AI内部統制の設計｜既存フレームにAI固有統制を追加する

AI固有の統制項目

• AIツール導入時の審査・承認
• 入力データの制限と検知
• 出力物のレビュー義務（高リスク用途）
• AIエージェントの実行権限の最小化
• 利用ログの保管とレビュー

既存統制との接続点を探す作業

内部統制の担当者にとって、AI固有の統制をゼロから設計するのは大きな負担に感じられます。しかし実際に既存の業務記述書やリスクコントロールマトリクスを見直すと、承認プロセスやアクセス権限管理といった既存の統制の多くが、対象を「システム」から「AIツール」に広げるだけで応用できることが分かります。

ある経理部門では、請求書処理にAIのOCRと自動仕訳提案を導入した際、従来の「二人以上での承認」という統制ルールをそのまま適用し、AIが提案した仕訳内容を必ず別の担当者が確認する運用に落とし込みました。新しい統制を一から発明するのではなく、既存の統制思想をAIの文脈に翻訳するという発想が、現場の負担を抑えながら実効性を確保する近道になります。

この担当者は「AIが相手だからといって、統制の考え方まで新しくする必要はなかった。むしろ昔からある性善説に頼らない仕組みが、そのまま役に立った」と振り返っています。人が長年の経験から積み上げてきた統制の知恵は、対象がAIに変わっても色あせないという発見は、多くの内部統制部門にとって励みになるはずです。

残すべき証跡6点

• 承認記録
• リスク評価書
• 利用ログ
• 権限付与・棚卸記録
• 教育受講記録
• インシデント対応記録

「レビューしたことになっている」問題

内部統制の現場でしばしば見られるのが、「出力物をレビューする」というルールが形式的な承認印を押すだけの作業に陥ってしまう現象です。ある企業では、AIが作成した契約書の草案を法務担当者がレビューする統制を設けていましたが、実際には多忙な担当者がAIの出力をほぼそのまま承認していたことが後の監査で発覚しました。

これは担当者の怠慢というより、レビューにかけられる時間と件数のバランスが崩れていたことが根本原因でした。統制を設計する際には、「レビューする」という行為が実際に意味のある確認作業になるだけの時間と人員が確保されているかを、統制設計そのものの一部として検討する必要があります。時間のない人間に丁寧なレビューを期待するのは、統制設計の失敗です。

興味深いのは、この問題が発覚した後の対応でした。企業は担当者を叱責するのではなく、レビュー対象の契約書を重要度で三段階に分類し、定型的な契約は簡易チェック、重要度の高い契約は複数人での精読というように、労力の配分を見直しました。人を責めるのではなく仕組みを見直す姿勢こそが、統制文化を健全に保つ鍵だと言えます。

権限最小化とスピードのせめぎ合い

AIエージェントの実行権限を最小化するという原則は正しいのですが、現場ではこれが業務スピードとの間で摩擦を生みます。ある物流企業では、在庫発注を提案するAIエージェントに自動発注の権限まで持たせるかどうかで議論が紛糾しました。人間の承認を挟むと迅速な発注ができない一方、完全自動化すると誤発注のリスクを制御できません。

最終的にこの企業は、発注金額が一定額以下の場合は自動実行を許可し、それを超える場合は人間の承認を必須とする段階的な権限設計を採用しました。重要なのは、権限の最小化を一律のルールとして押し付けるのではなく、業務のリスク許容度に応じてグラデーションをつけることです。この設計には現場の業務感覚を持つ担当者の関与が不可欠であり、内部統制部門だけで完結させることはできません。

議論の過程では、現場の発注担当者から「機械的に金額だけで線を引くと、金額は小さくても取引先との関係上デリケートな発注が漏れてしまう」という指摘も出ました。結果として、金額基準に加えて特定の取引先については必ず人間の確認を挟むという例外ルールも設けられました。統制の設計は、現場の生きた経験を吸い上げてこそ精度が上がるのだと実感させられる事例です。

