株式会社renue
renueについて
renueは、AIで業務を実装する会社です
AIコンサルティングから図面AI・広告運用エージェント・コールセンターAIまで、実際に動いているサービスをご覧いただけます。renueが何をしている会社か、まずはサービス一覧からご確認ください。
情報システム・基幹系部門のAI実装｜SAP 2027問題・レガシーモダナイゼーション・IT統制の責任設計【2026年5月版】
本稿は、情報システム・基幹系部門（CIO配下：情報システム本部、IT企画部、基幹システム運用部、インフラ部、SAP/ERPコンピテンシーセンター等）における生成AI/AIエージェント実装の論点を、SAP ERP 6.0のEnhancement Package（EHP）6～8に対するメインストリーム保守の終了（2027年末、いわゆる2027年問題）、経済産業省「レガシーシステムモダン化委員会総括レポート」（2025年5月公表、経済産業省 報道発表）、2023年改訂の内部統制基準・実施基準におけるITへの対応、改正サイバーセキュリティ基本法の動向を踏まえて整理したものである。読者として想定するのは、CIO・情報システム本部長・IT企画責任者・基幹システム運用部長・SAP/ERPコンピテンシーセンター責任者、ならびにCFO/CRO/CISO配下でIT投資・IT統制・情報セキュリティを担うリーダーである。
情報システム・基幹系領域は他のすべての部門のAI実装の基盤を担うため、自部門のAI実装は「他部門への波及」「IT統制適合」「説明責任」「移行リスク管理」の4要件を同時に満たす必要がある。本稿は、業務マトリクス・5領域責任設計・3層ガバナンス観点・典型失敗パターンを順に提示する。
情報システム・基幹系領域を取り巻く2026年の制度・市場動向
情報システム・基幹系部門は2026年を境に、複数の制度・技術・市場圧力を同時に受けている。
第一に、SAP 2027年問題への対応期限が近づいている。SAPの保守方針では、SAP ERP 6.0のEHP 6～8についてメインストリーム保守は2027年末まで、希望する顧客には追加料金を伴う延長保守を2030年末まで提供する。対象外の版や構成は個別に保守期限を確認する。企業は、(a) S/4HANAへの移行、(b) Public CloudまたはPrivate Cloudの選択、(c) サードパーティ保守への切替、(d) 国産ERPまたはマルチベンダー環境への乗り換え、に加え、SAPの延長保守を利用して移行期間を確保する選択肢を比較する。延長保守を選ばない場合などの顧客個別保守も、メインストリーム保守と提供範囲が同じとは限らないため、利用版・契約・必要な更新内容を確認する。
第二に、経済産業省「レガシーシステムモダン化委員会総括レポート」（2025年5月公表）により、レガシーシステム残存率が依然として高い水準にあると指摘された。同レポートは、現行踏襲の見直し、業務の標準化、上流人材の育成・確保、ベンダーへの丸投げからの脱却、適切な領域での内製化を提言している（総括レポート第4章）。具体的な実装手段を検討する例として、本記事ではSAP BTP上のSAP Build Process Automationによるローコード／ノーコードの業務自動化も挙げる。特定製品の採用は、自社の基盤・技能・運用費用に合わせて判断する。
第三に、金融庁が公表した2023年改訂の内部統制基準・実施基準は、2024年4月1日以後開始する事業年度から適用され、ITの委託管理やサイバーセキュリティの重要性を示す。3線のモデルは、業務部門、部門横断のリスク管理、独立した内部監査の役割を整理する例であり、情報システム部門に第1線と第2線の兼務を一律に求めるものではない。J-SOXでは財務報告に係る内部統制の評価範囲をリスクに応じて定める。その範囲にある業務でAIを使う場合、本記事では、入力・出力の検証、権限、変更管理、承認責任を既存の統制に組み込む設計を提案する。
第四に、サイバー対処能力強化法・同整備法と経済安全保障推進法は、対象と義務を分けて確認する必要がある。国家サイバー統括室の法制度説明は、基幹インフラ事業者による一定の電子計算機の届出やインシデント報告、官民の情報共有、政府による通信情報の利用・アクセス等を区別している。規定ごとの施行日と対象を確認し、すべての情報システム部門に同じ義務が増えるとは扱わない。経済安全保障推進法の基幹インフラ制度は、指定された特定社会基盤事業者による特定重要設備の導入・維持管理等の委託に、事前届出・審査を求める制度で、2024年5月17日に運用を開始した。SOC・脆弱性管理に生成AIを使う際、本記事では、影響の大きい是正措置に人間の承認を置く設計を推奨する。
