バックオフィスの文書業務を BPO 事業者に委託するか、自社サーバー上の AI で自動化するか:COO はどう決めるのか

保険金請求、サポートチケット、KYC 書類がたまっていくとき、COO は社員を増やすことも、仕事を BPO 事業者に任せることも、自社のサーバー上の AI で自動化することもできる。KYC（know your customer、顧客確認）書類とは、金融機関が顧客を受け入れる前に集める本人確認書類やその他の記録のことである。BPO（ビジネス・プロセス・アウトソーシング）とは、別の会社のスタッフが、ときには別の国から、その仕事を行うことを指す。自動化では、自社が管理するサーバー上のソフトウェアが文書を読み、処理できない書類を人に回す。BPO 事業者が向くのは、書類の大半に人の判断が必要で、社外のスタッフが文書を見ることが認められている仕事だ。自動化に向くのは、繰り返し届く種類の文書と、社内にとどめなければならない文書だ。両者を組み合わせる会社もある。

バックオフィスの文書業務には、どんな選択肢があるのか

社内のチームを増やせば、文書とノウハウは社内にとどまる。その代わり、量が増えるたびに人を雇って育てることになり、その人たちが本来のペースで働けるようになるまでには時間がかかる。

BPO 事業者は、保険金請求の審査やサポートチケットの仕分けのような一つのプロセス全体を、サービスレベルを定めた契約のもとで引き受ける。サービスレベルとは、たとえば各書類をどれだけ早く処理しなければならないかといった、事業者が約束する目標のことだ。人を探して育てるのは事業者の仕事になる。事業者のスタッフは別の国にいることもあり、事業者自身のシステムで作業することも、自社が発行したログインを使って自社のシステムで作業することもある。

自社サーバー上の AI による自動化とは、ChatGPT の裏にあるのと同じ種類の AI である大規模言語モデル（LLM）で各文書を読むソフトウェアのことだ。ソフトウェアは、取り出したフィールドを自社のルールに照らしてチェックし、通ったものを自社のシステムに書き込む。チェックに通らなかった書類は人に回る。

これらの道は組み合わせられる。定型の書式にある氏名、日付、金額のような決まったフィールドはソフトウェアが受け持ち、残りは人に任せる。

BPO 事業者が仕事をするとき、自社の文書を見るのは誰か

事業者のスタッフが見る。文書を読むことが仕事そのものであり、保険金請求や KYC の書類には個人データが多く含まれているからだ。EU の一般データ保護規則（GDPR）のもとでは、自社に代わって個人データを処理する会社は処理者にあたる。自社は引き続き管理者、つまりデータを何のために、どう使うかを決める側である。

2026年10月19日に、EU の法令を公開する公式ウェブサイトである EUR-Lex で閲覧した GDPR 第28条は、管理者は「十分な保証を提供する処理者のみを利用する」と定めている。同条は、処理者ごとに、契約またはその他の拘束力のある法律行為を結ぶことも求めている。その契約のもとで、処理者は、「個人データの処理を認められた者」が、自ら約束するか法律によって守秘義務を負うようにしなければならない。また、事業者がほかの処理者、たとえば仕事の一部を引き受ける再委託先を加えるには、事前に自社の書面による許可が必要になる。

書類を事業者の側にコピーせず、事業者のスタッフに自社のシステムへログインさせるだけでも、データはそのスタッフが利用できる状態になる。EU 各国のデータ保護当局で構成される欧州データ保護会議（EDPB）は、同じ日に閲覧したガイドライン 05/2021（2023年2月14日付のバージョン2.0）で、このケースを扱っている。

EDPB のガイドラインによれば、第三国、つまり欧州経済領域（EEA）の外の国からのリモートアクセスも、三つの基準を満たす場合には「移転とみなされる」。これは、「個人データを画面に表示するという手段だけで行われる場合であっても」当てはまる。基準の一つは、アクセスを受ける会社、ここでは BPO 事業者が第三国にあることだ。EDPB はさらに、そうした移転は「一定の条件のもとでしか行えない」と述べており、その条件は GDPR 第5章に定められている。

AI を自社のサーバーで動かせば、文書は社内にとどまるのか

言語モデルを含め、システムのすべての部分が自社の管理するサーバーで動くなら、文書は社内にとどまる。日々の仕事の一部として社外のスタッフが文書を読むことはなく、各文書のテキストが OpenAI やほかのモデルプロバイダーに送られることもない。システムが外部のプロバイダーのホストするモデルを使うなら、文書はそのプロバイダーに送られる。

