コスト面から見たメリットは明らかだ。多くの企業が、コストメリットを主な動機としてロボティック・プロセス・オートメーション（RPA）の導入を開始する。
では、リスク面のメリットについては、どうだろう？

RPA のガバナンスとセキュリティ

www.pwc.com/jp

ロボティック・プロセス・オートメーションとは？
ロボティック・プロセス・オートメーション（RPA）
は、テクノロジーを用いたプロセス自動化の一つである。
設定が容易で、IT の専門知識をそれほど必要とせず、「研修」や展開に時間がかからないソフトウエアの「ロボット」を組み入れて、手作業のプロセスを自動化するものをいう。ここで使われるソフトウエアは従来のものと異なり、ユーザーインターフェースのレベルで稼働し、人間の作業をそっくりそのまま再現し、バーチャルの BPO（ビジネス・プロセス・アウトソーシング）を作り出す。
RPA は、データの二重入力、複数のコンピューターシステム間でのデータのコピー & ペーストや照合・クロスレファレンス、さらにはビジネスプロセスの重要なポイントでの高度な意思決定なども行う。のガバナンスとセキュリティ
PwC | RoboticRPA
ProcessAutomation |¦ 2

どこが新しいのか？
RPA には、ベーシックなスクリーンスクレイピングなど、歴史の長い原理が多く使われている。最近になって基本技術が進歩し、安定性や拡張性が向上するに伴って、RPA への関心も高まってきた。RPA 市場は従来のルールベース処理を超えて、コンテンツの分析やプロセスの自動化を通じて非構造化データやインテリジェンスの領域にも入り込む RPAへと動き始めている。オペレーションをデジタル化すべきという圧力が高まっているが、RPA は社内のレガシーシステムや既存の手作業プロセスに組み入れることができるため、導入 が 迅速 で、短期間 で 持続可能 な 高 い価値を創出でき、迅速なデジタル化が可能になる。

誰がメリットを得るのか？
それはなぜか？
規模や組織構造を問わず、さまざまな企業が RPA の活用によって手作業の合理化や自動化を実現できる。顧客体験が向上する、コストが削減できる、市場化までの時間が短くなるなど、RPA のメリットは明確であり、いち早く導入を済ませた多くの企業もそれに同意している。しかしそれに加えて、二つの潜在的メリットがあることは、あまり注目されていない。RPA を正しく導入するという前提条件付きではあるが、リスクの低減とコンプライアンスの向上も見込めるのだ。

RPA のガバナンスとセキュリティ ¦ 3なぜ、RPA ではなく自社のコアシステムで手作業を代替できないのか？
これはよくある質問だ。RPAもITコアシステムと同様のルールと手順を内蔵したソフトウエアの一種だからだ。しかしRPA は、複数のシステムにまたがるソフトウエアのギャップや不具合に対処するために、人間が行わなければならない多くの手作業プロセスを自動化しようとするものだ。こうした対処作業は、ITコアシステムが事業ニーズの変化（規制要件や新製品など）に追いついていないために発生する場合が多い。コアシステムへの投資には、多額の費用と長い時間がかかるからだ。
加えて、IT プロジェクトの実施に問題がある場合、予算や時間が圧迫され、結果として質の低下を招くこともある。稼働開始後の問題解決については予算も説明責任もないことが多く、そのためソフトウエアの不具合が分かると、それに手作業で対処することを受け入れ、それが新たに通常の状態になる。こうして手作業の対処は継続し、事業の規模やニーズが進化するに従い、より多くのリソースを費やすことになる。

