リスク委員会
チームごとにAIリスクの評価方法が異なり、スプレッドシートを集めても全体像になりません。
内部監査
各チームは低減策を実施済みだと言いますが、証拠は受信トレイや共有ドライブに散らばっています。
第1線
チャットボットは新しいモデルで動いているのに、評価はまだ「中」のままです。
現在の進め方あるべき姿
- 現在の進め方
AIは技術リスクの一項目として扱うだけ
あるべき姿すべてのAIシステムを、伴うリスクとともに把握
- 現在の進め方
評価の見直しは年1回
あるべき姿モデル、用途、ベンダーが変わるたびに再評価
- 現在の進め方
第2線が第1線に更新を催促し続ける
あるべき姿第1線のオーナーが自ら記録を最新に保つ
- 現在の進め方
監査前の数週間で証跡を収集
あるべき姿作業を進めながら、証拠をコントロールに紐付け
チームがまた別のプラットフォームを更新し続けることになりますか？
更新作業は各システムの運用担当者に移ります。各コントロールに責任者と期限が設定され、ダッシュボードではAI製品ごとに期限間近と期限超過の項目がわかります。チームはメールで更新を催促する代わりに、フレームワークを設定し、作業をレビューします。
AIリスクをGRCプラットフォームから移す必要がありますか？
いいえ。全社リスクの記録はこれまでどおりGRCプラットフォームで管理します。Enzaiはその下にあるAIの詳細、つまり各システム、責任者、評価、影響度と発生可能性でスコア化したリスクを保持します。何を上位に報告するかはEnzaiのレポートをもとにチームが判断し、EU AI ActやISO 42001と並行して独自のコントロールフレームワークを運用することもできます。
どこまで自動化され、どこからがチームの作業ですか？
記録されたメトリクスからのエビデンスは自動で入力され、各システムには分類に応じたコントロールだけが割り当てられます。判断は人が担います。レビュー担当者が各リスクをスコア化して各コントロールを承認し、責任者が各リスク低減策の実施を示す証拠を追加します。すべてのコントロールが承認されるまで、評価は完了しません。
Enzaiに入るデータと、入らないデータは何ですか？
Enzaiが保持するのはガバナンスの記録です。システム、責任者、評価、リスク、意思決定、チームが添付するエビデンスが含まれます。クラウドAIプラットフォームからのインポートで取り込むのはモデルの記録であり、その背後にあるデータではありません。AI検出を追加した場合も、使用中のAIツールを集計値で報告し、個人名は示しません。
まだ初期段階です。始める前に整ったインベントリが必要ですか？
いいえ。手元のリストから始めてください。それらのシステムを登録して各システムに責任者を割り当て、最もリスクの高い少数のシステムに一つのフレームワークを適用します。その後、新しいAIは申請を通じて追加されるため、記録は申請とともに増えていきます。誰もリストに載せていないツールは、後からAI検出を有効にして見つけられます。
監査証跡は内部監査の検証に耐えられますか？
サンプリングを前提に設計されています。各申請には、誰がレビューし、誰がどの条件でいつ承認したかが残り、レポートとしてダウンロードできます。各リスクには対応前後の評価が表示され、その変化を裏付けるリスク低減策と証拠も確認できます。それで十分かどうかは監査人が判断します。
まずはここから
