PR

企業のポリシーや関連する法規制、経営に関わる数々のリスクを一元的に管理し、グループ経営の「守り」を支える──。こんな「GRC(ガバナンス・リスク・コンプライアンス)ソフト」が注目を集めつつある。事業のグローバル化により、手作業での対応が困難になっているからだ。日本で入手可能な製品は10を超えており、自社のニーズに合うものを選ぶ必要がある。

 「GRC事業を開始した2009年以来、売り上げは年々倍増している。きっかけは企業のグローバル化だ」。GRC関連コンサルティングを手掛けるNANAROQの佐々木慈和社長兼CEOはこう語る。

 GRCとは「ガバナンス(企業統治)」「リスク」「コンプライアンス(法令順守)」のこと(図1)。「ガバナンスは企業のルール、コンプライアンスは社会のルールと捉えると分かりやすい」(佐々木社長)。これらのルールに違反する可能性に加えて、企業経営に影響を与える様々なリスクを見極めたうえで、グループ全体で一元的に対応・管理するというのがGRCの考え方だ。

図1●GRCの概要
企業経営の「守り」を効率よく固めるための作業を支援する
[画像のクリックで拡大表示]
図2●GRCソフトの画面例(GRCジャパンの「Risk Organizer」)
グループ全体のリスク関連情報を一覧できる
[画像のクリックで拡大表示]

 このGRCをITで支援するのがGRCソフトである(GRCプラットフォーム、eGRCとも呼ぶ)。GRCに関わる情報を一元管理し、リスクの状況を表示したり、原因の分析を支援したりする(図2)。日本では11社がGRCソフトを提供している()。

表●日本で入手可能な主なGRCソフト
[画像のクリックで拡大表示]

 欧米では大手企業を中心に普及しているが、日本ではこれから。現状では、GRCへの取り組みを担当部門が個々に手作業で進めるケースが多い。

 しかし、事業のグローバル化を機に日本でもGRCソフトの需要が高まりそうだ。海外拠点の設置や海外企業との買収・合弁会社設立により、海外拠点を含むグループ経営を効率よく進めるには、ガバナンス、リスク、コンプライアンスを総合的にITで支援する仕組みが必要になるからである。

GRCの作業を包括的に支援

 GRCソフトは大きく四つに分類できる(図3)。「総合型」「ERP/BPM連携型」「用途特化型」「サービス一体型」である。

図3●GRCソフトの分類
大きく4種類に分けられる
[画像のクリックで拡大表示]

 総合型は、GRCに関わる作業を包括して支援する。EMCジャパンが提供する「RSA ArchereGRC Suite」、日本IBMの「IBM OpenPages」、SAS Institute Japan の「SAS ENTERPRISE GRC」の3製品が該当する。

 EMCジャパンのArcherを例に採ると、共通基盤の「Platform」のほか、ガバナンスやコンプライアンスのためのルールを策定・管理する「Policy Management」、リスクの管理や可視化を支援する「Risk Management」、ビジネスプロセス、組織階層、資産の関係を管理する「Enterprise Management(EM)」など9モジュールで構成する。

 RSA事業本部マーケティング部の宮園充部長は、「EMを他のモジュールと組み合わせるケースが多い」と話す。EMを使うと、あるIT資産が災害で機能しなくなった場合に、どのプロセスに影響するかなどのリスク評価を実施できる。

 日本IBMとSAS Institute JapanはBI(ビジネスインテリジェンス)製品との連携を強みとして打ち出す。日本IBMのOpenPagesはBIソフト「Cognos」を組み込み、情報を分析・表示できる。

 SASのENTERPRISE GRCは、同社のビッグデータ分析用製品群「HPA(High-Performance Analytics)」と組み合わせて使える。「対象がグローバルになると、GRCデータは大量になる。その際にHPAは役立つ」(富田達也Risk Intelligenceグループ部長)。

自社のERP/BPM製品と連携

 ERP/BPM連携型は、ERP(統合基幹業務システム)やBPM(ビジネス・フロセス・マネジメント)製品と密に連携する形でGRCを支援する。日本オラクルの「Oracle Fusion GRC」とSAPジャパンの「SAP Solutions for GRC」は自社のERP製品が対象。ソフトウェア・エー・ジーの「ARIS Risk & Compliance Manager」は自社のBPM製品「ARIS Platform」が対象となる。

