「Japan Fraud Survey 2026-2028 企業の不正リスク調査白書」に見る企業リスクの現在地

1. 各社の現状

白書の趣旨と本稿の構成

当職が所属するフォレンジック＆クライシスマネジメントサービスでは、隔年で「Japan Fraud Survey 2026-2028 企業の不正リスク調査白書」（以下「白書」）を発行している。最新の不正・不祥事の動向について読者の皆様にお届けすると同時に、企業の不正・不祥事への対応力の高度化の一助となるべく、当社グループおよび外部の専門家の方にご協力いただき、多角的な観点からのご意見をいただくという試みである。本年は397社からの回答をもとに調査結果を取りまとめている。

本稿では、本年の白書発行に事務局の一人として携わった立場から、いくつか私見を申し上げる。具体的には、まず、結果から見えてくる各社の不正・不祥事への対応力の現状と、それに影響を与えうる変化について見解を述べる。その上で、ガバナンスおよびコンプライアンスの将来像について私見を述べたい。

白書結果のエグゼクティブサマリー

今回の結果を前回と比較すると、全体傾向に劇的な変化は出ていない。ただ、今後起こりうる変化の「前兆」が現れた結果だったと考えている。

過去結果との比較

まず、前回の結果と比較すると、過去3年間で何らかの不正・不祥事が発生した企業の割合は3ポイント減少したが、6件以上発生した企業の割合は2ポイント上昇した。また、ガバナンス上重視する項目として「コンプライアンス」を挙げる企業が16ポイント増加した。他方で、自社不正の原因について、コンプライアンス意識の欠如や縦割りの組織構造、組織風土を挙げる回答の増加も目立った。ただし、全体的には「守りのガバナンス」を重視する傾向が見られ、実際の取り組みも定着・進展している状況がうかがわれた。これらの結果からは、ガバナンスやコンプライアンスを個別の取り組みではなく構造的な課題と捉え、マインドや体制の変革に着手できているかによって、企業間で対応力に差が生じ始めていることがうかがえる。

不正・不祥事の発生状況

生成AI利用について

初出となった生成AI（以下「AI」）に関する調査結果からは、AI利用に伴うリスク管理が個人任せとなっている現状が明らかになった。機密情報・個人情報の漏えいや出力結果の誤りといったAI利用に伴うリスクに対しては、ガイドラインの策定・周知や研修等の対策は取られている一方、入出力データの記録・保管や出力結果に対するレビュー等はほとんど行われておらず、利用者本人の注意や判断に委ねられている現状が浮かぶ。AIの業務利用に関する承認フローやインシデント対応手順の整備等、AIに関するリスク管理体制の整備も進んでいない。時流に乗ったAI導入が先行するという変化が生じている一方で、リスクを十分に検討し、対策を実行できている企業が少ないことを示している。

コンプライアンスという概念

企業の危機管理・ガバナンスの専門家である弁護士・竹内朗氏による提言も非常に興味深い。以下引用する。「『コンプライアンス』という言葉が悪いと思っているのです。コンプライアンスという言葉が一線に我が事として刺さるわけがない。だから『コンプライアンス』という言葉はもう捨てましょうと言っています。（一部割愛）リスクマネジメントですよ。『ビジネスリスクのマネジメントを、一線であるあなたがリスクオーナーとしてやってください』と言い換える方が、一線には刺さると思っています。」

個人的には、単なる言葉遣いの問題ではなく、不正の原因となるリスクと、そのリスクに対する責任の所在を捉え、直接的な打ち手を講じていくために非常に重要な視点ではないかと考える。本稿でも以下、従来のコンプライアンスを含む概念として「リスクマネジメント」という言葉を用いる。

