リスクの予兆を捉える法務コンプライアンスデータ活用

本連載は、2026年9月より中央経済社Digitalに連載された記事の転載となります。以下の文章は原則連載時のままとし、場合によって若干の補足・修正を加えて掲載しています。

第4回では、法務コンプライアンスデータの活用について、導入領域の選定と実装形態を整理しました。実際の業務に活用するためには、対象リスクを具体的な兆候に置き換え、必要なデータや分析方法を明らかにするとともに、分析結果を人による判断や対応につなげる仕組みが必要です。

本稿では、贈収賄・反腐敗リスクを例に、何を捉え、どのデータを使い、どのように分析し、対応につなげるのかを整理します。

1．リスクの予兆把握とは
2．何を捉えるか－対象リスクを具体的な兆候に置き換える
3．どのデータを使うか－必要なデータと所在を特定する
4．どう分析するか－兆候の捉え方と出力を設計する
5．どう対応につなげるか－人間の判断と業務の流れを設計する
6．まとめ

本稿でいう予兆把握は、個々の案件の問題点に加え、会社全体におけるリスクの所在・集中、同種問題の繰返し、時系列上の変化を捉える取組みです。法務・コンプライアンス上の問題がインシデントや紛争として顕在化する前に、リスクの兆候や通常とは異なる変化を捉え、人による確認・対応へつなげます。

導入領域として「贈収賄・反腐敗リスクを把握する」等と定めるだけでは、必要なデータや分析方法を具体化できません。選定した導入領域のなかで、対象とするリスクを実際に観測できる兆候へ置き換えます。

贈収賄・反腐敗リスクでは、第三者への手数料が取引内容に比して高いこと、契約上の役務内容が曖昧であること、第三者が外国公務員と密接な関係を有すること、通常と異なる口座への支払いを求めていることなどが、確認すべき兆候になり得ます。

これらの兆候は、それだけで贈収賄等の事実を認定するものではありません。人が取引の背景、役務の実在性、価格決定の根拠、価格協議の経緯などを確認すべき案件を絞り込むためのものです。

また、兆候を定義する際には、件数だけでなく母数も必要です。高額な手数料や単価引下げを伴う取引が増えていても、対象取引全体が同じ割合で増えていれば、ただちに異常とはいえません。何と比較して「通常と異なる」と判断するかまで定めることが重要です。

次に、定義した兆候を把握するために必要なデータと、その所在を整理します。予兆把握に使うデータは、法務・コンプライアンス部門内に限りません。業務部門や情報システム部門などと連携のうえ、整理・特定する取組みが必要となります。

たとえば、贈収賄・反腐敗では、第三者審査、契約、役務内容、承認、請求、支払いを結び付けることで、第三者の選定時には見えなかった取引上の兆候を把握しやすくなります。

利用するデータについては、第3回で整理した条件に従って利用する必要があります。特に、通報・調査情報や個人情報は、分析上有用であっても、そのまま横断利用できるとは限りません。

分析方法は、対象リスクと利用できるデータに応じて選びます。すべてのテーマに高度なAIが必要なわけではありません。

実際に有効な指標や判断基準は、各社の事業内容、取引形態、既存の統制、利用可能なデータを踏まえて検証する必要があります。

たとえば、贈収賄・反腐敗リスクを対象とする場合には、第三者への手数料や接待・贈答の部門別・地域別の集中、第三者審査の結果と契約・支払内容との不整合などを、確認対象の候補とすることが考えられます。

こうした不整合の確認は、金額や審査結果などの定型データの照合だけでなく、契約書、見積書、価格協議記録、作業報告書等に記載された説明の一貫性の検証まで広げることができます。

生成AIを利用して、役務内容、対価の算定根拠、選定・承認理由を抽出し、第三者審査、契約、請求・支払いの各段階で照合すれば、役務内容の具体性が乏しいまま支払いに至っている、当初の説明と請求内容が異なっている、対価の根拠が確認できないといった、取引のライフサイクルを通じて現れる兆候を追加確認の対象として提示できます。

このとき、情報抽出、データ間の照合、兆候の判定、優先順位付けを区別し、それぞれの出力を次の判断・対応へどのようにつなげるかを定めます。また、結果を点数や色だけで示すのではなく、判定理由、参照したデータ、根拠となる文書や数値を確認できるようにします。

予兆把握は、兆候を表示した時点では完結しません。分析結果を誰が確認し、どのような場合に調査や是正を始めるかまでを、一連の業務として設計します。

この流れの要点は、分析結果の出力後に、人による確認、報告、対応、結果の記録、判断基準の更新を組み込むことです。

たとえば、贈収賄・反腐敗リスクを対象とする場合には、コンプライアンス担当者が、第三者との関係、契約上の役務、承認記録、請求・支払いの根拠などを確認する運用が考えられます。実際の確認者や最終判断者は、各社の組織体制と責任分担に応じて定めます。

各テーマについて、誰が最初に結果を確認するか、誰が最終判断を行うか、どの条件で上位者や専門部門へ報告するか、対応期限をどう定めるかを決めます。AIや判定ルールによる結果を誰が修正・取り消せるか、誤った警告や見逃しをどのように検証するかも明確にします。

リスクの予兆を捉えるには、選定した導入領域において対象リスクを観測可能な兆候へ置き換え、必要なデータ、分析方法、人間による判断、対応手順を、選択した実装形態に応じて一体として設計する必要があります。

分析によって違反を自動的に認定するのではなく、人が確認すべき取引や論点を絞り込み、調査・是正を早期に開始するための仕組みとして設計することが重要です。

この段階の目的は、AIやシステムを選ぶことではありません。何を、どのデータで、どの基準により把握し、誰が確認・判断し、どのような対応へつなげるかを説明できる状態にすることです。

次回は、この設計を基に、小規模な試行、本番移行の判断、限定的な本番運用、対象範囲の拡張、運用の改善へ進む手順を取り上げます。

中央経済社Digital 2026年10月9日掲載（一部加筆・修正しています）。この記事の掲載については、中央経済社の許諾を得ています。無断での複写・転載は禁じます。

KPMGコンサルティング
Regulation & Sustainability Intelligence
シニアマネジャー　荒尾 宗明
マネジャー　吉田 愛子

Data Analytics & Data Management
パートナー　安田 壮一
シニアマネジャー　土田 俊輔
マネジャー　大野 発