過去二十年の大半において、デジタル業務における規制上の義務は文書によって満たすことができました。企業は同意を収集し、プライバシー通知を公開し、ポリシーを作成し、求められれば書類を提出しました。システムが実際にどのようにデータを処理しているかという実質が精査されることはまれで、ポリシーが主張する内容とシステムが実際に行う内容との隔たりは、ゆうゆうと広いままでいられました。その状況は終わりを迎えつつあります。近年の欧州の法令群は、ポリシーがあるかどうかを問うのではなく、システムがポリシーの言う通りに振る舞うかどうかを問い、しかもそれを監査時にではなく継続的に証明することを求めます。

この変化を修辞ではなく実質的なものにするために、いくつかの力が収束してきました。監督当局は原則から執行へと軸足を移し、その制裁金はいまや資本配分に影響を及ぼすほど大きくなっています。規制の対象は、個人データだけから、オペレーショナルレジリエンス、アルゴリズムの挙動、サプライチェーンのセキュリティへと広がりました。そして法令群は、名指しされた経営幹部個人の説明責任をますます伴うようになっており、これが取締役会の行動を変えます。企業に制裁金を科す制度は事業遂行上のコストにすぎませんが、証明可能な監督について取締役個人に責任を負わせる制度は、インセンティブそのものの変化です。

そこから生じる取締役会の行動の違いを考えてみてください。制裁金のみの制度の下では、罰則は確率にコストを掛けたものとしてモデル化され、引当金が積まれ、期待値がリスクに有利であれば許容されます。NIS2とDORAの下では、経営機関は監督の適切性について個人的に責任を問われうるものであり、解釈によっては制裁は貸借対照表だけでなく個人にまで及びます。名指しされうる取締役は、リスクを予算項目に転嫁することができません。だからこそ、近年の法令群は、いかなる単一の制裁金よりも取締役会の議論の調子を大きく変えてきたのです。抽象的な企業のエクスポージャーを個人のエクスポージャーへと転換し、個人のエクスポージャーは、企業のエクスポージャーがめったにできない仕方で注意を集中させます。

実務上の帰結は、法的エクスポージャーが上流へ、すなわち設計の瞬間へと移動したということです。どこにデータを保管するか、どのモデルを展開するか、どのサプライヤーを重要なプロセスに受け入れるかという決定は、いまや規制上の重みを持つ決定であり、それをそう認識していないかもしれないエンジニアやアーキテクトによって下されます。これをうまく管理している企業は、最大のコンプライアンス部門を持つ企業ではありません。関連する検討を、技術的な選択が下される部屋の中に移した企業です。そうすることで、制約を尊重するのが最も安くつくその瞬間に、制約がそこに存在するのです。

リスクはチェックリストではなくポートフォリオである。第一の原理は、デジタルリスクは義務ごとに個別に管理することはできない、というものです。義務は互いに重なり合い、相互に作用し、時には衝突するからです。GDPRは個人データを、DORAは金融サービスにおけるオペレーショナルレジリエンスを、NIS2は重要事業者および重要な事業者のセキュリティを、そしてAI Actはリスク区分に応じたモデルの展開を規律します。これらのうち複数の適用を受ける企業は、四つのプログラムを持つのではありません。四組の要件が突きつけられる一つのシステムランドスケープを持つのです。それらを別々に管理すれば、重複した証跡、矛盾する統制、そして継ぎ目における欠落が生じます。分析の単位は、規制ではなく、システムランドスケープとそのデータフローです。

コンプライアンスは文書の属性ではなくシステムの属性である。第二の原理は第一から導かれます。規制当局が挙動を精査できるのであれば、紙の上にしか存在しない統制は統制ではありません。それは発見されるのを待つ責任負担です。GDPRが導入し、後の法令群が前提とする「設計による保護」とは、望ましい属性がアーキテクチャによって強制されることを意味します。アクセスが限定されるのはシステムがそれを限定するからであり、保持が終了するのはシステムが削除するからであり、高リスクのモデルが監視されるのは監視が組み込まれているからです。そのとき文書は、現実の代替物ではなく、現実を記述するものになります。

説明責任は分散させるのではなく特定しなければならない。第三の原理は、委員会全体に拡散した責任は、誰も負っていない責任である、というものです。効果的なガバナンスは、重要な各リスクを、行動する権限を持つ名指しされたオーナーに割り当て、決定する人々と助言する人々を区別します。法令群はこれをますます明文化し、取締役会に対して監督を委任するのではなく実証することを求めています。任意の統制について、誰がそれを所有し、どの証跡に依拠しているのかに答えられないガバナンスモデルは、まだ着手すらしていないのです。

