リスク審査の初動を54％短縮、AIに残した「人が決める線」

米ProcessUnityは2026年9月1日、第三者リスク管理向けの「ProcessUnity AI Agents for TPRM」を発表し、提供を開始した。同日付の公式発表 によると、匿名の大手グローバル技術・コンサルティング企業一社では、初期受付のサイクル時間が54％短縮し、評価の処理量が43％改善した。

この製品で2026年9月1日に提供が始まったのは、審査結果を全面的に自動決定する仕組みではない。Tom’s Hardware Italiaの報道 も、文書確認などをエージェントへ移す一方、例外に関する判断は人間に残す構成だと伝えている。つまり、AIが担うのは情報探索、重複確認、文書からの抽出、定型文の作成などであり、証拠を受け入れるか、例外を認めるか、残るリスクを負って取引を進めるかは人間が決める。

五工程に分けると責任の境界が見える

発表されたエージェント群は、受付、デューデリジェンス、監視・是正にまたがる個別作業を担当する。審査実務を五つに分解すると、今回の設計が速める工程と、人間の責任が残る工程を区別できる。

• 情報収集：外部情報を使った固有リスク質問票の事前回答、既存の取引先や調達済みサービスとの重複確認、取引先のトラストセンターにある証拠の探索をAIが担う。
• 文書分析：SOC 2報告書から監査範囲、例外、利用企業側に必要な統制を抽出する。契約書では有効期間、契約金額、準拠法、更新条件などを取り出し、元の条項と対応させる。
• リスク判断：AIは抽出結果を整理し、方針に沿った候補や要約を提示できる。ただし、証拠の不足や矛盾が結果を左右する場合は、自動確定ではなく人間の確認へ送る。
• 承認：担当者が証拠の十分性、補完統制の妥当性、方針から外れる例外、残余リスクの受容を判断し、承認、差し戻し、追加調査を選ぶ。
• 監査記録：エージェントの実行と参照情報、出力、人間への引き渡しを残し、最終判断までの経路を追跡できるようにする。

この構成では、AIは調査員や文書読解者として前工程を圧縮するが、承認者にはならない。人間が全資料を最初から読み直す運用でも、AIの出力を無条件で採用する運用でもなく、判断に必要な材料を先にそろえて引き渡す形だ。

「人が決める線」は作業の難しさでは決まらない

自動化の境界は、AIにとって処理が難しいかどうかより、その処理が最終結果を変えるかどうかで引く必要がある。保険証明書の有効期間や補償額を所定の基準と照合する作業は、条件が明確なら自動化しやすい。一方、補償不足をほかの契約条件で許容するかは、取引の重要性や社内方針を踏まえる例外判断になる。

SOC 2報告書でも、対象期間、監査範囲、例外、利用企業側の補完統制を抜き出す作業と、それらを受け入れてよいかを決める作業は別である。抽出された例外が自社の利用方法にとって重大か、追加統制で補えるか、取引を止めるほどかという判断には、企業ごとのリスク許容度が入る。

したがって人間のゲートを置く対象は、取引開始、リスク受容、是正期限、経営層への報告内容を変える決定である。証拠が足りない、資料同士が矛盾する、既存方針では扱えないといった状態も、人間へ戻す条件として明示されなければならない。

54％は匿名の一社で観測された提供企業側の数値

見出しの54％は、初期受付に要するサイクル時間の短縮率であり、リスク審査全体の所要時間や検出精度を示す数字ではない。同じ顧客事例では、不完全な固有リスク質問票が75％減り、評価処理量が43％改善したとされるが、いずれもProcessUnityが示した匿名企業一社の結果である。

Kaleido Fieldの検証記事 は、この数値が独立試験ではなく、提供企業による単一の早期導入事例だと整理している。公開情報には、測定期間、導入前後の案件構成、担当者数、差し戻しや再審査を含むかといった比較条件が示されていないため、54％を他社でも再現できる一般値とは扱えない。

また、受付時間が短くなったことだけでは、重大なリスクの見落としが減ったか、誤った警告が増えなかったか、後工程へ作業が移っただけではないかは分からない。今回確認できるのは初動の効率化であり、審査品質や損失低減まで実証されたわけではない。

監査ログは承認を代替せず、判断の経路を残す

ProcessUnityは、各エージェントの実行を監査ログへ記録し、判断を伴う処理を人間のレビューへ回せると説明している。この二つは別々の機能ではない。AIがどこまで処理し、どこで人間へ渡したかを連続して残すことで、最終判断の責任者と根拠を後から確認できる。

ただし、ログが存在するだけで判断の妥当性が保証されるわけではない。実務上の監査証跡にするには、参照した資料、適用した方針、抽出結果、未解決の例外、承認者、差し戻しや修正、最終決定が対応付いている必要がある。今回の発表は追跡可能性を意識した設計を示したが、個々の企業や規制分野の監査要件を自動的に満たすことまでは確認されていない。

人間の承認も、形式的なボタン操作に終われば統制として弱い。承認者が元資料へ戻れ、不足や矛盾を識別し、AIの提案を修正または拒否できることが、「人が決める線」を実質的なものにする。

次に必要なのは判断品質を示すデータ

現時点で確認できるのは、ProcessUnity AI Agents for TPRMが提供中であり、受付からデューデリジェンス、監視・是正までの定型作業を担当しながら、結果を左右する判断を人間へ戻す設計だということだ。単一顧客で初期受付が54％短縮したという数値は、その分担が処理速度へ与え得る効果を示すが、一般的な性能保証ではない。

今後問われるのは、業種や取引先の規模が変わっても効果が再現するか、抽出の正確性や重大リスクの検出が維持されるか、人間による差し戻しや再審査がどの程度発生するかである。速度に加えて、見落とし、誤警告、監査指摘、修正履歴まで公開されて初めて、AIへ渡した作業と人間に残した判断の境界が有効だったかを評価できる。