AI時代のGRCの近代化：アーチャー・サミット2026が明らかにしたこと

Archer® Summit 2026では、AIが議論の主要なテーマとなっていましたが、3日目になると、議論は「AIに何ができるか」という域を超えていました。より大きな課題は、組織が実際にAIを信頼し、ガバナンスをかけ、防御できる形で、その能力を活用するために何が必要かということでした。

その変化は、その日一日を通して行われた顧客セッションにも反映されていました。GRCの将来に関する発表や議論が2日間続いた後、顧客たちは話題を実践的な側面へと戻しました。つまり、「近代化」という概念が、単なるアイデアから組織が日々行わなければならない業務へと移行したとき、それは具体的にどのような姿になるのか、という点です。

そうした会話の多くにおいて、その答えは驚くほど単純なものでした。近代化とは、必ずしも新しいものを加えることだけではありません。時には、ついに何を排除できるかを突き止めることでもあるのです。

AIの機能から、管理可能なAIへ

アーチャー・サミットの最初の2日間は、その議論の土台を築くものとなりました。

Archerは、「Archer Evolv™ Foundation」と「Archer Evolv™ Workplace」を発表し、ガバナンスの適用されたデジタルワークフォースをGRC環境にもたらしました。Foundationは、そのワークフォースを支える共有AIインテリジェンス層として機能し、組織の既存のGRCコンテキスト、記録、および関係性を活用して、AIが有意義な業務を行うために必要な情報を提供します。 「Workplace」は、顧客がガバナンスが確保されたAIオペレーターを選択し、自社のチームに割り当てることができるマーケットプレイスです。各オペレーターは特定のGRC業務向けに設計されており、定義された範囲内で動作し、指名された担当者の監督下に置かれます。

その後、Archer Evolv™ AI Complianceが登場し、この同じアプローチをAIランタイムそのものに拡張しました。規制や社内ポリシーは、ネイティブなAWS Bedrock Guardrailsを通じて強制力のある制御手段となり、モデルが応答する前に、従業員やエージェントからのプロンプトを評価できるようになります。その結果得られる制御情報や違反の証拠は、GRCの公式記録システムと連携したまま維持されます。

これら3つの発表を総合すると、あるより広範な考え方が浮かび上がります。すなわち、エンタープライズAIには、単に答えを生成したり、アクションを実行したりする能力以上のものが求められるということです。そこには、文脈、境界、説明責任、そして根拠が必要なのです。

サミットが顧客向けセッションに移行するにつれ、その違いが特に鮮明になった。

難しいのは、その成果を証明することだ

AIをめぐる議論は、往々にして「スピード」から始まります。モデルはどれくらいの速さで規制を読み解くことができるのか？ どれくらいの速さで管理措置を特定し、調査結果を要約し、回答案を作成することができるのか？

こうした能力は重要ですが、それは全体の一部に過ぎません。GRCにおいて、より難しい課題はその後、監査人、検査官、あるいはリスク管理責任者が、なぜその事態が発生したのか、そして組織がその決定を正当化できるかどうかを理解しなければならない段階で生じます。

AIシステムなら、アナリストがかつて構築に要していた時間のほんの一部で、義務ライブラリを生成できる可能性があります。AIオペレーターは、記録を分析し、パターンを特定して、調査結果やマッピングを提案することができます。従業員や他の担当者は、プロンプトを送信すれば、数秒で応答を受け取ることができます。

しかし、もし何か問題が発生した場合、スピードだけでは最も重要な問い――「なぜこれが許されたのか？」――への答えにはならない。

そこで、「Archer Evolv」を支えるアーキテクチャの重要性が際立ちます。Foundationは、AIオペレーターが組織の既存の記録やコンテキストを扱うための、共有インテリジェンス層とGRC専用の環境を提供します。そのデータ準備機能により、AIが依存する情報が利用可能かつ信頼できるものであることが保証されます。一方、GRCハーネスは、オペレーターが定義された範囲内で作業を行い、記録システムと連携し続けることを可能にします。

Workplaceは、その基盤を土台として、組織がこれらの「オペレーター」を実務に活用するための実践的な手段を提供します。AIをGRCプログラムの外にある単なる別のアプリケーションとして扱うのではなく、チームは特定の業務に合わせて設計されたデジタルワーカーを選択し、すでにその業務を担当している担当者に割り当てることができます。オペレーターが情報を収集・分析し、提言を生成する一方で、結果の確認と承認の責任は、指名された担当者が引き続き負います。

Archer Evolv AI Complianceは、この原則をさらに一歩進め、AIの活動経路に直接制御機能を組み込んでいます。これにより、組織はポリシー違反を事後的に発見するのではなく、モデルが実行される前に承認済みの制御を適用し、発生した事象の証拠を保持することができます。