規制は動く標的であるから、変化を前提に設計する。第四の原理は、ある規則の単一のバージョンに合わせて設計された統制は、その規則の改訂を生き延びない、というものです。法令群は改正され、監督当局によって再解釈され、本文の後に到来する技術基準によって補完されます。今日ある通りの規制の文言に固定されたコンプライアンスアーキテクチャは、それが構築される頃には陳腐化しています。したがって設計は、安定した意図(アクセスを限定する、削除を証明する、モデルを監督する)を、規制当局が設定する具体的なパラメータ(保持期間、リスク閾値、報告期限)から切り離すべきです。そうすれば、パラメータの変更は再構築ではなく設定の変更になります。現行の規則をハードコードする企業は、次の改訂の代金を二度払うことになります。

設計体制としてのAI Act。近年で最も重大な動向は、EU AI Actが人工知能を一度認証すれば済む製品としてではなく、統制すべきライフサイクルとして扱っていることです。システムはリスクに応じて分類され、高リスクの展開には、データ品質、人間による監督、ログ記録、透明性についての義務が課され、それらはシステムが稼働する限り持続します。ここで重要なパターンは、Actがモデルの訓練、評価、監視のあり方にまで踏み込むということです。つまり、コンプライアンスの問いは開発中に到来し、決して完全に閉じることはありません。

DORAとレジリエンスへの転回。金融サービスにおいて、Digital Operational Resilience Actは、議論をインシデントの防止からその生存へと移しました。同法は、企業に対して、混乱に耐える能力をテストすること、重要な第三者への依存を可視化すること、そして重大なインシデントを定められた期限内に報告することを求めます。NIS2にも見られるより広範なパターンは、規制当局がもはやセキュリティを願望として受け入れないということです。当局は、企業が侵害を前提とし、それに備えている証跡を求めます。

拡大する境界としてのサプライチェーン。これらすべての法令群を通じて、第三者およびサプライチェーンのリスクが支配的な関心事になりました。現代のランドスケープは、企業が管理していないサービスから組み立てられているからです。NIS2は義務をサプライチェーンの下流へと押し出し、DORAは重要なICTプロバイダーの監督を要求し、AI Actは自ら構築していないモデルについて展開者に責任を負わせます。パターンは、あなたが所有する境界をはるかに越えて、あなたが説明責任を負う境界が広がっていくことです。

時点証明を超えた継続的証跡へ。進む方向は、年次監査から離れ、継続的保証へと向かっています。監督当局は、統制がリアルタイムで監視されること、そして証跡が事後的に組み立てられるのではなく運用の副産物として生成されることを、ますます期待しています。これは、自社のシステムを計装している企業に有利に働き、コンプライアンスをスクリーンショットを集める周期的な作業として扱う企業に不利に働きます。

収束とその摩擦。第五のパターンは、法令群が互いを参照し補強し始めていることです。これは原理上は好都合ですが、実務上は厄介です。DORA報告を引き起こすインシデントは、GDPRの下では個人データ侵害でもあり、NIS2の下では重大インシデントでもありえて、それぞれに独自の定義、閾値、そして時計があります。単一のインシデントプロセスを構築し、一組の事実から複数の通知制度を満たせる企業は、同じ事象についての三つの説明を締切に追われながら突き合わせる混乱を免れます。この収束は、統合されたプログラムに報い、規制ごとに別々の対応を立ち上げた企業を罰するのです。

データフローを第一の成果物として扱う。コンプライアンスを支えるアーキテクチャは、データがどのように動くかについての正確で維持された地図から始まります。何が収集され、どこに留まり、誰が到達でき、どれだけ存続し、どこで国境を越えるか。ほとんどの規制上の問いは、この地図についての問いに帰着します。これを、システムの変化に応じて更新される生きたモデルとして維持する企業は、監督当局に数日で答えられます。要求に応じてそれを再構築する企業は、そもそも誠実に答えることができません。再構築は推測にすぎないからです。

