CSA ジャパン_RPA 検討会

RPA リスクシナリオに基づくユースケースC S A ジャパン
RPA 検討会
2020 年 03 月 04 日

CSA ジャパン_RPA 検討会

本書提供に際しての告知及び注意事項
本書「RPA リスクシナリオに基づくユースケース」は、CSA ジャパン RPA 検討会が、作成し公開するものです。
本書は予告なく変更される場合があります。以下の変更履歴（日付、バージョン、変更内容）をご確認ください。
変更履歴
日付
2020 年 03 月 04 日

バージョン
1.0

変更内容
初版発行

本書の著作権は CSA ジャパンに帰属します。引用に際しては、出典を明記してください。無断転載を禁止します。転載および商用利用に際しては、事前に CSA ジャパンにご相談ください。

CSA ジャパン成果物の提供に際しての制限事項
日本クラウドセキュリティアライアンス（CSA ジャパン）は、本書の提供に際し、以下のことをお断りし、またお願いします。以下の内容に同意いただけない場合、本書の閲覧および利用をお断りします。
１． 責任の限定
CSA ジャパンおよび本書の執筆・作成・講義その他による提供に関わった主体は、本書に関して、以下のことに対する責任を負いません。また、以下のことに起因するいかなる直接・間接の損害に対しても、一切の対応、是正、支払、賠償の責めを負いません。
(1) 本書の内容の真正性、正確性、無誤謬性(2) 本書の内容が第三者の権利に抵触しもしくは権利を侵害していないこと(3) 本書の内容に基づいて行われた判断や行為がもたらす結果(4) 本書で引用、参照、紹介された第三者の文献等の適切性、真正性、正確性、無誤謬性および他者権利の侵害の可能性
２． 二次譲渡の制限
本書は、利用者がもっぱら自らの用のために利用するものとし、第三者へのいかなる方法による提供も、行わないものとします。他者との共有が可能な場所に本書やそのコピーを置くこと、利用者以外のものに送付・送信・提供を行うことは禁止されます。また本書を、営利・非営利を問わず、事業
活動の材料または資料として、そのまま直接利用することはお断りします。
ただし、以下の場合は本項の例外とします。
(1) 本書の一部を、著作物の利用における「引用」の形で引用すること。この場合、出典を明記してください。
(2) 本書を、企業、団体その他の組織が利用する場合は、その利用に必要な範囲内で、自組織内に限定して利用すること。
(3) CSA ジャパンの書面による許可を得て、事業活動に使用すること。この許可は、文書単位で得るものとします。
(4) 転載、再掲、複製の作成と配布等について、CSA ジャパンの書面による許可・承認を得た場合。この許可・承認は、原則として文書単位で得るものとします。
３． 本書の適切な管理(1) 本書を入手した者は、それを適切に管理し、第三者による不正アクセス、不正利用から保護するために必要かつ適切な措置を講じるものとします。

1 / 35

CSA ジャパン_RPA 検討会(2) 本書を入手し利用する企業、団体その他の組織は、本書の管理責任者を定め、この確認事項を順守させるものとします。また、当該責任者は、本書の電子ファイルを適切に管理し、その複製の散逸を防ぎ、指定された利用条件を遵守する（組織内の利用者に順守させることを含む）
ようにしなければなりません。
(3) 本書をダウンロードした者は、CSA ジャパンからの文書（電子メールを含む）による要求があった場合には、そのダウンロードしまたは複製した本書のファイルのすべてを消去し、削除し、再生や復元ができない状態にするものとします。この要求は理由によりまたは理由なく行われることがあり、この要求を受けた者は、それを拒否できないものとします。
(4) 本書を印刷した者は、CSA ジャパンからの文書（電子メールを含む）による要求があった場合には、その印刷物のすべてについて、シュレッダーその他の方法により、再利用不可能な形で処分するものとします。
４． その他
その他、本書の利用等について本書の他の場所に記載された条件、制限事項および免責事項は、すべてここに記載の制限事項と並行して順守されるべきものとします。本書およびこの制限事項に記載のないことで、本書の利用に関して疑義が生じた場合は、CSA ジャパンと利用者は誠意をもって話し合
いの上、解決を図るものとします。
その他本件に関するお問合せは、info@cloudsecurityalliance.jp までお願いします。

本書作成に際しての謝辞
本書「RPA リスクシナリオに基づくユースケース」は、CSA ジャパン RPA 検討会の有志により作成されました。作業は全て、個人の無償の貢献としての私的労力提供により行われました。なお、企業会員からの参加者の貢献には、会員企業としての貢献も与っていることを付記いたします。
以下に、作成に参加された方々の氏名を記します。（氏名あいうえお順・敬称略）
笠松
金井
菊池
松永

隆幸
孝三
弘治
栄人

2 / 35

CSA ジャパン_RPA 検討会

目次
1.

RPA 検討会の活動について .................................................................................................................. 5

1.1.

検討会発足の背景 ........................................................................................................................... 5

1.2.

目的 ................................................................................................................................................ 6

1.3.

RPA の動向について ........................................................................................................................ 6

1.4.

RPA の削減効果について ................................................................................................................. 62.

本書で検討する RPA について ............................................................................................................. 6

2.1.

RPA の定義 ...................................................................................................................................... 6

2.2.

RPA が期待されている業務 .............................................................................................................. 7

2.3.

RPA の役割と責任範囲 ..................................................................................................................... 7

3.

RPA のリスクと課題について .............................................................................................................. 8

3.1.

本検討会で議論した RPA のリスク（リスク＝潜在化している事象）............................................... 9

3.2.

検討会前に良く言われていた RPA の課題（課題＝顕在化している事象）...................................... 104.

RPA のリスクとは何か（リスク＝潜在化している事象） .................................................................. 11

4.1.

導入モデル毎のリスク分析について ............................................................................................. 11

4.2.

リスク対応について...................................................................................................................... 125.

RPA の課題とは何か（課題＝顕在化している事象） ......................................................................... 12

5.1.

繋がる事への課題 ......................................................................................................................... 12

5.2.

CISO が直面する課題..................................................................................................................... 12

5.3.

最近のセキュリティ侵害から見える課題 ...................................................................................... 126.

RPA の課題対応に向けて ................................................................................................................... 13

6.1.

エッジがクラウドを侵食している状況下での利用 ........................................................................ 13

6.2.

破壊的変革をしているマーケティング分野での利用 ..................................................................... 13

6.3.

GARTNER INSIGHTS からの引用....................................................................................................... 147.

本レポートの構成について ............................................................................................................... 14

7.1.

ユースケース図とユースケースアプローチを応用 ........................................................................ 14

7.2.

ユースケース図とは...................................................................................................................... 15

7.3.

ユースケース・アプローチとは .................................................................................................... 158.

シナリオ例に基づくユースケース .................................................................................................... 17

8.1.

シナリオ例１：クラウドに PC からファイルを登録する ................................................................ 17

3 / 35

CSA ジャパン_RPA 検討会

8.2.

シナリオ例２：EXCEL から EXCEL へ転記する ................................................................................ 18

8.3.

シナリオ例３：メールを配信する ................................................................................................. 19

8.4.

シナリオ例４：OCR を読み込んで基幹システムに登録する ........................................................... 20

8.5.

シナリオ例５：市況情報の SNS への投稿 ...................................................................................... 21

8.6.

シナリオ例６：RPA からクラウドデータの抽出 ............................................................................. 22

8.7.

シナリオ例７：有効期限切れの SAML 署名証明書による RPA 機能停止 ........................................... 23

8.8.

シナリオ例８：セッショントークンの有効期限 ............................................................................ 24

8.9.

シナリオ例９：セッショントークンの有効期限 ............................................................................ 25

8.10.

シナリオ例１０：工場のラインテスト ...................................................................................... 26

8.11.

シナリオ例１１：工場の入退館チェック ................................................................................... 279.

引用した情報に基づくユースケース ................................................................................................. 28

9.1.

引用１：税務調査向け提出書類の自動作成 ................................................................................... 28

9.2.

引用２：融資のための稟議資料の作成 .......................................................................................... 28

9.3.

引用３：案件管理情報の自動入力 ................................................................................................. 29

9.4.

引用４：契約情報の転記作業の効率化 .......................................................................................... 29

9.5.

引用５：経理部門での転記作業の効率化 ...................................................................................... 30

9.6.

引用６：メールからの転記作業の効率化 ...................................................................................... 30

9.7.

引用７：卸会社からの販売情報の転記作業の効率化 ..................................................................... 31

9.8.

引用８：基幹システムへの入力作業の効率化 ............................................................................... 31

9.9.

