デジタル法規制への対応力を高めるコンプライアンス態勢とは ―ISO 37301・37302から考えるコンプライアンス・マネジメント・システム―

1. 拡大するデジタルコンプライアンス対応

近年、企業を取り巻くコンプライアンス環境は、個人情報保護にとどまらず、AI、サイバーセキュリティ、データガバナンス、デジタルサービス、重要インフラ、製品セキュリティ等の領域へと急速に拡大しています。こうした規制動向は欧州のみならず、北米、中国をはじめとするアジア各国、中東・オセアニア等へと広がっており、企業は複数の法域にまたがる規制要求への対応に迫られています。また、規制対象も個人データからシステム、AI、クラウドサービス、デジタル製品、サプライチェーンへと拡大しており、このようなデジタル法規制へのコンプライアンス対応には、法務部門に加え、IT、セキュリティ、リスク管理、調達、事業部門等を含む全社的な対応が必要となります。

• 域外適用の拡大
  多くのデジタル法規制では、自国内に拠点を有しない事業者であっても、自国市場向けのサービス提供や自国居住者のデータ処理等を行う場合には規制対象となる。
• 継続的な規制変化への対応
  法令本体に加え、ガイドライン、監督当局のQ&A、執行事例等により実務上の要求事項が継続的に更新されるため、定期的なレビューのみでは十分な対応が困難となる。
• 巨額な制裁
  違反時には多額の行政制裁金や事業停止命令等の対象となる場合があり、経済的・レピュテーション上の影響が極めて大きい。
  • GDPR：最大2,000万ユーロまたは全世界年間売上高の4％のいずれか高い額
  • EU AI Act：最大3,500万ユーロまたは全世界年間売上高の7％のいずれか高い額（禁止AI行為の場合）
• テクノロジーとの密接な結び付き
  規制対象にはデータ、システム、アルゴリズム、AIモデル等の技術要素が含まれるため、法務部門のみでの対応は困難であり、IT、セキュリティ、データ、AI関連部門との連携が不可欠となる。

これらの特性は、従来のコンプライアンス対応の枠組みでは十分に対応できず、規制調査から統制の実装、監視・改善に至る各機能の拡張と高度化が求められます。本稿では、組織におけるコンプライアンス・マネジメント・システムの要求事項を定めたISO 37301とその有効性評価指標を示すISO 37302を基準として、デジタルコンプライアンス態勢の構築アプローチを提示します。

2. ISO 37301を軸に整理するデジタルコンプライアンス対応の重要事項

組織におけるコンプライアンス・マネジメント・システムの要求事項を定めたISO 37301では、法規制の体系的整理とリスク特定を基軸に、PDCAサイクルによる継続的な高度化を求めています。ISO 37301を軸にデジタルコンプライアンス対応における重要事項を整理した結果を以下に示します。

図表1：ISO 37301とデジタルコンプライアンス対応における重要事項

3. ISO 37302の成熟度モデルでみるデジタルコンプライアンス対応の到達点

ISO 37302は、構築されたコンプライアンス・マネジメント・システムの有効性を、「方針・手続／行動・文化／成果」の3軸で5段階評価するための指標を示しています。レベル5で求められる規制変化への継続的な適応を実現するには、規制動向を継続的に監視し、その変化を同システムへ自律的に反映する仕組みを構築する必要があります。

図表2：ISO 37302が示すコンプライアンス・マネジメント・システムの有効性評価の指標

4. デジタルコンプライアンス態勢の5つの構成要素

PwCでは、ISO 37301およびISO 37302の考え方を基礎として、デジタル法規制への対応に必要な能力を5つの構成要素として整理しています。具体的には、規制インテリジェンス層、コンプライアンスリスク層、コンプライアンス・バイ・デザイン層、モニタリング層、継続的改善層です。

これらは、規制動向の把握からリスク評価、統制の実装（コンプライアンス・バイ・デザイン）、モニタリング、継続的改善までを一貫して支えるものであり、規制インテリジェンスを起点として有機的に連携しながら、環境変化や規制改正に継続的に適応するコンプライアンス・マネジメント・システムを形成します。その中で、特に重要なのが、コンプライアンス・バイ・デザインの考え方です。デジタル法規制への対応では、法令要求事項を規程や手続として整備するだけでは十分ではありません。法的要求事項を業務プロセス、システム設計、AI開発ライフサイクル、委託先管理などに落とし込み、設計段階から統制として実装することが求められます。これにより、規制対応を個別対応から組織の標準的な業務運営へ組み込むことが可能になります。また、データ基盤、GRCツール、AI等から構成されるデジタル・コンプライアンス・プラットフォームが、各構成要素を横断的に支える共通基盤として機能します。これにより、規制対応の効率化・高度化を実現するとともに、変化に強く持続的に進化するコンプライアンス態勢の構築が可能となります。

図表3：デジタルコンプライアンス態勢の5層モデル

5. 日本企業が今取るべきアクション

急速かつ広範に拡大するデジタル領域の法規制への対応においては、個別法令ごとの対応を積み重ねるアプローチだけでは限界があります。企業には、コンプライアンス・マネジメント・システムを共通基盤として、複数の規制要求を統合的に管理する仕組みへの転換が求められています。また、ISO 37302が示す成熟度モデルに照らすと、業務プロセスへの統合（レベル4）や、規制変化に継続的に適応する仕組み（レベル5）が実現されていない場合、変化の速いデジタル法規制への対応を持続的に維持することは容易ではありません。今後は、規制変化を継続的に捉え、自社の統制や業務プロセスへ迅速に反映できる「変化に適応するコンプライアンス・マネジメント・システム」の構築が重要となります。その実現に向けては、AI、GRCツール、データ基盤等のデジタル技術の活用が不可欠です。さらに、デジタルコンプライアンス対応の成熟度は、企業の事業遂行能力や成長戦略の実現にも大きな影響を及ぼします。AIの活用、データの越境移転、デジタルサービスやプラットフォームのグローバル展開といった取り組みを推進するためには、それらを支える実効性のあるコンプライアンス態勢が前提となります。

このような観点から、デジタルコンプライアンス態勢の構築は単なるリスク対応や規制遵守のための「守り」の取り組みではなく、事業成長とイノベーションを支える「攻め」の経営基盤への投資として位置付けるべきです。ISO 37301によって求められる要件を体系的に整理し、ISO 37302によってその有効性や成熟度を評価・改善することで、複雑化するデジタル法規制への対応力を継続的に強化していくことが可能になります。

6. PwCの支援サービス

PwCは、デジタルコンプライアンス対応を、個別法令への都度対応ではなく、企業全体で継続的に管理すべき経営課題として捉えています。グローバルで急増するデジタル法規制に対し、規制動向の把握、リスク評価、対応状況の管理、経営層への可視化、GRCツール等を活用した運用基盤の整備を通じて、企業が変化に継続的に適応するためのコンプライアンス態勢の構築を支援します。