# エンタープライズGRCを継続的保証へ刷新する――Hyperproof創業者Craig Ungerが語る

- 番組: [The AI in Business Podcast](https://ai-curator.jp/podcasts/shows/cmv3z5c32001o5o100ot70lmn)（Daniel Faggella）
- 元のタイトル: Modernizing Enterprise GRC for Continuous Assurance - with Craig Unger of Hyperproof
- 配信日: 2026年10月16日
- 長さ: 28分
- 要約作成日: 2026年10月16日
- トピック: [#GRC](https://ai-curator.jp/topics/GRC) [#コンプライアンス](https://ai-curator.jp/topics/%E3%82%B3%E3%83%B3%E3%83%97%E3%83%A9%E3%82%A4%E3%82%A2%E3%83%B3%E3%82%B9) [#リスク管理](https://ai-curator.jp/topics/%E3%83%AA%E3%82%B9%E3%82%AF%E7%AE%A1%E7%90%86) [#AIガバナンス](https://ai-curator.jp/topics/AI%E3%82%AC%E3%83%90%E3%83%8A%E3%83%B3%E3%82%B9) [#EU AI Act](https://ai-curator.jp/topics/EU%20AI%20Act) [#継続的監査](https://ai-curator.jp/topics/%E7%B6%99%E7%B6%9A%E7%9A%84%E7%9B%A3%E6%9F%BB)
- URL: https://ai-curator.jp/podcasts/cmvamvz0v00014610b8fnzact

## 要約

Hyperproof のCEO兼創業者Craig Ungerが、規制変更が相次ぐ中でコンプライアンスを年1回の監査ではなく「維持すべき状態」として扱うべき理由を語った。リスク・コンプライアンス・AIガバナンスのサイロを解消し、1セットの統制を複数フレームワークに対応づけること、リスクを金額で示して取締役会に伝えること、5段階の成熟度モデルで次の一手を計画することを提案している。

## ポイント

- EUのAI法、Cyber Resilience Act、NIS-2、米国のCMMCやFedRAMPなど規制は急速に変化し、一時停止や延期も起きている。Ungerはこれを「規制のラバーネッキング」と呼んだ。
- 先進的な企業は規制の動向にかかわらず統制の標準化に注力するが、フレームワークや地域ごとの差異で「コンプライアンス負債」が積み上がると指摘した。
- コンプライアンスは時点の活動から維持すべき状態へ移行しており、毎日の証跡収集による継続的コンプライアンスと継続的監査が望ましいと述べた。
- 統制は脅威を軽減するためのものであり、すべての活動を組織全体のリスクプロファイルに結びつけるべきだという。
- リスクを金額で示すと取締役会の注意を引きやすく、コンプライアンス投資の正当化にも役立つと説明した。
- 成熟度モデルは「場当たり」「定義・文書化」「標準化」「統合」「最適化」の5段階で、まず現在地を把握して次の段階を目指すよう助言した。

## 章立て

- [01:02] **規制変更の速さと摩擦** — EU AI法、Cyber Resilience Act、NIS-2、米国のCMMCやFedRAMPなど、変化し続ける規制の状況を概観する。規制当局の動きを「ラバーネッキング」に例える。
- [06:26] **規制が止まったときの対応** — 規制が延期されても構築を続け、標準化に注力すべきだと述べる。一方でコンプライアンス負債や、監査に追われて自動化できない状況も指摘する。
- [08:35] **サイロと継続的コンプライアンス** — リスク・コンプライアンス・エンジニアリングの分断と、年1回の監査に合わせた行動の弊害を語る。コンプライアンスを維持すべき状態と捉える考えを示す。
- [11:47] **リスクと統制の接続** — ポリシー、統制、リスクを一つのプラットフォームで連携させる意義を説明する。運用レベルの活動を戦略的なリスク像に結びつける。
- [17:00] **リスクの金額換算とアラート** — 赤黄緑ではなく金額で示す利点と、継続監視で増える通知をAIで整理する考え方を語る。人間の関与も重視される。
- [21:27] **5段階の成熟度モデル** — 場当たり、定義、標準化、統合、最適化の5段階を紹介する。まず現在地を把握し次の段階への道筋を描くことを勧める。
- [25:34] **まとめと「まず始める」** — 規制は動き続けるため、変化を吸収できる体制と情報の一本化が必要だと整理する。Ungerは、まず始めれば一枚ずつ剥がすように進むと述べた。

## 解説記事

AIや各国の規制が次々に動くなか、企業のリスク・コンプライアンス部門はどう備えるべきか。The AI in Business Podcast の今回の回では、GRC（ガバナンス・リスク・コンプライアンス）プラットフォームを提供する Hyperproof のCEO兼創業者 Craig Unger が、継続的な保証（continuous assurance）という考え方を語った。