引用９：経費精算システムへの入力作業の効率化 ........................................................................ 32

9.10.

引用 10：プロジェクト情報の転記作業の効率化 ....................................................................... 32

9.11.

引用 11：チャットボットと連携した回答探索 ........................................................................... 33

10.

参考：RPA サービスの企業一覧 ..................................................................................................... 34

4 / 35

CSA ジャパン_RPA 検討会

1. RPA 検討会の活動について
1.1. 検討会発足の背景
2000 年、仏パトリック・リマール氏が ContextorSAS 社を設立し、開発したボットを業務自動化のソフトとして RPA および RDA と名付けた。RPA: Robotic Process Automation は、サーバ内に実装されるソフトとして、RDA: Robotic Desktop Automation は、ＰＣ内に実装されるソフトとして提供されたのが始まりである。
その後、国内でもボット開発やソフト提供が始まり、2018 年では市場規模が 155 億円を突破し、国内外の RPA ソフト 26 種類が累計 3,000 社以上に導入された。また 2019 年は 200 億円を超えたとのニュースも出ている。
RPA 国内市場でも、ビジネスプロセスを RPA で自動化した後、運用上の課題や RPA ソフトの機能差から発生する課題等について、CSA ジャパン会員からも例示され幾つかの議論に発展した。
議論をする中で課題解決へメッセージを発信する期待もあり、CSA ジャパンとして米国 CSA 本部に先駆けて検討会を発足させることになった。
何故 RPA を！ クラウドセキュリティがテーマである CSA ジャパンが取り上げるのか？
それは、以下の検討からクラウドセキュリティと切り離せないと判断したためである。
第一の検討は、導入ケースであった。
・RPA とクラウドとの関係性を検討
a) RPAが操作するシステムがクラウド化しているケースがあるb) RPAツールが稼働する環境がクラウド上にあるケースがあるc) クラウドで提供されるRPAサービスがリリースされている・RPA と業務系システムとの関係性を検討
a) 会計管理システムとPCで会計業務に適用するケースがあるb) 人事給与業務管理システムとPCで人事業務に適用するケースがあるc) 生産管理システムとPCで生産業務に適用するケースがあるd) 在庫購買管理システムとPCで物流業務に適用するケースがあるe) 販売管理システムとPCで販売業務に適用するケースがあるf) 独立した業務系システムをグループ間で連携するケースがある
第二の検討は、既存システムとの違いであった。
・RPA 導入とシステム構築との違いa) システム構築は、既存システムへの連携が必須で、外部の専門家が大半を行う
b) RPA導入は、既存システムへの連携やカスタマイズが不要で、現場が大半を行
う・RPA と Excel マクロとの違い
a) Excelマクロは、Excel上でのみ自動化が可能。
b) RPAツールは、PC上で自動化が可能で、特定のEアプリ（Excel）に依存しない。
・RPA と AI との違いa) AIは、人が行う問題解決を、代替し答えるコンピュータ。
b) RPAは、人が行うPC操作を、記憶し実行するツール。
第三の検討は、利用環境であった。
・RPA へのアクセス
RPA ユーザーは、ID とパスワードでログインして RPA ツールを実行することから、
イントラネットの利用とブラウザを利用する環境が必要である。
・RPA コードとデータの保有
RPA ツールは、OS がメモリー割り当てを管理し、CPU がコードとデータを管理することから、RPA コードとデータを同一箇所で保存するかハイブリッドで保存するかの環境が必要である。

5 / 35

CSA ジャパン_RPA 検討会

1.2. 目的
総務省の RPA 進化モデルを念頭に置き、CSA ジャパン会員の経験も含め、例示された課題やリス
クと課題解決（システム対応、セキュリティ対応）について検討し、ユースケース・アプローチ
を応用して RPA セキュリティの指針となるイメージを提示することを目的とする。

1.3. RPA の動向について
検討会において以下の動向が検討された。
１つ目は、AI（人工知能）型 RPA の開発を進めている点である。既に手書き文字の自然言語処理や手話の動画処理に活用しているもの、精度が向上し運用時の例外処理や異常検知に活用し始めているもの、実運用と業務プロセスデータをリアルタイムで分析しダッシュボードを自動作成す
るもの、および ML-Ops が目指す意思決定プロセスに活用する自動ボットである。
２つ目は、ERP（統合基幹業務システム）企業が RPA 企業を買収している点である。2018 年、
SAP は、RPA の名付け親である会社を買収し、機械学習（ML-Ops）と自動化（API と非 API 連
携）をベースとする企業向けプラットフォーム（Leonardo Machine Learning）の開発を加速すると発表した。
３つ目は、クラウドサービス企業が RPA スタートアップに取り込んでいる点である。2019 年 11
月 Microsoft は、クラウド間を API で連携させ、タスクの自動化を実現するサービス「Microsoft Flow」と、API を提供していないレガシーアプリケーションのマウス操作やキーボード操作を自動化する「UI flows」を発表した。

1.4. RPA の削減効果について検討会におい削減効果を網羅的に把握するために、以下の特集記事が検討された。
日経コンピュータ 2018 年 10 月の特集記事から、削減効果の勢いが見えてきた。
その概要をまとめると、2018 年に 100 万時間を自動化したのは 1 社（三井住友 F G）、2019 年には 4 社（ソフトバンク、みずほ F G、損保ジャパン、東京電力エナジー）となり、その他の企業も含めた累計自動化時間は約 610 万時間/年（3 万人月相当）に達していた。また調査回答企業の利用状況から、2020 年末までに 100 万時間を超える大手企業も含めた 50 社の累計自動化時
間は約 1,700 万時間/年（10 万人月分に相当）との見込みを紹介した。また、矢野研究所のレポートから、RPA 市場が急成長しているのが見えた、
2018 年、通称 RPA２.1（混乱期）に入って、「そもそも何で RPA 化したのか判らず失敗した」、「RPA 化の要求事項が書けず失敗した」とか、要件定義の前提を把握しないままで開発する危うい課題を抱えながらも、2019 年は国内 210 億円、海外 530 億円規模で急成長を続けていると紹介している。

2. 本書で検討する RPA について

2.1.

RPA の定義

RPA は、コンピュータ上のプログラムであり、ヒューマンインターフェイスを Input/Output として、操作対象コンピュータに対して、あたかも人間が操作しているように動作し、開発者が必要とする結果や操作をコンピュータ上にアウトプットするものである。この定義では AI は、単なる RPA に使役されるコンピュータ上の１アプリケーションと認識される。
従って、RPA の動作については、以下のように考える。

RPA入力は、キーボード、マウスインターフェースから入力する動作

RPA入力は、スキャナでOCR出力、防犯カメラの異常検知出力をRPA入力とする動作

RPA出力は、モニターやプリンタへRPA出力する等、人間がPCに作用出来る動作

RPAロジッは、与えられたパラメーターやパターンの範囲以外は動作しない

RPAエラーは、別途プログラムされない限りRPA自身のエラー認識は動作しない

6 / 35

CSA ジャパン_RPA 検討会


RPA割り込みは、条件に応じた動作も可能だが、操作エラーからの割り込みは動作しない

RPA機能は、簡素なマクロや人間動作を記録し再生シミュレーションを備える動作
また、RPA と一般的なソフトウェアとの最大の相違点は、以下のように考える。

RPAは、プログラミングしなくて済む
RPAは、人間の動作のまま記憶させることで動作する

RPAは、すぐに使える
RPAは、コーディングや定義を必要としない環境である

RPAは、反復系作業を得意とし省人化が図れる効果が大きい
2.2.

RPA が期待されている業務

RPA では、以下のような業務が、特に、経営層に期待されていると考える。


人間がPCを使って行う際、判断要素が極力少ない業務

業務のインプット/アウトプットにバリエーションが少ない業務



費用対効果が大きい単純反復操作の業務



経営目線から「すぐに」効果が出る業務

ソフトウェア・コーディングでは大変だが、RPAであると楽といった作業

上記の期待に答えるには、RPA の開発と運用についての環境が要求されると考える。


使用対象アプリケーションとの間のAPI連携の確立

「そうなるであろう」との予想から乖離した場合の例外処理



割り込み定義ができ、信頼性を増す処理（ユーザー開発ではこの辺が期待できない）。

プログラムレスであるが故の信頼性をカバーする仕組（信頼性を確保する手段が乏しい）。

これらをユーザーの負担なく実現するためには、あらゆる使役対象アプリケーションとの間でAPI 連携を確立し、RPA がハブになって自動的にオーケストレーション出来るのが良い。特に、障害対応における ID 管理と BCP 管理が重要と考える。




2.3.