目標は、単にAIの処理速度を向上させることだけではありません。何が起きたかを理解し、制御し、証明する能力を失うことなく、その働きをより有用なものにすることです。

SMBCによる内部監査の近代化に関する議論は、その構想を現実的なものへと落とし込んだ。焦点は、監査人をAIに置き換えることや、テクノロジーが将来的に何ができるかについて大げさな主張をすることにはなかった。むしろ、証拠の形式を標準化し、手作業による照合を削減し、監査所見とそれを裏付ける証拠との関連性をより強固にすることで、業務そのものを改善することにあった。

これが、現実の世界で機能しなければならない場合の近代化の姿です。技術も重要ですが、技術を取り巻く規律も同様に重要です。

近代化とは、主に「引き算」である

サミットでの他の顧客との会話のいくつかでも、たとえAIが話題になっていなくても、同じ考えが垣間見られました。

EYは、100万件を超えるレガシーアカウントと約2テラバイトのデータを有する、高度にカスタマイズされたオンプレミス環境を、1年足らずでSaaSへ移行した経緯を説明した。技術的な移行作業は大きな課題ではあったが、それ以上に困難だったのは、実際に何を移行すべきかを決定することだった。

長年にわたるカスタマイズの結果、導入当時は理にかなっていたフィールドやワークフロー、その場しのぎの対応が数多く生み出されてきました。しかし、時が経つにつれて、その中には説明が困難になり、正当化することさえ難しくなったものもありました。近代化とは、こうした蓄積された複雑さを綿密に検証し、今なおその存在意義があるものを判断することを意味していました。

ザイオンズ銀行は、一挙に全面的な移行を試みるのではなく、アーチャーの新機能を段階的に導入するという異なるアプローチを採用しました。各ステップは、次のステップを導入する前に検証することができ、これにより、近代化を単発のイベントとして扱うのではなく、より慎重な道筋を築くことができました。

ブルークロス・ブルーシールドは、この課題のもう一つの側面について説明した。個別のカスタマイズは導入当初は理にかなっていたが、時が経つにつれて、そうした決定が積み重なった結果、変更や導入がますます困難なシステムとなってしまった。当初は柔軟性として機能していたものが、最終的にはそれ自体が摩擦の原因となってしまったのである。

各組織は近代化への取り組み方を異にしていたが、そこから得られる根本的な教訓は一貫していた。すなわち、時には、業務の周囲に蓄積されてきたものを取り除くことこそが、最大の改善につながることもあるのだ。

手作業の工程が減る。その場しのぎの対応が減る。重複作業が減る。メンテナンスの負担が減る。複雑さが軽減される。

これはAIにとっても重要な教訓です。

新しい技術が登場するたびに、自然と「もう一つのツール」「もう一つのモデル」「もう一つのアプリケーション」を追加しようとする傾向があります。しかし、AIが単にGRCチームが維持管理すべきシステムをもう一つ生み出すだけなら、組織は機能を追加しただけで、必ずしも業務負担を軽減したわけではないことになります。

Archer Evolvがもたらす機会は一味違います。「Foundation」、「Workplace」、「AI Compliance」は、GRC環境の周囲に別の孤立した層を構築するのではなく、GRC環境を拡張するように設計されています。「Foundation」は知見とコンテキストを提供し、「Workplace」は人間の監督下で専用に設計されたオペレーターを稼働させ、「AI Compliance」は規制やポリシーに基づく制御をAIの実行環境に組み込みます。

つまり、目標は、GRCチームがAIを管理するための場をさらに増やすことではありません。彼らがすでに信頼している環境が、より多くのことを行えるようにすることです。

レガシーGRCからAIについて学べることは何か

GRCの近代化とAIガバナンスに関する議論は、一見すると2つの別々の話題のように思えるかもしれません。

1つは、移行、カスタマイズ、レガシーシステムに関するものです。もう1つは、AI、エージェント、ランタイム制御に関するものです。

しかし、サミットでの顧客との会話を通じて、そのつながりがより明確に見えてきました。

長年にわたり不要なカスタマイズが積み重なったGRC環境と、十分な文脈や監督なしに意思決定を下してしまうAIシステムには、根本的に同様の問題があります。いずれの場合も、組織が「何を残すべきか」「何を変えるべきか」「何を管理すべきか」を再検討する時間を割かずに技術の追加を続けていると、そのガバナンスが困難になってしまう可能性があります。

従来のGRCプログラムの場合、その複雑さは、最終的には保守の困難さ、導入率の低さ、あるいは予想以上に時間がかかる移行といった形で現れる可能性があります。

AIの場合、誰かが「システムは何をしたのか」「どのような情報を使用したのか」「どのポリシーが適用されたのか」「誰が結果を承認したのか」と尋ねたときに、その影響が表面化することがあります。

