West Monroe、DrataとA-LIGNで除外事項ゼロの監査報告書を獲得

West Monroeは、散らばった古い文書に頼っていたコンプライアンスの取り組みをDrataと監査法人のA-LIGNとともに立て直し、直近のSOC 2の監査で除外事項ゼロの報告書を得ました。前年の監査では25ページに及ぶ不足の指摘を受けており、除外事項のない監査は同社の歴史で初めてです。監査の準備にかかる時間も3カ月から推定3週間に減り、70%短縮しています。

導入前：散らばった古い文書と25ページの不足の指摘

同社の2022年のSOC 2の監査では、多くの不足と非効率が明らかになりました。手作業のプロセスで文書が散らばり、内容も古かったため、25ページに及ぶ不足の指摘を受け、報告書そのものが危うい状態になっていました。文書を一元的に保管する場所がないことも問題を大きくし、監査の準備は手間がかかり、ミスも起きやすくなっていました。同社に必要だったのは、全ての文書について信頼できる唯一の情報源になる、効率的な仕組みでした。

選定の判断軸：自動化の力と、信頼できる監査パートナー

同社は、簡潔さと証跡の収集の自動化で知られるDrataと、質が高く効率的なサイバーセキュリティーのコンプライアンスの取り組みを提供するA-LIGNと組みました。Drataで文書を一元的に保管し、簡単に参照して確認できるようにしています。人事のシステムやAzureの環境など、同社のMicrosoft系のシステムと円滑に連携できたことも大きな価値がありました。

A-LIGNとの関係は、同社が行った買収によって引き継いだものでした。GRC・サイバーセキュリティー担当シニアマネージャーのShan Moosa氏は、引き継いだからといって続けるか離れるかが決まっていたわけではなく、関わる人と技術を見たうえで、A-LIGNが適切な監査パートナーだと判断したと説明しています。同氏は、A-LIGNという戦略的な監査パートナーと、自動化に強いDrataの組み合わせはよい結果しか生まないと述べています。

数字で見た導入効果

除外事項ゼロの監査報告書

直近の監査で、同社は除外事項ゼロの報告書を得ました。前年の25ページの不足の指摘とは対照的で、除外事項のない監査は同社の歴史で初めてです。Drataの自動化とA-LIGNの監査を組み合わせ、SOC 2 Type IIの監査を乗り切っています。

監査の準備を3カ月から推定3週間に

証跡の収集を自動化し、チームの手作業を最小限にしたことで、コンプライアンスの作業にかかる時間と手間が大きく減りました。監査の準備は3カ月がかりの作業から推定3週間になり、70%短縮しています。大がかりな文書作成ではなく、確認と小さな更新が中心になりました。セキュリティー影響評価もDrataで行えるようになり、高額な外部の業者が不要になって費用を大きく節約しています。コスタリカ、ロンドン、メキシコの拠点と、東南アジアで予定している拠点を含む海外の業務のコンプライアンスの文書も、効率的に管理できるようになりました。

追加の作業なしでGDPRへの準備が82%に

Drataでフレームワーク間のコントロールが共有されているため、SOC 2の作業を終えた時点で、追加の作業なしにGDPRへの準備状況が82%に達しました。同社は今後、GDPRやCCPAにも取り組み、規制の変化への素早い適応とAIの技術の活用を進める計画です。

この導入事例からの学び

同社の事例で特徴的なのは、自動化のプラットフォームと監査法人を、それぞれの役割を持つパートナーとして組み合わせている点です。買収で引き継いだ監査法人との関係も、そのまま続けるのではなく、改めて評価したうえで選んでいます。

同社の事例から読み取れる確認軸は3点あります。1つ目は、コンプライアンスの文書を一元的に保管し、信頼できる唯一の情報源として扱えているかどうかです。2つ目は、既存のシステム（同社の場合はMicrosoft系のシステム）と円滑に連携できるかどうかです。3つ目は、フレームワーク間でコントロールを共有し、次のフレームワークへの準備をどれだけ進められるかです。同社はSOC 2の作業だけでGDPRへの準備を82%まで進めています。

出典：Drata