AIエージェント時代の3ライン最適化支援サービス

事業環境が複雑化するなかで、3ライン間に役割の重複や情報断絶・連携不足が生じると、組織全体のリスク対応力が低下することになります。PwC Japan有限責任監査法人は、3ラインモデルに基づく役割・責任の最適化、保証活動の統合、共通ガバナンス・リスク管理・コンプライアンス（GRC）基盤の整備、AIエージェントなどのテクノロジー活用による継続的な情報連携を通じて3つのラインをつなぎ、取締役会・監査委員会、CEOなどの執行経営陣が信頼できる統合情報のもとで意思決定できる仕組みの構築を支援します。

3ラインモデルを取り巻く昨今の課題

現代の企業は、地政学リスクの高まり、規制の高度化、急速なデジタル変革などの事業環境の複雑化により、大きなリスクに直面しています。これに対して企業内のリスクマネジメント活動に携わる各組織は、より高度な連携が求められています。従来は「3つのディフェンスラインモデル（Three lines of defense）」のもと、それぞれの組織（第1線、第2線、第3線）が独立して機能することが前提、あるいは許容されていました。しかし実際には役割の重複や情報の断絶が生じ、リスクの見落としや対応遅延など、ガバナンスの機能不全を招くこともありました。また、短期的な成果重視の文化や形骸化した制度、部門間での連携不足は、組織全体としてのリスク対応力を低下させます。そのような中で3つのラインが相互に連携・協働する「3ラインモデル」の推進が提唱され、より具体化されてきています。

課題を解決するアプローチ

こうした状況に対して今後推奨されるのは、「3ラインモデル」を単なる役割分担の枠組みとして捉えるのではなく、それぞれの組織が独立しながらも相互に連携し、情報やアシュアランス活動を統合することで、企業が組織全体のリスク状況を一層正確に把握できる体制を構築することです。

その実現に向けて、まずはアシュアランスマップのもとで各ラインの保証活動を最適化し、リスクの軽重や性質を考慮し領域の網羅性の確保と各ラインの役割を調整します。次に、その結果を起点として、各ラインが保有するデータをAIなどのテクノロジーを活用して横断的に分析し、潜在的なリスクや真因を特定するとともに、保証活動、統制の最適化を具体化します。内部監査やリスク管理部門は、この一連のプロセスにおける統合促進者として、複数のアシュアランス機能の連携と継続的な改善を支援します。

こうして第1線の業務・ビジネス情報、第2線のリスク・コンプライアンス情報、第3線のガバナンス・統制情報が統合されることで、取締役会、監査委員会およびCEOなどの執行経営陣に対して、信頼できる統合情報（インサイト・フォーサイト）を提供します。

PwCのサービス

私たちは、効果的なガバナンスとリスクマネジメントに向け、3ラインモデルの最適化を支援します。広義のアシュアランスは第3線である内部監査部門だけが担うものではありません。第1線による日常的な統制・モニタリングや、第2線によるリスク管理・コンプライアンスのレビューなども、組織に信頼をもたらす広義のアシュアランスに含まれます。こうしたライン全体でのアカウンタビリティ、役割と責任の観点を明確にしたうえで、GRC基盤やAIに実装することで、組織全体として継続的かつ自律的なコントロールアシュアランスを実現します。

具体的には2つのステップで進めていきます。まず、アシュアランスマップの導入を行い3ラインの連携を強化するポイントを抽出します。次に抽出された連携のポイントをもとに、AIなどのテクノロジーを活用したデータ分析により3ラインの最適化を実現します。

ステップ1. アシュアランスマップの導入―可視化による最適化―

内部監査部門のみで全ての領域に同じ強度で保証提供することはほぼ不可能であり、また効率的でもないため、第1線・第2線による広義の保証機能と連携し、活用していきます。効果的なのは、アシュアランスマップの作成です。これにより、各ラインが保有する統制情報、リスク情報、保証活動が俯瞰的に整理されます。その結果を踏まえて、各ラインが具体的に連携・協働するポイントを抽出します。これには役割・責任の最適化を通じて組織全体として最も効果的な体制を設計することも含まれます。

具体的な支援内容

1. 目的・対象範囲および評価軸の設計
2. 既存のアシュアランス活動の調査・分類
3. アシュアランスマップの作成
4. 重複・漏れなどの課題特定と改善計画の策定
5. 関係者との合意形成および定期的な見直しの仕組み構築

図表1：アシュアランスマップの例

ステップ2. テクノロジーによる情報連携―AIを活用した協働の加速―

ステップ1で抽出した連携・協働ポイントをもとに、第2線を中心としてGRCポリシーやアシュアランス活動を標準化し、各ラインで共有するデータ、分析ルール、モニタリング基準および判断基準を整備します。その上で、AIなどのテクノロジーを活用して各ラインの情報を横断的に分析し、潜在的なリスクや問題の予兆を把握する仕組みをGRC基盤に実装します。

一方、AIの利用には、誤った出力、判断根拠の不透明性、データの偏り、機密情報の漏えい、サイバー攻撃、モデルや設定の変化など、従来とは異なるリスクが伴います。このため、AIの利用状況、判断根拠、人による確認、権限、データ品質などの継続的な監視をGRCの仕組みに取り入れます。さらに、AIが業務や意思決定に組み込まれることを前提に、リスク分類やリスク評価基準、リスクアペタイト、モニタリング頻度、報告・エスカレーション基準などを見直します。これにより、AIの利点を生かしながらリスクを管理し、3ラインによる継続的かつ信頼性の高いコントロールアシュアランスを実現します。

具体的な支援内容

1. GRC・アシュアランス活動と関連データの現状調査・整理
2. 3ライン共通のリスク・統制・分析・評価基準の設計（プロセス、リスク、コントロール、テストの標準化）
3. コントロールアシュアランスのフレームワーク、1線の自律統制モデルの設計・導入
4. AI利用リスクの特定・評価と必要な統制・監視の設計
5. AIを前提としたERM、内部監査のリスク評価・運用基準、監査基準・品質管理基準の見直し
6. GRC基盤へのAIの実装、試行導入、展開・改善支援

図表2：IIA（内部監査人協会）のスリーラインモデル

図表3：コントロールアシュアランスによる自律統制の強化