ID管理
➢

RPAが個別システムを操作する場合、各RPAタスクが個別システムのIDを一時利用で
きること。

➢

各個別システムにおいて、各RPAが動作したシステムログを追跡可能とすること。

➢

RPAを起動する際、個人のIDで行うことで、「誰がRPAを起動したか」の責任を明確に追跡できること。

➢

誰が起動したか？どのRPAが実施したか？の識別ができるようにすること。

BCP管理
➢

BCP環境下でRPAを稼働させる場合、毎日、RPAシステムとRPAが操作するシステム全
体をバックアップし、実環境と違わぬ再現が出来るようにすること（実環境とはPC
型番やモニター型式情報も含めて）。

➢

BCP環境下でRPAを稼働出来ない場合、RPAに実行させている業務の手作業マニュアルを作成し、いつでも再現できるようにすること。

RPA の役割と責任範囲

RPA の責任としては、RPA のアウトプットに高い「安定性＝再現性」が見られることが仕様書やテスト等で証明されるならば、IT 統制下における登録された業務システムと同等の扱いができ

7 / 35

CSA ジャパン_RPA 検討会

ると考える。その際、RPA のオペレーション結果の責任は、成果物を受け入れて運用する担当者となる。他方、安定性や再現性が乏しい、または検証が不十分なものは、RPA 開発者が基本的に責任を負い、それを承知で実行した実施者も共同の責任を負うものと考える。
RPA の役割としては、最新の RPA は ML 機能など高度なものもでてきたが、少なくとも登録された業務システム並みの信頼性が要求される機微情報の取扱いや重要業務の取扱に関しては、上記の責任の下でなければ務まらないと考える。この役割が可能となった場合、RPA というよりは「業務システム」と考えて管理すべきである。その様な場合は、RPA の更新や操作改変は自動で無く、開発/レビュー/テスト/稼働判定、を経たものでなければならないと考える。
以上を踏まえ、以下の原則をあげ、これに基づいた検討を行う。


RPAは、人の指示なく勝手に動き出したり、勝手に判断してはならない。



RPAは、使役するアプリからの戻り値により、設計想定外の操作が指示され実行されることがあってはならない。



RPAは、動いていること、および中味を人に見せなければならない。



RPAは、結果責任を取れないと心得なければならない。

3. RPA のリスクと課題について
ここでは、「課題＝顕在化している事象、現在問題となっている事象」と、「リスク＝潜在化している事象、将来問題となる事象」として分けて検討を進めた。
RPA 導入事例から、帳簿入力や伝票作成、ダイレクトメールの発送業務、経費チェック、顧客データの管理、ERP（統合基幹業務システム）、SFA（営業支援の業務システム）へのデータ入力、定期的な情報収集など、主に事務職スタッフが携わる業務に多く活用が見られた。
多く見られた RPA 適用の機能

課題対応の例aキーボードやマウスなど、パソコン画
面操作の自動化a

IDやパスワードなどの自動入力b

ディスプレイ画面の文字、図形、色の判別

b

イメージ文字のOCRで文字コード化、QRコー
ドの”切り出しシンボル”で自動判別

cd

システム間のデータの受け渡し

cd

アプリケーションの起動や自動終了

e

業種、職種などに合わせた柔軟なカス
タマイズe

プログラミングによらない業務手順の自動設定とカスタマイズf

条件分岐設定やAI検知などによる適切なエラー処理と自動応答

f

条件分岐のswitch文と、エラー検出と例外処理のif文による自動応答
または、値が空白の条件分岐と番号欄で文字検知した時のエラー処理、および番号検知の例外処理に対して自動応答

社内システムと業務アプリとのデータ連携

カレンダーアプリから会議室予約システム
へ自動入力

以下は、総務省が発表した RPA 進化モデルです。
クラス
クラス 1
RPA（Robotic Process
Automation）

主な業務範囲定型業務の自動化

8 / 35

具体的な作業範囲や利用技術
情報取得や入力作業、検証作業などの定型的な作業

CSA ジャパン_RPA 検討会

クラス 2
EPA（Enhanced Process
Automation）

一部非定型業務の自動化

クラス 3
CA（Cognitive
Automation）

高度な自律化3.1.

RPA と AI の技術を用いることにより非定型作業の自動化
自然言語解析、画像解析、音声解析、マ
シーンラーニングの技術の搭載
非構造化データの読み取りや、知識ベースの活用も可能プロセスの分析や改善、意思決定までを自ら自動化するとともに、意思決定
ディープラーニングや自然言語処理

本検討会で議論した RPA のリスク（リスク＝潜在化している事象）

安全な RPA 実装を配備するための課題（顕在化している事象）が多々ありますが、リスク（潜在化している事象）も多く埋もれ続けていると認識します。これらの多くは解決のための最適かつ長期的なアプローチが必要であり、業界を越えた協力が重要となる。下の表は、RPA のリスク評
価とリスク対応に関する将来課題＝リスクに対してまとめたものである。
RPA の用途
インターネットサービスからの情報取得（Web クローリング等）

概要
インターネット上の情報サイトに対し、Excel 等で列記した検索条件で検索し、回答を
Excel 等に転記

リスクシナリオ
サービス側のテンプレー
トが変更され、稼働しな
い、または誤作動する
相手側サーバのセッションが切れてしまう
相手側のサーバに負荷を集中させてしまう（DDoS
誤認されるリスク）
相手側のセキュリティ機
器に DDoS 認定されてアクセス拒否される

インターネットサービスからのファ
イル取得等

クラウドサービスとのデータ連携業
務

社内システム間のデータ連携業務クラウドサービス
やインターネット
情報サイトからのファイルを指定条
件で繰り返し実施
する
クラウド間、またはオンプレクラウド間でデータのアップロード・ダウンロードを実施する

社内システムから別システムへのデータ移動を、ETL

ダウンロードファイルにVirus が混入していた場合、上手く検疫できない

誤った処理でデータをクラウド上に登録してしまうことで情報が漏洩する
DNS ハッキング等で、別サイトに誘導され、データを窃取される
ログイン情報が漏洩し、クラウドの ID、PSW 等が漏洩する
誤った処理でデータを間違った場所に登録してしまうことで、DB が破綻
する

9 / 35

リスク対応の例
テンプレート変更に耐える作り、またはテンプレ
ートの変更監視
レスポンスの遅延を織り込んだ待ち時間の設定
Web へのアクセスにある
程度の時間的猶予を置く（短時間に集中的な問い合わせをしない）
定期的かつ高頻度なアクセスを控える（またはア
クセス頻度・IP のランダマイズ）等
ダウンロードファイルの隔離、別途再検査等のルーチン追加

誤作動しないよう、慎重なテストの実施
クラウドとの認証の強化

RPA 端末への EDR 等が有効に動作するか検証
チェックロジックを設定、またはシステムで対応CSA ジャパン_RPA 検討会

RPA の用途

概要
等を使わず RPA で
手作業転記させる

EUC からの複雑なデータ転記処理EUC 等で扱うデー
タを他の EUC や社
内システムへ取り込む
OCR で認識したデータを社内システ
ム等に取り込む

OCR データの社内システムへの取り込み

繰り返し処理を行うロボット

とりあえず RPABCP に弱い基幹
RPA

大量処理の肩代わりとして、データの転記等を大量に繰り返す
何となく RPA を使えと言われたので
RPA 化してしまった
基幹業務に RPA を使用

ブラックボックス
RPA

前任者が仕様なしに作った RPA を引
き継ぎ

個人情報等の機微情報を扱う RPA

名簿情報、人事情報等を自動で大量に処理する（EUC
や社内システム連
携）

3.2.
a)

b)

リスクシナリオ
繰り返し処理が誤り、DBに誤り情報を登録しかつ過負荷でダウンさせる
社内システムの ID、PSWを保持させた結果これらが漏洩する
EUC のレイアウト変更等
により RPA が動作しない
EUC のレイアウト変更等
により RPA が誤作動する
OCR によるエラーデータを確認せず転記することで、後で気づけない

繰り返し処理のミスによる暴走する
誤ってデータを削除させる
不健全または不合理なプ
ロセスが維持され続ける

BCP 環境にて RPA が動作せず、基幹業務がストップする
どういった動作をするか理解できない誤った処理を行うこと
で、給与等重要な数値を誤って配布
病歴やセンシティブ情報を誤った人に配布/格納するなどして、情報の破損、漏洩を来すリスク対応の例
繰り返し処理の停止条件
やチェックロジックの充実
RPA 端末への社内を含めたアクセスルートの制限
EUC の仕様管理強化
EUC の仕様管理、バージ
ョン管理
マッチ率等の情報を社内システムに登録、または一旦別 Excel 等で取り込
み、目検証後に社内シス
テムの取込
同前
RPA に削除処理を極力行
わない
RPA 開発前に業務を見直すBCP 環境でも動作検証、
または要 BCP 業務では慎重に使う仕様書作成を業務ルール
化。
仕様書を生成出来る RPA
開発。
事前のテストと、事後のチェック
またはサンプル検査
同上

