ISMAPから考えるデジタルサプライチェーン管理
クラウドサービスやIoT、AIなどのデジタル技術の発展とともに、新たなセキュリティリスクが生じています。本レポートでは、デジタルサプライチェーンのリスクに焦点を当て、ISMAP（政府情報システムのためのセキュリティ評価制度）を活用した効率的な管理方法を考察します。
DX推進・管理態勢に係る内部監査／外部評価支援
DX領域における内部監査／外部評価の重要性
昨今、多くの企業がデジタルテクノロジーを活用し、事業変革、新規事業への転換といったDX（デジタルトランスフォーメーション）の実現を目指しています。しかし、DXを推進する上でのリスクとして、経営、組織、業務、IT、外部委託先などステークホルダーが多岐にわたることのほか、施策そのものの難易度が高いといった複合的な要素が挙げられます。そのため、変革を成し遂げるためにはこれらの新たなビジネスリスクを捉え、従来の態勢では気付けないリスクに対処するためのデジタルガバナンスとリスク管理態勢（DX推進・管理態勢）を構築し、攻めと守りの両面において機動的にリスクをコントロールすることが求められます。なお、ここでのデジタルガバナンスとは、企業が内外環境の変化とステークホルダーとの対話による価値共創を踏まえ、デジタルテクノロジー活用において、経営によるリーダーシップのもと、事業戦略の実現のために機動性と健全性を兼ね備えたデジタル推進・管理態勢を確保するための機能を意味します。
DXを推進する上でのリスクは、従前の管理態勢および仕組み、組織や人材、業務プロセス、情報システムといった事業運営上の構成要素それぞれの事象が複雑であり、その変化も速いという特徴があります。そのため、リスクガバナンスの観点からは、DX推進・管理態勢において「PDCAサイクルやOODAループが適切に回っているか」「リスク事象に対して適時適切な対処が取られているか」「リスク評価の検討結果が経営の意思決定につなげられているか」を独立的かつ客観的な立場から検証する、内部監査/外部評価の役割が大きくなってきています。
特に、DX推進・管理態勢の内部監査/外部評価では、公知のガイドラインを参考にしたプロセスアプローチや仮説構築・検証型のリスクベース監査/評価、具体的な改善につなげるための助言・支援といったアドバイザリーを組み合わせた評価アプローチが有効であると考えられます。そのため、DX推進・管理態勢に係る内部監査では、DX戦略実現とDX推進に係るリスク管理態勢の整備状況および運用状況に対する高度な評価が求められると同時に、内部監査態勢そのものの変革も必要不可欠です。
図表1：DX監査のアプローチ
DX推進におけるリスク管理態勢上の経営課題
DXを推進する際の経営課題としては、統制環境やリスク評価の不足に起因した以下のようなものが多く見受けられます。これらのDX推進に係る課題やガバナンスの脆弱性は、ステークホルダーと企業との間に信頼の空白を生む恐れがあります。
ガバナンス：
- DXのビジョン、戦略、ロードマップが明確に描けていない
- DX戦略の実現性を推し量るための実現指標や管理プロセスの指標が定められていない
- DX推進のための、経営層と現場のコミュニケーション態勢が構築できていない
リスクマネジメント：
- 組織上の執行機能（1線）と牽制機能（2線）の役割および責任範囲が不明確で、DX推進に適用できない
- リスク管理態勢上のPDCAが定められていない、または形骸化している
- リスク評価のプロセスがない、または適時のモニタリングができていない
内部統制・プロジェクト管理：
- DX施策全体のKPIや管理指標がない、または曖昧であり、プロジェクトの着地点が見えないまま進行している（開発すること自体が目的になっている）
- DX施策に対して現場で日々コントロールすべき指標と水準が曖昧であり、経営層に報告すべき事象や内容について共通認識が持てていない
- DX推進に係る戦略、施策の方向性、KPIが現場レベルまで浸透しておらず、現場が自律的に動けていない。その結果、外部委託先に目標や目的の定義まで丸投げしている
PwCのソリューション
PwCでは、DXを推進する上での課題や、内部監査が果たすべきミッションを踏まえ、内部監査/外部評価およびデジタルテクノロジーに関する知見・経験を活かし、クライアントのDX推進・管理態勢の内部監査/外部評価や内部監査態勢の高度化に係るコンサルティングサービスを提供します。
図表2：DX内部監査／外部評価コンサルティング
提供サービス
- DX監査戦略のグランドデザインサポート
- デジタルリスク評価支援
- DX推進・管理態勢に係る内部監査支援／外部評価
- Audit Management Officeの組成によるDX監査支援
- DX内部監査態勢の高度化支援
DX監査戦略のグランドデザインサポート
DX推進・管理態勢の課題やリスク、DX監査の動向を踏まえ、リスクの高い領域の識別・評価したうえで、中期・短期の内部監査戦略の立案、ロードマップの検討を支援します。
インサイト
最新情報
18 results
Loading...
