ガバナンス成熟度モデル

各ステージは通常何を説明していますか？

ほとんどのモデルは、CMMIが確立した5つのレベルに従います。第1レベルでは、活動はアドホック（個別対応的）であり、個人に依存します。第2レベルでは、チーム内では反復可能ですが、チーム間では一貫性がありません。第3レベルでは、活動が定義され、組織全体に適用されるポリシーと役割が文書化されます。第4レベルでは、活動が測定され、カバレッジ、サイクルタイム、およびコントロールの有効性に関するメトリクスが導入されます。第5レベルでは、測定結果に基づいてプログラム自体が調整を行う、最適化の段階に入ります。ラベルはフレームワークによって異なりますが、個人の実践から組織的な実践、そして測定される実践への進歩というプロセスは共通しています。

何が測定されますか？

成熟度は複数の次元にわたって同時に評価されますが、組織がすべての次元で同じレベルにあることは稀です。ポリシーでは、標準が存在し、最新のものであるかを問います。インベントリでは、AI資産のどの割合が登録されているかを問いますが、これはほとんどのプログラムにおいて最も脆弱な部分です。プロセスでは、受け入れ、リスク評価、および承認が、一貫して行われているか、あるいは例外的に行われているかを問います。役割では、説明責任が割り当てられ、理解されているかを問います。エビデンスでは、コントロールが監査に耐えうる記録を生成しているかを問います。モニタリングでは、展開後に何らかのチェックが行われているかを問います。強力なポリシーを持ちながらインベントリが脆弱なプログラムはよく見られますが、その評価は文書が示唆するよりも低いものになります。

ISO/IEC 42001やNIST AI RMFとはどのような関係にありますか？

これらは異なる問いに答えるものです。ISO/IEC 42001は認証可能なマネジメントシステム規格であり、企業はその要件を満たしているか、満たしていないかのいずれかです。NIST AIリスクマネジメントフレームワークは、ガバナンス、マップ、測定、管理の4つの機能を中心に構成された自主的なガイダンスであり、成熟度レベルは定義していません。成熟度モデルは、企業がどの段階にあり、次に何を構築すべきかを示す計画ツールとして、これら両方と並行して機能します。成熟度スコアをいずれかの規格への適合性の証拠として使用することはカテゴリの誤りですが、成熟度評価は認証取得への経路を計画するための合理的な方法です。

一般的な失敗パターンにはどのようなものがありますか？

自己評価の誇張が主な要因です。チームが自らの機能を評価する際、意図を達成度と解釈してしまうためです。また、不適切な粒度での評価も挙げられます。これは、企業が組織全体を評価することで、ある事業部門がレベル4で、別の事業部門がレベル1であるという事実を隠してしまうケースです。3つ目は、モデル自体を目標として扱うことです。レベル5がすべての組織にとって適切な目標であるとは限りません。小規模で低リスクのAI資産を持つ企業が、良好なカバレッジでレベル3を達成している方が、システムの半分が未登録のままレベル5を追い求めている企業よりも健全な状態であると言えます。

どのように活用すべきですか？

意見ではなく証拠に基づいて評価するため、実際のシステムをサンプリングし、コントロールの記録が存在するかを確認します。弱い軸が可視化されるよう、次元ごとにスコアを算出します。規制への露出度やAI資産の規模に基づいて、意図的に目標レベルを設定します。変化を測定できるように一定のサイクルで再評価を行い、インベントリのカバレッジを向上させることが通常、ポリシーを洗練させることよりも多くの課題を解決するため、次元間のギャップを利用して作業の優先順位を決定します。