検討会前に良く言われていた RPA の課題（課題＝顕在化している事象）
野良ロボット➢情シスで統一した管理をしたはずが、登録条件を満たさず野良ロボット化した➢

各業務部門で管理したはずが、退職や組織変更で野良ロボット化した

誤動作と停止➢業務アプリのアップデートで、停止が多発した➢

Webサイトのアップデートで、読取エラーが多発した➢

ブラックボックス化で、誤動作の修正が不可能
10 / 35CSA ジャパン_RPA 検討会

c)

d)

e)

➢

人は退職するがロボットは退職しない➢

Excelマクロのように属人化

既存システムとの不整合➢システム更改やハイブリッド化で、API連携に不整合が発生した➢

手書き署名のイメージ入力で、手書き領域の抽出に不整合が発生した

セキュリティ
➢実行端末へのコマンド送信する場合、ログの収集ルールが無かった➢

および送信時に、不正パケットの誤検知機能が無かった➢

ID・パスワードの入力する場合、コードに埋め込むPW禁止のルールが無かった➢

および入力時に、暗号や秘密分散のルールが無かった

成り立たない業務フロー➢

業務フローの標準化が進んでいなかった➢

業務手順の定義が出来ていなかった➢標準化を推進する社内制度がなかった

4. RPA のリスクとは何か（リスク＝潜在化している事象）

4.1.

導入モデル毎のリスク分析について

RPA の導入モデルごとのリスク分析は、以下のようなポイントが重要と考えた。
PC（端末に近いところ）に実装したリスク➢ 誰が実行したのか？
（権限）実行許可者＝端末管理者となり、RPAの実行した責任も帰責➢ 端末のリソースを占有し実行される間、他動作を行えないことから、端末管理権限は誰が持つべきか？
➢ ちょっとした動作で誤作動する（機密性・可用性）
網羅的なテストが行われているか、誤作動停止条件は完全か？
➢ 停止条件は提示されているか（可用性）
そもそも誤作動で無限動作する（リソース消耗を含む）ことへの割込みはあるか➢ バックアップ・リカバリ（完全性・可用性）
端末のリソースはバックアップされているか？リカバリ可能か？

オンプレサーバーに実装したリスク➢ 大規模システムとの連携のリスク（完全性・可用性）
大規模（重要）システムへ大量に誤った情報を送り込むリスク➢ IT統制上、誰の責任か（権限・完全性）。操作自体の妥当性検証は行われているか➢ リソースを消費していないか（可用性）ネットワークリソースの消耗をしていないか、またはDDOS化していないか➢ バックアップ・リカバリ（完全性・可用性）システムからのリカバリは出来るか、どれくらい時間工数を要するか
クラウドRPAをクラウド化してしまったリスク➢ 誰の権限で実行されたのか（権限）クラウドアカウントを誰の権限とするか、または誰に実行責任を求めるのか➢ クラウドリソースの消費（可用性）
クラウドリソースへの影響は確認出来るか（DDOSしていないか）➢ 誤った動作はしていないか（完全性）
誤った場所に格納して、外部暴露しないか（機密性）

11 / 35CSA ジャパン_RPA 検討会➢
4.2.

バックアップ・リカバリ（完全性・可用性）
クラウドリソースのバックアップはリカバリ可能か？それは必要十分かリスク対応について

RPA のリスク対応は、以下のようなポイントが重要と考える。
➢ 内部統制への対応➢ 法令違反への対応➢ RPAとターゲットシステム間の同期への対応（元のシステムとRPAは独立しているので同期が必要）➢ DDoSへの対応（クローラー対策）➢ アイデンティティに関する対応（責任所在の明確化への対応）➢ 可用性への対応（リソースの枯渇、無限ループの発生、RPAのバグ対応、など）➢ RPA仕様が不十分なケースへの対応

5. RPA の課題とは何か（課題＝顕在化している事象）
RPA の課題は、セキュリティのあらゆる側面で変化が起こっていることに大きく依拠している。
そのため企業は、対応に必要な人材、サービス、体制、アプローチへの再評価を行い、セキュリ
ティリーダーに対応を強く求め始めている状況である。
以下に、ガートナーのリサーチバイスプレジデントを務めるアール・パーキンス氏へのインタビ
ュー記事を引用し、セキュリティリーダーはどうすべきかについて検討も加えた。
5.1.

繋がる事への課題

Q：RPA や IoT およびコネクテッドデバイスが繋がる事により、セキュリティの状況はどのように変わってきているのか？
A：デジタルセキュリティへの取り組み方は、主に、規模、多様性、機能、データフロー等において、従来のセキュリティへの取り組み方とは異なってきている。産業オートメーションや制御システムの分野では、デバイスとその稼働環境は多様であり、デバイス間の認証や、デバイスとクラウドサービスとの安全な連携のための単一な標準は未だ存在していない状況である。
検討：網羅的なデータフローの図示化が必要と成ってきている。セキュリティやリスクに関する意思決定者は、RPA や IoT のデータフローが社外から一旦自社ネットワークに入り、そこからインターネット上のクラウドや SaaS に社内から繋げる場合と、その場合に発生する社内遅延を避けてテレワーク端末や各デバイスから第三者が提供するセキュリティクレンジングのクラウドに直接繋げてから社内が契約したクラウドや O365 などの SaaS に繋げる場合も出てきている。このようなことから、暗号化、ネットワークセグメンテーション、監視と検知などデータ保護における分析と、データフローにおける分析から、新しいリスク対応をする必要があると考える。
5.2.

CISO が直面する課題

Q：CISO などセキュリティリーダーが現在直面している最大の課題は何か？
A：恐らく、セキュリティマネジャーやリスクマネジャーが今後直面する最大の課題は、リスクの管理や評価の方法についての見直しだろう。セキュリティマネジャーはリスク計算を基に、自社における脅威を軽減する方法を考えることに慣れている。だが、RPA の普及拡大に伴い、新しい変数が加わってくる。
検討：IT リスクの従来の評価・計算方法に、新しい変数を組み込む必要がある。今や業界は RPA
や IoT がいたるところに存在していることを認め、戦略を立案する必要があると考える。
5.3.

最近のセキュリティ侵害から見える課題

Q：最近のセキュリティ侵害事案から、学べる重要な教訓は何か？
12 / 35CSA ジャパン_RPA 検討会

A：ルールが進化している。各業界は、まず“最低限のセキュリティ基盤”を確立することから始めなければならない。つまり、適応型のセキュリティフレームワークの下で、防止、検知、対応、予測の問題に対処する、最低限のセキュリティモデルを確立することだ。また、最低限のセ
キュリティモデルを備え実行していた企業なら、防止、検知、対応、予測を通じて、こうした攻撃に対処できたはずだ。
検討：今までの DDoS ハッカーが悪用するデバイスは、多くは PC とサーバが悪用される程度だった。そのため、攻撃の深刻度がある意味で限られていた。しかし、最近、DNS サービス大手を襲った DDoS 攻撃は、IoT 機器を含むデバイスを使うことで生み出され、企業だけでなく消費者にも影響が及んだ。また、数年にわたりバックアップが取れていなかった大手 I T ベンダーにより復旧ができなかった公的システムの事例もあり、最低限のセキュリティモデルが確実に実施されていることを示す証拠と証跡に基づいた監査をする必要があると考える。

6. RPA の課題対応に向けて
6.1.

エッジがクラウドを侵食している状況下での利用

いずれにしても、モノの自律化が進み人間から独立して実行する能力が高まるとともに、あるモノが他のモノにフィードバックを提供する能力が、そうしたモノによる学習やその結果としてのパフォーマンス向上を加速することは間違いない。
クラウドコンピューティング：モノが伸縮するようになり、規模経済性、迅速なプロビ
ジョニング、伸縮や拡張への対応を目的にクラウドによるITの集中化が進められている。
IoT：モノが接続されるようになり、膨大なデータを送信している。

機械学習：モノが考えるようになり、モノからのデータを取り込んで利用し処理や予測を改善している。

仮想現実（VR）：モノが仮想現実にもなり、人々が他の人々やモノと物理世界および仮想世界でやりとり出来る。

デジタルビジネスとデジタル世界：モノが意思決定をするようになり、モノと人のつながりがリアルタイムなやりとりや意思決定をますます促進している。
6.2.

