AIガバナンスは、誠実性、説明責任、透明性、レジリエンスなどの成果に重点を置く必要があります。
取締役会はAIによる変革とサイバーセキュリティを統合し、事後に検証するのではなく、チームが初期段階から共同でシステムを設計できるようにしなければなりません。
信頼に足るガバナンスには、独立したリーダーシップ、正確なAI／IT資産台帳、そして長期的な価値を守るための取締役会レベルでの実質的なリテラシーが必要です。
AIがビジネスを変革し、サイバーリスクが高まる一方、制度への信頼は揺らいでいます。こうした動きを踏まえ、2025年における「優れたガバナンス」とはどのようなものでしょうか。ガバナンスとは、意思決定権限を割り当て、意思決定の方法を定め、そして何より、組織の戦略的方向性に向けた前進を実現するために、組織が整備する構造、システム、慣行を指します。また、サービス提供、パフォーマンス管理、主要リスクの監視と軽減も含まれます。
しかし残念ながら、ガバナンスはしばしば、イノベーションを遅らせる官僚的な手続きとして戯画化されます。解決策は手続きを増やすことではなく、基本原則に立ち返ることです。すなわち、誠実性、説明責任、透明性、レジリエンスという、ガバナンスが守るべき成果を定め、それを実現するために必要な最小限の仕組みを逆算します。優れたガバナンスとは、決して失敗しないことではありません。失敗した場合にも透明性とレジリエンスを保ち、適応する用意があることです。
古いやり方を微調整するのではなく、成果に焦点を当て、新しい取り組みの価値を示すことから真の変革が生まれるとしたら、どうでしょうか。
取締役会が統合すべき2つの最優先課題
このガバナンスの再考は、今日、取締役会が直面する課題に直結します。取締役会は企業の存続を守る役割を担います。この2年間、議題の中心となってきたのは、AIによる変革とサイバーリスクへの防御の2つです。私たちは新たな産業革命の始まりにあり、AIによる変革に乗り遅れた企業は生き残れないでしょう。
よくある誤りは、この2つの議題を別々に扱うことです。しかし、脅威環境が絶えず変化していることから、両者の交差は明らかです。AIはサイバー攻撃の威力を高めるために使われ、サイバー攻撃はAIシステムを標的にします。したがって、信頼できるAIシステムは、サイバーセキュリティが確立してきた多くの規律、すなわちポリシー、リスク管理、統制、テスト、レッドチーミングに依拠します。これらの規律を統合することは必ず必要です。
「設計段階から」の取り組みは、チームが共同で設計してこそ機能する
しかし、チームが縦割りのままでは変化は実現できません。それでも、企業の変革計画と並行してサイバーセキュリティの責任者が取り組む例はまれです。むしろ、彼らは成果を検証する役割と見なされ、最後になってセキュリティの状態を確認するために加わることがよくあります。この「事後対応」型のモデルはコストがかかり、イノベーションを遅らせます。サイバーセキュリティチームと（AI）変革チームが最初から共同で設計すれば、真のスピードと効果が得られるのではないでしょうか。
官民の違い：レジリエンスを守る責務
民間部門では、情報漏えいの後に消費者が事業者への信頼を失えば、利用をやめたり（あるいはお金を使わなくなったり）できます。しかし公共部門では、市民にそのような選択肢はありません。パスポート、医療、不可欠なサービスを受ける場所を変えることはできないのです。そのため、調達基準、透明性、説明責任、レジリエンスは一層重要になります。政府は、過ちが起きた場合にも、市民の信頼を保つのに十分な倫理性、透明性、レジリエンスを備えたプロセスであることを示さなければなりません。
AIガバナンス：変化するCISOの役割か
AIガバナンスをどこに位置づけるべきか、積極的に検討する組織が増えています。すでに一部の組織は、最高情報セキュリティ責任者（CISO）の役割を拡大する選択をしています。CISOは日々の業務運営から一定の独立性を保ち、すでに複数のリスク管理および統制の分野で責任を負っているためです。ただし、組織構造も重要です。階層のどこにCISOを置くか、誰に報告するかによって、影響力を発揮し成果を上げる能力だけでなく、独立性に対する認識も左右されます。
台帳整備の課題
効果的なガバナンスは、何を統治するのかを把握することから始まります。しかし、AI資産台帳の作成に着手すると、多くの組織でIT資産台帳が不完全、あるいは品質が低いという現実に直面します。システム思考のアプローチを取り入れると、人、プロセス、データ、機械がどのように相互作用するかをより包括的に捉えられるため、有効です。また、このアプローチにより、こうした相互作用を正確に図示した情報を維持する責任者も明確になります。
リテラシーは不可欠
取締役会や経営幹部レベルでAIとサイバーセキュリティに関するリテラシーは高まりつつありますが、専門用語が依然として協働を妨げています。リーダーに必要なのは複雑さではなく明快さです。複雑な内容を簡潔にし、変革がもたらす影響について語ることが不可欠です。それによって初めて、十分な情報に基づき、レジリエンスを備えたガバナンス上の意思決定が可能になります。
まとめると、注目すべき機会は5つあります。
独立した統合体制を設ける：AI、セキュリティ、データリスクを横断する権限を持ち、業務遂行上の圧力から独立して取締役会に報告する上級管理職を1人置く。
共同創造を制度化する：プロジェクトの開始時に、サイバーセキュリティの専門家と製品チーム、データ・AIチームが参加する部門横断の設計レビューを行う。
透明性を業務に組み込む：高リスクシステムの意思決定記録を残し、広く情報を共有するとともに、インシデント発生時の連絡と復旧を厳格に訓練する。
台帳を整備する：責任者と品質目標を明確にした、信頼できるAI／ITカタログを構築する。
「実践的な」リテラシーを高める：チェックリストを埋めるだけの研修を、先行きが不確かな状況でリーダーがトレードオフの判断とその根拠の説明を練習するシナリオ演習に置き換える。
世界的なサイバーセキュリティの課題に、フォーラムはどう取り組んでいるのでしょうか。
サイバーセキュリティセンターは、リーダーが集まり、変化するサイバーリスクとそのシステム全体への影響を理解するための、信頼できるプラットフォームを提供しています。相互接続がますます進むデジタル世界において、理解と信頼の構築に取り組んでいます。
分野を越えた協働と知見の共有を可能にすることで、同センターはパートナーのサイバーレジリエンス強化を支援し、集団での対応が必要な課題に取り組んでいます。
ガバナンスが究極的には、価値を長期にわたって守る意思決定を導くことだとすれば、AI時代に取締役会が果たすべき役割は、信頼を守ることです。その第一歩は、AIによる変革とサイバーセキュリティの間にある壁を取り払い、手続きではなく成果によってガバナンスを評価することです。
