【テーマ】
ServiceNowで実現するAI戦略
～ガバナンス・リスク・サイバーセキュリティを統合し、AI活用のアクセルにするために
講師：KPMGコンサルティング アソシエイトパートナー 石原 武
AIエージェントの活用拡大に伴い、企業には、AI資産の可視化、部門横断の意思決定、自律性に応じた統制、継続的なガバナンス改善が求められます。重要なのは、制度・ルールとテクノロジーを連携させ、AIガバナンスを実際の業務プロセスとして機能させることです。
本稿では、AIガバナンスをAI活用の「ブレーキ」ではなく「アクセル」とし、リスクを適切に管理しながらAI活用を持続的に拡大するための考え方を解説します。
【開催概要】
2026年10月27日～28日に開催された「ServiceNow World Forum Tokyo 2026」に、KPMGコンサルティングはプラチナスポンサーとして協賛し、講演や専用ブースの出展を行いました。
本講演では、AIエージェントの活用が進むなか、AIガバナンス、リスクマネジメント、サイバーセキュリティを横断してリスクを管理し、AI活用を拡大するための考え方を紹介しました。
1．AIは「補助するツール」から「業務を実行する主体」へ
これまでのAI活用は、文章作成、要約、分類、検索など、人の作業を補助する用途が中心でした。AIが回答や提案を示し、最終的な判断と実行は人が担う形です。しかし、AIエージェントと業務システムの連携が進むと、AIは情報収集、計画、分析、判断を行い、他のシステムへ指示を出しながら、複数の業務工程を自律的に進めるようになります。
この変化は、効率化の範囲が広がることだけを意味しません。業務を実行する主体が人からAIエージェントへ広がることで、企業が管理すべきリスクの性質も変わります。AIエージェントが誤りに気づかないまま一連の行動を続ける可能性、過剰な権限を用いてデータやシステムへアクセスする可能性、1つの誤判断が連携先へ瞬時に伝播するリスクも生じます。
AIがより自律的に業務を担うほど、問題発生のスピード、影響範囲の拡大、説明責任の難しさも変わってくるため、企業には、その行動を適切に統制し、問題発生時に追跡・説明できる仕組みが求められます。
【AIは補助から実行主体へと進化する】
講師：KPMGコンサルティング アソシエイトパートナー 石原 武
2．AIガバナンスは、活用を止めるためではなく、広げるためにある
本稿では、AI戦略を「リスクを許容可能な水準に抑えながらAIを活用して便益を得る活動」と定義しています。重要なのは、AIガバナンスをリスク回避だけの取組みと捉えないことです。利用実態やリスクが見えないままAI活用が拡大すると、経営はリスクを適切に判断できず、結果として現場の利用にブレーキをかけざるを得ません。
これに対し、AIの利用状況とリスクを可視化し、許容範囲と必要な統制を明確にできれば、経営は根拠をもって判断でき、現場も定められた範囲で利用を拡大できます。AIガバナンスは活用を抑制する仕組みではなく、企業が継続的にAIの価値を引き出すための経営基盤となります。
【企業におけるAI戦略のサクセスストーリー】
3．制度とシステムを連携させ、実効性あるガバナンスへ
AIエージェントの活用が企業活動に広がるなか、求められるのは、AIに伴うリスクを個々の技術課題として管理するのではなく、経営課題として捉え、企業全体で対応していくことです。
では、AIエージェントを適切に統制しながら、その活用を拡大していくために、経営は何に向き合う必要があるのでしょうか。
AIエージェント時代に企業が対応すべき課題を4つの観点から整理しています。
【企業が対応すべき4つの経営課題】
| AI利用実態の可視化不足 | 部門や個人単位でAI活用が進む一方、企業全体として誰がどのAIを使い、どのデータや業務に影響しているか把握できない。特に、シャドーAIエージェントは評価・統制・監査の対象にできない。 |
| 事業推進とリスク管理の両立 | 事業部門はAI導入によるスピード向上を求める一方、リスク・法務・監査部門は慎重な判断を求める。両者の対立を解消し、安全にAI活用を進めるリスクマネジメント共通基盤が必要となる。 |
自律型AIエージェント固有リスク | AIエージェントが業務システムやデータへアクセスし、自律的に判断・実行することで、誤判断・誤実行に加え、過剰なアクセス権や影響範囲の拡大など、ガバナンスとセキュリティにまたがる新たなリスクが生じる。 |
| AIガバナンス運用の形骸化 | 一度AI利用ポリシーやガイドラインを作っても、申請、評価、承認、監視、改善の流れが業務プロセスに組み込まれていなければ、変化の激しいAIを取り巻く環境では実効性の 乏しい運用となってしまう。 |
4つの経営課題に共通するのは、制度とテクノロジーのどちらか一方だけでは、実効性のあるガバナンスは実現しにくいという点です。方針やルールを定めても、実際の業務プロセスに組み込まれていなければ、運用の形骸化します。一方、システムを導入しても、何を管理し、誰が判断し、どのような基準でリスクを許容するのかが明確でなければ、適切な経営判断にはつながりません。重要なのは、制度・ルール・体制と、それらを実行するためのシステムを一体として設計することです。
KPMGでは、AIガバナンスの「KPMG Trusted AI 」、リスクマネジメントの「KPMG Powered Risk」、サイバーセキュリティの「KPMG Powered Enterprise Cyber」といったフレームワークや知見を有しています。これらの知見とServiceNowを組み合わせることで、制度設計から、その考え方を実際の業務プロセスへ組み込むところまでを一体として捉えることができます。
