AIガバナンス
AIの利用ルールと判断基準
生成AIをどこまで、誰の承認で使ってよいか。利用場面ごとの確認と記録、承認と例外の基準を整理します。
- 生成AIを使い始めたが、何を入力してよいか、出力をどう使うか、誰が確認するかの線引きがまだ曖昧
- PoCはうまくいったが、本番運用に移すための役割、確認の観点、止める条件がまだ決まっていない
AIガバナンス・セキュリティガバナンス・テクノロジーリスク
まだ形になっていない相談を、決めて進められる形に。
何を決めるか、誰が責任を持つか、どこまで任せてどこで人が確認するかを定め、実装と運用が続く条件まで整えます。
情報システム・情報セキュリティ・リスク管理・経営企画のご担当の方へ
- 生成AIの利用ルールと、承認・例外の基準を決めたい
- セキュリティのガイドラインや規程を、実務で確認できる形に見直したい
- ベンダーへの要求事項と、提案を比べる観点を固めたい
- 経営会議に向けて、リスクと選択肢を整理したい
- 手元の方針やベンダーの提案を、第三者の立場で確認してほしい
Fragment Practice は、AI・セキュリティ・ITリスクが絡むテーマについて、論点を切り分け、要求事項・判断基準・役割分担・説明資料にまとめる独立系アドバイザリーです。完成した依頼書は必要ありません。
代表の新庄泰大は、BIPROGY、KPMGコンサルティング、野村総合研究所 / NRIセキュアテクノロジーズで、システム開発、ITリスク、セキュリティ、クラウド・AIのリスク評価に携わり、独立しました。
相談できること
ご相談いただける3つの場面。
いまの状況に近い場面から選べます。それぞれ、何を整理し、何が残るかを示しています。
セキュリティガバナンス
セキュリティの要求事項と規程
セキュリティのガイドラインや規程、取引先や親会社から求められる対応を、実務で確認できる要求事項と確認の観点に整理します。
- 全社のセキュリティガバナンスを整えたいが、規程やガイドラインをどう見直すかが社内でまとまらない
- 取引先のセキュリティチェックや、監督当局・親会社からの照会に、どこまで応えるかが決まっていない
この場面に含まれるもの：外部の制度や基準への、自社としての対応方針／インシデントやシステム停止のときの判断と役割（IT-BCP）
テクノロジーリスク
構想・要求事項・提案の評価
基盤やサービスの構想、ベンダーへの要求事項、手元の提案や方針を、比べて判断できる形にします。第三者の立場での確認も行い、所見と論点をお返しします。合否、評価点、成熟度はつけず、監査保証や認証の代わりにもなりません。
- 基盤やサービスの構想があるが、何を要求し、何を比べればよいかが社内でまとまらない
- ベンダーから提案が出てきたが、どの観点で評価すればよいか決まっていない
経営・関係部門への説明は、どの場面にも関わります。必要な場合は、説明資料まで整えます。
Fragment Practice として実施した支援
金融機関
生成AIの利用拡大に向けたガバナンス整理
利用場面ごとに、扱う情報・出力の使い方・人による確認・承認と記録を整理し、システムでの制御とルールでの運用を組み合わせた統制の考え方にまとめました。
- AIガバナンス方針の案
- 利用場面別の統制モデル
- 段階的に利用を広げるロードマップ
- 経営報告向けの論点整理
SIer
AIを活用したセキュリティ監視サービスの事業成立条件の整理
製品主導型・既存基盤拡張型・AI SOC型を比較し、費用の受け入れやすさ、運用の透明性、立ち上げの速さ、段階的な拡張性、特定ベンダーへの依存の少なさを評価軸として整理しました。
- 必須・推奨・任意の要件整理
- 費目構造の整理
- 提供モデルの比較
- 段階導入案と役割分担
代表の前職での経験
KPMGコンサルティング（代表の前職）
重工・製造業を中心とした、IT-BCPとインシデント対応
IT-BCPの検討支援、インシデント対応態勢の整備と訓練の設計・実施、委託先セキュリティアセスメントの標準化に携わりました。
- リスクシナリオと復旧の手順
- 役割分担と訓練シナリオ
- 委託先評価の項目と評価フロー
野村総合研究所 / NRIセキュアテクノロジーズ（代表の前職）
大手企業のクラウド・AI利用時のリスク評価と要件整理
クラウドAI基盤の第三者評価・リスク評価で、権限設計、ログ管理、データ保護、外部学習の有無などの評価観点を整理しました。端末基盤の更改では、技術構成とセキュリティ要求をつないだ要件整理を行いました。
- リスク評価の観点
- セキュリティ要件の整理
一緒に進める形
3つの形。範囲に応じて設計します。
要求のとりまとめ、選択肢の比較、第三者レビュー、判断と承認の役割設計。実装が始まった後でも、同じ範囲でご相談いただけます。小さく始められ、最初の相談の時点で最終形を決める必要はありません。
最初の整理
初期整理
30万円〜
税別 ・ 1〜2回
課題はあるが、何を決めるべきかまだ言えない段階に。
1〜2回で、状況を切り分け、判断事項を洗い出し、優先順位と次の一手を決めます。
短期集中
判断材料づくり
120万円〜
税別 ・ 2〜6週間
会議・報告・規程更新・引き継ぎに、材料が近く必要なときに。
調査・論点整理・レビュー・資料化を通じて、判断事項・選択肢・リスク・未決事項・責任分界を使える形で残します。
継続支援
スコープ型
月額60万円〜
税別 ・ 月次/隔週の定例
重要な判断が継続して発生し、要所で専門家に入ってほしいときに。
テーマ・レビュー範囲・レスポンス期待を決めた定例で関与します。常駐PMOや日々の運用代行は行いません。
代表
開発と診断から、リスクとガバナンスの実務へ。
新庄泰大は、BIPROGYでシステム開発・脆弱性診断・CSIRT、KPMGコンサルティングでITリスク・IT-BCP・インシデント対応、野村総合研究所 / NRIセキュアテクノロジーズでセキュリティアドバイザリーとクラウド・AIのリスク評価に携わり、2025年10月に独立しました。技術の実務とリスク・ガバナンスの両方を経ているため、技術の論点と統制の論点を分けずに扱います。
2026年7月
AIガバナンスは、見直し前提で設計する
AIガバナンスは、一度ルールを作れば終わりではありません。AI製品、利用実態、関係部門の判断、組織内の制約が変わる中で、判断基準、レビュー観点、責任分界、次工程への引き継ぎ材料を見直し続けるための考え方を整理します。
2026年7月
セキュリティ製品は、性能と価格だけでは選ばれない
セキュリティ製品の導入判断では、性能や価格だけでなく、既存製品やライセンスとの接続、経営・関係部門への説明可能性、運用負荷、責任分界などが影響します。統合型製品と特化型製品で異なる意思決定の摩擦を整理し、製品選定時に確認すべき条件を考えるPractice Noteです。
2026年6月
会議の前に、成果条件を決める
会議があり、資料が更新され、人が集まっていても、仕事の状態が次へ進んでいないことがあります。会議を、判断・確認・レビュー・責任分界・次工程への引き継ぎにつなげるために、事前に成果条件を決める考え方を整理したPractice Noteです。
次の一歩
相談の内容が固まっていなくても構いません。
いまの状況と、いつまでに何を決める必要があるかが分かれば十分です。どの形が合いそうかを含めて、最初にお返事します。自分たちで整理を進めたい場合は、Products に実務キットがあります。