内部監査がAIリスクを統制しコンプライアンスを促進する方法

AIとは、広く言えば人間の認知能力を模倣する機械を指します。これにはユーザーの指示に応じてコンテンツを生成する生成AIや、初期段階にあるAIエージェントが含まれます。生成AIは使いやすさから一般的に普及し、すべてのユーザーにとってAI技術へのアクセスが可能となりました。これまでのAIは、基本的にデータサイエンティストしか利用できないものでした。

この劇的な変化を背景に、人々がAIを完全には理解していないまでも強力なツールがあるという状況の中、内部監査部門は次のような事態に直面しています。

• 成果の実現とリスク低減に対するステークホルダーからの期待の高まり。機関投資家、アクティビストにとどまらず、消費者、従業員、ビジネスパートナーが、企業のAI関連リスクや課題への管理方法について、より高度な問いを投げかけています。
• AIの企業利用に関する、各国で進む規制の整備と強化。世界中の法域、またあらゆる規制機関において、AIのリスク管理を含めた設計、使用、展開に関するガイダンスが策定されています。
• 統一性を欠いた、分断的なAIリスク・機会への対応。AIの課題は企業内のさまざまな部門にまたがる上に、データ、リスク、コントロールの所有権が曖昧だったり割り当てられていなかったりする場合があります。AIの課題と既存のガバナンスモデルや監視モデルにおける課題は統合しづらいため、企業全体でのリスクのカバー範囲に未対応の部分が生じる恐れがあります。
• AI人材の育成とスキル強化への需要の高まり。企業はAIに関する研修機会を増やしたり、新たな役割に人材を配置したりして、AIのプロセス、リスク、コントロールの監視やガバナンスといった組織目標ならびにリスク管理活動を実現しようとしています。

増大するプレッシャーの中で、CAEは、策定されたAI戦略の下にあるポリシー、手順、運用モデルを通じて、AIガバナンスの実現方法について、なお調整する必要があります。まず、AIが急速な進化を遂げているため、幅広い経営幹部およびリスク委員会に参画してもらい、適切な3線モデルを構築する必要があります。この3線モデルを通じて、プログラムリスクを効果的にモニタリング・管理し、AIの悪影響から組織を守りながら、イノベーションを育み、運用効率を向上させる必要があります。そしてステークホルダーは、包括的なフレームワーク、方法論、そして役割と責任を策定することが重要です。

リスクに果敢に挑む事業部門の運用チームは、第1線が備えられているだけでなく、AIリスクを特定し管理するためのツールを備え、ツールを駆使するための訓練を十分に受けている必要があります。さらにリスク認識の醸成を行い、積極的なリスク管理の実践を奨励すべきです。これには、AIや機械学習を使用するベンダーを管理して契約書のレビューを実施することや、消費者に対する適切な通知、情報のオプトアウトまたは削除の要請への対応などデータプライバシーに関する考慮事項を管理することが含まれます。

第2線として、リスクおよびコンプライアンス部門は、組織のAI目標に沿ったリスク管理指針とフレームワークを明確に定義する必要があります。リスク管理の実務を担う第1線に対して、統制の導入に関する指導と支援を行い、リスク管理の継続的な改善を確実に進めることが求められます。またこれらの部門はAIのモデルテストやパフォーマンス評価を実施し、さらにはデータセキュリティ、プライバシーや大規模言語モデルに関連する他の重大リスクを評価し、管理策を設けます。このような責務は従来の職務であるリスク管理や品質保証と深く関連しています。

第3線として、内部監査部門は、リスクと可能性を秘めている他のテクノロジーと同様に、リスクと可能性があるAIを活用するために非常に重要な役割を担っています。内部監査部門は、次の3つの主要領域に対応しています。
 

1.AIガバナンスに関する意思決定の場に参画すること
自社のAIガバナンス構築段階が、既に構築されている場合であれば連合型か分散型かによって、またはまだ形成段階にあるならば中心的なチームに統合される前段階かどうかに応じて、複数の議論の場に着く必要があります。

2. AIの運用体制と実装されたシステム・製品の監査を行うこと
そのような監査には、より大規模な展開に向けた、初期段階での準備作業や、規制のフレームワークを参照しながらコンプライアンス監査を数多く実施することも考えられます。また、時間の経過とともにリスクが生じ、不適切なデータ取り込みによるリスクの要因になる可能性があるAIシステムやソリューションのユースケース自体を監査することも考えられます。

3. 責任あるAIに関する組織IQを向上させること
内部監査部門はまた、ガバナンス委員会を後援し、知識を共有する新たな手段とすることもできます。加えて内部監査部門は、コントロール環境の設計に関する管理者としての役目を負い、必要に応じて提言を実施し、AIに関連する新たに出現するタクソノミー（分類法）や言語の整合性を図り、さらにそれらがビジネスで理解されるようにするなどの役割を果たします。内部監査部門がさまざまな部門、プロセスや活動を実際に監査して教育することが求められます。

AIは抽象化する力が強く、AIを活用したユースケースをどの程度利用できるレベルにあるかは、業界・部門によって異なります。汎用的なアプローチが存在しない中、企業にとってはAI活用に着手することすら困難になっています。この質問集は、内部監査部門がさまざまな部門と対話を開始し、コミュニケーションを深めるのに役立ちます。