証跡を残すことと現場の負担感

• 証跡取得のためのツールを別途導入すると、現場の入力作業が二重になりがち
• 既存の業務システムのログを流用できないか、まず技術部門と検討する
• 証跡は「事故が起きたときに説明できる」最小限の粒度にとどめる
• 証跡取得の自動化により、現場の手作業を極力減らす設計を目指す

監査人とAI担当者の間にある温度差

内部統制の監査では、監査人が求める証跡の粒度と、AIを実際に運用している現場の感覚の間に温度差が生じやすいものです。監査人は「なぜその判断をしたのか」を後から再現できる証跡を求めますが、現場の担当者にとっては日々の業務の中でそこまで詳細な記録を残す余裕がないのが実情です。

この温度差を埋めるには、監査人がAIの仕組みについて最低限の理解を持ち、どこまでの証跡が現実的に取得可能かを、現場と対話しながら合意形成することが不可欠です。一方的に理想的な証跡を要求するだけでは、現場は表面的な帳尻合わせに走り、かえって実態を反映しない記録が積み上がることになります。

ある監査人は「最初は現場に証跡を出させることばかり考えていたが、実際にAIツールの画面を触らせてもらって初めて、要求している証跡がどれだけ現場に負荷をかけているか理解できた」と話していました。監査する側とされる側という対立構図ではなく、共に説明可能性を高めていく協働の姿勢が、結果的に監査の実効性そのものを高めることにつながります。

内部統制がもたらす心理的な安心感

内部統制の整備は、しばしば「経営や監査のための負担」として現場に受け止められがちです。しかし丁寧に設計された統制は、実は現場で働く一人ひとりを守る役割も果たします。AIの出力をそのまま使って問題が起きたとき、統制のルールに従っていたことが証明できれば、個人が全責任を負う事態を避けられます。

ある社員は、AIが提案した見積もり金額をそのまま提示してトラブルになった際、事前に定められたレビュー手順を踏んでいたことが記録に残っていたため、個人の過失ではなく手順自体の見直しが必要だったという結論に落ち着きました。この経験を経て、その社員は「ルールは自分を縛るものだと思っていたが、実は自分を守ってくれるものだった」と話していました。統制の意義を現場にどう伝えるかによって、受け止め方は大きく変わります。

こうした経験談は、統制の導入研修で共有する価値があります。抽象的な規程の説明よりも、実際に統制のおかげで救われた誰かの話のほうが、現場の納得感を引き出しやすいものです。統制部門は規則を作るだけでなく、こうした物語を社内に流通させる語り部としての役割も担うべきだと考えられます。

現場のベテランが持つ暗黙知との折り合い

内部統制を設計する際にもう一つ見落とされがちなのが、長年その業務を担ってきたベテラン社員が持つ暗黙知の扱いです。ある製造業の品質管理部門では、AIによる異常検知システムを導入しましたが、ベテラン検査員は「AIが見逃す微妙な違和感を自分は感じ取れる」と主張し、統制ルール上はAIの判定を優先する建付けになっていたにもかかわらず、現場では暗黙のうちにベテランの判断が優先される状態が続いていました。

この状態を放置すると、統制ルールと実際の運用が乖離し、監査上のリスクになるだけでなく、ベテランが異動や退職をした瞬間に品質が急落する危険もはらみます。最終的にこの企業は、ベテランが「違和感がある」と判断した場合には、その理由を簡単な言葉で記録として残し、AIの判定基準の改善に反映させる仕組みを作りました。暗黙知を統制の外に置くのではなく、統制の仕組みの中に取り込んで言語化していくプロセスこそが、AIと人間の知恵を両方生かす設計だと言えます。

今後の展望

AIエージェントが業務システムに深く組み込まれていくにつれて、内部統制は「AIの出力を人がチェックする」という単純な構図から、「複数のAIとシステムが連携する業務フローの中で、どこに人間の判断ポイントを配置するか」という、より複雑な設計課題に発展していくと考えられます。

そのなかで内部統制部門に求められるのは、規則を厳格に適用する番人としての役割だけでなく、現場がAIと安心して協働できるよう、統制のあり方を継続的に対話しながら見直していく伴走者としての役割です。統制は一度作って終わりではなく、AIの進化と業務実態の変化に合わせて生き物のように育てていくものだという認識が広がることを期待します。