#### 止まっては動く規制環境

Ungerはまず、現場の摩擦として規制変更のペースを挙げた。EUではAI法に加え、製造業向けのCyber Resilience Act（悪用された脆弱性の報告義務が今年9月に施行済みで、約1年後にはセキュア・バイ・デザインなどのより広い要件が適用される）やNIS-2などがある。米国でも国防総省の供給業者向けCMMC、公共部門向けのFedRAMPとその近代化版が挙げられた。

彼はこの状況を「規制のラバーネッキング」と呼ぶ。事故現場を眺めるために車が減速する渋滞のように、規制当局は新技術であるAIへの対応で、前進と減速を繰り返しているという見立てだ。実際にAI法やCMMCは実施が遅らされている。

それでも「作り続けるべきか、待つべきか」という問いには、先進的な企業は作り続けつつ標準化に力を注いでいると答えた。ただし社内で標準化しても、フレームワークや地域ごとの違いで小さな修正や文書化の手間が積み重なり、これを「コンプライアンス負債」と表現した。大口顧客からは「監査に追われて自動化する時間がない」という声が返ってくるが、少し時間を割けば監査自体も速くなる、と彼は指摘する。

#### サイロと「状態としてのコンプライアンス」

二つ目の摩擦は組織内の分断である。Ungerによれば、エンジニアリングチームとコンプライアンス部門のやりとりは硬直的で、決まった時期に証跡を求める「振り返り型」になりがちだという。

彼が提案するのは、コンプライアンスを時点の活動ではなく年間を通じて保つ「状態」と捉えることだ。毎日証跡を集め、最終的には継続的監査へ進む。年1回の監査に合わせるために担当者が不自然な行動を強いられる点も問題視した。

解決策として、ポリシー、要件、統制、リスク定量化が互いを認識するプラットフォームを選ぶことを挙げた。更新や証跡の追加、リスクの軽減が定量的に反映され、CISO、最高リスク責任者、取締役会へ共有しやすくなる。

#### 統制とリスクをつなぎ、金額で語る

Ungerは、成熟した組織ほどリスクを抑えること自体を目的にコンプライアンスを行うと述べる。統制は脅威を緩和するための「柵」であり、脅威が減れば定量化されたリスクも減る。監査に通ることだけを基準に統制を選ぶ組織もあるが、それを超えて視野を広げるべきだという。夜間の自動証跡取り込みのような運用上の活動を、経営層が見る戦略的なリスク像に結びつけることを、Hyperproofは重視しているとのことだ。

リスクを赤黄緑ではなく金額で示すことには二つの利点があると説明した。ひとつは注意を引きやすく、数字が下がる満足感も得られること。もうひとつは、コンプライアンスへの投資を、減らせるリスク額で正当化できることである。

継続監視でアラートが増える懸念については、通知の頻度や形式は調整できるとしたうえで、AIが利用者の反応から学び、重要なものを選別して要約し、利用者が承認した範囲で判断を代行する未来像を描いた。規制当局が求める「適切なタイミングでの人の関与」も前提だと述べている。その際の判断はウェブ上の情報だけでなく、自社データとの関わり方に基づく必要があり、データやワークフローに近いB2Bシステムの価値は残ると主張した。

#### 5段階の成熟度モデル

月曜の朝に、分断された組織とExcelの山を前にしたリーダーはどこから始めるか。Ungerは同社の成熟度モデルを紹介した。

1. 場当たり：手順が文書化されず、個人や外部の助言に依存する。
2. 定義・文書化：役割と責任が決まり、反応的ではあるが構造がある。
3. 標準化：事業部や製品、複数のフレームワークや地域にわたり、1セットの統制を複数の要件に対応づける。
4. 統合：人の間のサイロと、ポリシー・統制・リスクといった機能間のサイロがなくなる。
5. 最適化：AIや長時間稼働するエージェントが課題を先回りして提示し、外部から指摘される前に対処する。

助言はシンプルで、まず自社の位置を把握し、次の段階に必要なことを考えるというものだ。

#### まとめ

番組の結論は、規制が動き続けることを前提に、変化を随時吸収できる運営へ移るべきだという点にある。要点は、フレームワークの変更に耐える1セットの統制、毎日の証跡収集とリスクプロファイルへの接続、金額によるリスク表現の三つだ。

日本企業でも、複数の国・地域の規制や取引先からの要請に同時に対応する場面は増えている。重複作業の削減や経営層への説明に悩む担当者にとって、成熟度モデルで現在地を確認する発想は取り入れやすいだろう。なお本回は Hyperproof が提供元の番組であり、同社の製品観が色濃い点には留意したい。Unger自身も「まず始めること」が重要だと強調していた。

> この要約・解説記事は、元の音声の文字起こしをもとに AI（Claude）が日本語で作成したものです。出典: The AI in Business Podcast「Modernizing Enterprise GRC for Continuous Assurance - with Craig Unger of Hyperproof」