金融機関向け CRIガイドラインを用いたAIリスク管理態勢 評価・改善支援

生成AIの利用がグローバルに普及し、AIエージェントの導入も急速に進む中、金融機関がAIを利活用する際のリスクも大きく変化しています。金融機関が新たな価値を創造し競争優位性を確保していくためには、自社のAI利用範囲・深度に応じたリスクを常に把握し、変化に対応しながら適切にコントロールし続けなければなりません。これは、ビジネスイネーブラーとしてAIを利活用する企業の責務です。

PwC Japanグループは、Cyber Risk Institute（CRI）が公表した「CRI Financial Services AI Risk Management Framework（CRI FS AI RMF）」を中核フレームワークとして活用し、金融業界特有の規制・実務、最新動向を踏まえたAIガバナンス・リスク管理態勢の包括的な評価、および改善を支援します。

金融機関を取り巻くAIリスクの変化

金融機関におけるAIの利活用は、2022年以降の生成AI普及に伴い急速に拡大しています。その対象は、個人の文書作成や要約といった作業の補助ツールとしての利用から、顧客の問い合わせ対応や与信判断を含むビジネス上の判断といった高度で知的な役割を担うまでに進化しました。加えて、自律的に行動するAIエージェントの導入も加速しています。

一方で、こうしたAI利用の変化は同時に、そのリスクをも変化・増大させています。以下の表は金融機関を取り巻くAIリスクの変化をCRI FS AI RMFで用いられているAI導入ステージの枠組みにならい例示したものです。

金融機関には、業界特性やビジネス慣習などによるさまざまなAI利用のリスクが存在します。AI利用の範囲や深度に合わせ、AIリスク管理とガバナンスの成熟度を高めるPDCAを継続的に機能させる――こうした仕組みの構築は、市場からの信頼と競争優位の確保において重要です。

金融機関が直面する課題と求められるAIガバナンス・リスク対応

金融機関が直面している課題

金融機関の多くはAI利用に係るリスクへの対応に向け基準・ルール作りや体制構築、プロセスの整備に既に着手している状況ですが、自社のAIガバナンス・リスク管理に課題や懸念がある、または適切な対応が取れているかを確認したいと考える金融機関は少なくありません。

例えば、PwC Japanグループが実施した2026年の調査では、日本企業（金融・非金融を含む）においてAIガバナンスのための中央組織（第1線、第2線で構成）を整備している割合は23％程度であり、米国（63％）や英国（54％）、中国（42％）などに後れを取っている状況です。その他にもAIサイバー防御に関する知識・スキル不足や、AI利用を前提とする業務プロセス設計の再構築といった多様な課題が存在します。

加えて金融業界に特化した観点では、例えば金融庁の要求に十分に対応できているかという点が挙げられます。2026年3月にリリースされた金融庁のAIディスカッションペーパー1.1版は「特定の対応を直ちに求める規制文書ではない」と明記されていますが、金融庁が今後の対話で何を問いどこに関心を寄せるかを知る一つの指標となるため、国内金融機関においてこれを無視することはできません。

その他にも、機密情報を多く保有している金融機関はサイバー攻撃の脅威に常にさらされているといった旧来から変わらない点や、業務プロセス・システム構成が複雑でAI利用によりブラックボックス化される懸念が大きい点、バイアス等による不当な判断・意思決定が直接顧客に影響を及ぼしレピュテーション毀損につながる可能性が大きい点など、内外の要因に基づくさまざまな課題が挙げられます。

必要とされる統合的な対応

前述のとおり、AI利用に係るリスクや金融機関が直面している課題は多岐にわたります。これらのリスク・課題に対しては、ガバナンス・リスクマネジメントとAI固有リスクに対応する統制・技術対策の各階層で対策を講じるとともに、金融当局の要請・実務水準なども考慮することで、組織として統合的に対応し説明責任を果たしていくことが極めて重要です。

これらを踏まえ、自社のAI利活用状況とリスク、必要な対策水準とのギャップを抽出します。このギャップを基に、自社に内在する経営上のリスクを正しく把握して必要なリソースを投下し、管理態勢の設計や高度化を進めていく必要があります。AIは技術進展・モデルの進化が速く、自社のAI利用状況も常に変化します。リスクを常に把握し、柔軟かつ頻繁にアップデートしながら適切にリスクをコントロールし続けることが不可欠です。

