AIシステムを監査する｜対象・手続・証拠の実務ガイド

なぜAI監査が特殊に感じられるのか

多くの監査人が最初に戸惑うのは、AIの判断根拠を完全には説明できないという性質です。従来の業務システムであれば、入力と出力の間にあるロジックを追跡できました。しかし機械学習モデルの内部は、開発者自身にも完全には説明しきれないことがあります。この違いに気を取られると、監査そのものが手詰まりになったように感じられます。

しかし冷静に考えると、監査の目的はモデルの数学的な正しさを証明することではありません。組織がAIを適切に選定し、運用し、誤りが起きたときに気づいて対処できる仕組みを持っているかを確かめることです。この視点に立ち戻れば、AI監査は特別な技術審査ではなく、既存の内部統制監査の枠組みを丁寧に当てはめる作業だとわかります。

ある監査人は、初めてAI監査を任されたとき、モデルの数式を理解しようと専門書を何冊も読み込んだと言います。しかし現場に入ってみると、経営層や担当者が本当に知りたいのは数式の正しさではなく、「このAIが間違えたとき、うちの会社は誰がどう気づくのか」という、もっと素朴な問いでした。技術的な深追いよりも、その問いに答える方が監査の価値を生むと気づいたそうです。

この気づきは、監査という仕事の本質を改めて教えてくれます。監査とは技術の審判ではなく、組織が自らの弱さを自覚し、備えているかを確かめる作業です。AIという新しい題材が加わっても、この本質は変わりません。むしろAIが複雑であればあるほど、組織の備えの真価が問われることになります。

監査範囲の設定

監査範囲を定める最初の一歩は、対象となるAIシステムを漏れなく洗い出すことです。しかし実際には、正式に導入されたシステムだけでなく、現場が独自に契約したツールや、既存システムに後から組み込まれたAI機能まで含めると、想像以上に範囲が広がることが珍しくありません。範囲設定の段階でこの広がりを軽視すると、後の手続がすべて的外れになります。

• データ：出所、品質、権利関係、個人情報の扱い
• モデル：選定理由、性能評価、変更管理
• 運用：権限、ログ、人による確認、例外処理
• 統制：責任者、方針、教育、インシデント対応

主要な監査手続

手続を設計する際は、書類の整合性を確認するだけでなく、実際の業務フローに沿って証跡をたどることを重視します。台帳に記載された内容と、現場で実際に使われているツールが一致しているかどうかは、最初に確認すべき基本中の基本です。

• AI資産台帳と実態の突合
• モデル変更履歴と承認記録のサンプル検証
• 出力品質のモニタリング記録の閲覧
• 人による最終確認が実質的に機能しているかの観察

現場観察が明かす実態

書類上は「人による最終確認」が定められていても、実際の現場に行くと、担当者が承認ボタンを機械的に押しているだけということが少なくありません。ある企業では、AIが生成した与信判断の確認プロセスに平均で7秒しかかかっていないことが、ログの分析からわかりました。人が読んで理解するには足りない時間です。

監査人はこうした数字を見逃さず、実際に担当者の隣に座って作業を観察することが重要です。担当者を責める場ではなく、なぜそうなっているのかを尋ねる場にすることで、業務量の過多や画面設計の不備といった根本原因が見えてきます。形だけの確認を放置すれば、いずれAIの誤りがそのまま顧客に届く事故につながります。

観察の場でよく聞かれるのは、「上から早く処理しろと言われている」「一件あたりの目標時間が決まっていて、じっくり見る余裕がない」という声です。つまり形骸化は個人の意識の問題ではなく、業務設計そのものが確認作業を許していないという構造的な問題であることが多いのです。監査人はこの構造まで踏み込んで初めて、意味のある提言ができます。

さらに踏み込んで観察すると、担当者が承認を急ぐ背景には、上司からの評価が処理件数で決まるという人事制度上の問題が潜んでいることもあります。監査人が指摘すべきは画面設計だけでなく、こうした評価制度と統制設計の矛盾にまで及ぶべきです。

よく見つかる不備

台帳未登録のシャドー利用、変更承認の欠落、確認者が内容を見ずに承認している形骸化。この3つが典型です。加えて、現場が独自の判断でプロンプトの内容を変えてしまい、それが誰にも共有されていないという事例も増えています。個人の工夫が組織の知として蓄積されず、その担当者が異動すれば失われてしまいます。

こうした不備は、担当者の怠慢というよりも、業務量に対して確認の仕組みが追いついていないという構造の問題であることが大半です。監査報告書には不備そのものだけでなく、なぜそれが起きたのかという背景まで記載することで、再発防止の議論が具体的になります。

シャドー利用については特に注意が必要です。ある部署では、正式なツール導入を待ちきれない若手社員が、個人契約の生成AIサービスに顧客情報を要約させて業務を効率化していました。本人に悪意はなく、むしろ会社のためにと思っての工夫でしたが、情報漏えいのリスクは重大です。監査人はこうした善意の逸脱にも目を配る必要があります。

この種の逸脱を発見したとき、いきなり懲罰的な対応をすると、以後の情報が現場から上がってこなくなります。まずは事実を確認し、なぜ正式なツールでは業務が回らなかったのかという不便さの原因を探る姿勢が、長期的には組織の統制水準を底上げします。