第五に、ERPベンダーはAI機能を提供しているが、対象製品・版・地域・利用条件は個別に確認する。SAPのAI料金案内にはクラウド契約に含まれる基本機能と有償のプレミアム機能があり、Jouleも対応する契約や設定を要する。Oracle Fusion Cloud ERPのAI機能一覧は機能ごとにリリースを示し、Microsoft Dynamics 365のライセンス案内ではアプリの利用権やエージェントの実行に必要なクレジット等を区別している。CIOは「ERPアップグレード」と「AI機能統合」を、追加費用や有効化条件を含めて計画する。中国ERPについては、鼎捷数智による製品紹介が鼎捷数智・用友・金蝶等を比較しているが、ベンダー自身の紹介記事であり、市場全体の成長率を示す資料とは区別する。日本企業の中国子会社では、現地ERPの機能・法制度への対応と本社グローバル統一基盤のバランスを検討する。
情報システム・基幹系部門の業務マトリクスと生成AI適用余地
当部門の業務を「定型度」「IT統制影響度」の2軸で類型化すると、AI適用優先順位が明確になる。IT統制影響度とは、AI関与によってJ-SOX上のITGC・アクセス制御・変更管理・運用管理に与える影響の大きさを指す。
| 業務 | 定型度 | IT統制影響度 | AI適用度 | 責任レベル |
|---|---|---|---|---|
| 運用監視・アラート分析 | 高 | 中 | ◎ Co-pilot | L2 |
| インシデントトリアージ・初動 | 中 | 高 | ○ Recommend | L3 |
| 変更管理・本番リリース承認 | 低 | 極高 | △ AI支援・人間最終決裁 | L4 |
| アクセス権限棚卸・分離違反検知 | 中 | 極高 | △ AI候補提示・人間最終決裁 | L4 |
| SAP/ERP移行影響分析・テスト計画 | 中 | 高 | ○ Recommend | L3 |
| ABAPコード解析・リファクタ提案 | 中 | 中 | ◎ Co-pilot | L2 |
| 運用ドキュメント・手順書生成 | 高 | 低 | ◎ Co-pilot | L2 |
| ベンダー評価・RFP作成 | 中 | 中 | ◎ Co-pilot | L2 |
| IT予算試算・ROI分析 | 低 | 高 | ○ Recommend | L3 |
| レガシー脱却ロードマップ策定 | 低 | 極高 | △ AI支援・人間最終決裁 | L4 |
本記事で提案する責任レベルは、L1（Auto）が人間レビュー任意、L2（Co-pilot）は人間が下書きを使って実務、L3（Recommend）は人間が候補から選択、L4（人間最終決裁）はAI出力を参考にするのみで意思決定の説明責任を人間が完全に保持する。変更管理・本番リリース承認・アクセス権限棚卸・レガシー脱却ロードマップ策定はL4で設計し、AI判定とは別に人間の承認・判断根拠を執行記録に残す運用を推奨する。
5領域責任設計フレーム（リスクベース）
renueでは、情報システム・基幹系部門のAI実装を「①基幹システム運用・SLA責任」「②変更管理・IT統制（ITGC）責任」「③SAP/ERP移行・モダナイゼーション責任」「④情報セキュリティ・サプライチェーン責任」「⑤IT予算・ベンダー戦略責任」の5領域に分割し、各領域でAI関与レベルと意思決定責任者を明示する設計を推奨する。
領域①基幹システム運用・SLA責任
運用監視・アラート分析・初動はAIで効率化できる代表領域である。AI Co-pilotによるログ要約・予兆検知・自動チケット起票で運用負荷は大幅に下がる。しかし、SLA違反時の経営層エスカレーション、停止判断、復旧優先順位の決定は情報システム本部長の責任である。AIが提示した「自動復旧手順」をそのまま実行すると、稀なケースでデータ整合性破壊・重大障害拡大のリスクがある。
領域②変更管理・IT統制（ITGC）責任
財務報告に係る統制の評価範囲に応じて、変更管理（CR：Change Request）・本番リリース承認・パッチ適用承認を設計する。AI Co-pilotによる影響分析・テストケース生成・差分検知を活用する場合、本記事では「本番リリース承認」「重大変更時の経営層報告」に人間の判断責任を置く。証跡は原データ・入力・出力と検証・承認記録を結び付け、正確性や完全性、承認者を確かめられるようにする。AI生成という理由だけで一律に無効になるわけではなく、人間の要約だけでも十分とは限らない（内部統制実施基準「ITに係る業務処理統制の評価」等）。
