Ocrolus、DrataのTrust CenterとAIQAで顧客のデューデリジェンスへの対応を迅速化

機密性の高いデータを扱うOcrolusは、顧客からのデューデリジェンスの質問票（セキュリティーチェックシート）への手作業の対応を、DrataのTrust CenterとAI Questionnaire Assistance（AIQA）で自動化しました。100問の質問票の処理にかかる時間は中央値で3分となり、AIが作る回答は90%を超える正確さを保っています。質問票1件あたり数時間の作業が減り、セキュリティーレビューの期間の短縮と商談のサイクルの加速につながっています。同社にとって信頼は事業のあらゆる面の土台であり、顧客はデータが安全に、責任を持って、業界の標準に沿って扱われていることを確かめる必要があります。

導入前：個人の知識と散らばった文書に頼る対応

同社の成長とともに、セキュリティーレビューとデューデリジェンスの質問票の数と複雑さは着実に増えました。信頼に関わる取り組みは効果を上げていたものの、手作業が多く、受け身の対応にとどまっていたため、負荷が高まっていました。社内の調整、散らばった文書、個人の知識に頼っていたことで、期待と依頼の数が増えるにつれ、一貫性を保ちながら素早く応えることが難しくなっていました。

質問票1件を手作業で仕上げるには数日かかり、各分野の専門家に大きく頼っていました。似た質問に繰り返し答えるのに多くの時間が割かれ、人員を増やさずに信頼の保証の仕事を広げるのは困難でした。質問票やレビューの完了が遅れると商談も遅れ、セキュリティーレビューは営業プロセスの目詰まりになっていました。

選定の判断軸：回答をそろえ、正確さと管理を損なわない仕組み

CISO兼IT責任者のSenthil Kumar「SKI」Iyyappan氏は、分野をまたぐ戦略、運用、人員、予算を担うチームを率いています。同氏が重視するのは、顧客、規制、業界の期待に応える成熟した情報セキュリティーの取り組みとコントロールを築きながら、事業が速く自信を持って動けるようにすることです。

同社が求めたのは、回答を標準化し、反復作業を減らし、信頼とコンプライアンスの情報を顧客に先回りして共有できる統合されたプラットフォームでした。正確さと管理を損なわないことも条件です。そこで、信頼の保証のワークフローの基盤としてDrataのTrust CenterとAIQAを導入しました。同氏は、強固なコントロール、透明性、Trust CenterとAIQAのようなツールを通じて信頼に投資することで、営業プロセスの手間を減らすだけでなく、顧客の長期的な信頼と市場での信用を強められると述べています。

数字で見た導入効果

100問の処理が中央値3分に

Trust Centerで検証済みの回答と文書がAIQAに取り込まれ、承認された内容を使って反復的な質問に自動で回答できるようになりました。チームは質問票ごとに一から作るのではなく、レビュー、検証、例外への対応に集中しています。AIQAでの処理時間は100問あたり中央値で3分となり、全ての回答を手作業で作っていたときの数日に比べて、全体の所要時間が大幅に短くなりました。シニアGRCスペシャリストのKaushik氏は、質問票の作成が大幅に速く一貫したものになり、手作業で回答を作る形から素早く確認して仕上げる形に変わったと話しています。

AIの回答の正確さは90%超

複数の質問票と検証済みの内容で学習させた後、AIが作る回答は一貫して90%を超える正確さを保っており、提出前の確認は最小限で済みます。手作業での下書きの時間の多くがなくなり、質問票1件あたり数時間を節約して、より価値の高い仕事に充てられるようになりました。負担を増やさずに、より多くの質問票に応えられます。

Trust Centerを社内外の情報の中心に

Trust Centerには、顧客向けの信頼に関する内容、コンプライアンスの情報、検証済みの回答が1カ所にまとまっています。セキュリティーとコンプライアンスの文書を簡単にアップロード、整理、更新でき、顧客は常に最新の回答にアクセスできます。大がかりな手直しやチーム間の調整なしに素早く更新できるため、版の管理の手間と繰り返し届く問い合わせが減りました。GRCリードのBalavikram Sivasankaran氏は、Trust Centerの公開は円滑で効率的に進み、その後の管理も同じように簡単だと述べています。Trust Centerは今、営業、法務、製品、エンジニアリング、セキュリティーの責任者が承認済みの正確な回答と文書で足並みをそろえるための中心になっています。

購買側は、速い回答、一貫した答え、文書への自分でのアクセスによって、より円滑なセキュリティーレビューを経験できます。社内でも場当たり的な依頼が減り、担当が明確になったことで、営業、法務、エンジニアリングとの協力が進み、GRCとトラストのチームは戦略的なパートナーと見られるようになっています。今後は、より多くの質問票への対応、社内システムとのより深い連携、より高度なAIの自動化に加え、信頼に関わる目詰まりを予測する分析にも関心を寄せています。

この導入事例からの学び

同社の事例で特徴的なのは、AIQAの回答の元になる内容を、Trust Centerで検証済みの回答と文書としてまとめている点です。承認された内容を基に回答を作るため、自動化しても一貫性と正確さを保ちやすくなっています。

同社の事例から読み取れる確認軸は3点あります。1つ目は、質問票への回答が個人の知識や散らばった文書に頼っていないかどうかです。同社は検証済みの回答を1カ所にまとめることから始めています。2つ目は、AIが作る回答を誰がどう確認するかです。同社ではチームの仕事がレビュー、検証、例外への対応に移り、正確さが90%を超えた後も提出前の確認を残しています。3つ目は、質問票の対応の遅れが商談にどう影響しているかを把握できているかどうかです。同社はセキュリティーレビューを営業プロセスの目詰まりと捉え、その解消を目的の1つにしていました。

出典：Drata