レスリー・ミルン、最高財務責任者（CFO）、Gathid。
AIエージェントはもはやパイロット段階ではなく、経費項目となっている。サービスアカウント、自動化スクリプト、機械アイデンティティが今や取引先を作成し、支払いを承認し、ソースコードに触れている。それらが何をできるのかを可視化し管理できなければ、それはITリスクにとどまらず、評価不能な負債となる。
財務リーダーは非人間アクセスを給与計算のように扱うべきである：日次で照合し、所有者を明確にして監査可能にすることで、自動化が価値を加速させつつもリスクを増大させないようにする。
なぜアイデンティティがCFOの統制なのか
支払いボットが取引先を作成し資金を送金できる場合、その権限は現金統制となる。データパイプラインが記録を編集または強化できる場合、その特権は収益認識とコンプライアンスに影響を与える。ビルドシステムがコードに署名できる場合、そのキーはブランドの完全性を表す。
内部不正、サプライチェーン攻撃、プライバシー違反による罰則は、特に「一時的な」アクセスが恒久的になった場合、過剰な権限を持つ、または所有者不明の非人間アイデンティティを通じて発生することが多い。
監査できない在庫問題
私の経験では、ほとんどの企業は次の3つの基本的な質問に答えられない：
1. 非人間アイデンティティはいくつ存在するか？
2. 誰がそれらを所有しているのか？
3. それらは何ができるのか？
サービスアカウントはクラウドやOT（運用技術）環境で増殖し、APIトークンは誰も設定した記憶のないSaaSアプリケーション設定に存在している。スプレッドシートや四半期ごとのキャンペーンでは、日々変化する問題を解決できない。財務部門は、管理対象システムのペースで更新される統制基盤を必要としている。
アクセスの生きたマップを構築する
解決策は、人、システム、権限の生きた、ナビゲーション可能なモデルであり、人間についてはHRと、機械については責任ある所有者と照合される。これは毎日再構築されるアイデンティティ知識グラフと考えるとよい：新しいエージェントを発見し、それらをワークロードにリンクし、何に触れることができるかを追跡する。財務にとって、これはリスクの継続的な測定と変更をシミュレートする能力を可能にする。
機械向けの職務分掌を設計する
私たちは人間に対する職務分掌に慣れている。しかし、自動化に対して同じ厳格さを適用することはほとんどない。「取引先作成」と「支払い実行」、「コード昇格」と「バイナリ署名」、「台帳ルール変更」と「仕訳記帳」のような領域横断的な競合から始めよう。厳格な分離が実現不可能な場合は、補完的な統制を定義する。例外は可視化し、時間制限を設け、所有者を明確にする。日次グラフがあれば、競合は隠れることができない。
ライフサイクルを人員と同様に扱う
ボットには従業員に適用されるのと同じ入社・異動・退社の規律が必要だ。所有者とスポンサーを定義し、ビジネス上の正当性を要求し、終了日を設定する。重要度に合わせたスケジュールでキーをローテーションする。サービスが拡張する際は、最小権限の原則に基づいて動的にアイデンティティを見直し、縮小する際はそれらを廃止する。デジタルツインは変更を検証し、取り消しが失敗した場合や権限が再出現した場合にチケットを再オープンする必要がある。
「アクセスP&L」を作成する
CFOは意思決定を動かす指標を必要としている。以下が考えられる：
• 照合率：所有者とワークロードに紐づけられた非人間アイデンティティの割合。
• 高リスク権限の露出：支払い、コード署名、データ削除の権限を持つエージェント。
• ローテーション半減期：キーやトークンを回転させるまでの時間。
• 有害な組み合わせ：ポリシーを超えて開かれているシステム間の競合。
• 修正速度：検出から検証済み修正までの中央値日数。
• 監査リードタイム：防御可能な証拠パックを作成するまでの時間。
これらの指標にはそれぞれコスト、リスク曲線、責任ある所有者がある。
アイデンティティ条項を含む調達
ベンダーがAIエージェントや自動化機能を提供する場合、契約上の統制を要求する：ローテーションAPI、改ざん検知ログ、アイデンティティデータをグラフにエクスポートする機能。アイデンティティとアクセスのガバナンスおよび管理システムとの互換性を要求し、承認と取り消しが監査人が期待する時と場所で行われるようにする。クラウド契約では、機械アイデンティティを規制データのように扱う：誰がそれらを見ることができるか、どのように保存されるか、侵害がどのように開示されるか。
保険と資本コストの調整
サイバー保険の引受業者は、アイデンティティ衛生の証拠をますます求めるようになっている。ポリシーからアイデンティティ、アクション、修正までのタイムスタンプ付き系統をエクスポートできることで、不確実性とプレミアム圧力が軽減される。
同様に重要なのは、信頼できるアイデンティティモデルが自動化プロジェクトの暗黙の資本コストを下げることだ。アクセス変更を安全にテストできれば、財務はAIイニシアチブをより迅速に承認し、投資収益率を希薄化する偶発的バッファを回避できる。より良いデータは保険料を下げ、承認を加速し、今日の企業価値を保護する。
ビジネス用語で取締役会と話す
取締役会メンバーはトークンやスコープについて聞きたいわけではなく、重要性を理解したいのだ。今日、資金を移動し、コードを変更し、台帳を変更できるエージェントがいくつあるか、その数をどれだけ迅速に減らせるか、そして証拠がどのように作成されるかを示す。アイデンティティを運用上の回復力と規制防衛として位置づける。
CFOが支援できる計画活動
• ベースラインと所有権：HR、ディレクトリ、クラウド、ERP、主要SaaSシステムの読み取り専用取り込みから始める。最初の統合アクセスマップを構築し、すべてのアイデンティティに所有権を割り当てる。
• リスク削減の優先事項：最も有害な組み合わせを特定して修正し、高リスク認証情報をローテーションし、入社者、異動者、退社者のライフサイクルガバナンスを確立する。
• 非人間の監視：財務全体で非人間アイデンティティをレビューおよび認証するプロセスを設計し、すべての取り消しが追跡可能であることを確認する。
• ガバナンスフレームワーク：アクセスKPIとレポート頻度を定義する。レポートパックをまとめて公開し、監査委員会または取締役会に進捗状況を報告する。
「良好」を達成するための4つのステップ
ステップ1：すべての非人間アイデンティティに所有権を割り当てる。目的、ローテーションポリシーを定義し、高リスク権限を必要最小限に減らす。
ステップ2：有害な組み合わせを特定し、例外に時間制限を設け、証拠をオンデマンドでエクスポート可能にする。
ステップ3：アクセスレビューを自動化し、実装前にアクセス変更をシミュレートする。
ステップ4：より迅速な成果を提供し、インシデントを減らし、よりクリーンな監査を達成する。
CFOのレバレッジ
取締役会はAIの使用を承認し、規制当局は監視し、保険会社は不確実性に価格を付けている。この3つを調整する統制がアイデンティティだ。エージェントが明確な所有権と最小権限なしに台帳、取引先、コードを変更できるなら、重大なリスクを導入したことになる。
財務リーダーはこの変化をリードするためにIAMの専門家である必要はない。私たちはビジネスを支えるエージェントに対して、日次の可視性、ライフサイクルの規律、証明可能な統制を要求すべきだ。機械アイデンティティを給与計算のように扱う：正確で、照合され、管理されている。
信頼できるアイデンティティデータで自動化を拡張する方法を学んだ企業は、より迅速に展開し、ショックに耐え、価値を複利で増やすだろう。そうでない企業は、ボットの成長と同じくらい速くリスクを増大させることになる。