数年後を見据えると、統制の巧拙が企業の競争力そのものを左右する時代が来るはずです。AIを恐れて使わせない企業でも、無防備に使わせて事故を起こす企業でもなく、現場の実態に即した統制のもとで安心してAIを使いこなせる企業が、結果的に最も速く、最も遠くまで進めるようになるでしょう。

外部委託先を含めた統制の広がり

自社内のAI利用だけでなく、外部の業務委託先やベンダーがAIをどう使っているかまで統制の視野に入れる必要があります。ある企業では、コールセンター業務を委託している外部企業が独自の判断でAI要約ツールを導入していたことが、契約更新時の確認で初めて発覚しました。

委託先のAI利用実態を把握していなかったことで、顧客情報の取り扱いに関するリスクが自社の統制の外側で発生していたことになります。この経験を踏まえ、委託契約の中にAI利用に関する事前報告義務を明記し、定期的な確認を行う運用に改めた企業が増えています。統制の範囲は自社の壁の内側だけで完結しないという認識が、これからますます重要になります。

システム変更管理とAIモデル更新の統合

従来のシステム変更管理プロセスは、ソフトウェアのバージョンアップや設定変更を対象に設計されてきましたが、AIモデルの更新や再学習は、これらの既存プロセスの想定外にあることが少なくありません。ある企業では、外部ベンダーが提供するAIモデルが予告なく更新され、出力の傾向が変わったことに現場が気づかず、しばらくの間精度の落ちた判断結果を業務に使い続けていたという事例がありました。

この反省から、ベンダーとの契約にモデル更新時の事前通知義務を盛り込み、更新後は一定期間、旧モデルと新モデルの出力を並行して比較検証する統制を導入する企業が出てきています。AIモデルは一度導入すれば固定されるものではなく、生き物のように変化し続けるという前提に立った変更管理が求められます。

小規模企業やグループ会社への統制の展開

本社では精緻な統制フレームを構築していても、規模の小さい子会社や海外拠点では人員も専門知識も不足しており、同じ水準の統制を求めることが現実的でない場合があります。ある企業グループでは、本社の統制フレームをそのまま子会社に展開しようとしたところ、書類作成の負担ばかりが増え、実質的な統制効果はほとんど上がらないという結果に終わりました。

この経験から、統制の要求水準を企業規模やAI利用のリスクの大きさに応じて三段階に分け、小規模拠点には最低限の必須項目のみを課すという柔軟な運用に切り替えました。画一的な統制を押し付けるのではなく、実行可能性を踏まえた段階的な展開が、グループ全体としての実効性を高める結果につながっています。

AI統制と経営者による自己点検の文化

統制の実効性を最終的に担保するのは、規程やチェックリストではなく、経営者自身がその重要性を理解し、率先して自己点検の姿勢を示すことです。ある企業では、四半期ごとに経営陣自らがAI利用の統制状況を確認するワークショップに参加し、現場担当者からの説明を直接受ける機会を設けています。

経営陣が形式的な報告を鵜呑みにせず、具体的な質問を投げかける姿勢を見せることで、現場の担当者も統制を「上から押し付けられた作業」ではなく「経営が本気で関心を持っている取り組み」として受け止めるようになります。統制文化の醸成には、こうした経営者自身の日々の姿勢が、どんな規程よりも大きな影響を与えるという事実を忘れてはなりません。

統制の成熟度を測る簡易診断の活用

自社の内部統制がどの程度成熟しているかを客観的に把握するために、簡易的な成熟度診断を定期的に実施する企業が増えています。ある企業では、統制項目ごとに「未整備」「文書化済み」「運用定着」「継続的改善」の四段階で自己評価し、その結果を毎年の内部監査計画に反映させています。

この診断を通じて明らかになるのは、多くの企業が文書化の段階では高い評価を得られる一方、運用が定着し継続的な改善サイクルが回っている段階まで到達している項目は限られているという現実です。診断結果を可視化することで、どこに追加のリソースを投入すべきかという優先順位づけが、感覚ではなくデータに基づいて行えるようになります。