PwCの支援

CRI FS AI RMFを起点としたリスク管理態勢の評価と課題整理・改善推進支援

これまではAIの利用状況やリスクに応じて金融機関が具体的に何を実践すべきかを整理したフレームワークがなく、各社ごとに検討する必要があったため対応の難易度が高い状況が続いていました。こうした背景もありCRIは、米国立標準技術研究所（NIST）のAI Risk Management Framework（AI RMF）を金融機関向けに具体化した実務的枠組みとして、CRI FS AI RMFを2026年2月に公表しました。

私たちはCRI FS AI RMFを中核フレームワークとして活用しつつ、クライアント固有の環境・リスクと最新動向ガイド（後述）を踏まえ作成した評価項目・基準の下で評価を実施し、対応すべき課題の整理と改善施策案を提供します。課題改善の着実な実行に向けた計画案策定や、その後の改善実行まで支援が可能です。また、既に課題の可視化や改善施策を策定済みのクライアントに対しては施策実行フェーズから支援することや、施策推進・対応状況の妥当性を客観的に評価・助言するなど、クライアントの状況やニーズに合わせてサービスをカスタマイズし、リスク管理態勢の高度化に資する支援を提供します。

支援のアプローチ

以下のStep1～Step3のフローで実施します。

• Step1：デジタル統括部門／IT・セキュリティ統括部門／リスク管理部門（第1線または2線）や内部監査（第3線）それぞれのニーズに合わせて、CRI FS AI RMFおよびその他のガイドラインを活用し、評価項目・基準を策定します。CRI FS AI RMFの特徴を生かすことで、クライアントのAI導入ステージに応じた軽重を付けた評価項目の選定を行うことも可能です。
• Step2：規程類・根拠証跡の閲覧やヒアリングを通して、クライアントのAIガバナンス・リスク管理態勢を評価。評価結果を基に、課題および想定されるリスク・優先対応事項の整理、課題に対する改善施策案の提示、また必要に応じて実行ロードマップ案の策定なども実施します。
• Step3：企業の抱える課題・改善方針に応じてAI管理のためのプロセス設計の検討と規程類整備や実装・運用、体制構築に向けた伴走支援を行います。

幅広いガイドラインに対応

私たちは一般的なAIリスクを対象とするガイドラインであるCRI FS AI RMFを中核に据えつつ、以下のような特有の観点を持つ最新ガイドラインの内容も踏まえて評価項目を策定します。

期待される効果

経営層・リスク管理部門：CRI FS AI RMFやその他金融業界・グローバルで標準的なフレームワークを用いた評価により、自社のAIガバナンス・リスク管理態勢の現在地や目指すべきレベルを客観的に把握することができます。加えて、金融当局への説明力強化にもつながります。

第3線（内部監査部門）：AIの積極活用に伴い増大するAIリスク、およびガバナンス・リスク管理に対して、専門的な知見や評価経験を有する外部専門家を活用することで、実効性のある監査計画の策定や深度ある評価が可能になります。

デジタル統括部門・IT／セキュリティ部門：外部専門家が評価を実施することで、自主的に行う簡易的な点検や改善活動では把握しづらい現場の実態把握や、指摘として挙げづらい経営陣自体の課題等にも踏み込むことが可能になります。また客観的な立場からの評価結果や改善計画は、経営に対する予算交渉の材料としても有効です。

PwCの強み

私たちは、金融業界におけるAIガバナンスやリスク管理、サイバーセキュリティ、内部監査などの豊富な支援実績を有しています。また金融庁・業界団体との対話や、金融分野におけるサイバーセキュリティ・デジタルガバナンス等に関する知見を活用し、金融機関の実務や規制、監督上の期待事項を踏まえた評価・改善支援を提供します。

また、PwCはグローバルでAIガバナンスやAIセキュリティ等に関する研究・支援を多数実施しており、Forrester社によるAIコンサルティングサービス評価においても高い評価を獲得しています。こうしたグローバルの知見と、日本における金融業界固有の実務経験を組み合わせることで、専門性や客観性、最新の脅威・リスクトレンドに対し妥当性の高い評価を実施するとともに、効果的な改善施策やガバナンス高度化の実行までを一貫して支援します。