自社のサーバー上でも、どの社員がどの書類を開いてよいのか、そしてシステムがログ、つまり自らの動作の記録に何を書いてよいのかは、決めなければならない。システムを構築し運用する人たちが、実際の文書を見る必要が出てくることもある。その場合、その仕事を請け負うエンジニアリング会社は、BPO 事業者と同じく、通常は GDPR 上の処理者になる。外部のエンジニアがそうしたシステムでどう作業できるかは、上でリンクした、データを外に出さずに AI 開発を外部に委託することについての記事が扱っている。

組み合わせた構成では、BPO 事業者のスタッフが、自社システムのレビューキュー、つまりソフトウェアが人に回した書類の一覧を担当することがある。その場合、事業者のスタッフが見るのはそれらの書類だけだが、処理者との契約と、EEA の外からのリモートアクセスについての GDPR のルールは、引き続きそのスタッフに適用される。

委託した仕事で問題が起きたら、誰が責任を負うのか

法律が自社に課す義務は自社に残り、事業者は契約にもとづいて独自の義務を負う。同じ日に EUR-Lex で閲覧した EU のマネーロンダリング防止規則（Regulation (EU) 2024/1624）が、KYC についてそれがどう働くかを示している。同規則が適用されると、その第18条により、銀行やその他の金融機関をはじめとする対象の会社は、同規則が求める業務をサービスプロバイダーに委託できるようになる。

こうした業務を委託する会社は、事業者が業務を始める前に、監督当局、つまり自社を監督する機関に通知しなければならない。その会社は、「委託した業務に関連するあらゆる行為について、作為か不作為かを問わず、引き続き全面的に責任を負う」。第18条は、「いかなる場合も委託してはならない」業務も挙げている。その中には次のものがある:

• 顧客にどのリスクプロファイルを割り当てるかの決定
• 顧客を受け入れるか、その顧客と一時的な取引を行うかの決定
• マネーロンダリングとテロ資金供与を防ぐための、社内の方針、手続き、管理策の承認
• 疑わしい取引や活動、または通常とは異なる取引や活動を見つけるための基準の承認

同条は、マネーロンダリングのリスクを理由に EU がリストに載せている第三国に拠点を置く事業者に、こうした業務を委託することを禁じている。例外は同じグループ内の事業者で、さらに条件が付く。第90条によれば、同規則は「2027年7月10日から適用される」。二つの種類の会社にはそれより後から適用されるので、現時点で自社に適用される各国のルールを確認する。

同規則の前文の一部である前文第47項は、サービスプロバイダーが業務を行わない場合、会社による「第三者のソフトウェアの利用または取得」は委託にあたらないと付け加えている。

ソフトウェアに KYC 書類を集めさせ、そのフィールドをチェックさせながら、顧客の承認は自社の指名された担当者が行う、という分担はできる。保険金請求については、どちらの道で書類を準備するにしても、自社の社員が必ず下す判断はどれかを書き出しておく。

量が急に増えたとき、それぞれの道はどう対処するのか

月末や規制上の期限には、書類が一気に増えることがある。BPO 事業者は、ほかの仕事からスタッフを移すか、人を雇って急増に対応する。どれだけ前に知らせる必要があるのか、そして新しいスタッフが自社のルールを覚えるあいだ、サービスレベルがどうなるのかを尋ねる。

ソフトウェアは、サーバーのキャパシティが十分にあれば、同じルールのまま、より多くの文書を処理できる。それでも処理できない書類は人に回るので、質の悪いスキャンや通常とは異なるケースが急に増えると、レビューキューが長くなる。最も忙しい日にそのキューを誰が担当するのか、自社の社員か、待機している事業者のスタッフかを、前もって決めておく。

自社の文書でよりよい仕事をするのは、事業者のスタッフか、ソフトウェアか

どちらにも同じ測り方が使える。種類ごとに最近の文書のサンプルを取り、自社の社員にすべてのフィールドの正しい値を書き出してもらう。そのうえで、事業者のスタッフとソフトウェアを、文書の種類ごと、フィールドごとに、そのサンプルに照らして採点する。

自社のコンプライアンス上のルールが事業者のスタッフにそれらの文書を見せることを認めているなら、事業者はトライアルでサンプルを処理できる。ソフトウェアは同じサンプルを使い、それらの文書を処理してよいサーバー上でテストする。フィールドごとの精度、人に回された書類の割合、そして文書が届いてから記録が完成するまでの時間を比べる。

自社の社員も、同じサンプルで測る。人も間違えるものであり、社員のスコアが、どちらの道も達するべき水準になる。サンプルの作り方は、上でリンクした二つの記事、つまり自動化を手がける会社に尋ねるべき質問についての記事と、文書 AI を買うか作るかについての記事が説明している。二つ目の記事では、これを受け入れセットと呼んでいる。