サイバーセキュリティインシデント報告における重要性判断
SECは2023年12月発効の新たなサイバーセキュリティ開示規則により、「重要」と判断されたサイバーインシデントに関する特定の情報の開示を義務付けます。企業が検討すべき、かかる情報の収集から文書化、開示に至るプロセスや手順などについて解説します。
SECの新たなサイバーセキュリティ開示規則 透明性が問われる新たな時代における情報開示への対応
米国証券取引委員会（SEC）は、新たなサイバーセキュリティの開示規則を採択し、2023年12月中旬からの適用を公表しました。このサイバーセキュリティ開示規則は、米国企業のみならず、米国外の企業にも適用されるため、SECに上場している日本企業にも対応が迫られます。
注目が高まるAIと人権リスク―人権マネジメント担当者はどのようにしてAIによる人権リスクに向き合うべきか―
AIの利用が進むにつれて社会に及ぼす負の影響への懸念が増大し、AIの責任ある利用に対する規制当局や機関投資家等ステークホルダーからの要請が高まっています。本稿では、AIが抱えるリスクの取り扱いについて、企業の人権マネジメントの観点から検討します。
Loading...
リスク・アシュアランス部コラム
Loading...
企業価値向上に資するセキュリティガバナンスの実現に向けて ──デジタルガバナンスで捉えるべきサイバーセキュリティ管理態勢
本稿では、企業がDXを進めるための行動指針として経済産業省が定めた「デジタルガバナンス・コード」を前提に、企業価値向上に資するサイバーセキュリティ対応のあり方や、その態勢構築のアプローチについて考察します。
価値創造のためのDX経営の要諦 デジタルガバナンス・コード3.0改訂を踏まえた経営の行動変革
経済産業省の「企業価値向上に向けたデジタル・ガバナンス検討会」での政策背景を踏まえながら、「デジタルガバナンス・コード3.0」への準拠にあたり、日本企業における経営者とDX推進担当者が押さえるべき論点を考察します。
DXバリュードライバーの活用によるDX戦略の具体化──腹落ちしたDXを実現するために必要なデジタルガバナンスとは
多くの企業はDXに取り組む中で、その達成度を図る指標を設けていますが、指針や基準が少ないため、試行錯誤している状況です。DX成果指標にガバナンスを効かせるにあたっての課題や、DX戦略の蓋然性と実効性を高めるためのポイントについて解説します。
Audit Management Officeの組成によるDX監査態勢の強化 ～DX監査を契機とした経営に資するリスクベース監査の実現に向けて～
内部監査部門では、慢性的な監査要員不足に加え、デジタルガバナンスに関する専門的な知識やスキルの不足が課題となっています。これらの課題への打ち手として、内部監査部門に監査推進事務局（AMO：Audit Management Office）を組成することによる、リスクベース監査にも対応できる効率的な監査態勢について考察します。
Loading...