RPA のガバナンスとセキュリティ ¦ 4

手作業を自動化してリスクを低減する
企業に求められる規制やコンプライアンスの要件は増え続けている。しかし、そうした要件に対応するために実施される IT システムの変更は断片的で、大量の情報処理を手作業に頼っている。手作業による入力は、細かい点に注意しながら丁寧に行わなければならないが、多くの場合、経験が浅くスキルの低い従業員が担っている。処理のミスは、データや報告の不正確さにつながる。過去数年間にわたってデータの質に細かいミスがあると、規制当局の調査や介入の厳格化に対応して「是正計画」に大きな支出をしなければならなくなる。しかしその是正措置も対症療法的に行われることが多く、根本的な問題、すなわち入力が手作業であり、人間の行動には変動がつきものだという点への対応は十分ではない。
自動化プロセスである RPA ならば、高度なコンプライアンスの確保が可能だ。Australian PrudentialRegulation Authority（APRA）の Prudential Practice Guide CPG 235 ‘Managing Data Risk’には、原則の一つとして「手作業処理の代替として自動化を使用する（実行可能である場合）」と記されている。人間は手順を飛ばしてしまったり、トランザクションの一貫した処理ができなかったりすることがあるが、ロボットはそのようなことはなく、一切の偏りもばらつきもなく作業を処理する。従って自動化を進めることは、リスクの管理と削減になる。
加えて、データや基準に基づく単純な決定を繰り返す作業についても、RPA は人間と同様に、そうした種類の例外管理を伴う作業を実行する能力がある。ほとんどのケースで、従業員が遭遇する例外のパターンは数が限られている。判断基準の文書化が可能であれば、RPA で処理が可能だ。しかも人間が行う場合に比べて反復的作業の負担もミスのリスクも大幅に減る。正しく導入すれば、RPA は一貫性のあるルール適用と、意思決定の統制枠組みの順守に役立つ。ロボットは決められたオペレーション手順に従うようにプログラムされているため、いついかなるときも完全に同じ方法で処理するからである。
また RPA の導入で、コンプライアンスに関する研修コストも大幅に抑えられる。人間の従業員に労力とコストをかけて教育を継続しなくても、RPA が正確にプロセスを実行するからである。

RPA のガバナンスとセキュリティ ¦ 5

規制について、何を考慮すべきか？
RPA はサービス業界にとって新しい技術である。そのため RPA に関する具体的な基準や業界で正式に合意した統制がない。現状、RPA を導入する主な動機はコスト削減であること、これまでのところ東南アジアでは導入が少ないことから、この問題はあまり注目されてこなかった。
APRA の Prudential Practice Guide PPG 234 ‘Management of security
risk in information and information technology’によると、規制対象となっている機関は、実稼働環境において、成熟した技術の使用のみを認可することが期待されている。成熟した技術とは、当該技術の安全性管理のために一連の統制が存在し、その統制が業界で受け入れられているという段階にまで成熟した技術のことである。

シンガポールでは、Monetary Authority of Singapore（ MAS）の Internet
Banking and Technology Risk Management Guidelines において、システムのバーチャル化や自動化などの IT イノベーションに由来するリスクレベルの上昇が認識されている。それに加え、Monetary Authority of Singapore Act 1970
では多数の注釈を追加して、金融サービス企業がこうしたテクノロジーを導入する際のリスク管理方法に対する法的要件を規定している。とりわけ MAS ガイドラ
イン6.4.2－6.4.4（Technology Risk Management Guidelines）では、自動化に具体的に関連して、金融機関がプロセス自動化を展開する場合、リカバリー策とデータ保護を整備し、設定のレビューおよびテストを実施することで、アプリケーションの完全性と信頼性を確保しなければならないとしている2。

以上から分かるように、RPA の導入と管理に向けた適切な統制基準の整備がオーストラリアでは、RPA に適用される明確な基準や慣行は存在しない。しか不可欠である。RPA の導入は事業部門が推進し、主導するべきだが、適切と認めし APRA は、重要なデータまたは慎重な取り扱いを要するデータの処理や保管 られる統制基準を ITコアシステムと同様の方法で確実に適用するためには、ITのために使用されるソフトウエアは全て、当該機関内の適切なライフ・サイクル・ 部門や統制部門の関与も必要になる。
コントロールに従う必要があると明言している。また見方によっては、RPA はエンド・ユーザー・コンピューティングの一形態と見なされる可能性もある。APRA は、日常的なビジネスプロセスの自動化を目的としたエンド・ユーザー・コンピュー
ティングでは、データのライフ・サイクル・コントロールが不十分になるというリスクが発生すると指摘している。エンドユーザーが開発・構築したソフトウエアは、一般に IT 部門と同様の統制の対象にならないからである。
状況はニュージーランドでも同じで、Financial Markets Authority Act 2011もしくは Financial Markets Conduct Regulations 2014の中に、自動化もしくはテクノロジーリスクの管理に関する要件の規定はない。両規制とも、証券保管機関（あるいは金融機関）の IT システムやプロセスは、保証監査の実施や報告に関する要件を満たすことができる適切なものでなければならない、という文脈でIT 技術に言及しているのみだ1。