戦略

• 貴社のビジネスモデルには、AIがもたらす新たな機会を加速し、同時にリスクを軽減する態勢が整っていますか？
• 貴社では、戦略的意思決定やビジネスケース分析、利益分析にAIを組み込みましたか？
• 貴社の社内向けおよび社外向けAIコミュニケーション戦略はどのようなものですか？
• 貴社では、AI目標を達成するために適切な外部アライアンスやパートナーシップを締結していますか？
• 貴社では、AIに関する長期的な価値をどのように定義していますか？

ガバナンス

• 貴社は現在、責任あるAIプログラムにおいてどの段階にありますか？　初期開発段階、スケールアップ中、またはステークホルダーの新しいニーズに沿った効率の最適化段階でしょうか？
• 貴社ではAIガバナンスに関する専任の委員会が設置されていますか？
• AI戦略の設定、および関連するリスクを管理する上で、貴社の経営層の役割はどう定義していますか？
• 貴社ではAIリスク方針を制定していますか？
• 貴社では3線モデルに、AIをどのように展開していますか？
• 貴社では、ステークホルダーそれぞれにとっての優先すべきAIの課題を明確に理解されていますか？

リスク管理

• 貴社では既存のフレームワークやタクソノミーに、増大するAIリスクを反映していますか？
• 貴社では、AIイニシアチブが意図したアウトプットを生み出すために、どのようなプログラム保証を提供していますか？
• 貴社では、AIライフサイクルの管理を可能にするために、プロセスやテクノロジー、ツールを評価し、繰り返しモデルを開発しましたか？
• 貴社では、AIライフサイクルにリスクとコントロールを組み込んでいますか？

指標と目標

• AIの使用についてどのようなプロセスを用いて在庫を把握し、承認して、進捗を追跡していますか？
• 貴社では、AIのインパクトを測定・モニタリングするために特定の指標や目標を定義していますか？
• 貴社では、AIのパフォーマンスをどのように評価し、目標達成について説明責任を果たしていますか？
• 貴社では、AI関連のイニシアチブについてのレポーティングおよびコミュニケーションチャネルを構築しましたか？

内部監査は、AIが組織で利用される経路や範囲を正しく把握し、それぞれに適した統制手段を理解しておく必要があります。上の図は、内製のソリューションにおける責任あるAIの一般的なライフサイクルを示しています。ユースケースの特定や優先順位付けから、構築・テスト、さらに開発したソリューションが機能して不正アクセス等の侵害がないことを検証するためのモニタリングとコントロールが完了するまでを表しています。一方で、多くの企業は以下のような形でAIに関わっています。

• AIソリューションを直接購入して導入しているケースでは、そのライフサイクルは前述の図に近い流れをたどります。
• サードパーティベンダーを通じてAIに触れているケースもあります。たとえば、通常のサービス提供の中で、ベンダーが使用するソフトウェアやツールにAI機能が追加されている場合です。このようなケースでは、サードパーティリスクに関する質問票（リスク評価）が非常に重要になります。
• 企業買収を通じてAI技術を取り込むケースでは、AIポートフォリオに対する追加的なデューデリジェンス（精査）が求められます。

統合された「責任あるAI」が必要とするリスク管理環境とコントロール環境は、次の要素で構成されます。まず、サイバー、データプライバシー、サードパーティリスク管理、法務およびコンプライアンスなどの部門で従来採用されてきたコントロール活動いついて、AIに対する準備がどの程度十分であるかを再評価した上で利用することです。さらに、同じ部門内で新たに設定されたコントロール活動を加えます。AIの開発および調達ライフサイクル全体にわたるモデルリスク管理のコントロールが重要です。

当然ながら、すべての組織は出発点が異なり、組織に構築できる既存のプロセスがそれぞれあります。CAEは、責任あるAIの実現に向けて、自社がどの地点にいるのかを常に問い続けるべきです。プログラムに着手する段階なのか、そのケイパビリティをスケールする段階なのか、あるいは最適化の段階なのか、ということです。

何が次に起こるか先を読み続けるためには、CAEは、組織が責任あるAI（RAI）のガバナンスおよびリスク管理の運用モデルとケイパビリティを構築し、または改善する際の各段階での対応を認識しておくべきです。その対象は、内部監査部門内で実装するテクノロジーと、ビジネス上監視対象となるテクノロジーの両方です。計画立案から再評価までの全プロセスにおいて、関与するプレーヤーが有する知識と組織知とを自社の責任あるAIに組み込めるか否かは、CAEにかかっています。リスクとその軽減についての深い考察と、非常に高度なテクノロジーのケイパビリティが組み合わさることで、CAEと経営幹部は未来に向けて自信を持って進めることができます。

AIの準備状況を評価する際に、クライアントからの質問のうち最も重要な2つへの答えは、次のとおりです。

• 本稿の執筆に当たり、ご協⼒いただいた次の⽅々に感謝の意を表します。Yiming Chang、Vikas Bajwa（senior managers in the Risk Consulting practice of Ernst & Young LLP）