取引先からセキュリティチェックシートが届いたとき、あなたの会社ではどう対応していますか。「あの人しかわからない」と特定の担当者に頼り、その人が不在なら審査が止まる——そんな状況が、今まさに変わり始めています。本記事では、AIがセキュリティ監査という「聖域」に入り始めた現在、専門家の役割と組織に求められる準備について解説します。
取引先の情報システム部門から、数十問のセキュリティチェックシートが送られてくる。データの保管場所、暗号化の方式、アクセス権限の管理方法——一問一問、社内の規定や過去の回答履歴を掘り起こしながら埋めていく、地味で骨の折れる作業です。
この作業の問題は、答えられるのが特定の担当者一人だけであることにあります。過去にどう回答したか、どの規定文書のどの条文を根拠にしたか。その情報は担当者の頭の中だけにあり、休めば審査は止まり、辞めれば一からやり直しになる。専門知が、組織ではなく個人に貼りついた状態です。HubSpotの導入・運用支援をしている中でも、このベンダー審査への対応に頭を抱える企業を何度も見てきました。
この仕事の厄介さは、単純作業に見えて実は単純作業ではないところにあります。質問の意図を読み、社内の状況と照らし合わせ、どこまで開示していいかを判断する——知識と経験が要る仕事です。だからこそこれまでは「詳しい人」に頼るしかなく、担当者への依存が組織のリスクになっていました。
最近、この景色が変わり始めています。過去の回答や規定文書を読み込ませたAIがチェックシートの一次回答をつくり、担当者はそれを確認して修正するだけ、という運用に切り替える企業の話を聞くようになりました。ゼロから思い出す仕事から、出てきた答えを検証する仕事へ——作業の中身がそっくり入れ替わっています。
AIの活用段階を「答えるAI → 動くAI → 任せられるAI」と捉えると、セキュリティ監査のような領域はこれまでずっと、失敗したときの代償が大きすぎてAIに任せるのはリスクが高いと見なされてきました。しかし、AIの一次回答を人が検証する（Human-in-the-Loop）という組み合わせは、むしろこの領域と相性が良いのです。代償が大きい仕事だからこそ、AIと人間の役割分担が明確になります。
専門家の役割は静かに変わっています。AIがゼロから叩き台を出し、専門家がその妥当性を判断する。この変化はセキュリティ監査に限った話ではありません。
これらの領域でも、同じ形の変化が起き始めています。怖いのは、この変化を「専門家がいらなくなる」という話として受け取ってしまうことです。むしろ逆で、AIが一次回答を作る時代ほど、その回答が本当に正しいかを見抜ける人の価値が上がります。仕事が減るのではなく、仕事の中身が変わるのです。
AIに一次回答を任せられるかどうかは、何で決まるのでしょうか。カギは文脈の整備にあります。過去にどう答えてきたか、社内のどの規定が根拠になっているか、どの表現なら開示してよくてどこからは避けるべきか——この文脈がきちんと言語化され、一箇所にまとまっていれば、AIの一次回答の精度は上がります。
逆に、文脈が担当者一人の頭の中にしかなければ、AIに渡せるものが何もなく、任せる話自体が始まりません。つまり、セキュリティ監査をAIに手伝わせられるかどうかは、AIの賢さの問題である以上に、自社の専門知がどれだけ言語化・整理されているかの問題です。
データや情報が揃っているだけでは足りず、整っている必要があります。属人化していた専門知を棚卸しして、誰でも参照できる形に整える——地味な作業ですが、これができている組織から順に、AIに一次回答を任せられる範囲が広がっていきます。
自社の業務に当てはめて、考えてみてください。
セキュリティ監査のチェックシートを埋める仕事は、これからも簡単にはなくならないと思います。ただ、その中身は確実に変わっていきます。答えを作る仕事から、答えを見抜く仕事へ。自組織の専門性が、その変わり目のどちら側にあるのか——一度立ち止まって考えてみる価値はあるのではないでしょうか。
セキュリティ監査にAIが入り始めた現在、専門家の役割は「答えを生成する」から「答えを検証する」へと変わっています。この変化への対応力は、AIの賢さよりも、自社の専門知がどれだけ言語化・整備されているかにかかっています。属人化した知識の棚卸しこそが、AI時代における組織の競争優位につながります。