領域③SAP/ERP移行・モダナイゼーション責任
2027年問題対応のSAP S/4HANA移行、レガシーシステムのモダナイゼーション、クラウド移行はAI Co-pilotで影響分析・テスト計画・ABAPコード解析の効率化が大きい。一方、移行戦略選定（Brownfield／Greenfield／Bluefield／サードパーティ保守継続）はCIO・CFO・経営会議の合議による経営判断とする。経産省提言の「現行踏襲の見直し」「標準化対応」「内製化」を経営マターとして位置付けることが必要。
領域④情報セキュリティ・サプライチェーン責任
SOC運用・脆弱性管理・パッチ適用・サプライチェーンセキュリティはAIによる自動化効果が大きい領域だが、改正サイバーセキュリティ基本法・能動的サイバー防御・経済安全保障推進法の対象指定、設備、施行時期をCISO・CIO・現地法務で確認する。第三者AIサービスでは、データ取扱い、学習利用の有無と拒否設定、モデル変更時の通知・再検証を確認項目とする。本記事の設計案として、契約と自社のリスクに合わせて運用を定める。
領域⑤IT予算・ベンダー戦略責任
IT予算試算・ROI分析・ベンダー評価はAI Co-pilotで効率化できる。一方、戦略的アライアンス・サービス継続判断・契約更新条件交渉はCIO・CFO・調達責任者の合議とする。「ベンダー丸投げ体質」からの脱却、内製化推進、上流人材の育成は経営マターとして取締役会承認の対象とする設計が望ましい。
3層設計観点（上場企業特有の情報システム・基幹系ガバナンス）
情報システム・基幹系AI実装は「①取締役会・経営会議レベル」「②CIO・情報システム本部・SAP/ERP CoEレベル」「③現場運用担当者・ベンダー連携担当者レベル」の3層で設計しないと、IT統制・移行リスク・セキュリティの連鎖リスクが顕在化する。
第1層：取締役会・経営会議
(a) IT中期戦略・モダナイゼーション方針の承認、(b) SAP 2027年問題対応戦略決定、(c) 重大インシデント発生時のエスカレーション、(d) 内製化・上流人材育成の方針、(e) IT予算と経営貢献KPI、を年次および随時で決議する。経産省「レガシーシステムモダン化委員会」総括レポートは、取締役等の経営層を想定読者とし、モダン化の意思決定を促している（同レポート「はじめに」）。
第2層：CIO・情報システム本部・SAP/ERP CoE
(a) 5領域別RACI設計、(b) AI出力の証跡保全標準（プロンプト・モデル・出力・人間レビュー記録）、(c) ITGCにおけるAI関与の評価フレーム、(d) SAP/ERP移行ロードマップとAI支援ツール選定、(e) 情報システム部門員のAIスキル要件、を規程化する。CIOの役割は「ITサービス提供責任者」から「AIネイティブ業務基盤の構築責任者」へとシフトしており、IT統制とAI活用の両立設計が中核業務となっている。
第3層：現場運用担当者・ベンダー連携担当者
(a) 原データ・AIの入出力・検証結果を保存し、必要に応じて人間の確認記録や要約を関連付ける（要約を原記録の代用にしない）、(b) 重大変更時の人間承認徹底、(c) ベンダー対応時の機密情報のAI入力制限、(d) インシデント記録のAI関与明示、を運用標準として定める。ベンダー丸投げ体質を脱却し、AI Co-pilotを活用した社内技術判断力の強化が継続テーマとなる。
情報システム・基幹系AI実装の落とし穴（典型失敗パターン）
一般に指摘されることの多い典型的な失敗パターンを整理する。いずれも、IT統制・移行リスク・セキュリティの3要件を軽視した事例である。
失敗パターン①：AI自動復旧スクリプトが本番障害を拡大。運用AIが「自動復旧手順」を実行した結果、稀なケースでデータ整合性破壊・障害拡大に発展。「Auto可」と「人間決裁必須」の境界設計、サンドボックステスト、ロールバック手順の整備が必要だった。
失敗パターン②：AI生成のITGC統制証跡が外部監査で証拠能力を否定。J-SOX対応の変更管理・アクセス権限棚卸の証跡をAI生成のまま提出すると、人間レビュー記録や判断根拠の不足を理由に証拠能力が問われる場合があります。AI出力＋人間サマリ層＋承認フローの3点セットが必須だった。
