はじめに
――――――――――――――――――――――――――――――――――
【監査役】人文泰策
お二人ともお久しぶりです。
今日からしばらく、「デジタルリスク懇話会」と称して、デジタルリスクを今までとは違う角度から一緒に考える連続会議をしてみたいと思います。
今や、およそ企業はすべてデジタル通信にからめとられています。取引先も顧客も、クラウドサービスもAIもみんな繋がっています。少し引いた視点から見ると、AIを含めてデジタル技術はもはや対象物ではありません。ビジネスに組み込まれた道具であり、パートナーであり、所与の生存環境です。ビジネスを離れても同じことです。まぁ、「リスク社会」と言ってもいいでしょう。
ひと昔前に、フランスの思想家ジャン・ボードリヤールは、すべての物はたえまなく技術の構造性を離脱して、その意味作用は、技術の体系から文化の体系のなかへと向かう、と述べました。デジタルリスクの課題も、技術問題ではなく、人間の行動様式や社会の状況も含めて考えざるを得ないところに来ていると見ています。
ですから、この会では、ビジネスエコシステム（生態系）のデジタルリスクという大河を見渡しながら、良い水が流れるような工夫はないか、議論していきたいと思うのです。
【CISO】大所瞬時
懇話会にお呼びいただき、ありがとうございます。典型的なＳＴＥＭ（科学・技術・工学・数学）人間だからか、新鮮な視点で刺激を受けるのはワクワクします。
問題意識としては、あらゆるところでアルゴリズムが暴れていると感じます。クラウド、SaaS、サプライヤー、委託先、SNS、AIエージェントなど、サイバーセキュリティの対象が増え続けています。その中で、会社の境界自体が曖昧になっていることが、とても気になっています。問題が起きても、「どこで起きたのか」「誰の責任なのか」が簡単には分からない。昔の城壁型モデルが懐かしく思えるほどです。
【社外取締役（リスク担当）】栗栖梨花
先日拝見した大所さんの報告書にも、その問題意識が出ていましたね。たしか、
•責任境界の曖昧化
•人の制御困難性
•動的環境への適応限界
という三つに、今日の新しい課題を整理されていました。
私は特に最初の「責任境界の曖昧化」が重要だと思いました。
【監査役】
まさにそこです。アルゴリズムが暴れていなくても、デジタル社会では、責任はある意味で虚構なのかもしれません。集団的責任ということを考えてみてもしっくりしません。この点は、また後で戻ってきますが、今日はまず、「サプライチェーン」と「エコシステム」の違いから考えてみましょう。
初めにエコシステムありき
【社外取締役】
サプライチェーンは、比較的分かりやすいですね。原料調達から製造、そして販売へと一方向に流れる図が浮かびます。ビジネスの価値もリスクも順番に伝播します。
【監査役】
ああ、「物象化」の意識作用ですね。本当は、企業（ヒト）と企業（ヒト）の関係構築の上に成り立っている、つねに揺らぎのあるビジネス関係なのですが、あたかも自立したモノのように見えていますね。
【社外取締役】
確かにそうですね。改めて見直すと、エコシステムは、企業、顧客、技術、規制当局、コミュニティなどが網目状、いいえ、それ以外にも道路や海、自動車会社や業務委託先、そうそう会計監査人や弁護士なども紐付いて浮かんできます。多種多様な人間がその都度相手との関係を選び取って複雑に結びつき、常に流動的に変化している様子が見えてきます。リスクもどこを起点として、どこを通るのか、まったく見当もつかないイメージです。
【監査役】
その通りです。購買者と供給者というエージェントの主客関係では説明できない、簡単に言えば「われわれ」というところに転回していく感じが沸き上がって来ませんか？ここで重要なのは、現実のビジネスは最初からエコシステムである、ということです。
サプライチェーンは、その一部分を切り取って管理しやすいようにモデルを示しただけなのです。ですから、サプライチェーンをどう守るか、というよりも、エコシステムの中でどう生きるか、ということが、デジタルリスクの文脈でも大切な問いになるのです。
異次元問題とは何か
【CISO】
人文監査役、ひとつ宜しいでしょうか。
エコシステムの中ではなく、外のエージェントのことも考えないと、リスクの全体像が浮かび上がらないのではないかと、いま気づきました。サイバーセキュリティの世界では、現在は超監視社会であるとか、監視資本主義であるとか指摘する論者がいらして、米国テック企業や各国政府そしてサイバー犯罪組織などが、さまざまなログやクッキーという技術要素を収集しては、エコシステムの外からそれぞれの関心事を覗いていることに警鐘を鳴らしています。
【社外取締役】
興味深い指摘ですね。エコシステムの中にいる「われわれ」も、外にいる「連中」も、デジタル技術を使う霊長類という意味での「デジタル・エイプ」という意味ではわれわれと変わらない。デジタルを道具として使う人間とエイプの間に、デジタルリスク熱が伝染していくのですね。
SNSで広がる風評被害やAIの誤情報やハルシネーションもちょっと似ていますね。最初は小さな揺らぎでも、ある条件を超えると一気に拡散してしまう。熱方程式では、熱さも流れているうちに温度は低くなり、温度が平準化しますから、さも制御対象の変化が落ち着くように見えます。ところが、熱方程式の時間軸を反対にしますと、ちょっとした差が拡大していくことになります。ポジティブフィードバックが働くということです。エコシステムには、さまざまな時間軸が働きますから、ランダムウォークが生じて将来予測も難しそうです。
