[Sponsored]

精緻な内部監査に寄与するプロセスマイニング
注目すべきリスクコントロールテストの自動化アプローチ

2022年7月4日(月)

リスト

「プロセスマイニングは、企業活動の不正やコンプライアンス違反を検知する仕組みとしても、なくてはならないものになっています」──。6月14日にオンライン開催した「プロセスマイニングコンファレンス 2022 LIVE」（主催：インプレス IT Leaders）に登壇したプロティビティ LLC マネージングディレクタの佐渡友裕之氏は、業務プロセスの改善にあたって必要な「プロセス衛生」について解説するとともに、内部統制のためのリスクコントロールテストを自動化する同社のアプリケーションを紹介した。

組織的負債を取り払うために業務プロセスを見直す

　デジタル技術によるビジネス変革のゴールは、業務プロセスを自動で改善する仕組みを日常業務に埋め込み、業務プロセスを持続的に改善し続ける状態を達成すること。そしてこれは、「プロセス衛生」を担保した上で行わなければならないと、プロティビティ LLCの佐渡友氏はセッションの冒頭で強調した。

プロティビティ LLC Digital BPI マネージングディレクタ佐渡友裕之氏

　現状では、企業が到達すべきゴールには程遠いと佐渡友氏は指摘する。「（組織、業務、意思決定などに悪影響を及ぼす）組織的負債が、障壁として立ちふさがっているからです」というのが大きな理由だ。同氏が挙げる典型的な組織的負債は、以下の5つである。

レガシーなプロセスの蓄積（古い制度や手続きによって、俊敏な行動や意思決定が阻害されている状態）
最適化されていない自動化（RPAなどの自動化ツールが部署ごとにバラバラに入っていて全体の効率化になっていない状態）
品質やスピード、コストのバランスの欠如（品質・スピード・コストのうち何を重視するかの基準がなく時によってコロコロ変わる状態）
外部サプライヤーへの過度の依存（外部ベンダーに丸投げしており、知見やノウハウが自社に溜まらない状態）
バリューストリーム思考の欠如（顧客ではなく、自社の都合が優先されている状態）

　これら組織的負債を打破するために、プロセスマイニングが大いに役立つという。「日々の定型業務には、ムダ・ムリ・ムラがあります。RPAで効率化できるプロセスは一部に過ぎません。デジタルのメスを入れて、まずは業務の実態を可視化することから始めなければならないのです」（佐渡友氏）。

業務の改善にあたっては「プロセス衛生」の担保が重要

　業務プロセスの見直しにあたって重要となるのが、冒頭で触れた「プロセス衛生」という考え方だ。「人間は、心身の健康を保つために、毎日歯を磨いたり、手を洗ったり、清潔な衣類に着替えたりします。企業も、健康を保つためには、業務プロセスを常に監視し、健康を阻害する要因（不正やコンプライアン違反）が起こらないようにする必要があるのです」（佐渡友氏）。

　プロセス衛生の考え方が求められる背景には、検査の不正、環境問題の不正、収賄、給付金詐欺など、世の中に不正が横行している事情がある。「業務プロセスを可視化し、プロセス衛生を保ってさえいれば、企業の不正を抑止できるのです」と佐渡友氏は視聴者に訴えかけた。

　例えば、P社の米国子会社であるA社は、航空会社に旅客機用AVシステムを導入するため、外国政府官僚にコンサルタント料を支払った。政府役人の起用はP社の社内規程に違反し、A社による外国政府官僚への支払いは会計帳簿に反映していなかった。結果、総額で約2億8000万ドル（約310億円）の制裁金が課せられたほか、P社は第三者機関による2年間の監視を受けたという。こうした事案を未然に抑止する仕組みが欠かせない。

　ここで役立つのがプロセスマイニングだ。業務システムのトランザクションデータを利用して業務プロセスを可視化し、業務プロセスの状態を分析する技術や製品群のことであり、改善の余地がある業務プロセスを洗い出したり、不正やコンプライアンス違反の兆候などを発見したりに資するものとして期待を集めている。