破壊的変革をしているマーケティング分野での利用

エクスペアリンスの時代＞所有
音声の時代＞音声検索や音声操作
モノの時代＞IoT
機械の時代＞


機械が作成したA Bテスト、



機械が作業をするプログラマティックな広告
機械が人に対するマーケティング
人の時代＞ユーモア、皮肉、共感は不得意
個の時代＞パーソナライゼーション
例えば、今までのアンケート調査では平均的な世代を映す鏡を読み取ることであったが。今は、個々のアンケートを RPA で Yes/No を読み取るだけでなく、回答する際の振る舞いも読み取り、
迷って No なのか？明確に No なのか？を防犯カメラの画像と異常検知の出力データを RPA に入力
し、その人だけに合った化粧品を勧めるパーソナライゼーションの特定に利用しているスタート
アップが出ている。

13 / 35CSA ジャパン_RPA 検討会

6.3.

Gartner Insights からの引用

網羅的にリスク対応を検討する為、第三者の助言も調べてみた。RPA そのものでは無いが、エッジコンピューティングからリスクを診ている点で、参考になると考えた。
以下は、Gartner Insights 2018 年に公開された主席リサーチアナリスト・ラオ氏のメッセージから引用。
「ウェアラブルヘルスモニターは、基本的なエッジソリューションの一例だ。心拍数や睡眠パターンのようなデータをローカルに分析してアドバイスを提供出来る。クラウドに頻繁に接続する必要はない」
複雑なエッジコンピューティングソリューションは、ガイド役として機能する可能性がある。例
えば、エッジソリューションが車両において、交通信号、GPS デバイス、他の車両、近接センサ
ーなどからのローカルデータを集約し、ローカルに処理して、安全性やナビゲーションを向上させるといったことが考えられる。
さらに複雑なのがエッジサーバだ。次世代（5G）モバイル通信ネットワークにその例が見られる。「5G 携帯基地局にデプロイされるサーバは、ローカル加入者のためにアプリケーションや
キャッシュコンテンツをホストし、混雑したバックボーンネットワークでトラフィックを送信せずに済むようにする」とラオ氏は説明する。
ラオ氏はこう付け加える。「特に複雑なアプリケーションにおいて、エッジサーバはクラスタやマイクロデータセンターを形成することがある。そこでは、より多くのコンピューティングリソ
ースがローカルに必要になる」。こうしたエッジサーバは、海洋石油掘削装置や小売店などで使用される。
急速に進化している技術の常として、エッジコンピューティングソリューションの評価やデプロ
イ、運用にはリスクが伴う。さまざまなリスクがあり、とりわけ注意が必要なのはセキュリティ
リスクだ。「エッジコンピューティングを利用してフットプリントを広げると、攻撃対象領域が飛躍的に拡大してしまう。IoT 関連ベンダーがこの分野に参入して日が浅く、業界として未成熟であることがこのリスクを高めている。既に、安全でないエンドポイントは DDoS（分散サービ
ス妨害）攻撃やコアネットワークへの入り口として悪用されている」とラオ氏は解説する。
もう 1 つの懸念材料は、エッジコンピューティング環境のデプロイと管理にかかるコストが、プロジェクトの金銭的利益を上回りやすいことだ。さらに、プロジェクトが自らの成功の犠牲になる恐れもある。IoT エンドポイントの増加に伴い、スケーラビリティが深刻な問題になることがあるからだ。
「エッジコンピューティングは、IoT が支えるデジタルビジネスの取り組みを大きく成功させる可能性を秘めている。だが、 I＆O リーダーは慎重に事を進める必要がある」と、ラオ氏は結論付けている。

7. 本レポートの構成について
7.1.

ユースケース図とユースケースアプローチを応用

ここでは報告書を理解し易くするために、ユースケース図を用いて検討をしている。
検討会では、情シス側だけでなく、前条で提示した業務側で制作し管理されるケースも多く寄せられた。想定する読み手である RPA 担当者は、情シス部スタッフだけでなく経理部スタッフや営業スタッ
フも想定され、その人達にユースケースを理解し易くする必要があると考えた。

14 / 35CSA ジャパン_RPA 検討会

7.2.

ユースケース図とはユースケース図は、ユーザーの視点でシステムの動作やシステム範囲を見る様にしたものである。よって、IT 知識の高くない”読み手”でも十分理解出来るものにする。
その手順は、要件定義の前提を把握しやすくする為、RFP 要求事項やユースケースの概要を書く前に、以下のような「ユースケース図：Use Case Diagrams」を用いて、業務責任者の改善期待の中、
RPA 課題解決がどのように対応されるのかをイメージするテクノロジー図を描く。特に本レポートの“読者”は、事業領域や職務役割も異なり、業務責任者（業務側）や業務支援者（情シス側）の立場の違いがあっても「ユーザー視点でシステム利用例を図解するモデリング技術」が良き把握の手助けになると考える。

7.3.

ユースケース・アプローチとは

前記のユースケース図を記述する場合、多様な書き方がありますが、一例として「ISO_13407：
人間中心設計プロセス」のアプローチを紹介します。
ユースケース名：不動産を販売する
要求収集の 要求収集のアプローチステップ
要求収集− （輪郭→広範化→簡素化→微調整）
１
・主役を特定・ニーズの同定化（帰属先を特定する）
要求収集− （輪郭→広範化→簡素化→微調整）
２
・第三者を特定・利用状況の明確化
・コミニケーションの記述
要求収集− （輪郭→広範化→簡素化→微調整）
３
・主役と第三者の関係化
・ビジネスルールの記述
要求収集− （輪郭→広範化→簡素化→微調整）
４
・主役と第三者の関係化
・ビジネスルールの記述アプローチの例
・売手は、不動産を販売会社に依頼し、市場に公開する。
・買手は、不動産を購入会社に依頼し、市場から探す。
・ニーズは、販売会社/購入会社（市場）に多く帰属する。
・売手は、不動産を登録する。
・売手の不動産販売会社は、販売価格を仲介する。
・買手の不動産購入会社は、購入条件を助言する。
・コミニケーションは、利害関係者に存在する。
・売手の不動産販売会社は、売手の条件を公開し、販売条件を交渉する。
・買手の不動産購入会社は、買手の条件を検索し、購入条件を交渉する。
・ビジネスルールは、宅地建物取引士、
土地家屋調査士に従う。
・売手は、不動産を売る。
・売手の不動産販売会社は、販売手続を代行する。
・買手の不動産購入会社は、購入手続を代行する。
・買手は、不動産を購う。

15 / 35CSA ジャパン_RPA 検討会

16 / 35CSA ジャパン_RPA 検討会

8. シナリオ例に基づくユースケース
8.1.

シナリオ例１：クラウドに PC からファイルを登録する

a)

ユースケース図b)

概要
自社が契約するクラウドサービスに対し、証憑データが掲載されている PDF を、必要なフォルダに保存する作業を自動化。
(1) 目的経理作業において各業務部門から収集されてくる証憑を電子化はされ、最終的にクラウド宛に保存する必要があるが、単純手作業であり、RPA による合理化を検討。
(2) 業務内容
業務上保存の必要な証憑は、各業務部門のスキャナで PDF 化されるが、これを当社が契約したファイル共有クラウド上に、仕訳をしたうえで必要なフォルダへアップロードする。
(3) 構成担当者の PC は、各業務部門から PDF を保存してきたローカルのファイルサーバにアクセ
ス出来るほか、クラウドサービスにアクセス出来るインターネット環境を保持。

c)

効果
業務部門のファイルサーバからは毎日１００件以上の証憑をアップロードする必要があり、フォルダの選択からアップロード先の指定、格納と、一日辺り２時間程度の時間を要したが、RPA の導入により５分の１程度に合理化が出来、１時間半程度の合理化を達成。

d)課題
契約しているクラウドサービスのレスポンスは、アップロードするファイルのサイズによっても変化することから、タイムアウトの設定等調整が必要になった。
大規模容量ファイルをアップロードした際、アップロードに失敗した事例もあり、異常終了に気づかなかったこともあり、エラールーチンの追記が必要になった。
クラウドサービス側も、サイバー攻撃を警戒しており、頻繁なアクセスは DDoS 攻撃と誤認する恐れがあるため、ある程度時間間隔をあけてアクセスすることとした。
契約するクラウドサービスへの ID、Password の入力につき、統制上 RPA に書き込むことを禁止しており、当該箇所は自動化を行わなかった。

17 / 35CSA ジャパン_RPA 検討会

8.2.