RPA のガバナンスとセキュリティ ¦ 6

プライバシー保護、データ保護はどうするか？
プライバシーやデータの保護に対する関心も高まっている。個人情報の処理にかかわるタスクがある場合などは特に、RPA においてもこの点を考慮しなければならない。オーストラリアの個人情報保護法の中には、自動化に関連して RPA に具体的に言及した指示や判例はないが、連邦の Privacy Act 1988（Cth）の AustralianPrivacy Principle（APP）1では、組織に対し、プライバシー保護を確実に順守できる実務、手順、システムを実践するために合理的な対策を講じることを求めており、RPA の枠組みの中でも、こうした施策を構築する必要がある。

同様に、ニュージーランドとシンガポールでも、自動化の管理とプライバシーに関する具体的な指針は示されていない。しかし New
Zealand Privacy Commissioner は、技術革新 の 結果、プライバシー侵害が発生するリスクが高まっていることを認識し、テクノロジーに特化して、アプリケーション、デジタルデータ、クラウド向けの指針を定めた。また RPA の導入に当たっては、ニュージーランドのPrivacy Act 1993に規定された情報プライバシーに関する12の原則を順守する必要がある。同じくシンガポールでも、Singapore
Personal Data Protection Act 2012（PDPA）にはテクノロジーに関するプライバシー規制は示されていない。ただし企業はデータの収集と使用の同意、目的、妥当性を検討する際に、PDPA の規定を順守しなければならない3。Advisory Guidelines on key concepts
in the PDPA の指針17.5には、個人情報の保護に活用できる技術的な方法が数多く示されている4。

RPA のガバナンスとセキュリティ ¦ 7

RPA に適用すべき統制基準は？
私たちの経験では、RPA の導入を成功させるためには、計画全体を包括的に検討することが必要である。計画には、デジタル化戦略、対象とすべきプロセスの選出方法と優先順位付けの方法論、ガバナンスと承認プロセス、システムの開発・テスト・展開、あるいは新しいロボットという労働力を適切に管理・運営・サポートするインフラを含めなくてはならない。
では何を基準とするのか？検討すべき課題の例を、以下に挙げる。

開発と展開• RPA 導入の全体的なガバナンス計画はどのようなものか？リスク、コンプライアンス、IT およびデータの枠組みとの整合性はどうなっているか？
• RPA は、全社的な IT アーキテクチャとどのように適合しているか？
• 自動化に適したプロセスを正しく選んだか？
• 選出したプロセスは、自動化に先立って最適化してあるか？

• IT の災害復旧および拡張の際の要件の定義と対応は済ませたか？
広範なレジリエンスは考慮したか？
• RPA はデータの出所の確認、変更の透明性確保のために、監査記録を完全に捕捉するか？
• 各ロボットに個別のユーザー IDとパスワードを割り当てる予定か？
ロボットのアカウントと行動の管理の説明責任を誰が負うか？

• 選出したプロセスは、上流・下流のプロセスとどのようにつながっているか？そのつながりは十分に理解され、文書化されているか？

継続的サポートとメンテナンス• ロボットの設定の変更、つながりのある上流・下流のプロセスの変更がある場合、適切に統制していくにはどう変更を管理するか？
• ロボットを確実に出勤させる、すなわち、ログインし、稼働させ、作業量を調整し、SLA へ適合するにはどうするか？誰がコントロールルームの管理をするのか？

• フェイルオーバーやリカバリーの能力、ロボットの使用が中断された場合もオペレーションに影響を及ぼさないための対応計画について、定期的に審査しているか？
• もともと人間が手作業で行っていた作業ステップを理解している人がいなくなった場合の、撤退計画はどのようなものか？

• 想定外のプロセス変更によってロボットが影響を受けた場合、それに対応するインシデント管理計画はどうなっているか？

• 一連のルール構成や処理ロジックが、現状のビジネスニーズや需要に適しているかどうかを、定期的に審査しているか？

• ロボット従業員のためにどのようなサポートモデルを実践するか？
そのモデルは、全社的な IT サービス管理モデルとどのように連結するか？

• RPA を展開・使用していくに当たり、「三つのディフェンスライン」の全てにおいてどのように監視やアシュアランスを提供していくか？
高度にデジタル化した環境において、リスク管理部門や監査部門のスキルや技能をどのように進化させる必要があるか？

• ロボットに、どのようなユーザーアクセス管理コントロールを適用するか？現状のプロセスとセキュリティ方針は、ロボットのような「システム」ユーザーを受け入れ可能か？
• ロボットに割り当てられたアクセス権限に第三者が不正にアクセスしたり、不正に利用したりしないために、どうするか？