　プロセスマイニング以前の監査は、人に頼った往査が主であり、ヒアリングやサンプル調査によって実施していたのは知っての通り。時間や物理的な距離の制約から、頻ぱんには実施できない上に、ビジネスプロセスは2年も経てば変化してしまう。ヒアリングでは真実が隠ぺいされてしまう可能性もあるし、サンプル調査では漏れも生じることが問題視されていた。

図1　プロセスマイニングを活用したプロセス監査によってプロセス衛生を実現
拡大画像表示

内部統制のためのリスクコントロールテストをツールで自動化

　プロセス衛生を支えるプロセスマイニングには、大きく3つの機能があると佐渡友氏は説明する。

　第1に「可視化」である。まずは、現状の業務プロセスを、ありのままに可視化。ここで改善の余地が見つかるなど全ての起点に位置づけられる。それに続く第2が「コンフォーマンス」で、設定したあるべき姿からの乖離度を定量的に提示する。ギャップを埋めるための策を考えて実行することが、改善へとつながっていく。

　これに加えて、ここ1〜2年で、第3の機能「エグゼキューション」が注目を浴びていると佐渡友氏は説明する。「あるべき姿とのギャップを埋める施策を、人に頼らずに自動的に対処していこうというのがエグゼキューション。つまり、自動でプロセスを改善し、自動でプロセス衛生を担保していこうとのアプローチです」（佐渡友氏）。

図2　プロセスマイニングの第3ステップ「エグゼキューション」が注目を集める
拡大画像表示

　自動でプロセス衛生を担保する方法の1つの例が、業務プロセスごとのリスクと対応策を定義した「Risk Control Matrix」（RCM）の活用である。RCMには、業務プロセスに沿ったリスクと、リスクをコントロールする方法、コントロールが正当に動くかどうかのテスト項目とテスト結果を記述する。リスクとコントロールの数は膨大なので、テストはどうしても負荷がかかってしまうのが通例だ。

　ここで、プロティビティ LLCは、RCMのテストを自動化する仕組みとして、プロセスマイニングツール「Celonis」上で動くデジタル内部統制アプリケーション「Control Assurance Application」を提供。購買プロセスを監査した事例では、購買伝票の42%が未承認にも関わらず発注されていた事実をあぶり出したという。

図3　RCMに従って自動でテストを実施する内部監査ツールを用意している
拡大画像表示

大手商社は不正の兆候検知にプロセスマイニングを実用

　講演の後半では、プロティビティ LLCが実際にプロセスマイニングを用いて支援したユーザー事例を2つ紹介した。

　1つめが大手商社への適用事例で、不正兆候の検知を試みたものだ。結果の一例として、ユーザーへの請求書の発行から消し込みまでの日数が極端に短いケースを発見。請求書発行から消し込みまでの平均日数は42日間だが、ある顧客との取引では6日という異常に短いものがあったという。この場合、特定顧客との癒着、架空請求などの疑いが考えられるので、顧客、担当部署、取引製品などを詳細に分析することになった。

　請求書の消し込みについて深堀りし、システムに伝票を登録する時間帯も分析。請求書の消し込みが午後9時から10時にかけて何回も行われているなど、ノーマルな時間帯とはいえない取引入力の実態が明らかになった。

　2つめの事例は、グローバルの電機メーカーだ。海外子会社の購買プロセスを可視化し、適切性や有効性を検証した。分析前は年間で100程度の購買業務パターンがあると見込んでいたが、実際には3422パターンあることが判明。これを看過したままでは、効率に欠くばかりではなくリスクも内在すると捉え、今後は内部監査のステップにプロセスマイニングを組み込む判断に至ったという。

　このようにプロティビティは既に実績を積みながら市場での存在感を強めていることを佐渡友氏は強調し、セッションを終えた。

●問い合わせ先