Uber：ServiceNow Governance Risk and Complianceで監査対応を自動化

Before

Uberは世界70カ国以上で事業を展開するグローバル企業であり、複数の事業領域（移動サービス、フードデリバリー、貨物輸送など）を抱える巨大プラットフォームである。事業の多角化とグローバル展開に伴い、リスク管理とコンプライアンス対応の複雑性は指数関数的に増大していた。

従来のリスク管理プロセスは、地域ごと・事業ごとに分散しており、統一された可視性を欠いていた。監査対応においては、複数のシステムから手作業でエビデンスを収集し、スプレッドシートで管理するという非効率な作業が常態化していた。年次監査のたびに何百時間もの工数が投入され、関係部門の業務負荷は高水準に達していた。

さらに、規制当局の要求水準は年々厳格化しており、データプライバシー（GDPR/CCPA）、金融規制、労働法規制など、多様なコンプライアンス要件への対応が迫られていた。事業スピードを維持しながら、これらの規制要求に確実に応えるためには、根本的なアプローチの変革が必要だった。

リスク評価も四半期ごとの静的なレビューに留まっており、リアルタイムなリスク検知は不可能に近かった。部門間のサイロ化により、リスク情報の共有が遅れ、潜在的な問題の早期発見を妨げていた。この状況は、予防的なリスク管理の実現を困難にしていた。

AI導入内容

UberはServiceNowのGovernance, Risk and Compliance（GRC）モジュールを中核としたリスク管理・コンプライアンスプラットフォームを導入した。これは単なるシステムの置き換えではなく、リスク管理文化の変革を目指した包括的な取り組みである。

統合リスクレジストリの構築

ServiceNow GRCを中央リポジトリとして、全社のリスク情報を一元管理する体制を構築した。

Predictive Intelligenceによるリスクの自動分類 ServiceNowのPredictive Intelligenceを活用し、社内の多様なチャネルから寄せられるリスク情報をAIが自動的にカテゴリー分け（運用、IT、プライバシー等）し、適切なリスクオーナーへアサインする。これにより、手作業による仕分けを排除し、リスク評価の初動を大幅に加速させた。

Continuous Controls Monitoringと自動エビデンス収集

ServiceNowの Continuous Controls Monitoring（CCM） 機能を活用し、リスク指標の継続的モニタリング体制を確立した。

AIによる異常検知と自動アラート CCMと連携したAIが、各システムの管理状況を24時間監視。設定されたコントロールの有効性をリアルタイムに評価し、不整合や閾値を超えたリスクを検知すると、Virtual Agentを介して担当者へ即座に通知する。

監査エビデンスの収集も大幅に自動化された。Document Intelligenceのような技術を応用し、システムから抽出された非構造化データを監査要件に合わせて自動的に整理・紐付け。監査人は手作業のデータ抽出から解放され、年間監査工数の約40%削減を実現した。

サードパーティリスク管理の強化

Uberのビジネスモデルでは、サプライヤーやパートナー企業との連携が不可欠である。ServiceNowのVendor Risk Management機能を活用し、サードパーティのリスク評価を自動化した。ベンダーのセキュリティ態勢評価、契約管理、定期的なリスクリアセスメントがワークフロー化され、外部連携に伴うリスクを体系的に管理できるようになった。

ポリシー・コンプライアンス管理

社内ポリシーと規制要求事項のマッピングを自動化し、コンプライアンスギャップをリアルタイムに検出する仕組みを構築した。新たな規制が発効した場合、その影響を受ける業務プロセスを即座に特定し、対応計画を立案できるようになった。

After

ServiceNow GRCの導入により、Uberは以下の定量的・定性的な成果を達成した。

監査対応工数：約40%削減

エビデンス収集の自動化と一元管理により、監査対応に要する工数は大幅に削減された。監査人とのやり取りもプラットフォーム上で一元化され、重複した説明や資料の作成が不要になった。監査チームは本来的な業務（リスク評価やアドバイザリー）に集中できるようになった。

リスク検知のリアルタイム化

四半期ごとの静的なリスク評価から、継続的モニタリング体制への移行により、リスクの早期発見が可能になった。重大なインシデント発生前にアラートを発し、予防的な対処が実施できるケースが増加した。

コンプライアンス可視性の向上

全社のコンプライアンス状況をリアルタイムにダッシュボードで確認できるようになった。規制当局への報告も、正確なデータに基づく迅速な対応が可能になった。

業務プロセスの標準化

グローバルに散在していたリスク管理プロセスが標準化され、地域間のベストプラクティス共有が促進された。新規事業や新規地域展開時のリスクアセスメントも、テンプレート化されたワークフローにより効率化された。

この変革により、Uberは規制の複雑性が増す中でも、コンプライアンス対応の質を維持しながら事業の俊敏性を確保できる体制を構築した。リスク管理が業務の妨げではなく、健全な事業成長を支える基盤として機能し始めている。