これはどんなダッシュボードでも埋めることができないのです。
リスク管理技術に対する一般的な批判は、可視性に焦点を当てがちです。つまり、チームは企業全体で何が起きているのか把握できず、データはサイロ化されており、レポートも一貫性を欠いているというものです。これは確かに大きな課題であり、GRC市場も長年にわたりこの問題の解決に取り組んできました。しかし、より困難な問題は、その一連の流れのさらに先にあるのです。
ダッシュボードの後はどうなるのでしょうか？
多くの組織において、その答えは「手作業」です。スプレッドシート。メールのやり取り。文書化された成果につながるかどうかも定かではないフォローアップのやり取り。リスクの指摘は表面化しても、その後は静かに停滞してしまいます。コンプライアンス上の不備が特定されても、それを処理する余裕のある誰かに回されるだけです。プラットフォームは「洞察」の段階にとどまり、実行はそれを補う形で個人が対応せざるを得ない状況になっています。
リスクが存在することを認識することと、実際にそのリスクを解決することとの間にあるそのギャップこそが、多くのリスク対策プログラムが知らぬ間に機能不全に陥る原因となっている。そして、その理由を理解しておく価値がある。
環境は変化したが、リスク管理プログラムの多くは依然として変化していない
長年にわたり、リスク管理技術の主流となるモデルは、データの収集と報告を中心に構築されてきました。データは収集され、一元的に保存され、経営陣からの要請があった際に定期的に提示されていました。このモデルは、規制の変更が年単位のサイクルで進み、リスクレビューが予定された行事として行われていた環境には適していました。
その環境はもうない。
PwCの「グローバル・コンプライアンス調査2025」によると、組織の85％が、過去3年間でコンプライアンス要件がより複雑化したと回答しています。77％は、その複雑さが事業成長に不可欠な分野に積極的に影響を及ぼしていると報告しています。規制当局による執行のタイムラインは短縮され、規制当局の期待も周期的なものから継続的なものへと変化しました。取締役会はより厳しい質問をより頻繁に投げかけており、その回答には2週間もの手作業による集計を必要としないことを求めています。
この点をうまく管理している組織は、必ずしもデータ量が最も多い組織や、最も高度なレポート機能を備えた組織とは限りません。それらは、リスクの発見から、文書化され、追跡可能で、期限が定められた対応に至るまでのプロセスを円滑にしている組織なのです。
なぜ「コネクテッドデータ」は「目的地」ではなく「出発点」なのか
コンプライアンス部門が情報不足に悩むことはめったにありません。調査結果は存在しています。評価も済んでいます。第三者によるレビューもシステムのどこかに保存されています。問題は、情報がさまざまなプラットフォーム、チーム、形式に分散しており、それらを結びつけて全体像を把握することがほぼ不可能になっている点にあります。
こうしたデータの分散化には、実際のコストが伴います。PwCの調査によると、コンプライアンス担当者の63％が、データが分散していることでコンプライアンス業務が困難になっていると回答しています。しかし、リスク、コンプライアンス、ポリシー、およびサードパーティのデータを統合された環境に集約している組織では、測定可能な成果が報告されています。具体的には、リスクの可視性が64％向上し、問題への対応が53％迅速化され、直接コストが43％削減されています。
こうした成果は、データ収集の質の向上によるものではありません。データが連携されることで可能になること、すなわち、リスクへの露出状況を明確に把握し、注意が必要な事項を適切に報告し、監査に耐えうる形で意思決定を記録できるようになることによるものです。
組織に実際にコストを強いているギャップ
PwCの調査によると、現在、自組織をコンプライアンスのリーダーと位置付けている企業はわずか7％である一方、38％が3年以内にそのレベルに到達することを目指している。このギャップは、主に戦略上の問題によるものではない。戦略的な目標は明確である。しかし、そのギャップを埋めるための運用インフラが、まだ整っていないのだ。
そのパターンは決まっています。リスク評価で問題点が明らかになり、統制テストで不備が特定され、第三者によるレビューでベンダーに関する懸念が指摘されます。プラットフォームがそれを報告します。そして、その解決、担当者の割り当て、期限の設定、進捗の追跡、完了の記録、監査証拠の作成といった作業は、手作業で行われたり、一貫性なく行われたり、あるいはまったく行われなかったりしています。
ここで問うべきなのは、その解決プロセスを、リスクの特定プロセスと同様に体系化され、追跡可能なものにするには何が必要か、ということです。これは、優先度の高いリスクだけでなく、プログラム全体において、継続的に行われるべきものです。