【監査役】
おやおや、お二人ともSTEM族でしたか。いずれにせよ、大掴みでも、今までの単線的な見方ではなく、複眼的、遠望的な景色が見えてきたのはめでたいことです。
ただ、ここで会社経営の上で外してはならないのは、エコシステムのデジタルリスクが異次元の問題だということです。問題は複雑だから異次元なのではありません。問題を考えるための座標系そのものが変わってしまうから異次元なのです。モノ（情報資産）と責任を中心に考える世界から、 コト（デジタルな関係性）と曖昧な責任境界を前提とする世界へと移ってしまうのです。
企業のガバナンスは、法人というものを仮想して設計されます。法律も金融市場も企業ガバナンスを非常に単純にとらえていて、株主や投資家と取締役との関係を基礎に、法人の中の権限体系や責任の分散と集約といった統制の仕組みについて説明責任や結果責任を求めます。
ところが、エコシステムのデジタルリスクは、どの法人に責任があるのかも曖昧になること、そして、リスクが法人の境界を簡単にすり抜けていくということです。どの法人が責任を取るのかが分からないけれども、エコシステム内の全員が影響を受け、その利害関係者もすべて巻き込まれる。
今までのガバナンスの中核であった法人や責任という概念を、デジタルリスクは少しずつ溶かしていきます。その姿は、エコシステムの大河をじっと眺めていると初めて見えてくる、ゆらゆらとした影のようなものです。
【社外取締役】
なるほど。文学的ですが、分かるような気もします。
サプライチェーン問題なら、原因をたどれます。しかしエコシステム問題では、リスクの震源地を探すこと自体に意味がない場合がありますね。誰も悪くないのに全員が当事者になる。
確かに今までとは異次元ですけれども、現実の一つの見え方なのですね。
縦のガバナンス、横のコミュニティ
【監査役】
企業内部のガバナンスは縦の世界ですが、これとてまだ問題がないわけではないですね。
【CISO】
はい、当社だけではなく、グローバル企業の多くは、コンプライアンス、保証、統制の仕組みが統合されておらず、一つの体系として機能していないとの指摘があります。その結果、防御が断片化してしまい、分散したサイバー脅威に太刀打ちできないと言われています。ですから、ビジネスエコシステムでサイバー対策が断片化しているのは、当然と言えば当然なのでしょうけれども。
いずれにしても、こちら側の対策連携は上手くいっていないけれども、ある意味では、サイバー犯罪集団の犯罪ビジネスエコシステムは上手くマネージされている、という皮肉な状況とも言えます。
【監査役】
そうですね。企業間のエコシステムは横軸ですから、命令もできなければ、統制もできない。
そのうえ、デジタル領域では、人間以外にもアルゴリズムで動くエージェントがガバナンスを危殆化しています。
そこで、少なくとも人間同士では、秩序の確立や維持が必要という共通理解をもって、問題意識や目的意識をすり合わせなければなりません。
【CISO】
その必要性は、セキュリティ実務でも感じます。業界横断のセキュリティインシデント情報共有活動などに参加していますが、「インシデントゼロ」などは、非現実的で共通の目的になりえません。重要性や危険度のレベルも企業ごとに違います。それに、技術水準や社内データの蓄積も違いますから、セキュリティという統制活動を一緒にやろうと思っても、共通の目標どころか、言葉や活動のレベルを調整するだけでも大変です。
異次元問題でも、問われるのは責任
【社外取締役】
今日の議論を整理すると、こうでしょうか。デジタルリスクはエコシステムの中を縦横無尽に走り抜けたり、留まったりする。エコシステムは、企業と企業だけでなく、ビジネスに係るすべてのモノとコト（例えばAIエージェントやガバナンスの仕組み）から構成されている複雑系コミュニティ。
ところが、企業は依然として企業単位で、縦の権限体系で統治されている。縦の責任体系や横のシンプルな契約関係（サプライチェーン）ならば、責任の所在は明確。サイバーセキュリティの技術体系もおおむねこれに沿った形で整理されてきた。
生成AI、AIエージェント等が蔓延してきた今、従来のやり方では立ち行かない。エコシステムのデジタルリスクを見極めて、対抗できる体制を考えていかなければならない。ということでいいでしょうか？
【監査役】
ええ、ご整理の通りと思います。
今日見えてきたのは、エコシステムのデジタルリスクとは、サイバー攻撃の問題である以前に、責任をどこに帰属させるかという問題だということです。企業は法人単位で統治される。その中は縦の権限関係。
しかしデジタルリスクは法人境界を無視して伝播する。
このねじれこそが出発点なのでしょう。
デジタル技術が境界を消したのではなく、わたくしたちが、もともと境界の曖昧な世界に生きていたことを、技術が見えるようにしただけなのかもしれません。
エコシステムとは、われわれが見つめるべき現実の別名です。
ですから次の時代のガバナンスは、企業をどう統治するかだけではなく、デジタルエコシステムの中で、どうコトやモノと共生するかを問われることになるのでしょう。
――――――――――――――――――――――――――――――――――