シナリオ例２：Excel から Excel へ転記する

a)

ユースケース図b)

概要
業務報告文書を作成するため、各部門から送付されてくる月報の Excel ファイルを集約、報告書を作成しているが、経営陣よりより早く報告を求められており、自動化が必要。
(1) 目的経営へのレポート提出を迅速化するために、情報の定型的な集計作業を高速化することを目指すもの。
(2) 業務内容
毎月の月初に各事業所から Excel 形式で送付されてくる前月締の営業月報から、必要な項目を集計用 Excel に転記して、集計後のレポートを PDF に変換して、経営陣宛メールを送信する。
(3) 構成各営業部からの Excel が保存されるファイルサーバへのアクセスと、Excel 処理、経営者への社内メール配信が可能な機能を備えた PC に RPA を展開

c)

効果
従前は５０事業所からのデータ集計を行うため、まる２日要していた作業が、最終的な確認工程
以外を自動化できたため、２時間まで集約できた。

d)

課題
各部門から送付されてくる Excel が、所定の様式を、ユーザーが改造している場合があり、誤った情報を転記してしまうトラブルが発生、Excel の様式を変更できなくするよう保護を行ったものを配布し直す必要があった。
締め切りまでにファイルを配置していなかった部門があった際、ファイル読み込みを失敗してRPA が停止するトラブルが発生、RPA 起動時に必要なファイルが存在するか事前にチェックする
ルーチンを追加することで対応。

18 / 35CSA ジャパン_RPA 検討会

8.3.

シナリオ例３：メールを配信するa)

ユースケース図b)

概要
営業部から、顧客の Web 閲覧履歴から嗜好に応じた商品紹介メールを配信するよう定期的に依頼があるが、毎回対応メールの発信に手作業で宛先を埋め込む等していたため、時間がかかったほ
か、宛先と内容を取り違える等のミスも多発していた。
(1) 目的
商品紹介等タイムリーに実施するために、メール配信時間を短縮化するほか、誤配信をなくすことが目的。
(2) 業務内容
営業部から毎週、商品紹介メールひな形文章ファイルと、顧客リストに、送信したいメ
ールひな形種類の記載された Excel リストが送付されてくるので、これを基に対応する
メールひな形で、顧客宛メールを送信(3) 構成インターネットメールを使用出来る環境に、社内営業部からファイルを受け取れるファ
イルサーバを接続、Excel や Word 等を同時に使用。

c)

効果
従来は、メールへの宛先書き込みや、読み合わせ等に、１００通程度を作成するのに数時間要していたが、RPA 導入により数分で準備が出来るようになった。

d)

課題
送信先のメールサービス側で、SPAM 認定されないよう、配信自体は一括大量にならないよう工夫をする必要がある。
手作業によるミスはなくなっても、もととなる指示ファイル自体の誤りがあれば誤送信は続くので、前工程のミスをなくすべく、営業部にも RPA による自動化を慫慂。

19 / 35CSA ジャパン_RPA 検討会

8.4.

シナリオ例４：OCR を読み込んで基幹システムに登録する

a)

ユースケース図b)

概要
顧客から郵送されてくる登録申請書を従来はオペレータが読み込み、PC でシステムに登録していたものを、OCR で自動認識し、システムへ登録する作業を RPA で自動化
(1) 目的高齢者対応もあり、登録申請書を紙ベースで残さなければならないなか、オペレータの要員確保も難しく、登録申請書を読み取り、システムへ投入する業務を RPA で代替模索。
(2) 業務内容
顧客から送付されてくる登録申請書類を OCR で読み取り、自動認識装置でデータを抽出、RPA を用いて基幹システムに登録する作業(3) 構成OCR 装置と、自動認識ソフト、基幹システムへの登録が可能な PC 上に RPA を構成c)

効果
OCR の誤読率が未だ数パーセントあるため、再鑑作業は残したが、オペレータによる手作業の打鍵がなくなったため、人員的には５０％削減（実質増員回避）できた。

d)

課題
OCR の誤読率が想定より低く、記載される文字も枠のはみだし、略字等認識率をこれ以上高められないか検討中。
基幹業務システムにログインした作業が必要であるため、基幹システムへの負荷で、一般オンラ
イン業務が停滞しないよう、負荷分散を図った。

20 / 35CSA ジャパン_RPA 検討会

8.5.

シナリオ例５：市況情報の SNS への投稿a)ユースケース図b)

概要
マーケット情報を適時顧客へ、SNS を通じて展開しているが、現在は手作業で記入、展開しているため、タイムラグが生じ、顧客へのサービスレベルが低下している。
(1) 目的マーケット情報を SNS に展開するスピードを速め、顧客に適時に情報を伝達したい。
(2) 業務内容
定期的（時間単位）にマーケット情報モニターから市況情報を取得し、SNS にコメントを付して展開するもの。
(3) 構成
市況モニターの利用とインターネット投稿が可能な PC 上に RPA を構成

c)

効果
マーケット情報を取得した時間から、SNS への投稿作業が従来分単位で要していたものが秒単位
に短縮化。

d)

課題
当初、定期的な作業起動も RPA で行っていたが、負荷が大きく、最終的にはタスクスケジューリ
ングソフトによって起動を制御する必要があった。
マーケット情報の内容に応じて注目点や注意事項を機械的に付記して SNS に投稿していたが、誤った記載がないか目視モニタリングも必要であり、最終的には承認ステップを用意した。

21 / 35CSA ジャパン_RPA 検討会

8.6.

シナリオ例６：RPA からクラウドデータの抽出a)

ユースケース図b)

概要
プロダクト・サービス改善の為、SNS を通じて顧客からのフィードバックをバックオーダー化し機能向上に努めている。 人手を返した業務となる為、プロダクト・サービスのリリース状況
によっては業務が多くなる時もあれば少ない場合もあり作業員の管理が難しくなっている。
(1) 目的
顧客からのフィードバックをコメント量に関わらずスピーディーにバックオーダーリス
トに登録し、改善プランを策定し新機能をリリースしたい。
(2) 業務内容
ニアリアル（投稿単位）に SNS のコメント情報を取得し、バックオーダーリストに情報を転記するもの。
(3) 構成SNS モニターの利用とバックオーダーシステムに転記が可能な PC 上に RPA を構成

c)

効果
顧客からのフィードバック投稿後、ニアリアルでバックオーダーリストへ情報が登録される
為、常に最新のオーダーリストを閲覧しプロダクト機能追加に業務を専念出来るようになる。

d)

課題
SNS からのフィードバックを受け取る為に SNS のアカウントを RPA に登録し定期的な情報取得を実施する。 実装当初は情報取得に問題はなかった。しばらくすると SNS の本人確認を求められ定期的な情報取得のイベントが停止される。 これはクラウドの SNS アカウントの仕様でア
カウントを保護するために発生する問題となる。デバイスから最近ログアウンとした場合や、アカウントの機密情報に関する操作を行おうとした場合に本人確認を求められることがある。
最終的には SNS アカウントのセキュリティ強度を低下させるか、SNS のアカウントの変更もしく
は利用時の運用の中に本 RPA での再認証を行う業務を追加させる必要がある。

22 / 35CSA ジャパン_RPA 検討会

8.7.

シナリオ例７：有効期限切れの SAML 署名証明書による RPA 機能停止a)

ユースケース図b)

概要
企業は統合 IdP 化を実施し、工数削減の為 RPA の導入を行った。
プロダクト・サービス改善の為、SNS を通じて顧客からのフィードバックをバックオーダー化し機能向上に努めている。 人手を返した業務となる為、プロダクト・サービスのリリース状況
によっては業務が多くなる時もあれば少ない場合もある。
(1) 目的
顧客からのフィードバックをコメント量に関わらずスピーディーにバックオーダーリス
トに登録し、改善プランを策定し新機能リリースを早めたい。
(2) 業務内容
ニアリアル（投稿単位）に SNS のコメント情報を取得し、バックオーダーリストに情報を転記するもの。
(3) 構成IDaaS を中心に端末側の ID の管理およびクラウド上の多数の SaaS を利用している。

c)効果
顧客からのフィードバック投稿後、ニアリアルでバックオーダーリストへ情報が登録される為、常に最新のオーダーリストを閲覧しプロダクト機能追加に業務を専念出来るようになる。

d)

課題
SNS からのフィードバックを受け取る為に SNS のアカウントを RPA に登録し定期的な情報取得を実施する。 実装当初は情報取得に問題はなかった。 RPA のシステム管理者は IDaaS の管理者ではなく、突如 IdP(Identity Provider)が署名しても SP(Service Provider)側の検証が失敗しRPA へのシングルサインオンおよび他 SaaS への接続ができなくなった。調査した結果 SAML 署名
証明書の有効期限が切れた為だった。

23 / 35CSA ジャパン_RPA 検討会

8.8.