BPO 事業者とエンジニアリング会社は、仕事の価格をどう決めるのか

料金体系はそれぞれ違うので、BPO 事業者とエンジニアリング会社の各社に、どう請求するのかを尋ねる。BPO 事業者は、人数単位、時間単位、あるいは処理した文書の件数単位で請求することがある。エンジニアリング会社の見積もりは、システムの構築と、その後のサポートの二つの部分に分かれていることがある。

最も忙しい月も含め、文書の種類ごと、月ごとに見込む量を3年分書き出し、すべての見積もりをその同じ数字にもとづいて出してもらう。そこに自社のコストを加える。ソフトウェアならサーバーとレビューキューを担当する社員、事業者なら自社の管理職が事業者の監督に費やす時間だ。どの見積もりにも、量が減ったときや書式が変わったときに価格がどう変わるのかを示してもらう。

契約を終えたら、何が自社に残るのか

BPO 事業者に任せると、通常とは異なるケースをどう扱うかといったノウハウの多くは、事業者のスタッフの頭の中にある。書き残していなければ、その知識は契約の終わりとともにスタッフと一緒に去っていく。

最初から、書面にしたプロセスのルールを事業者に求め、仕事が変わるたびに更新してもらう。正しい答えを付けたサンプルは、自社のファイルとして保管する。書面のルールとサンプルがあれば、仕事を新しい事業者やソフトウェアに引き継ぎ、品質が保たれているかを確かめられる。

文書に含まれる個人データについては、GDPR 第28条が、仕事が終わったときにどうなるのかを処理者との契約に書くよう求めている。処理者は、自社の選択に応じて、「サービスの提供の終了後、すべての個人データを削除するか、管理者に返却する」。法律が保存を求めない限り、コピーも削除する。どちらを望むのか、そして事業者がそれをどう確認するのかを、署名の前に取り決めておく。

自動化の道では、契約がそれらを自社に移転するなら、コード、モデルに与えた指示、そして自社のデータで追加学習したモデルが自社に残る。会社が複数のプロジェクトで再利用するコンポーネントのように、契約が何を除外しているかを読んでおく。

BPO 事業者とエンジニアリング会社に、何を尋ねるべきか

どちらの道の候補にも、同じ質問を送る:

• 当社の文書を見る人たちはどこで働くのか。当社のシステムにログインするのか、それとも書類をそちらのシステムにコピーするのか
• ほかにどの会社がこの仕事に加わるのか。それぞれどの国にあるのか
• 契約の前に当社の文書のサンプルを処理し、当社が結果をフィールドごとに採点できるようにしてもらえるか
• そちらが処理できない書類はどうなるのか。そして、当社の誰が次にそれを見るのか
• 契約が終わったとき、どの書面のルール、コード、データが、どんな形で当社に戻ってくるのか

業務の委託、データの移転、顧客の確認についてのルールは、国によっても業種によっても異なる。この記事は EU の法令を例として使っており、法的助言ではない。自社の選ぶ道は、弁護士か規制当局に確認する。

amBrain はどこに位置づけられるか

amBrain が公に説明している言語モデルのプロジェクトは、次の一件だ:「私たちは、顧客の FinTech 環境の境界内で LLM の統合を本番稼働させた:ブローカーや取引施設から届く非構造化の通知 ― コーポレートアクション、銘柄や証拠金の変更 ― を抽出・正規化し、トレーディングシステムが取り込む構造化された記録にするものだ。」

この記事は事例紹介ではなく、クライアントの名前も挙げない。引用した一文は、そのプロジェクトでモデルがどこで動いたのかも、上で説明した段階のどれを含んでいたのかも述べていない。amBrain が保険金請求、サポートチケット、KYC 書類、その他のバックオフィスの文書のためのシステムを構築したとは、ここでは一切述べていない。amBrain が BPO 事業者に取って代わったとも、BPO 事業者と仕事をしたとも、ソフトウェアと事業者のスタッフを組み合わせた構成を運用したとも述べていない。

GDPR とマネーロンダリング防止規則は、この記事では、自社が従わなければならない可能性のあるルールとしてのみ登場する。この記事は、これらの規則やその他のルールのもとでの amBrain 自身のコンプライアンスの状況について、何も主張しない。amBrain の価格や期間も、契約前に自社のサンプルで行うトライアルを含め、プロトタイプやパイロットの条件も示さない。

amBrain は2019年からソフトウェアを作っている。働き方には三つの形態がある:フルデリバリー、専任チーム、あるいはあなたのチームに入るエンジニア。所有権についての一文はこうだ:「顧客は、プロダクトとコードの完全な所有権を保持する。ただし、私たちの再利用可能なコンポーネントは除く。」amBrain が候補リストに入っているなら、ほかのどのエンジニアリング会社とも同じサンプルと、同じ質問を渡すこと。