失敗パターン③：SAP移行戦略をAI推奨のまま採用、業務適合性が破綻。AI推奨のBrownfield移行を採用したが、現行カスタマイズ範囲との適合性検証が不十分で、本番運用後に重大ギャップが顕在化。CIO・CFO・現業部門・SAP CoEの合議による移行戦略決定プロセスが必要だった。
失敗パターン④：ABAPコードのAIリファクタが業務ロジックを破壊。AIによるコード自動リファクタを検証不十分なまま本番適用すると、業務ロジックが意図せず変わる場合があるとされます。AIリファクタはステージング環境での全件比較テスト、業務担当者立会い検証、段階的本番展開の3段階運用が必須だった。
失敗パターン⑤：第三者AIサービスにベンダー機密情報を送信、サプライチェーンセキュリティ違反。ベンダー対応時にRFP・契約書・運用設計書をChatGPT等の社外AIに入力した結果、ベンダー側からの機密保持違反指摘・取引関係毀損に発展。社内AIゲートウェイ＋ベンダー機密のAI入力規程整備が必要だった。
AI化されにくい情報システム・基幹系領域（人間の判断が残る領域）
生成AIの能力が向上しても、以下の領域は人間（特にCIO・情報システム本部長・経験豊富なITアーキテクト）の判断が中核であり続ける。
- IT中期戦略・経営戦略統合：IT投資はCFO・CEOとの戦略合意が前提となる経営判断。
- SAP/ERP移行戦略の選定：Brownfield/Greenfield/Bluefield/サードパーティ保守の選択は経営マター。
- 重大インシデント時の経営層エスカレーション：法的責任・株価インパクト・社会的影響を総合考慮した即時判断。
- ベンダー戦略・契約交渉：長期的関係性・戦略的アライアンスは人間関係を含む高度な意思決定。
- IT組織変革・人材育成：内製化推進・上流人材育成は組織文化変革を伴う長期的取り組み。
まとめ：90日PoC設計のおすすめ
情報システム・基幹系部門のAI実装は、いきなりSAP移行AI自動化や運用全自動化から始めるべきではない。IT統制・移行リスク・セキュリティの3要件を毀損しない領域から段階的に進める設計が望ましい。renueは以下を90日PoCの設計例として推奨する。期間と対象範囲は、既存システムの複雑さ、利用できるデータ、統制・セキュリティ上の条件に合わせて調整する。
- Day 0-30：5領域RACI設計と低リスク領域の選定。運用ドキュメント・手順書生成（L2）、運用監視・アラート分析（L2）、ベンダーRFP作成（L2）から開始。社内AIゲートウェイ整備、AI出力の証跡保全標準制定。
- Day 31-60：SAP/ERP移行影響分析・テスト計画のCo-pilot導入。ABAPコード解析、現行カスタマイズ調査、移行リスク可視化を支援。CIO・CFO・現業部門・SAP CoEの合議プロセス整備。
- Day 61-90：ITGC・SOC・脆弱性管理のCo-pilot限定導入とKPI測定。変更管理・アクセス権限棚卸の人間レビューレイヤー、SOC自動化と人間判断境界、KPI（MTTR・統制テスト網羅率・移行進捗）測定。
このアプローチでは、IT統制・移行リスク・セキュリティへの影響を検証し、90日を目安に本番移行の可否と残る課題をレビューする。検証や承認が不足する場合は試行期間を延長するか、対象範囲を見直す。期間内の本番移行を前提にせず、判断に必要な材料をそろえる。
情報システム・基幹系部門の生成AI実装をrenueと設計しませんか
renueは、上場企業・大企業の情報システム・基幹系部門に向けて、AI実装の責任設計・90日PoC設計・本番運用移行の支援を提供します。SAP 2027年問題・経産省レガシーシステムモダン化提言・改正J-SOX ITGC・改正サイバーセキュリティ基本法を踏まえた5領域責任設計を、御社のIT基盤・既存ベンダーポートフォリオに即して設計します。
関連記事
- 上場企業のDX推進室・AI推進室部門のAI実装｜AI法・人工知能基本計画・AI事業者ガイドライン・内製SaaS判断の責任設計【2026年5月版】
- 上場企業のサイバーセキュリティCSIRT/SOC部門のAI実装｜改正サイバーセキュリティ基本法・能動的サイバー防御・SOC自動化・サプライチェーンの責任設計【2026年5月版】
- 上場企業のCAE/内部監査部門のAI実装｜IIA改訂基準・リスクベース監査計画・不正検知・監査委員会レポーティングの責任設計【2026年5月版】
