[DX推進に不可欠な「デジタルリスクマネジメント」の要諦]

2021年4月27日(火)熊谷 堅（KPMGコンサルティング リスクコンサルティングサービス パートナー）

リスト

COVID-19が後押ししたDXの機運

　デジタルトランスフォーメーション（DX）の取り組みは、ご存じのように、市場変化のスピードに合わせてビジネス展開するために必要不可欠な要素となっている。今や一握りのIT先進企業のものではなく、業種を問わず、あらゆる企業の事業戦略の中核に位置づけられている。

　さらに新型コロナウイルス感染症（COVID-19）が世の中の状況を大きく変化させた。ビジネスの世界では、リモートワーク化やそれに伴うペーパーレス化を断行し、これまで多くの企業が躊躇していた状態に急激に舵を切った。DXの本質に照らせば、この状況をもってDXと呼ぶことに違和感はあるものの、ニューノーマル時代の序章として、社会の価値観や行動様式を大きく変えるかたちでDXの機運が高まっているのは事実であろう。

　技術の進歩やITネットワークインフラの整備により、人・モノ・サービス、そしてデータが時間や場所を問わず、シームレスにつながる時代になっている。企業を中心に考えた場合、デジタル化時代に成功する企業のオペレーティングモデルは、フロント、ミドルおよびバックオフィスが仮想的にデータ統合されていると言われる。

　筆者が所属するKPMGコンサルティングでは、これを「コネクテッド・エンタープライズ」と呼ぶ。組織内のプロセスの殆どが顧客を起点に繋がり、データ化されて容易に共有・追跡可能になり、組織の各レイヤーの意思決定の多くがデータに基づくことが常態化されている。そんな時代が目前に迫っている。

　身近なところでも、企業内でDXが進展すれば、手書き書類や押印などの人手を介した物理的な処理は減少し、多くのオペレーションの実行とその記録がシステム上で蓄積され、共有される。何かを見て、人が考えて、その結果を入力することは極端に少なくなり、あらゆるプロセスがデータ化と共にオートメーション化されていくだろう。

リスクマネジメントはデジタルリスクマネジメントへ

　企業経営は、営業上の利益最大化と持続的な成長を前提とする。競争原理下にあり、ビジネスルールの順守や当事者間の責務履行、社会的責任が付随する。環境変化や不確実性を評価し、リスクが顕在化しないよう、リスクマネジメントを日々実践している。

　その内容は、内部統制、法令順守、情報管理、危機管理、監査対応など多岐にわたる。いずれも自社の営みが健全であることを担保するための仕組みや不芳事象を抑制する活動である。そのため旧来から、リスク管理部、コンプライアンス部、品質管理部、内部監査部等の部署を置く企業も多い。これらの部署を本稿では、「リスク部門・コンプライアンス部門など」とする。

　リスクマネジメントの仕組みや活動は、デジタル化の進展に伴い、劇的に変化する可能性がある。顧客接点やフロント業務から大きく遅れをとったリスク部門・コンプライアンス部門などのDXとも言える。

　現状、リスクに認識や業務実態の可視化作業は、旧態依然としたアナログの世界で繰り広げられている。現場に洗出し作業や評価を依頼して集計する、現場の状況をヒアリングのうえサマリーして報告書にまとめる等々、いわば労働集約型の枠組みである。

　将来は、社内や外部のデータを駆使してリスクを識別する状況になっていくと考えられる。データ処理されたプロセスを自動的に描写・可視化して異常値を適時に検知することも考えられる。サンプル帳票の目視と現場の意見から総合的に判断するのではなく、データやデジタル技術を活用して全量を検証する。これらは世界中に拠点展開する組織であっても集中処理し、きわめて効率的に実行され、根拠ある経営報告と意思決定を実現する。

　KPMGでは、このように、リスクに対しデータやデジタル技術を用いて最適なコントロールを実現する取り組み（Control by Digital）を「デジタルリスクマネジメント」（図1）と呼び、その推進を訴えている。

図1：Control by DigitalとControl for Digitalで成り立つ
拡大画像表示

DX推進で重要となるシフトレフトの実践

　「デジタル化されていく組織内のプロセスや流通・蓄積されるデータを活用して、リスクを低減する」──Control by Digitalの仕組みがデジタルリスクマネジメントであることを説明したが、企業が推進するデジタル化やDX自体のリスクをコントロールする、もう1つの側面にも着目したい。

　基幹系システム（SoR）開発のように、ウォーターフォール型のプロセスを順次進めていくのではなく、DXの推進はアジャイル型を志向し、試行錯誤を繰り返すことが多い。デジタル技術を用いたビジネスモデルや業務プロセスの変革にはスピードが求められ、時としてリスクが見過ごされたまま最終段階に近づき、大きな手戻りも考えられる。

　そうなるとやはり、プロジェクトの終了段階でリスク部門・コンプライアンス部門等のチェックを行うのではなく、リスクやコントロールを早い段階（時間軸の左＝レフト）で検討・実装することが望ましい。これを「シフトレフト」と呼ぶ。

　デジタルリスクマネジメントのもう1つの側面とは、リスク部門・コンプライアンス部門が早期に関与し、DXの推進が一体となり、制度化された仕組みの中で運営される、まさに「シフトレフト」が、デジタル化に対する最適なコントロール（Control for Digital）を実現するという考え方である。各組織に明確なミッションを与え、DX推進プロセスに組み込んでいくことが重要である。

●Next：なぜ、リスクマネジメントから「デジタルリスクマネジメント」にシフトする必要があるのか？