答えは、ダッシュボードを増やすことではありません。重要なのは、調査結果が自動的に、追跡・責任の所在が明確で、期限が定められたアクションへと転換される運用モデルであり、プラットフォームがそのサイクルの前半だけでなく、全工程をサポートするものです。
なぜ技術投資だけでは不十分なのか
リスク管理プラットフォームに多額の投資を行っていながら、依然として業績が振るわない組織には、ある共通の傾向が見られます。それは、「ガバナンスを欠いたテクノロジー」であるということです。
構造のない自動化はノイズを生み出します。明確な責任の所在がないデータ統合は、拡張性がありません。明確な意思決定プロセスのないレポート作成は、誰も行動に移さない情報の量を増やすだけになります。
PwCのデータはこの点について明確な示唆を与えています。コンプライアンス担当責任者の55％が、強固なコンプライアンス文化を築く上で最も重要な要因として、経営陣の支援を挙げています。また、一元化された統合的なコンプライアンスモデルを採用している組織の59％は、部門ごとの孤立した体制で運営されている組織に比べ、意思決定に対する自信が高いと報告しています。
テクノロジーがその能力を実現します。ガバナンス体制によって、その能力が戦略的優位性へと発展するのか、それとも十分に活用されないまま放置されるのかが決まります。
リスク管理プログラムの構築や維持について考える際、この区別は重要です。これはシステム稼働時の問題ではなく、プログラムが長期にわたりどのように運用されていくかという問題なのです。
実行可能なリスク管理とはどのようなものか
実行可能なリスク管理プログラムと、報告中心のプログラムとを区別する機能は、いくつかの中核的な分野に集約される傾向があります。
真の責任体制を備えた課題管理。発見された課題は受信トレイの中に埋もれることはありません。担当者を割り当て、期限、エスカレーション手順、必要な文書化要件が組み込まれた追跡可能な記録として管理されます。解決状況も記録されます。手動で作成する必要なく、監査証跡が自動的に残されます。
リスクに関連するポリシー管理。規制が変更されると、その下流への影響は即座に明らかになります。具体的には、どのポリシーが影響を受けるか、どの統制を更新する必要があるか、コンプライアンス上どのような影響があるかといった点です。自社のシステムではなく、監査を通じて事後にこうしたギャップを発見した組織は、より大きな代償を払うことになります。
全体像の一部としてのサードパーティ・リスク。組織の64％が、製品やサービスの提供をサードパーティに依存しています。ベンダーのコンプライアンス違反は孤立した問題にとどまらず、規制上のリスク、業務上のリスク、さらには評判上のリスクにもつながりかねません。サードパーティの監督が、企業全体のリスク管理とは切り離された別のプログラムとして運用されている場合、それらの関連性が明らかになるのは、先手を打って対応するには手遅れになってからとなります。
継続的な統制のモニタリング。監査の時点で統制の不備を発見することと、それが発生した時点で特定することとの間には大きな違いがあります。前者はその性質上、事後対応的なものです。後者により、組織は業務サイクルが終了した後ではなく、そのサイクルの中で不備に対処することが可能になります。
手作業による集計を必要としない経営層向けレポート。CCOやCROは、取締役会でのプレゼンテーションを控えた数日間を、複数のシステムからデータを抽出して再フォーマットすることに費やすべきではありません。経営陣が必要とする情報は常に利用可能であり、裏付けとなる詳細情報も必要に応じてすぐに参照できる状態でなければなりません。
この分野の今後の展望
PwCによると、82％の組織が今後3年間でコンプライアンス技術への投資を拡大する計画である。また、71％が、同期間においてデジタルトランスフォーメーションの推進には、コンプライアンス面での大幅な支援が必要になると見込んでいる。
投資の傾向は実際の需要を反映しています。しかし、その投資の収益率は今後も大きくばらつき続けるでしょう。それは、一部の組織がより優れた技術を購入しているからではなく、一部の組織がその技術と、その性能を最大限に引き出すために必要なガバナンスモデルを組み合わせて活用しているからです。
最も重要な方向性は、データの量やダッシュボードの数を増やすことではありません。それは、意思決定の現場にAIや分析機能を組み込み、断片化されたプロセスの上に単に重ねるのではなく、構造化され追跡可能な自動化を実現し、依然として対応時間を遅らせているサイロ化を解消する、より深い連携を築くことなのです。
