Brex、DrataとSafeBaseでGRCを自動化し信頼を成長戦略に変える

法人カード、経費管理、銀行サービス、請求書の支払い、出張手配を1つにまとめた企業向けの財務プラットフォームを提供するBrexは、手作業に頼っていた証跡の収集と顧客へのセキュリティー情報の提供をDrataとSafeBaseで自動化し、トラスト部門を事業の成長を支える機能へと変えました。ギャップのモニタリングと是正のプロセスでは生産性が2.6倍に高まり、内部監査のプロセスは5倍速くなっています。同社は変化の速いフィンテックの領域で、数千社の顧客から機密性の高い財務データを日々預かっています。その信頼は、セキュリティー、プライバシー、コンプライアンスに隙がないことを示し続けられるかどうかにかかっています。

導入前：手作業の証跡収集が拡大の壁に

グローバルに事業を広げるにつれて、同社のセキュリティーとコンプライアンスの要件は複雑さを増しました。SOC 1、SOC 2、ISO/IEC 27001、NIST、GDPRといった複数のフレームワークが、チームをまたいだ正確な証跡の収集と絶え間ないモニタリングを求めます。証跡の依頼やコントロールの検証はスプレッドシート、スクリーンショット、Slackのスレッドに散らばり、スプレッドシートやメールに頼る手作業はすぐに規模拡大の妨げになりました。戦略的な取り組みに充てるべき時間も奪われていました。

同時に、顧客からは透明性を求める声が高まっていました。同社の顧客には規制の厳しい業界の企業が多く、ポリシー、認証、コントロールの状況を確認したいという依頼が頻繁に寄せられます。以前は静的なPDFのやりとりや個別の質問票（セキュリティーチェックシート）への回答に長い時間がかかり、トラストのチームと営業プロセスの両方が滞っていました。コンプライアンスのギャップが見えにくいことも、非効率とリスクを生んでいました。

トラスト責任者のEileen Filmus氏は、手作業や重複した作業に人を割くのではなく、戦略と、規模に応じて広げられる信頼の文化づくりに集中させたかったと述べています。顧客に信頼されなければ事業は成り立たず、信頼こそが同社の核だというのが同氏の考えです。同氏の下で、同社のトラスト部門はコンプライアンスを担う機能から、事業の成長と顧客の信頼を支える戦略的な柱へと役割を広げてきました。

選定の判断軸：社内のGRCと社外への透明性を1つに

同社は従来のGRC（ガバナンス、リスク、コンプライアンス）のツールからDrataへ移行し、継続的モニタリングとテスト、証跡収集の自動化、ベンダー管理、内部監査のワークフローに使っています。あわせてSafeBaseを、顧客向けに公開する動的なTrust Centerとして導入し、2つのプラットフォームを統合して社内のGRCの可視性と社外への透明性を1つにまとめました。

Filmus氏によると、移行は非常に円滑に進みました。オンボーディングは一連の作業セッションを軸に進み、Drataのチームは同社の課題をすぐに理解したうえで、似た課題に取り組んできた経験に基づいて助言したといいます。導入そのものだけでなく、長期的にどう使い、ツールとともにどう成長していくかまで気にかけてくれたと同氏は振り返っています。特に印象に残ったのは、ベンダー管理のリポジトリーが立ち上がるまでの速さです。複雑さからかなり時間がかかると見込んでいたものの、想定よりずっと早く稼働しました。

数字で見た導入効果

ギャップのモニタリングと是正で生産性2.6倍

自動でモニタリングするコントロールを広げたことで、ギャップのモニタリングと是正のプロセスの生産性は2.6倍に高まり、是正の順序付けも速く、予測しやすくなりました。コントロールのモニタリング、証跡の収集、フレームワークの管理を自動化したことで、同社は人員を増やさずにGRCのプログラムを拡大できています。SOC 2やISO 27001などのフレームワークをまたいだ継続的モニタリングによって、ごく少人数のチームでも、社内の関係者と監査人へ即時に保証を示せるようになりました。

内部監査のプロセスが5倍速く

継続的モニタリングによってコンプライアンスのギャップがより早く見つかるようになり、内部監査のプロセスは5倍速くなりました。監査への備えと、リスクへの予防的な対処も進んでいます。

自動化は速さだけでなく、チームの役割も変えました。書類を追いかける時間が減り、より価値の高いリスク管理と戦略面の支援に集中できるようになっています。メンバーが雑務から離れ、事業を動かす戦略的な取り組みに集中する姿を見られたとFilmus氏は話しています。同社のGRCチームは今では、事業の戦略的なパートナーとみなされています。

顧客が自分で情報を確認できる仕組みに

DrataとSafeBaseの統合によって、社内の保証と社外への透明性をつなぐ1つの仕組みができました。顧客は最新の認証やセキュリティー文書に自分でアクセスでき、同社はアクセス権と更新を完全に管理し続けられます。GRCとトラストアシュアランスのワークフローによって、ベンダーに求めるのと同じ基準を自社にも課せるとFilmus氏は述べています。顧客への保証は継続的で能動的なプロセスに変わり、信頼を強めながら手間を減らし、セキュリティーレビューのサイクルを短くしています。

信頼を売上につながる指標に

同社のチームは、信頼が影響した売上を測定できる指標として定め、信頼の取り組みを事業の成長と直接結び付けました。顧客への保証とセキュリティーの透明性が商談の速度と更新率にどう影響するかを数値で示すことで、トラストのチームはコストセンターではなく売上を支える存在として位置付けられています。同社はこの取り組みを「Trust GTM Enablement」と呼んでいます。デューデリジェンスの効果を個々の商談に直接結び付け、信頼をコストではなく事業を後押しする要素として捉えられるようになったと同氏は話しています。信頼は全社レベルのKPIとなり、市場開拓の戦略にも影響を与えています。

今後はDrataのAI Questionnaire Assistance（AIQA）を使ってRFPや質問票への回答を自動化し、予防的なリスク低減に充てる時間をさらに増やす計画です。

この導入事例からの学び

同社の事例で特徴的なのは、コンプライアンスの自動化と顧客向けの情報公開を別々の取り組みにせず、2つのプラットフォームを統合して1つの仕組みにしている点です。社内で継続的にモニタリングしているコントロールの状態が、顧客に示す情報の裏付けになっています。

同社の事例から読み取れる確認軸は3点あります。1つ目は、扱うフレームワークが増えたときに人員を増やさずに対応できるかどうかです。同社はSOC 1からGDPRまで複数のフレームワークを、ごく少人数のチームで運用しています。2つ目は、顧客が自分で情報を確認できる場を用意できるかどうかです。同社では、静的なPDFや個別の質問票のやりとりを減らしたことが、セキュリティーレビューのサイクルの短縮につながっています。3つ目は、トラスト部門の成果を売上との関係で示せるかどうかです。同社は信頼が影響した売上を指標にすることで、部門の位置付けをコストセンターから事業を支える機能へと変えています。

出典：Drata