シナリオ例８：セッショントークンの有効期限

a)

ユースケース図b)

概要
プロダクト担当者は、RPAを使って法人営業担当から抜粋された顧客情報をデータ共有してもらい自身のプロダクト分析に必要な情報のみプロダクト用のデータベースに登録をする。個人を特定出来る情報は含まれていない。
(1) 目的
月一の大量データの取り込みにより担当者の工数の波があった為、業務の平準化と工数削減を目的とし RPA の導入を検討。
(2) 業務内容
プロダクト担当者はクラウドリソースを活用して BI(Business Intelligence)システム
を使ってプロダクトに対する顧客動向を分析している。
(3) 構成法人営業が利用している社内システムとプロダクトが管理しているクラウドサービス

c)効果
連携するシステム負荷が平準化することで期待する業務タスクがオンタイムで処理可能となる。

d)

課題
両システムでは SSO を有効にしていてブラウザベースの利用を想定している。SAML トークを使用した認証フローを確立している場合、セッショントークンの有効期限の調整が必要になってくる。

24 / 35CSA ジャパン_RPA 検討会

8.9.

シナリオ例９：セッショントークンの有効期限

a)

ユースケース図b)

概要
経理部は各従業員からの交通費の申請を毎日大量に受け付けている。領収書の原本を OCR してデータ化し、システム登録を行っている。
(1) 目的
経理部の工数削減の為 RPA を導入し手作業で実行していた大半を自動化する。
(2) 業務内容
経理部は各従業員から送られてきた領収書の原本をスキャンし従業員が申請した申請番
号とマッチングをしてデータを保存する。
(3) 構成OCR デスクトップ PC(VM)と SaaS ファイル保管場所。
仮想マシンのログインはサービスアカウントとしてログインc)

効果
手作業による入力ミスおよびデータの可視化が期待される。

d)

課題
仮想マシンの利用においてログインアカウントをサービスアカウントとして処理している場合、そのマシンに対する完全性を担保する必要がある。 検証する為の監査ログの有効化、マシン自体の真正性を担保する為のデジタル署名、通信の暗号化などの対策をする必要がある。

25 / 35CSA ジャパン_RPA 検討会

8.10. シナリオ例１０：工場のラインテスト
a)

ユースケース図b)

概要
工場の組立てラインは、最終工程で、組立て作業者自らが、計測機器から検査結果の数値を読み取り、検査票に転記している。
(1) 目的は、検査票への記載抜け、記載ミス、誤記を防ぎ、検品の正確さを確保する。
(2) 業務は、工場の組立ラインで、最終工程にある品質検査部の検査合格品を証明する作業である。
(3) 構成は、測定器と数値表示、光学読取器、イメージデータのテキスト変換アプリ、RPAボ
ット、PCから成る。

c)

効果
計測数値の読み取りミスが 70％減少、転記漏れが 100％減少した。従業員による操作が不要になる事で、工場側からも期待が大きく RPA ロボットの導入が歓迎された点も大きなメリットであった。また、組立てラインは継続的な流れ生産のため、生産を止め無いように検査表を記憶に基づいて、後で作成していた事も判明し、ISO 準拠の点でも改善があった。

d)

課題
測定器が更新された時、画面上の読取り位置を間違える問題が発生した。現時点では、更新前の旧ディスプレイを使用し切り抜けたが、早急に自動位置検知のロジック開発が求められている。
また、RPA ボットの作成者は、業務側での開発が可能であった為、全てのアクセス権を持つことになり、工場長から退職後のリスク対応策を提案するよう要求した。
ロールベースに基づいた権限の割り振り例
ユーザー区
分
RPA システムの管理者
RPA の開発
担当者
RPA の品質担当者
RPA の転写担当者
RPA の運用者
RPA の利用者

役割名
RPA Admin
RPA Builder
RPA Tester
RPA
Promoter
RPA
Operator
RPA Guest

権限
RPA システムのコンポーネント、インターフェイスを設定し、全てのアクセス権を許可する権限を持つ開発環境で、RPA ボットを作成し、各コンポーネントやインターフェイスとの動作確認を実施する役割と責任を持つ者
テスト環境、機能的精度、パフォーマン、セキュリティについて RPA ボットをレビューする役割と責任を持つ者
RPA ボットを承認し、開発環境とテスト環境および本番環境間を移動/転写させる役割と責任を持つ者
本番環境で、RPA ボットのスケジュール設定、実行、監視をする役割と責任を持つ者
本番環境で、RPA ボットからのデータ受領、モニター閲覧をする者

26 / 35CSA ジャパン_RPA 検討会

8.11. シナリオ例１１：工場の入退館チェックa)

ユースケース図b)

概要
工場の入退館管理は、入り口が大きく広いシャッタ式ドアで、かつ端にカードリーダがあり「共連れ入退館」が多く、安全管理に課題があった。
(1) 目的は、自動で入退館を検知し、出勤簿管理システムに自動的に記録する。
(2) 業務は、工場側の総務人事部が入退館管理と給与計算を手動で行なっている。
(3) 構成は、防犯カメラ、画像データ解析、本人確認、時刻打刻、給与計算Excelフォーム
RPAロボット、PCから成る。
(4)

c)

効果
２段階で導入更新を行った結果、総務人事部のスタッフによる入退館確認と出勤簿への転機、
並びに給与計算システムに入力までに常時 3 人が担当していたが、２人分の作業を削減でき、人手不足のラインへ配置転換が可能となった。

d)

課題
最初の導入では、入退館検知を赤外線カメラで、時刻入力と給与計算 Excel フォームへの入力を
RPA で行ったが、元々の赤外線カメラが委託業者等全ての通行人をカウントした為、従業員数以上のカウントが発生し、使えないと評価された。
その後の導入更新で、防犯カメラで入退館検知を行い、かつ工場の正規ヘルメット着用と作業着着用で本人識別をする挑戦を行った。現在、本人識別はヘルメット上の社員番号や作業着の名札で行ったたが精度は 60%程度であった。時刻入力と給与計算システムへの RPA での入出力する精度は 98%であった。
（参考）最近、RPA や IoT メーカから機器だけでなく、AI 機能の SaaS 提供も始めている。例えば、ネットカメラのメーカからは、机上にある一定時間以上置かれた PC の存在確認を学習し、画像から消えた等の異常検知を行い盗難防止に役立てるサービスが提供している。また、某大学
は、防犯カメラから入退室する作業員のヘルメット着用・不着用の検知を機械学習させさせたア
プリを 2020 年の保全学会で発表していた。

27 / 35CSA ジャパン_RPA 検討会

9. 引用した情報に基づくユースケース
以下は、連携会員や展示会およびネット検索等で見つかった RPA 事例を参考として引用した。
9.1.

引用１：税務調査向け提出書類の自動作成

各支店に、税務署より定期的に税務調査に関する資料提供を依頼されている。税務調査では、特定の個人に関する口座情報や取引情報等を複数のデータベースからそれぞれ調査しなければならず、書類作成が事務スタッフの大きな負担になっていた。
そこで RPA ツールを使うことにより、異なるデータベースから必要な情報を調べて、種類に書類に自動で転記されるようにした。その結果、税務署への回答書作成にかかる時間が 70%以上、時間にして年間 15,000 時間もの時間を削減出来るようになった。

9.2.

引用２：融資のための稟議資料の作成

融資を決めるための稟議資料の作成においては、会社情報、決算書情報、取引情報や貸出実績等が入っているいくつものデータベースから情報を探し、決算情報を分析して融資審査資料を作成する必要があった。審査のために入力すべき項目が多く、データベースから調べて審査フォーマットに記入するだけでも一苦労で、本来時間をかけるべき融資判断に関する分析の前に大きく時間を費やしていた。
そことで、各種データベースから、RPA ツールのロボットが自動で情報を取得して、分析以外の必要項目の大半を記入出来るようにした。その結果、年間で 3,000～4,000 時間もの時間を削減出来るようになった上、案件の担当者は、融資判断に関する分析を十分に行うことで、より質の高い融資判断が出来るようになった。
さらには、融資審査にかかる資料作成時間が短縮化されたことで、融資決定までの日数が短縮され、スピードアップにもつながった。そのため、作業時間や担当者の負担軽減だけでなく、顧客へのサービス向上にもつなげることができた。

28 / 35CSA ジャパン_RPA 検討会

9.3.

