Drata（ドラータ）は、フィンテック、小売、ヘルステック、SaaSなど、従業員数1,000人から20,000人の組織に所属する米国のITおよびセキュリティー専門家300人を対象に調査をWakefield Researchに委託し、「AI時代のGRCの現状」と題したレポートを発表した。
調査の結果、ガバナンス、リスク、コンプライアンスにおけるAIの導入は既存の管理体制を上回っており、回答者の71%が、GRC機能に使用されているAIツールが原因で、少なくとも一度は監査に不合格になったり、規制基準に違反した経験があると回答した。AIの使用状況の可視化が重大な課題として浮上し、ITおよびセキュリティー担当者のうち、従業員が使う全てのAIツールを把握できると確信していると回答したのはわずか13%だった。
AIによる業務負担軽減への期待は、しばしば満たされていない。調査によると、実務者の43%が、業務を簡素化すると期待されていたツールが実際には業務を困難にしていると回答した。この経験は組織の規模によって異なり、年間売上高が2億5000万ドル未満の企業ではAIによる困難の増加が55%に達したのに対し、2億5000万ドル以上の企業では36%にとどまった。従業員数が多いほど摩擦も大きくなり、従業員数2500人以上の組織では51%が課題を報告したのに対し、1000人から2500人の組織では36%だった。
AI投資の財務的リターンは、多くの場合控えめなものだった。組織の90%が、GRCにおけるAI投資の一部が期待を下回ったことを認めており、AIのリターンが非常に高いと回答したのはわずか26%で、残りの74%はリターンが控えめかそれ以下だと評価している。回答者の67%が財務的ROIを示すようプレッシャーを感じていると回答し、75%が以前よりもパフォーマンスの低いAIツールの使用を迅速に中止するようになったと回答した。AIツールのパフォーマンスが低かった場合、52%が人間のレビューや手動による監視への依存度を高めた。
このレポートは、可視性の低さが具体的なリスクにつながると指摘している。回答者は、AIの無秩序な使用に起因する主な脅威として、データセキュリティーリスク（57%）、プライバシーに関する懸念（52%）、コンプライアンス違反または規制違反（51%）を挙げている。ベンダーの準備状況に関する懸念も広く見られ、86%が、拡張性、基盤となるセキュリティー、監査対応の不備を理由に、GRCに特化したAIツールの多くがエンタープライズレベルでの利用に適していないことに同意している。
調査結果によると、購入者の嗜好は、対象を絞った責任あるシステムへとシフトしていることが示唆された。GRC購入者の64%は、広範なオールインワンプラットフォームよりも、少数のタスクをうまく実行する対象を絞ったエージェントシステムを好むと回答した。リスク最小化を優先する購入者の間では、この嗜好は70%に上昇した。ワークロードデータによると、チームの63%は人員を増やすことなく少なくとも10%多くの作業を吸収しており、AIの可視性が向上したと報告したチームは、追加のワークロードをよりうまく管理できる可能性が高いことが示された（68%対55%）。
AIのさらなる統合に向けた準備は依然として不十分であり、組織の83%が次なるAI導入の波に十分に対応できていないと回答している。これに対し、多くの組織が継続的な可視化機能の構築に取り組んでいる。78%がトラストセンターを導入済み、または構築中で、こうしたセンターを利用しているチームのうち、47%がベンダーのセキュリティーに関する透明性の向上を、44%がベンダーレビューの迅速化を報告している。
このレポートは、AIの約束と実際のパフォーマンスのギャップは、ベンダーによる機能の過剰な宣伝、購入者による精度よりも広範さの優先、そしてAI導入のスピードと具体性に追い付いていないガバナンス慣行という3つの複合的な失敗に起因すると指摘し、購入者の需要は、明確な成果責任を持ち、ベンダーの責任がより明確であるエージェントへとシフトしていることを示しました。「AI時代のGRCの現状」は、これらの傾向を整理し、調査結果の背景にあるサブグループデータを提供するために発行された。
レポートのダウンロードはこちら
出典：Drata
この製品の詳細については、Drata製品ページをご覧ください。