 日本オラクルとSAPジャパンのGRC製品が持つ機能は、総合型と遜色ない。(1)ID/アクセス管理用モジュール、(2)ビジネスプロセスに基づく業務処理統制用モジュール、(3)GRC全体を支援するモジュールで構成する。

 オラクルのFusion GRCは、(2)と(3)、および情報を分析する仕組みを提供。(2)は「アプリケーションに対して決められた権限・プロセス通りにアクセスしているか、変更をしてないかなど、にらみを効かせる機能」(桜本利幸アプリケーション事業統括本部担当ディレクター)。(3)は「GRCの情報を共有し、PDCAを支援する」(同)。(1)は同社のミドルウエア群「Fusion Middleware」として提供する。

図4●スマホアプリの例(SAPジャパンの「GRC Access Approver」)
スマートフォンでの承認作業を可能にする
[画像のクリックで拡大表示]

 SAPのSolutions for GRCは(1)~(3)を提供するほか、「モバイル、インメモリーデータベース(DB)など新技術を積極的に採用している」(アナリティクスソリューション本部の中田淳部長)。スマートフォン向けアプリケーションとして、承認手続きをスマホから可能にする「GRC Access Approver」(図4)などを用意。加えて2013年中をめどに、(1)を支援するAccess Controlを同社のインメモリーDB「HANA」に対応させる。

クラウドで利用可能な製品も

 GRCの用途を絞り込み、使い勝手や導入のしやすさを高めているのが用途特化型だ。BSIグループジャパンの「エントロピー ソフトウェア」、GRCジャパンの「Risk Organizer」、シマンテックの「Symantec Control Compliance Suite」が該当する。

 BSIのエントロピーは、ISO9001(品質)や同14001(環境)、OHSAS 18001(労働安全衛生)といった規格に準拠した社内の仕組み作りを支援する。規格取得の活動を形骸化させず、PDCAを回す支援策の一環として、GRCの機能を提供する。クラウド型、オンプレミス(サーバー設置)型のいずれかで利用できる。

 GRCジャパンのRisk Organizerは唯一の国産製品。対象をリスクマネジメントに絞り、クラウドサービスとして提供する。リスク項目ごとに、顕在化した場合の被害、確率を定義。「被害を『大・中・小』にざっくり分ける企業もあれば、『従業員一人あたりに換算した損失額』を細かく定義する企業もある。当社の製品はどちらにも対応できる」と真島俊明社長は話す。

 シマンテックのControl Compliance Suiteは、主に情報システムのコンプライアンスに焦点を当てた製品だ。情報セキュリティ規格「ISO/ISE 27001」やITガバナンスのフレームワーク「COBIT」、カード業界のセキュリティ基準「PCI DSS」などにシステムが準拠しているかどうかを評価・モニタリングする。

コンサルや情報込みで提供

 GRCソフトの分類の四つめであるサービス一体型は、コンサルティングや情報提供などのサービス込みで提供する製品である。プロティビティLLCの「プロティビティ・ガバナンス・ポータル」とトムソン・ロイター・マーケッツの「ACCELUS」が該当する。

 コンサルティング会社であるプロティビティLLCは、同社のGRC関連コンサルティングサービスの一環としてガバナンス・ポータルを提供する。同時に、リスクマネジメントの際に設定するKRI(重要リスク指標)のサンプルを組み込むなど「製品にも当社のノウハウを生かしている」(藤原史人シニアマネージャ)。2013年中に、ITガバナンスや情報セキュリティなど用途を特化したガバナンス・ポータルを提供する。

 トムソン・ロイター・マーケッツは「情報サービス会社としてグローバルに展開しており、企業のコンプライアンスを包括的に支援できるのが強み」(GRC事業部の和田雅憲事業開発部長)。

 同社のACCELUSはGRCソフトに加えて、コンプライアンスに関するeラーニング、法規制情報の提供、顧客・取引先、買収相手が法規制に違反していないかを調べるスクリーニングといったサービスや、経営層によるガバナンスを支援するコラボレーションツールなどで構成する。eラーニングではGRCに関わる100種類以上のコースを用意しており、日本語、英語など22言語で受講できる。