PCBB、DrataでGRCを自動化しSOC 1とSOC 2の重複作業を削減

米国のコミュニティー金融機関（CFI）に金融サービス、リスク管理、コンプライアンスの専門知識を提供するPCBBは、スプレッドシートに頼っていたGRC（ガバナンス、リスク、コンプライアンス）の業務をDrataで自動化し、SOC 1とSOC 2に重複していた作業を減らして大幅な時間の節約を実現しました。試験的に使ったDrataのAI Questionnaire Assistance（AIQA）は、数百ページに及ぶ複雑な情報提供依頼の質問票（セキュリティーチェックシート）で、5分以内に85%を超える質問に正確に回答しています。同社は、CFIの収益の最大化、効率化、リスク管理、そしてCFIが取引する中小企業との信頼の構築を支えることを使命としています。

導入前：手に負えなくなったスプレッドシートでのGRC

規制を受ける金融機関にサービスを提供する同社にとって、信頼はあらゆる顧客との関係の土台です。業務と提供する製品が広がるにつれ、従来のスプレッドシートでは現代のコンプライアンスと監査の要求に追いつけなくなりました。手作業のスプレッドシートは版の管理とセキュリティーにリスクを生み、証跡がメールや共有ドライブに散らばっていたため、監査での協力も非効率でした。監査の準備は、Excelのシートと手作業での文書のやりとりに頼っていました。

情報セキュリティー責任者のKevin Swatzell氏は、着任した当時の同社は完全にスプレッドシート頼みで、そのプロセスは手に負えなくなっており、ExcelをGRCのツールとして使うことには無理があったと振り返っています。

選定の判断軸：一度のテストを複数の報告に生かせるか

同社では、財務報告に関わるコントロールに欠かせないSOC 1が対象範囲に入っており、情報セキュリティーのコントロールに欠かせないSOC 2も今後の検討対象でした。コンプライアンスを自動化して信頼を強められる、規模に応じて広げられるプラットフォームが必要でした。監査人がますます自分での確認とリアルタイムの協力を求めるようになる中で、監査法人との監査のプロセス全体を効率化したいという狙いもありました。

同社は、スプレッドシートを自動化されたクラウドのシステムに置き換えるためにDrataのGRCプラットフォームを導入しました。KnowBe4やCrowdStrikeとの連携でコントロールの継続的なテストと可視化を実現し、SOC 1、SOC 2、NISTサイバーセキュリティーフレームワーク（CSF）を1カ所で扱うことで、一度テストして複数の報告に生かせるようにしています。Swatzell氏は、Drataの連携によって重要なコントロールが自動でテストされ、すぐに作業の負担が減ったと述べています。

数字で見た導入効果

フレームワークをまたいだ重複作業を削減

GRCのワークフローが一元化されて自動化され、一度テストした結果を複数のフレームワークに対応付けられるようになりました。銀行に求められる水準の監査の期待に応えながら、準備の時間を大幅に減らしています。SOC 1とSOC 2の準備を1つのプラットフォームで進めたことで、重複するテストと手作業の証跡の収集が減り、より先を見据えた取り組みに時間を使えるようになったとSwatzell氏は話しています。外部の監査パートナーとのやりとりも簡単になり、部門をまたいだ透明性も高まりました。証跡の収集はこれまでになく速くなったといいます。

大幅な時間の節約と業務の効率化

コントロールの自動テスト、一元化されたポリシー、リアルタイムのアラートが、何時間もの手作業の調整に置き換わりました。ポリシーの期限切れやコントロールの問題が自動のアラートでリアルタイムに知らされるため、チームは先回りして動けます。セキュリティーチームは、証跡を手作業で集めたり照合する代わりに、コンプライアンスの態勢と業務のレジリエンスを強める改善や将来に向けた取り組みに集中しています。

AIで5分以内に85%超の質問に正確に回答

同社は最近、AIQAを試験的に導入し、数百ページに及ぶ複雑な情報提供依頼の質問票で試しました。5分以内に85%を超える質問に正確に回答できたことは、効率と正確さの両面で大きな前進でした。Swatzell氏は、今年の残りの期間で数百時間の節約が見込めると話しています。同社はこの機能の検証を続け、手作業を減らしながら案件をまたいで回答の一貫性とコンプライアンスを保つことを期待しています。目指すのは、正確さと規制上の期待を損なわずに、営業のサイクルを短くし、対応の速さを高めることです。

この導入事例からの学び

同社の事例で特徴的なのは、SOC 1とSOC 2、NIST CSFという目的の異なるフレームワークを1つのプラットフォームで扱い、一度のテストを複数の報告に生かしている点です。財務報告と情報セキュリティーの両方の監査を受ける組織にとって、重複作業の削減に直結する考え方です。

同社の事例から読み取れる確認軸は3点あります。1つ目は、証跡がメールや共有ドライブに散らばり、監査人との協力が非効率になっていないかどうかです。2つ目は、既に使っているセキュリティーのツールとの連携で、コントロールのテストを自動化できるかどうかです。同社はKnowBe4やCrowdStrikeとの連携で重要なコントロールを自動でテストしています。3つ目は、ポリシーの期限切れやコントロールの問題に気付く仕組みがあるかどうかです。同社は自動のアラートで、問題をリアルタイムに把握しています。今後はBSAやAMLなどの内部監査にもDrataの活用を広げる計画です。

出典：Drata