2. 現状に影響を与える変化

次に、こうした現状に影響を与える変化について述べる。言うまでもなく、AIの急激な台頭が今後数年間の企業の変化に最も大きな影響を与える要素であろう。本年白書に掲載された、デロイト トーマツ サイバー合同会社パートナーの五十嵐謙一のコラムの一節に、今後起こりうる変化が最も端的に言い表されている。以下引用する。『このAIモデルは、自律的に難題を解くことのできるタスクの長さが時間とともに加速することができ、脆弱性の発見から悪用までの攻撃時間は従来の水準を大きく上回るスピードとなります。（一部割愛）脆弱性の修復対応が追い付かず、攻撃時間のスピードとのギャップが生じるおそれがあります。』

こうした現象はサイバー領域のみに該当するものではなく、AIによる加速度的な社会の変化の本質を言い表している。これまでにもITによるグローバル化やコロナウイルスの流行による社会の変化など、企業経営に影響を及ぼす変化は起きてきた。今後数年間で企業を取り巻く環境は、これまでとは異なる速度で変化していくと考えられる。AIによって社会変化そのものが加速することこそ、今回注目すべき本質的な変化と言える。ガバナンス・リスクマネジメントの領域では現状、格差の拡大が進んでいると推測できるが、今後数年でその格差は加速度的に広がり、企業が市場に残り続けられるかどうかを左右するほどの大きな差になっていくのではないだろうか。

3. 変化を踏まえた各社ガバナンス・リスクマネジメントの将来像

今後起こりうる事象

具体的には以下のような事象が起こりうると考える。

製造業において、工場などの現場のプロセスに生成AIが組み込まれている状況を仮定する。本来であれば安全装置を作動させるなどして危険を回避すべき場面で、AIによる不正確なアラートが発出されたことで対応が遅れ、人的・物的な損害が発生するケースが懸念される。

事故が起きた場合、事後的には当然、「誰のどのような過失で事故が起きたのか」「誰が責任を負うべきか」という点が論点となり、企業はこれらの問いに答えることを避けられない。その際に検証すべきものとして、直ちに想定されるだけでも、以下のような論点が挙げられる。

• 当社は、AIを安全管理プロセスのどの場面で使うのか？
  
• 当社は、AIにさせないことを明確に定義していたか？
  
• AIの出力は、情報提供・推奨・警告・命令のどれとして位置付けるのか？
  
• AIの出力を採用する前に、人が独立して確認すべき事項は何か？
  
• AIと人の判断が食い違った場合、どちらを優先し、誰にエスカレーションするのか？
  
• AIの導入を誰がどの資料に基づいて承認したのか？
  
• 誰が、いつ、何を確認・承認・操作したかを記録しているか？ 当該AIの導入に伴う残余リスクを、誰がどの水準で受容したかを記録しているか？

ただし、こうした点を織り込んだガバナンスや統制を事前に設計しておかなければ、有事の際に検証することは困難である。単に「AIが誤作動した」という抽象的な回答で許されることはまずないと考える。

企業に求められるもの

企業はガバナンスと内部統制を通じて、財務報告に関する説明責任を果たしてきた。リスクマネジメントについても、社会からの要請に応じて対応領域を拡大させてきた。AIによる社会の変化のスピードを踏まえると、今後数年でAIについても同様の水準の説明責任が求められ「始める」可能性が高いと考える。

ガバナンスと内部統制の整備は上場企業の義務であり、対応しない企業は市場からの退場を求められる。リスクマネジメントの「リスク」には今後、AI利用リスクも当然包含されることとなる。AIについても数年以内に、迅速に対応できる企業とできない企業との間で市場における評価の格差が生じ、最終的には財務報告などと同様の取り扱いになっていくことは容易に想像できると考えるが、いかがだろうか。その意味で、AIガバナンスは遠い将来の課題ではなく、現在のガバナンス・リスクマネジメントの延長と捉え、今から設計を始めるべき課題である。

執筆者

合同会社デロイト トーマツ
フォレンジック & クライシスマネジメントサービス
マネジャー
渡邉 祐希絵

（2026.10.28）
※社名・役職・内容等は、掲載日時点のものとなります。