統制を既定の経路にする。設計による保護の背後にある原理は、コンプライアンスに適った振る舞いが最も容易な振る舞いであり、理想的には唯一の振る舞いであるべきだ、というものです。慣行によってではなくポリシーエンジンによって限定されたアクセス、リマインダーによってではなく自動化されたライフサイクル規則によって強制された保持、各チームによってではなくプラットフォームによって適用された暗号化。統制がプラットフォームの中に存在するとき、すべてのアプリケーションがそれを継承し、コンプライアンスのコストは新しいシステムごとに上昇するのではなく下がっていきます。

正しさだけでなく証跡のために設計する。システムは正しく振る舞っても、そう振る舞ったことを示せなければ、なお監査に落ちることがあります。アーキテクチャは、統制が作動したことを証明する記録を生成すべきです。アクセス、モデルの決定、データ削除、インシデント対応の改ざん不可能なログです。これが、属性を主張することと実証することの違いであり、現行の法令群の下では、実証こそが義務なのです。

第三者リスクを境界で封じ込める。境界がいまやサプライヤーの中にまで及んでいるため、アーキテクチャは、任意の第三者が障害を起こしたり侵害されたりしうると想定しなければなりません。重要な依存関係を特定し、代替手段を実行可能な状態に保ち、サプライヤー障害の影響範囲を設計によって制約すべきです。契約上の保証も重要ですが、それは事後に回収されるものです。事象そのものの最中に企業を守るのは、アーキテクチャによる封じ込めです。

規則が確定していないところでは可逆な決定を選ぶ。要件がまだ解釈途上であるところでは、アーキテクチャは、取り消すのに費用のかかる選択を避けるべきです。再配置できる仕方でローカライズされたデータ、差し替えられるようにラップされたモデル、コードベースを通じてではなくインターフェースの背後に統合されたサプライヤー。それぞれが、後の規制上の転回のコストを低く保ちます。要諦は、今すぐ下さなければならない決定と、安価に先送りできる決定を区別し、規則が確定するまで後者を開いたままにしておく規律です。

後工程のゲートとしてのコンプライアンス。最もよくあり、最も費用のかかる失敗は、コンプライアンスを、アーキテクチャが固まった後、リリース間近に実施されるレビューとして扱うことです。その頃には安価な選択肢は消えており、選べるのは費用のかかる後付け対応か、既知のエクスポージャーを抱えたまま出荷することのどちらかです。制約はいずれにせよ適用されるものでした。それを先送りすることは、その代価を吊り上げただけです。

紙の統制。システムが強制しない統制を記述したポリシーは、ポリシーがないよりも悪い状態です。なぜなら、主張と現実の間に文書化された隔たりを作り出し、規制当局はそれを過失か虚偽表示のいずれかと読むからです。この失敗は、規則を書いたことと、それを実装したことを取り違えることにあります。

ガバナンスの演劇。決定権を持たないままリスク登録簿をレビューする委員会。その結果、登録簿は膨らむ一方で、エクスポージャーは残り続けます。行動できない説明責任は名ばかりの説明責任であり、それは実際のインシデントがそれを試すまさにその瞬間に崩壊しがちです。

可視化されていないサプライチェーン。企業はしばしば、インシデントの最中に、重要と特定していなかったサプライヤーに、あるいは存在すら知らなかった第四者に依存していたことを発見します。この失敗は、実際に稼働させている依存関係ではなく、署名した契約だけを統制することにあります。

スピードを絞め殺す統制。逆の失敗も同じく現実的です。あまりに重いコンプライアンス体制のせいで、あらゆる変更が委員会の承認を要し、組織は市場に応答できなくなるまで減速します。統制とスピードは、統制が手作業で変更ごとに適用されるときには不当に交換されます。統制が自動化されてプラットフォームごとに適用されるときには、両者は両立します。

ツールをプログラムと取り違える。繰り返される誤りは、ガバナンス、リスク、コンプライアンスのソフトウェアを一つ購入し、その購入を作業の完了と見なすことです。ツールは統制を記録します。それを強制はしません。そして、システムが実装していない統制の登録簿は、ライセンス料をまとった紙の統制の失敗にほかなりません。この道具が有用なのは、すでに正しく振る舞うシステムランドスケープの上の台帳としてだけです。その振る舞いの代替物として購入されたなら、それはより高価な保証の幻想を生み出します。