引用３：案件管理情報の自動入力

ある融資を行う部門では、案件管理のための入力情報が 10 ステップ以上もあり、入力項目が多
いこと、およびそれらの入力時期が月末に集中していることから社員の大きな負担となっていた。特に入力において、入力する項目が、顧客名、期日や金額等の基本情報に加え、調べて入力する必要のある決算情報や債券情報等がある上、融資する案件ごとに、受注⇒発注⇒仕入⇒売上⇒支払⇒入金等のステップごとに入金する必要があり、さらにステップごとに上長の承認を得る必要がある等、多岐に渡っていた。
そこで RPA ツールを活用することにより、案件管理システムへの入力の 8 割を自動で行い、残りの 2 割を担当者が入力すれば済むようにした。その結果、社員の入力負担が減って、月末でも案件獲得のための活動など売上向上につながる他業務に時間を使えるようになった。

9.4.

引用４：契約情報の転記作業の効率化

事例 1 と同じ部署において、契約情報を管理するために、契約書からエクセルのサマリシートへ
案件ごとに情報を入力する必要があった。そこで、RPA ツールが自動的に契約書関連ファイルから情報を読み込み、エクセル・サマリシートへ自動で転記する仕組みを導入した。具体的には、
RPA ツールのスタートボタンを押すと、RPA ロボットが、契約書関連情報が置かれたファイルがあるフォルダをみて、必要項目をエクセルシートに転記する仕組み。その結果、ほとんどの入力作業がなくなり、RPA のロボットが作成したシートを担当者が確認するだけで済むようになった。

29 / 35CSA ジャパン_RPA 検討会

9.5.

引用５：経理部門での転記作業の効率化

これまでは、経費精算や取引先への支払依頼は申請システムを経由して経理担当に来ていた。最終的には基幹システムに申請内容を入力しなければならなかったが、申請内容が正しいのかの確認と、申請システムは Web で基幹システムは非 Web でデータの受け渡しが容易でない、との理由から経理担当者が手作業で行っていた。
RPA を活用することにより、ルールに基づく自動チェックで申請内容の確認作業を自動化、デー
タの受け渡しにおける問題も RPA ツールの機能で解消することにより、手作業を自動処理に置き換えることができた。

9.6.

引用６：メールからの転記作業の効率化

これまでは、外部法人からのサービス利用申請はメールで受け付けており、申請内容を手作業で転記して CSV に変換してシステムに登録していた。
RPA を活用することにより、メールを Web 上で開封して申請内容をエクセルに自動転記、その転記内容を CSV に変換してシステムに自動登録出来るようになった。

30 / 35CSA ジャパン_RPA 検討会

気になる削減効果はどちらも 1 日 30 分程度とのことです。作業をしている担当者にとっては作業が楽になって嬉しいものの、RPA ツールの費用や設定・運用の手間を考えると、投資対効果が高いとは言えないようです。
RPA 推進者は「当初期待したほど、効率化が見込める業務が見つかっていない。自社の特徴として定型業務がさほど多くないかもしれない」とのコメントでした。今後見つかる可能性はあるのでしょうが、すぐにぱっと見つかる状況ではないようです。
9.7.

引用７：卸会社からの販売情報の転記作業の効率化

これまでは、約 100 社の卸会社からエクセルで送付される販売報告情報を手作業でエクセルに転記していた。エクセルの入力負担を軽減するために、フォーマットの統一化や入力ルールの厳密化に取り組んできたが卸会社がルールに則ってくれないという問題があった。また、転記後もデータ形式を確認しないと、正しくシステムに登録されない、という問題があった。
RPA 導入により、卸会社の入力項目がずれていても、RPA が入力項目と入力内容を特定して転記してくれるので、手入力の削減が見込まれる。現在運用試験中のため、効果は未確定だが、5 営
業日かけて 4 人がかりで行っていた作業がほぼなくなる見込みとのこと。

9.8.

引用８：基幹システムへの入力作業の効率化

これまでは、SAP の基幹システムへの入力において、担当する製品ごとに、購買情報、物流情
報、在庫情報などを分けて入力する必要があり、月数十時間に及ぶ大きな手間となっていた。
RPA 導入により、一括登録用のエクセルに自動転記され、基幹システムに登録されるので、大きな効率化が見込まれる。（現在、運用試験中のため効果は未確定）

31 / 35CSA ジャパン_RPA 検討会

9.9.

引用９：経費精算システムへの入力作業の効率化

これまでは、交際費や立替精算などの際には、紙媒体での申請書を経理が受け取り、OCR でデー
タファイルにした上で、手作業で申請内容の基幹システムへの入力やファイルの保管を行っていた。
RPA 導入により、申請書の OCR から基幹システムへの転記、ファイルの保管まで自動化されるようになった。ただし、OCR の読み取りミスや転記ミスも起こりうるので、人手での確認作業は行っている。

9.10. 引用 10：プロジェクト情報の転記作業の効率化
これまでは、手元のエクセル表を基に、プロジェクトの稼働が始まったら、案件情報、契約情報
やアサイメント情報などをシステムごとに入力していた。登録するのはプロジェクトマネージャ
ーなので、貴重な人材の時間を奪ってしまっていた。
RPA 導入により、手元のエクセル表から Web のシステムに自動転記出来るようにしたことで、入力の手間を大きく削減できた。
ただし、エクセル表の入力ミスやフォーマットにない情報の入力などで手間がゼロになったわけではない。

32 / 35CSA ジャパン_RPA 検討会

9.11. 引用 11：チャットボットと連携した回答探索
これまでは、出張費や保険手続きに関することなどが各部門より管理部に多くの問い合わせが来ていた。問い合わせの多くは、社内イントラネットに公開している規定集をみればわかるものであった。
RPA を導入して、チャットボットが問い合わせを受け付け、RPA で規定集の該当箇所を探索し、回答が記載された URL を案内出来るようにした。チャットボットでは文章を解析して回答しているので、回答違いも度々発生するが、問い合わせの半分以上はチャットボットで解決出来るようになった。

33 / 35CSA ジャパン_RPA 検討会

10. 参考：RPA サービスの企業一覧
以下は、2019 年度における展示会や講演会等の参加企業から抽出した RPA サービス企業一覧である。
昨年、抽出できた企業数だけでも 59 社あり、経産省レポートの新産業分野であるロボット分野
でも、通称ソフトウェア・ロボットなるカテゴリが存在感を占める状況が認識されている。
アイウエオ順とする。
1. 株式会社IIJエンジニアリング
2. 株式会社アイエンター
3. アステリア株式会社
4. アデコ株式会社
5. アビームコンサルティング株式会社
6. 株式会社イノベーションネクスト
7. SCSK株式会社
8. SBモバイルサービス株式会社
9. NECソリューションイノベータ株式会社
10. エヌ・ティ・ティ・アドバンステクノロジ株式会社
11. NTT-ATテクノコミュニケーションズ株式会社
12. エヌ・ティ・ティ・コミュニケーションズ株式会社
13. 株式会社エヌ・ティ・ティ・データ
14. 株式会社エヌ・ティ・ティ・データ・イントラマート
15. Automation Anywhere Japan, Co. Ltd
16. オープンアソシエイツ株式会社
17. キューアンドエーワークス株式会社
18. 株式会社クレオ
19. KDDI株式会社
20. 株式会社Cogent Labs
21. コニカミノルタジャパン株式会社
22. 株式会社コムスクエア
23. 株式会社シーエーシー
24. 株式会社システナ
25. 株式会社システム情報
26. 株式会社ジャパン・テック・システム
27. 株式会社 セゾン情報システムズ
28. 株式会社セラク
29. ソフトバンク株式会社
30. 株式会社チュートリアル

34 / 35CSA ジャパン_RPA 検討会

31. TIS株式会社
32. ディヴォートソリューション株式会社
33. デジタル・インフォメーション・テクノロジー株式会社
34. 株式会社デジタルフォルン
35. テック・マーケル株式会社
36. 株式会社テンダ
37. トッパン・フォームズ株式会社
38. 日商エレクトロニクス株式会社
39. 日本アルゴリズム株式会社
40. 日本システム開発株式会社
41. 日本電気株式会社
42. 日本ワムネット株式会社
43. パーソルプロセス&テクノロジー株式会社
44. 株式会社パワーソリューションズ
45. 株式会社ビースタイル
46. BizteX株式会社
47. Peaceful Morning株式会社
48. 株式会社ビジネスブレイン太田昭和49. 株式会社日立システムズ
50. 株式会社日立ソリューションズ
51. ヒューマンリソシア株式会社
52. 富士ゼロックス株式会社
53. Blue Prism株式会社
54. 株式会社MeeCap
55. 株式会社Minoriソリューションズ
56. UiPath株式会社
57. ラクラス株式会社
58. リコージャパン株式会社
59. ワークフュージョンジャパン株式会社[End of report]

35 / 35