そうした回答は、後になって断片的なログの集まりから必ずしも再構築できるとは限りません。それらはプロセスの一部として組み込まれる必要があります。

だからこそ、AI環境においてGRCの「記録システム」が重要となるのです。その価値は、単に最終的な回答を保存する場所があるということだけではありません。作業が行われる過程で、その作業に関連する文脈、義務、統制、証拠、および責任の所在が結びつけられていることにこそ、その価値があるのです。

この点においても、AIオペレーターの役割は汎用AIアシスタントとは異なります。オペレーターは特定のGRC業務のために構築され、定義された範囲内で動作し、アクセス権限が与えられた記録やコンテキストに基づいて処理を行い、その作業の追跡可能な記録を残します。Archerに結果が書き戻される前に、指名された担当者がその結果を確認・承認する責任を負います。

その結果、AIがGRCを回避して動作するということにはならない。

これはGRC内で動作するAIです。

初代は「性能」がテーマでした。次世代は「実証」がテーマです。

第1世代のエンタープライズAIは、主にその技術が業務を遂行できることを実証することに重点が置かれていた。

• その機械は文書を読み取ることができるでしょうか？
• 規制を要約する？
• リスクを特定しますか？
• 回答案を作成しますか？

それらの疑問は、おおむね解消されました。

次の質問は、GRCにとってより根本的なものです。

• その組織は、回答の出典を明らかにすることができますか？
• その行動の根拠となった義務や方針を特定することはできるか？
• AIがアクセスしたり変更したりすることが許可されていた内容を表示することはできますか？
• 結果の確認を担当した人はいましたか？
• モデルが応答する前に制御が実施されたのか、それとも違反が後で発見されたのか？

これらは単なるAIに関する問題ではありません。GRCに関する問題なのです。

汎用モデルは回答を生成することはできますが、GRCオペレーターは、管理された環境内で定義された作業を実行する必要があります。基本的なプロンプトフィルターは特定のコンテンツをブロックすることはできますが、コンプライアンス管理では、その判断をその背景にある規制やポリシーと結びつける必要があります。リポジトリはポリシーを保存することはできますが、GRCシステムでは、そのポリシーを義務、管理措置、証拠、責任者、および意思決定と結びつける必要があります。

これこそが、GRCにAIを追加することと、AI時代を見据えてGRCを構築することとの違いです。

現代化の現状

アーチャー・サミットでの顧客との対話は、何らかの形で近代化を完了させた組織の話ではありませんでした。多くの点で、それこそが、それらの対話をより価値あるものにしていたのです。

SMBCは、AIを活用した監査プロセスの信頼性を高めるために必要な実務的な取り組みについて説明しました。EYは、長年にわたって蓄積されたカスタマイズの中から、依然として有用な部分とそうでない部分を切り分ける作業について述べました。Zions Bankは、大規模な一斉移行ではなく、段階的に近代化を進める方法を紹介しました。Blue Cross Blue Shieldは、善意で行われたカスタマイズが、最終的には変革の妨げとなり得ることを実証しました。

それらの話のうち、どれひとつとして、近代化が容易であることを示唆するものはありませんでした。

彼らは、もっと有益なことを示した。つまり、組織がこれまでの仕事のやり方に疑問を投げかける姿勢を持てば、近代化が可能になるということだ。

つまり、何が今もなお役割を果たしているのか、何が自動化できるのか、何が不要なのか、そして何に対してより厳格な管理が必要なのかを問うことです。また、既存のデータやシステムに次々と新たな層を重ねていくのではなく、それらをより有効に活用することを意味します。

この考え方はAIにも当てはまります。

AIの価値は、単にモデルやエージェントの数を増やすことからは生まれません。その価値は、組織がその機能を制御し、理解し、その動作結果を検証できる環境に、その能力を組み込むことによって生まれるのです。

アーチャー・エボルブは、GRCをその方向へと導くよう設計されています。

• Archer Evolv Foundationは、インテリジェンス層とガバナンスが適用された環境を提供します。
• Archer Evolv Workplace を利用することで、チームは、定義された GRC 業務を担当できる専用に設計された AI オペレーターを利用できるようになります。
• Archer Evolv AI Complianceは、ガバナンスをAIの実行環境にまで拡大し、規制やポリシーを、モデルが呼び出される前に適用可能な制御手段へと変換します。

これら3つの発表は、ある大きな変革の一部です。それは、「何かができるAI」から、「企業が責任を持って活用できるAI」への移行です。

こうして、話題は3日目に顧客たちが話していた内容に戻ることになります。

近代化とは、単に技術を導入することそのものを目的とするものではありません。それは、業務の管理をより容易にし、理解しやすくし、そして防御しやすくすることです。

時には、何か新しいものを導入することもあります。

それと同じくらい、もう必要のないものをようやく手放すことを意味することもある。

GRCの近代化における次の段階は、組織が何を追加するかだけでなく、業務を信頼するために必要な管理、文脈、証拠を維持しつつ、何を削除できるかによって決まるでしょう。

---

よくある質問