RPA 導入時のセキュリティ対策の考え方

RPA（Robotic Process Automation）

RPAの普及が注目されています。

総務・経営企画向けのガバナンス構築及びリスクマネジメント支援を提供する株式会社ENNAでは、内部統制及び業務分掌と業務権限の観点から、RPAを導入するにあたってのセキュリティの考え方を整理していきたいと思います。本ページは、主に、RPA導入におけるリスクとその対策を検討するものであり、基準ではなく考え方を示すものです。

RPAの機能及び普及状況等については、その概要を総務省のサイトから確認頂きたい。

RPA（働き方改革：業務自動化による生産性向上）：総務省
http://www.soumu.go.jp/menu_news/s-news/02tsushin02_04000043.html

また、RPAに関するリスクの想定は、MIT Sloneのサイトに基づき検討しています。

Five Robotic Process Automation Risks to Avoid：MIT Slone
https://sloanreview.mit.edu/article/five-robotic-process-automation-risks-to-avoid/

尚、今後、RPA活用に関するセキュリティガイドライン等が発行された場合には、そちらに参照先を移行したいと考えています（平成30年8月20日）。

RPA とは

RPA（Robotic Process Automation）の定義

Robotic process automation (or RPA) is an emerging form of business process automation technology based on the notion of software robots or artificial intelligence (AI) workers.

https://en.wikipedia.org/wiki/Robotic_process_automation

ロボティック・プロセス・オートメーション（Robotic Process Automation, RPA）とは、認知技術（ルールエンジン・機械学習・人工知能等）を活用した、主にホワイトカラー業務の効率化・自動化の取組みである。人間の補完として業務を遂行できることから、仮想知的労働者（Digital Labor）とも言われている。

https://ja.wikipedia.org/wiki/ロボティック・プロセス・オートメーション

RPAとRDA

IBMのサイトでは、RPA（Robotic Process Automation）とRDA（Robotic Desktop Automation）についてまとめています。特に、RPAとRDAの違いやメリット・デメリットをご確認ください。

RPA （ロボティックプロセスオートメーション）による定型業務からの解放
https://www.ibm.com/think/jp-ja/business/rpa/

参考書籍

参考リンク

BEYOND THE Hype: RPA UNCOVERD The Arvato way : arvato BERTELSMANN
https://www.arvato.com/content/dam/arvato/images/references/us/Arvato%20-%20RPA.pdf

RPA （ロボティックプロセスオートメーション）による定型業務からの解放 : IBM
https://www.ibm.com/think/jp-ja/business/rpa/

RPA（ロボティック・プロセス・オートメーション）：KPMG
https://home.kpmg.com/jp/ja/home/insights/2016/05/robotic-process-automation.html

RPA導入時に必要な内部統制とリスクマネジメント

内部統制の観点から見たRPA導入の実証実験と正式導入について

RPAを導入するPoC（実証実験）を様々な企業で行われていることと思います。この実験を、実業務端末で行っている場合は、様々な注意が必要となります。

RPAは、業務プロセスが決まっており、手順書に基づき処理されている事務作業をソフトウェアにより自動処理を行うものとされています。

尚、業務プロセスが決まっているということは、以下の事項が定められ、検証可能な状態に維持されていることになると考えられます。

業務の根拠となる、組織図があり、業務分掌と業務権限が定められている。
業務分掌の範囲内の業務プロセスが明示されている。
業務権限の範囲内の業務遂行の責任を負う「利用者」と「組織の長」が明確になっている。
業務権限の範囲を越える処理・データ出力・誤作動等が発生した場合は、RPAを活用する組織の長がその課題を認識し、修正・訂正の上、業務を適切に管理できる。
データの取り扱いについては、その正確性を担保するために、データに対するCIA（機密性・完全性・可用性）における機密性と完全性が保証されている。
データの機密性と完全性が保証されるために必要となるRPAのシステムの健全な運用が実施され、監視され、監査・改善されている。

RPAと内部統制

RPAはソフトウェアである前に、社内業務をITで置き換える作業が実施されている点に注目します。

特に、業務の一部をITで置き換えられ、業務効率化や経営判断に割く時間を増やすことができ、更にヒューマンエラーを減らせるものがRPAであると宣伝されることが多いのですが、組織や社員が自身の業務の一部を「プログラム」により分担する場合は、その分担した業務が正しく遂行されることを確認する必要があります。

IT全社統制

企業の業務やその管理システムをITによって監視・記録・統制し、その健全性を保証する仕組みが求められています。特に、IT環境に対しては、IT委員会実務指針第6号を参照します。

日本公認会計士協会 IT委員会実務指針第６号

「ITを利用した情報システムに関する重要な虚偽表示リスクの識別と評価及び評価したリスクに対応する監査人の手続について」
https://jicpa.or.jp/specialized_field/post_1591.html

情報セキュリティを保持するための5つの事項

データセンターとネットワークの運用
アプリケーションの取得、開発及び保守
システム・ソフトウェアの取得、変更及び保守
プログラムの変更
アクセス・セキュリティ

この段階で注意すべき事項としては、以下のものがあります。主に、管理する機能があるかを事前に確認し、何かインシデントが起こった場合に状況や対策の報告が行えるシステムであるかどうか？が重要です。