たとえば、AIガバナンスでは、制度面に「KPMG Trusted AI」、システム面に「ServiceNow® AI Control Tower」や「Veza」を位置付けます。AIガバナンスを文書上のルールにとどめず、日々の業務のなかで機能させることが、リスクを管理しながらAI活用を拡大するための基盤となります。
こうした制度とシステムの連携により、AIリスクの特定、評価、対策、検証を一連のプロセスとして捉え、その結果を制度やルールの見直しへとつなげていきます。 AIガバナンスを文書上のルールにとどめず、日々の業務のなかで機能する仕組みへと落とし込むことが、リスクを適切に管理しながらAI活用を拡大していくための重要な基盤となります。
【KPMG Trusted AI×ServiceNowによるAIガバナンスの実現】
4．AIガバナンスにおいて押さえるべき4つのポイント
前述した4つの経営課題に対応するためには、「制度面」と「システム面」の双方からアプローチすることが重要です。制度やルール・体制を整備するだけでなく、それらを実際の業務プロセスに組み込み、継続的に運用できる仕組みを構築することで、AIガバナンスの実効性を高めることができます。
以下では、4つの経営課題について、制度面とシステム面でそれぞれ押さえるべきポイントを整理します。
（1） AI利用実態をどう可視化するか
AI利用の実態を把握するためには、企業として何をAI資産として管理するのかを明確にし、それらを継続的に可視化できる仕組みが必要です。
- 制度面：何をAI資産として管理するか
まず、企業として管理すべきAI資産の範囲を明確にします。AIシステムやAIモデルだけでなく、データセット、プロンプト、AIエージェントなど、どこまでを管理対象とするのかを定義します。また、利用目的、関連業務、所有者、利用部門、責任者など、リスク評価や監査に必要となる情報を整理します。
- システム面： AI Inventoryで一元的に可視化する
制度面で定義した管理対象をAI Inventory（AI資産台帳）として可視化・一元管理することで、企業全体でどのようにAIが利用されているのかを把握し、リスク評価や統制につなげることができます。重要なのは、単にAI資産の台帳を作ることではなく、制度として「何を把握すべきか」を定め、それをシステムによって継続的に把握できる状態にすることです。
（2）事業推進とリスク管理をどう両立するか
事業部門はAI導入によるスピード向上を求める一方、リスク・法務・監査などの管理部門には慎重な判断が求められます。重要なのは、どちらかを優先するのではなく、異なる立場の関係者が同じ基準・同じプロセスで判断できるリスクマネジメント共通基盤を整えることです。
- 制度面：誰が、どの基準でAI活用を判断するか
事業部門、IT、リスク、法務、監査など、各部門の役割と責任を明確にするとともに、判断基準や承認ルールを定義・文書化します。部門ごとの個別判断ではなく、企業として共通の基準に基づいて判断できる状態を整えることが重要です。
- システム面：申請・評価・承認・監視を共通プロセスにする
制度面で定めた役割や判断基準を、申請、評価、承認、監視といったワークフローへ落とし込みます。講演では、その基盤として「ServiceNow AI Control Tower」を位置付け、一連のプロセスを可視化・標準化することで、事業推進のスピードとリスク管理を両立できる仕組みにつなげます。
（3）自律型AIエージェントのリスクをどう統制するか
特に自律性の高いAIエージェントでは、「何ができるか」だけではなく、「企業として何を許容するのか」から統制を設計する視点が重要になります。
- 制度面：AIエージェントに何を、どこまで許容するか
AIエージェントの役割が「補助」「判断支援」「自律実行」のどこに位置するのかに加え、利用目的、アクセス権、影響範囲などを踏まえてリスクを分類し、それに応じたレビュー、統制、監視の基準を設計します。
- システム面：ガードレールを実装する
制度面で定めた基準に基づき、「ServiceNow AI Control Tower」でリスク評価、承認、統制、監視を行います。また、「Veza」ではAIエージェントやノンヒューマンアイデンティティ（NHI）のアクセス権や影響範囲を可視化し、必要な制限につなげます。
（4）AIガバナンスをどう継続的に改善するか
AIの技術や使われ方が変化するなか、AIガバナンスは一度構築して終わりではなく、継続的に見直していく必要があります。
- 制度面：見直しの仕組みをあらかじめ設計する
AIの技術や使われ方が変化するなか、利用ポリシーやガイドラインを一度策定して終わりにするのではなく、見直しのルールや改善プロセスをあらかじめ設計します。監査結果やインシデント、KPI未達などを、制度改善の起点として位置付けることも重要です。
- システム面：運用データを改善につなげる
AIの利用状況、リスク評価結果のトレンド、インシデント発生状況、監査結果などのデータを蓄積します。それらを制度側へフィードバックすることで、運用データに基づいてAIガバナンスを継続的に改善するサイクルにつなげます。
【自律型AIエージェント固有リスクへの対応】
※NHI＝Non-Human Identity、非人間アイデンティティ
5．KPMGによる支援
KPMGコンサルティングは、AIガバナンス、リスクマネジメント、サイバーセキュリティの専門性とServiceNowに関する知見を組み合わせて、AI活用に必要な制度・ルールの設計、テクノロジーへの実装、運用・継続的な改善の各段階を支援します。
「KPMG Trusted AI」をはじめとする知見と、「ServiceNow AI Control Tower」や「Veza」などを組み合わせ、制度とテクノロジーの両面から、AI活用の推進とリスク管理を両立する仕組みづくりを支援します。
※本稿に記載されている会社名、製品名、サービス名などは、それぞれ各社の商標または登録商標です。
執筆者
KPMGコンサルティング
アソシエイトパートナー 石原 武