今後の規制の複雑化という新たな波を先導していく組織は、状況が落ち着くのをただ待っているわけではありません。こうした組織は、リスクの発見と解決が同一の業務サイクルの一部となり、その間の期間も四半期単位ではなく、数日単位で測定されるような体制を構築しています。
アーチャーが、実行可能なリスク管理をどのように支援するか
Archerは、リスクおよびコンプライアンス担当チームに対し、単一の連携された環境内で、リスクの特定から文書化された解決に至るまでの全プロセスを管理するためのツールを提供します。課題管理、統制のモニタリング、ポリシー管理、サードパーティ・リスク、および経営層向けレポート機能は、事後的に集約されるのではなく、相互に連携して機能するように設計されています。
archerirm.com で、Archer がどのように組織の「可視化」から「実行」への移行を支援しているか、詳細をご覧ください。
「実行可能な」リスク管理とはどのようなもので、従来のGRCとはどのように異なるのでしょうか？
従来のGRCプラットフォームは、主にデータ収集と報告を軸に設計されていました。つまり、リスク情報を収集・保存し、ダッシュボードや定期報告書で可視化する仕組みでした。 「実行対応型」のリスク管理は、さらに一歩進んだものです。これは、リスクが特定された後のプロセスをプラットフォームが積極的に支援することを意味します。これには、責任の割り当て、ワークフローの起動、是正措置の追跡、完了の記録、そして規制当局や取締役会が求める監査証拠の作成などが含まれます。「実行対応型」モデルでは、レポート作成を最終目的とみなすのではなく、継続的に稼働する運用システムからの成果物の一つとして位置づけています。このシステムは、単一の環境内でリスク評価、ポリシー管理、統制のモニタリング、および第三者による監督を連携させています。
コンプライアンスチームは、リスクの特定と解決との間のギャップをどのように埋めることができるでしょうか？
重要なのは、手作業による引き継ぎを構造化されたワークフローに置き換えることです。評価、統制テスト、第三者によるレビュー、または監査を通じてリスクが特定された場合、その解決プロセスには、責任の所在、期限、エスカレーション手順、および文書化要件が組み込まれている必要があります。こうした構造がなければ、問題は電子メールやスプレッドシートに委ねられ、解決の進め方に一貫性が失われてしまいます。 PwCの「グローバル・コンプライアンス調査2025」によると、連携型のコンプライアンス技術を活用している組織では、問題への対応速度が53％向上しており、この改善は、特定プロセスと同様に解決プロセスも追跡可能にしたことに直接起因しています。
サードパーティ・リスク管理は、なぜ独立したツールではなく、統合プラットフォームの一部であるべきなのでしょうか？
なぜなら、サードパーティ・リスクは単独で存在するものではないからです。サプライヤーのコンプライアンス違反は、規制上のリスクを生み出します。ベンダーのサイバーセキュリティインシデントは、業務上の問題や評判の低下につながります。 監査によって契約上の不備が明らかになることもあります。サードパーティ・リスクが別のシステムで管理されていると、組織はベンダー・リスクが自社のコンプライアンス体制全体とどのように関連しているかを把握できなくなり、結果として事後対応的なリスク管理に終始することになります。サードパーティに関する調査結果を、企業リスク、ポリシー管理、および統制モニタリングと同じプラットフォームに統合することで、それらの関連性をリアルタイムで可視化し、同一のリスクフレームワークに基づいて評価し、同一のワークフローを通じてエスカレーションを行い、同一の経営層向けダッシュボードに反映させることが可能になります。
なぜ、リスク管理プログラムのパフォーマンスを向上させるには、技術への投資だけでは不十分なのでしょうか？
ガバナンスのないテクノロジーは、予測可能な形で不備を露呈します。構造のない自動化は、ノイズを生み出します。 明確な責任の所在がないデータ統合は、スケールしない。定義された意思決定プロセスがないレポートは、誰も行動に移さない情報の量を増やすだけである。PwCの調査によると、コンプライアンス担当者の55％が、強固なコンプライアンス文化を築く上で最も重要な要素として経営陣の支援を挙げており、一元化されたコンプライアンスモデルを導入している組織の59％が、意思決定に対する自信が高まっていると報告している。プラットフォームはその機能を提供する。ガバナンスモデルこそが、その機能が時間の経過とともに戦略的優位性へと結びつくかどうかを決定づける。
出典：PwCグローバル・コンプライアンス調査2025、 pwc.com/gx/en/issues/risk-regulation/global-compliance-survey.html