選定基準（システムの信頼性、プログラムの正確性）
構成管理（クラサバ型か、クライアント毎か）
ソフトウェアの脆弱性管理体制（ベンダー側のパッチ配布／ユーザ側のパッチ適用）
アクセス管理等の機能（セキュリティ機能の実装）
操作ログ／作業ログ等の取得・管理・監査に関する機能

特に、RPAはホワイトカラーの業務改善に活用されるプログラムとしていますので、経営判断に資するデータの収集・加工・出力等が想定され、この経営判断に資するデータの間違い・不具合は、経営判断をゆがめる要因になるものと考えられます。

IT全般統制（システムの信頼性の担保）

日本の公認会計士協会の財務諸表監査に関するIT委員会報告第三号では、「全般統制は取引、勘定残高及び開示における情報の信頼性を確保すること、及び業務処理統制の継続的な運用を確実にすることを間接的に支援するもの」とされています。

IT全般統制の範囲については、以下の統制及び対策が求められます。

IT戦略、企画、開発、運用、保守や、組織、制度、基盤システムに対する統制
ITプロセスおよび個別要素である「ユーザー認証」「ログ監視」「バックアップ」等

この段階では、RPA導入の是非の前に、RPAを導入する業務がどのようなものかを明示することが重要であり、この業務プロセスの決定に基づき、適切なシステムやソフトウェアを導入することになります。

RPAの導入により業務改善が期待できる業務の選定
RPAの導入に関する社内IT利用計画の策定・見直し
システム所有者、ライセンス管理、ID付与、共有ID利用、データ保管、業務プロセス設計書作成、業務プロセス設計変更手順等
RPAの導入に関する社内IT利用規程・手順書の策定・見直し
システムが適切に稼働していることをモニタリングする手法や手順
RPAでは実装されているものが多く、RDAでは管理しにくい傾向にあります。
データ侵害・棄損等が発生した際の責任の所在の明確化
RPAを活用する業務の業務責任者がユーザ部門に所属していても、当該システムの管理者は情報システム部門である場合があるため
RPA導入のPoC（実証実験）の環境と手順、終了手続きの手順
特に、現在業務利用しているPC及びサーバに追加インストールし、実証実験環境を用意しないで導入した場合のルールや、業務データの取り扱い等
RPAが生成したデータが、どの社員のものかを明確にするユーザ認証
RPAが生成したデータを、バックアップするための作業プロセス
RPAがデータを生成するプロセスを後日確認できるためのログ取得・解析
RPAが生成したデータを直接会計データ等と連携させるかの判断

IT業務処理統制（財務報告に関する正確な処理や記録）

業務処理統制は、手作業による統制とITシステムに組み込まれた統制に分けられます。
IT業務処理統制では、業務処理システムにおけるデータの網羅性、正確性、正当性、維持継続性を確保するための統制を指し、入力、処理、出力が正しく行われることが確かであることを保証する必要があります。

結果として、業務に関するIT利用となるRPAの活用はIT業務処理統制の中で考える必要があります。
自動仕訳、自動集計、自動連携処理等と接続し、RPAにより処理されたデータが運用される場合には、そのデータがどのように生成されたのかについて常に説明できる環境構築が重要です。

RPAはAIと違い、特定された業務プロセスをシステムが代行しているということですので、代行するプロセスが正しく設定され、チェックを受け、実際の業務を代替していることを証明する必要があります。

RPAの導入時の業務プロセス設計と、その設計手順
RPAの運用時の業務設計の見直しのプロセス
RPAの運用時の誤作動等に対する、停止、改善、再開のプロセス
RPAの運用時の脆弱性対応とその停止期間の処理ルール
RPAで実施された業務に対するシステム監査と業務監査の手法

RPAで生成されたデータの活用範囲

RPAで生成されたデータを、事業戦略や営業の数字として活用する場合、業務処理統制から考えれば、チェック体制があり、内容を精査でき、不具合があれば修正できることで活用が可能となります。

この点は、AIとは異なり、RPAは定められた業務プロセスを自動化することが機能であるため、作業ログの監査及び生成されたデータの二重チェック等の業務を明文化するにより、ヒューマンエラーを回避できる十分なシステムということになります。

参考情報

RPAのガバナンスとセキュリティ：PwC
https://www.pwc.com/jp/ja/japan-knowledge/archive/assets/pdf/rpa-governance-security1608.pdf

RPAとサイバーセキュリティ

作成中

参考情報

Five Robotic Process Automation Risks to Avoid：MIT Slone
https://sloanreview.mit.edu/article/five-robotic-process-automation-risks-to-avoid/

「RPA」と「AI」のセキュリティ対策に違いはあるか？ (1/2)
http://techtarget.itmedia.co.jp/tt/news/1805/17/news11.html

お問合せ

アドバイザリサービスに関するお問合せはこちら。

平成30年8月20日初版
平成30年8月22日改訂
平成30年8月24日改訂