RPA のガバナンスとセキュリティ ¦ 8

失敗はあり得るのか－何が敵なのか？
前述したように、RPA の主要なメリットは、ロボットは、ソフトウエアに組み込まれたアルゴリズム設計や、ビジネスプログラムのロジックに反しないということによるコンプライアンスの正確性向上にある。とはいえ、潜在的な弱点もある。

が高くなる。進化した RPA は人工知能の要素を取り入れ始めたが、この問題に対応するレベルの成熟が期待できるのは、まだ何年も先だろう• プロセスが正確にマッピングされていないと、自動化された• ビジネスプロセスに変更があった場合、古い RPAテクノロジー作業の結果も不正確になったり、不完全になったりする。まではソフトウエアが稼働しなくなることがある。RPA に不具た非効率なプロセスや統制が不十分なプロセスを自動化す合を生じさせないために、プロセスの変更は計画的に、周知ると、問題がさらに悪化するを図りながら、またテストをしながら、強力な統制枠組みの下で行わなければならない。しかし最近のプラットフォーム • プロセス自体の変更の必要性が問題の核心である場合でも、は、簡単な変更なら問題なく対応できるようになっているので、RPA を導入することで、その問題を回避してしまうことがあ
将来こうしたリスクが発生する可能性は小さくなりつつある
る。RPA は比較的コストも低く、複雑でもないため、短絡的に RPA による戦術的解決に走り、根本原因に目を向けてプ• 初歩的な RPA は融通が利かず、やれと言われたことしかでロセス変更に取り組むことを避けてしまう恐れがある
きない。しかし人間はその性質上、意識して考えることなく、生来身についていたルールに従うことが多い。その決断は • 人間による処理の短所は、品質のばらつきとヒューマンエラー
人間であるユーザーにとっては当たり前のことであり、従っのリスクである。しかし、たくさんのユーザーがたくさんのトて文書化されず、ルールがプロセスから「失われる」リスク
ランザクションを処理しているため、ミスが系統だったものになることはほとんどなく、ビジネスプロセスやデータセットの中に広範囲に広がったりすることがない。いわば自然のセーフガードが効いている。自動化した場合、アプリケーションの動きは一貫しているため、ユーザーが勘違いをすると一貫して勘違いをすることになる。すなわちミスがシステム全体に伝わり、プロセスやデータセット全体に問題が拡散するリスクがある。RPA は「全ての卵を一つのかご（またはロボットコンフィギュレーション）に入れる」ことになる

RPA のガバナンスとセキュリティ ¦ 9

意図したとおりに動いていることを知るには？
展開する前に厳格なテストをしても、ロボットが実際にタスクを処理し始めるまでは、実稼働環境で何が起きるか分からない場合もある。そのため展開後の段階で、ロボットが行った処理や決定を点検して、期待どおりに動いているかどうかを確認する必要がある。適用するルールやロジックの修正が必要になることもあるので、展開後の早い段階で行うことが望ましい。
PwC の Process Intelligence ツールは、プロセスの中で全てのトランザクションが発生している場所を可視化し、プロセスの非効率性、ボトルネック、統制およびデータの質の問題を特定し、どの程度までトランザクションが期待したとおりの経路で行われているかを、実際の動きと比較して判定する自動ツールである。

RPA を味方に付けるには、ガバナンス、リスク、アシュアランスを早期に考慮することが重要
RPA は概念実証、試験プロジェクトの段階から、さまざまな金融機関の全社的プログラムとして導入される段階へと移行した。それに伴い、ガバナンス、リスク、アシュアランスの基準について、業界で合意することが必要になってくる。クラウドの導入にも見られたように、RPA のビジネスメリットを実現するには、規制機関が早期に関与すること、規制対象に含まれるデータに対する健全なガバナンスとリスク管理を実証する計画を整備することがカギとなる。
企業の内部でも「RPA をどう活用するか？」から「RPA が自社のリスクプロファイルにどう影響するか ?」に考え方を変える必要がある。早い段階から社内のさまざまな部門（コンプライアンス部門、リスク部門、内部監査部門など）を巻き込むことが必要だ。それによってバランスのとれた議論、リスクアセスメント、全社的なガバナンス計画やプロセス設計への合意が確実に行える。
正しく導入すれば、RPA はビジネスオペレーションのリスクを削減し、コンプライアンスを向上させる可能性があることは明らかだ。前述の要素を十分に考慮すれば、きっとRPA を味方に付けることができるだろう。