私たちはまず、汎用的なチェックリストを受け入れるのではなく、システムランドスケープを、それに実際に適用される義務に照らして可視化することから始めます。どの法令がこの企業を、どのシステムとデータについて拘束し、それらの要件はどこで重なり合い、あるいは衝突するのか。その成果物はポリシー文書ではなくモデルです。データフロー、依存関係、統制の全体像に、それぞれが担う規制上の重みを注記したものです。このモデルは、法務、セキュリティ、エンジニアリング、そして取締役会にとって共有の参照点となり、同じ検討が契約交渉とアーキテクチャ上の決定の双方に反映されるようにします。

そこから私たちは、関連する制約を設計プロセスの中へと移し、それらが後から発見されるのではなく選択が下される時点で存在するように取り組みます。それは、チームが構築の土台とするプラットフォームに、設計による保護と設計による証跡を組み込むことを意味します。そうすれば、新しいシステムはそれぞれ、統制を再発明するのではなく継承します。それはまた、統制とスピードのトレードオフについて正直であること、そしてそれを自動化によって解決することを意味します。人間を介さずにすべての展開で作動する統制は、企業を減速させることなく守る統制なのです。

私たちはまた、作業を容易さではなくエクスポージャーによって順序づけることにこだわります。あらゆるプログラムにおける誘惑は、実装が最も単純な統制から始めることです。それは目に見える進捗を生みますが、最大のリスクには手つかずのまま残します。私たちは、インシデントや監督当局が最も痛手を与えるであろう場所によって作業を順序づけ、したがって初期の作業が最も困難であることを受け入れ、進捗を、閉じたタスクではなく、退けたエクスポージャーによって測ります。

私たちは説明責任を、それ自体一つの設計問題として扱います。重要な各リスクについて、名指しされたオーナー、その者が持つ決定、そして依拠する証跡を確立し、取締役会が監督を単に主張するのではなく実証できるようにする報告を構築します。第三者およびサプライチェーンのエクスポージャーは、それが重要な場合には第四者まで可視化し、重要な依存関係を特定して封じ込めを設計に組み込みます。全体を通じて、私たちは自らの証跡を生成する統制を選びます。なぜなら継続的な監督の下では、ある属性を証明できることは、それを備えていることと不可分だからです。

この分野における私たちの仕事を際立たせているのは、私たちが法務、運用、技術の接合点に位置し、コンプライアンスがそれが統制するシステムから切り離された文書になることを拒む点です。この領域におけるほとんどの助言業務は、自らの専門分野の境界で止まります。弁護士は解釈を作り、コンサルタントはポリシーを作り、そしてエンジニアは、どちらも変える権限を持たないまま両者を突き合わせるよう残されます。私たちは規制をアーキテクチャへの指示として読み、それをプラットフォームが既定で強制する統制へと翻訳し、それらの統制が作動することを証明する証跡を設計します。その結果生まれるのは、制約が自動的に尊重されるがゆえに素早く動ける企業であり、その保証が、成り立つことを願う主張ではなく、実証できる現実を記述しているがゆえに、監督当局に自信をもって答えられる企業です。

さらに、作業が何を前提としてよいかを変える実務上の帰結があります。ある取り組みが、まだ存在しない機能を必要とするとき、それは調達サイクルやベンダーのロードマップを待つ必要はありません。enterprise platformは、エージェンティック・エンジニアリングを通じて、ほぼあらゆる機能を速いペースで受け入れられるように構築されています。必要なものは平易な言葉で記述され、素早く生成されますが、それは常に確固たるアーキテクチャ原則の範囲内で、かつ厳格な品質保証の下で行われます。そのため、スピードが一貫性、セキュリティ、統制を犠牲にすることは決してありません。その効果は、単に便利であることを超えて戦略的です。それは内製か購入かの境界を動かし、選択肢を安価に保ち、そしてアーキテクチャが戦略に従うことを可能にします。戦略が、たまたま棚にあったものに合わせて曲げられるのではなく。

規制はデジタルシステムの構築のあり方へとさらに踏み込み続け、それを前提に設計した企業と、それを先送りした企業との隔たりは広がっていきます。デジタルリスク、コンプライアンス、法的エクスポージャーを設計パラメータとして扱うことは、慎重さではありません。それは、見えないエクスポージャーを積み上げることなく高速で構築するための条件です。これを理解する企業は、時とともにコンプライアンスにより少なく支出することになります。より多くではありません。なぜなら、プラットフォームに組み込まれた統制は一度支払えば済み、以後のすべてのシステムに継承されるからです。私たちは、インシデントや監督当局がそれを企業に代わって強いる前に、企業が意図的にその転換を行えるよう支援します。