メルペイが考えるAI時代のITリスクマネジメントの現在地と進化

グループ全体で挑む「AIネイティブ化」という土台

中野：
最初に、白井さんが所属しているIT Risk部の役割を教えてください。

白井：
IT Risk部は、3ラインモデルにおける二線組織として、システムリスク管理を担っています。具体的にはシステムリスク管理態勢の高度化や、システム管理の仕組みが、組織内で円滑に運用されるよう支援しています。

中野：
ありがとうございます。白井さんとの議論に入る前に、ITリスクマネジメントを取り巻く状況を整理します。

ITリスク統制に求められる評価は、「評価サイクルの高頻度化」「評価の深度拡大」「分野・対象企業の拡大」という三つの方向で高度化・拡大しています。

図表1：ITリスク統制が求められる分野

年次や半期ごとの確認にとどまらず、短いサイクルで統制の実効性を把握する必要が高まっています。また、評価対象も規程や管理体制といったマネジメントシステムだけでなく、システム上に実装された統制が実際に機能しているかというレベルまで広がっています。さらに、法規制対応やサプライチェーン管理など、トラストが求められる企業・分野の範囲も拡大しています。

こうした変化に対応するには、人手による定期的な確認だけでは限界があります。そのため、ITリスク統制を自動化し、継続的に評価・モニタリングする重要性が高まっています。

海外でも同様の動きがあります。例えば、米国政府向けクラウドサービスのセキュリティ認証制度であるFedRAMPでも、管理策の80％を自動化することを目標に、パイロットプロジェクトが進められています。

さてこのような国内外の動きを踏まえ、メルペイではリスクアセスメントの高度化に向けて、どのような取り組みを進められているのでしょうか。ご紹介をお願いします。

白井：
私たちはITリスクマネジメントの高度化を進める前提として、グループ全体で「AIネイティブ化」に取り組んでいます。これはAI活用を前提に、業務プロセスや管理体制を組織全体で見直す取り組みです。私自身も2025年7月から12月まで社内のAIタスクフォースに参画しました。

取り組みは短期と中長期の二つの時間軸で進めました。短期では「クイックウィン」として、主にLLMを使って既存業務を効率化・改善し、小さな成功体験を積み重ねました。

一方、中長期では「メルカリ」「メルペイ」「メルコイン」の業務領域を33のドメインに分け、それぞれにAIネイティブ化推進のオーナーを置きました。その上で、ドメインごとにAIネイティブ化を通じて業務プロセスや管理体制を抜本的に変えられる領域がないかを検討し、ロードマップを作成しました。

ITリスク評価を高度化する三つの取り組み

中野：
グループ全体のAIネイティブ化を進める中で、ITリスクマネジメントの領域でも見直しを進めているということですね。ITリスクマネジメントではどのようにAI活用を進めているのでしょうか。

白井：
私たちはITリスクマネジメントへのAI活用に向けて、大きく三つの取り組みを進めています。

一つ目はデータ基盤の構築です。AIを活用する上で最も難しいのは、どの情報を「正」として扱うかを決めることです。特にITリスクマネジメントでは、評価にどの情報を使うかが重要になるため、グループ全体でのデータ基盤整備に取り組んでいます。

二つ目は環境変化への即応です。外部規制や要求事項は年々厳しくなっています。その一方で、メルカリグループでは新規事業や新たなプロジェクト開発も継続的に進んでいます。こうした外部環境と内部環境の変化を早期に把握し、社内できちんとアクションを起こす仕組みの構築に取り組んでいます。

三つ目は意思決定支援の強化です。あらゆる取り組みにはリスクがあります。企業には、リスクを識別・評価し、対応方針を決めた上で、残るリスクを受容する判断が求められます。重要なのは「どのリスクが残存し」「何を、どこまで受容すべきか」を経営陣に示し、迅速な判断につなげることです。

私たちは意思決定支援の強化に向けて「アセスメント＆アドバイスアーキテクチャ」という仕組みを構築しています。これはリスク評価の結果を迅速に整理し、経営判断につなげることを目的としたものです。具体的には評価対象の情報をもとに、あらかじめ定めた評価軸に沿ってAIがリスクを評価し、判断材料として整理します。

図表2：Assessment & Advice Architecture

^{出典：メルペイ}

アセスメント＆アドバイスアーキテクチャの仕組みはシンプルです。まず、評価対象となる資料や情報をインプットします。次に、評価の観点と評価軸を定めます。セキュリティであればセキュリティの評価ルール、新規ビジネスであれば新規ビジネスのリスク基準、ITリスクであればITリスクに関する基準を設定するといった具合です。

そして設定した評価軸に沿ってAIが評価を行い、結果と助言を所定の形式で返します。これはエグゼクティブサマリーのようなレポート形式にすることもあれば、評価項目ごとに結果をリスト化することもあります。

新商品、開発プロジェクト、管理態勢をAIで評価する

中野：
アセスメント＆アドバイスアーキテクチャは、具体的にどのような領域で活用されているのでしょうか。

白井：
活用領域の一つ目は、新商品などのリスク評価です。新サービスや新ビジネスを始める際に、それが当社にどの程度のリスクをもたらすのか、事業として実施できるのかを評価します。具体的にはグループ全体の状況、ビジネス要件、過去の判断事例、リスク評価基準をもとにAIでレビューします。これにより、属人化を抑えながら、初期段階から網羅的にリスクを確認できます。効果としてはスピード以上に、リスクの見落としを防ぐ「質」の向上が大きいと考えています。

二つ目は、開発プロジェクトリスクの評価です。当社が採用するアジャイル開発では、要件定義からリリースまでが短いサイクルで進みます。その過程で、計画やシステム要件、基本設計、ソースコードも絶えず更新されていきます。そのため、リスク評価も変化に追随する必要があります。情報が固まるのを待ってから評価していては、変化のスピードに追いつけません。更新される情報を踏まえて適時に確認していく評価の在り方が、AIの活用によって現実的になってきました。

三つ目は、システムリスク管理態勢の評価です。これは私が主務とする領域です。当社のようなフィンテック企業は、歴史ある大手金融機関と同水準の管理態勢を、スピーディーに構築し、実効性を高める必要があります。AIはその立ち上がりを加速させるための重要な手段だと考えています。

システムリスク管理の評価項目や手続きは膨大で、人手だけで継続的に見直すには限界があります。そこで、関連するガイドラインや社内規程をもとに、LLMで評価手続きを作成します。その上で、規程や管理体制が適切に整備されているかを確認します。これにより、外部規制などの変化にも、より適時に対応できる体制を目指しています。

中野：
AI活用による評価の質についてはいかがでしょうか。従来人間が行っていた評価をAIが一部担う場合、AI特有の課題もあると思いますがその点にはどのように対応していますか。

白井：
人間が実施する場合の課題もあります。リスク領域のナレッジや人材を、一つの事業会社で抱え続けるのは簡単ではありません。その中でLLMを活用した評価手続きの質は、システムリスク評価を経験してきた者の目から見ても、一定の水準に達していると感じています。

もちろん、AIの評価結果をそのまま用いるわけではなく、最終的な妥当性は人が確認する必要があります。私自身もリスク評価の経験がありますので、その結果が妥当かどうかを判断できる段階には来ていると考えています。