RPA のガバナンスとセキュリティ ¦ 10

RPA 導入によるプロセス転換の信頼性
RPA は、オペレーションプロセスの課題をめがけてロボットを投入するだけのものではない。もっと大きな意味がある。

ガバナンスを可能にする意思決定

集中的な利益管理

ステークホルダーの関与メリットを実現するには、RPA の展開を他のあらゆるプロジェクトと同じ規律で管理しなければならない。また適用すべき IT 基準につ いても同様に配慮しなければならない。
PwC の広範なリスク・アシュアランス・モデルは、RPA 導入プロジェクトの健全性と、利益を確実に実現するための統制のいずれにも信頼を持てるように設計されている。

リスクと機会の管理

明確なスコープとビジョン

サイバーリスク
ビジネスエコシステムの中で相互に連結されたデータのセキュリティ、事故のモニタリングと対応

スマートな
資金調達
転換の信頼性

ライフ・サイクル・アシュアランスと学習を内蔵

規制
RPA への規制要件を順守する実現を可能にする計画

積極的な
品質管理

ハイパフォーマンスなチーム

一体化した
サプライヤー

RPA の信頼性

IDとアクセスの管理
RPA へのアクセスを効果的に管理する

アジャイルな変更管理

データガバナンス
データの保護と使用が最も重要

プライバシーとデータの保護
公共の信頼を獲得し、競争優位に立つための土台になる

RPA のレジリエンス
最初から確実なレジリエンスを構築し、信頼性を証明するのガバナンスとセキュリティ
PwC | RoboticRPA
ProcessAutomation |¦ 11

ロボティック・プロセス・オートメーションに関する最新の見解は、www.pwc.com/jp/ja/japan-service/robotics/robotic-processautomation.htmlに掲載しています。
ロボティック・プロセス・オートメーションに関するさらに詳しい情報については、下記にお問い合わせください。
PwCコンサルティング合同会社

水上 晃

ディレクター080-4162-6651
akira.a.mizukami@pwc.com

矢部 篤樹シニアマネージャー
090-6066-7196
atsuki.yabe@pwc.com

東海林 隆一シニアマネージャー
080-3349-8844
ryuichi.shoji@pwc.com

友谷 康一

マネージャー
090-9680-6326
koichi.tomoya@pwc.com

PwCオーストラリア

Morven Fulton

Shane O’Sullivan

文末注1.

See regulations 88 – requirements of assurance engagement, and 249 – Contents of assurance report.

2.

MAS Technology Risk Management Guidelines, regulation 6.4.2 – 6.4.4, http://www.mas.gov.sg/~/media/MAS/Regulations%20and%20Financial%20Stability/
Regulatory%20and%20Supervisory%20Framework/Risk%20Management/TRM%20Guidelines%20%2021%20June%202013.pdf.

3.
4.

https://www.pdpc.gov.sg/legislation-and-guidelines/overview.
https://www.pdpc.gov.sg /docs/default-source/advisory-guidelines/advisory-guidelines-on-key-concepts-in-the-pdpa-(revised-8-may-2015).pdf?sfvrsn=2.

www.pwc.com /jp
PwC Japanグループは、日本におけるPwCグローバルネットワークのメンバーファームおよびそれらの関連会社（PwCあらた有限責任監査法人、京都監査法人、PwCコンサルティング合同会社、PwCアドバイザリー合同会社、PwC税理士法人、PwC弁護士法人を含む）の総称です。各法人は独立して事業を行い、相互に連携をとりながら、監査およびアシュアランス、コンサルティング、ディールアドバイザリー、税務、法務のサービスをクライアントに提供しています。
PwCは、社会における信頼を築き、重要な課題を解決することをPurpose（存在意義）としています。私たちは、世界157カ国に及ぶグローバルネットワークに208,000人以上のスタッフを有し、高品質な監査、税務、アドバイザリーサービスを提供しています。
詳細はwww.pwc.com をご覧ください。
本報告書は、PwCメンバーファームが2016年3月に発行した『Robotic process automation – friend or foe for your risk profile? 』を翻訳したものです。翻訳には正確を期しておりますが、英語版と解釈の相違がある場合は、英語版に依拠してください。
電子版はこちらからダウンロードできます。 www.pwc.com/jp/ja/japan-knowledge/thoughtleadership.html
オリジナル（英語版）はこちらからダウンロードできます。 www.pwc.com.au/operations/robotic-processing-automation.html
日本語版発刊月：2016年8月
管理番号：I201606-4©2016 PwC. All rights reserved.
PwC refers to the PwC Network and/or one or more of its member firms, each of which is a separate legal entity. Please see www.pwc.com/structure for further details.
This content is for general information purposes only, and should not be used as a substitute for consultation with professional advisors.