人の技能が失われていないかを確かめる

AI監査で見落とされがちな論点が、現場の人間がAIなしで業務を遂行できる技能を維持しているかという点です。AIが日常的に一次判断を行うようになると、若手社員がその業務の勘所を自ら学ぶ機会が減ります。数年後にAIが停止したり誤作動したりしたとき、代わりに判断できる人がいないという事態は、可用性リスクの一種として捉えるべきです。

監査人は、ベテラン社員がAIの提案をどの程度そのまま受け入れているか、逆に若手社員がどの程度AIの提案を疑えているかを、インタビューを通じて確認します。疑う力が失われていないかは、数値化しにくいものの、組織の健全性を測る重要な指標です。

あるベテラン監査人は、若手の審査担当者に「AIの提案と違う判断をしたことは最近ありますか」と尋ねたところ、多くの担当者が「特にない」と答えたことに危機感を覚えたと言います。AIの精度が高いからそうなるのか、それとも疑う訓練を受けていないからそうなるのか、その見極めこそがこれからの監査に求められる洞察です。

この問題は一朝一夕には解決しません。しかし監査を通じて問題意識を組織に投げかけ続けることで、経営層が人材育成の方針を見直すきっかけになることがあります。監査は不備を指摘するだけでなく、組織の将来に対する問いを投げかける役割も担っているのです。

暗黙知の継承という新しい論点

AI導入以前、ベテランから若手への技能継承は、隣で一緒に作業をしながら「なぜここで立ち止まるのか」を体で覚えるという形で行われてきました。AIが一次判断を代行するようになると、この継承の機会そのものが失われていきます。若手はAIの出力を確認するだけの立場になり、判断の根拠となる勘所を自ら育てる場を持てません。

これは監査の対象としては新しい論点ですが、組織の持続可能性に直結する重大なリスクです。監査人は、組織がこの継承の断絶をどう認識し、どう補おうとしているかを確認するべきです。定期的な勉強会、AIの判断根拠を言語化する取り組み、あえてAIを使わせずに判断させる訓練など、対策の有無とその実効性を評価します。

ある製造業では、新人研修の一部にあえてAIを使わない期間を設け、まず自分の頭で見積もりや判断を行わせてから、AIの提案と突き合わせるという教育プログラムを導入しています。効率は一時的に落ちますが、数年後の判断力の差は大きいはずだという経営判断がそこにはあります。監査人はこうした先進的な取り組みも積極的に評価し、報告書に記載することで、他部門への横展開を後押しできます。

報告の書き方

技術的な指摘に終始せず、業務影響とリスク金額の目安を添えます。経営が判断できる形で書かれた指摘だけが是正されます。「モデルのバージョン管理が不十分」という指摘よりも、「バージョン管理の不備により、誤った判断基準のまま3か月間、平均月200件の与信判断が行われていた可能性がある」という書き方のほうが、経営は動きます。

また、指摘には必ず改善の方向性を添えます。監査人が答えを持っている必要はありませんが、現場と一緒に考える姿勢を示すことで、指摘が防御的に受け止められることを避けられます。監査は敵対関係ではなく、組織を守るための共同作業だという理解を、報告のたびに積み重ねていくことが大切です。

報告書の文体一つで、現場の受け止め方は大きく変わります。断定的で追及するような文体は、現場を萎縮させ、次から情報を隠すようになります。事実を淡々と記し、改善への協力を呼びかける文体の方が、結果として次回の監査でより多くの情報を引き出せるという経験則を持つ監査人は少なくありません。

監査人自身のAI利用

皮肉なことに、監査人自身がAIツールを使って調書を作成したり、証跡を要約したりする場面が増えています。ここでも同じ規律が求められます。AIが作成した調書をそのまま提出するのではなく、監査人が自らの目で証拠に当たり、判断の主体であり続けることが、監査の信頼性を支えます。

監査法人や内部監査部門の中には、AI利用の範囲や記録方法についてすでに内規を定めているところもあります。監査対象にAI利用のガバナンスを求める以上、監査する側も同水準の規律を持つ必要があります。

ある監査部門長は、部下がAIで要約した調書に事実誤認が紛れ込んでいたことに気づき、以来「AIが下書きした部分には必ず色をつけて、誰が最終確認したかを記録する」というルールを導入したと語ります。監査する側が律されていなければ、監査される側に説得力のある指摘はできません。

これからの監査人に求められる姿勢

AIが普及するほど、監査人には技術理解よりもむしろ「人を見る目」が重要になります。数字の裏にある現場の事情、承認印の裏にある心理的な圧力、便利さの裏にある慢心。こうしたものを読み取る力は、AIには代替できません。

これからの監査は、AIの正確さを追求するだけでなく、AIと共に働く人間の判断力と誠実さがどのように保たれているかを確かめる仕事へと重心を移していくはずです。技術に詳しい監査人よりも、人と組織の実態を丁寧に見る監査人が、これからより価値を持つようになるでしょう。

数年後には、AI監査の手続自体もAIが支援するようになるかもしれません。それでも最後に「この組織は信頼できるか」を判断するのは人間です。監査という営みの核心が、技術の審査ではなく人間への理解にあるという事実は、AI時代になっても変わらない、むしろより際立っていく真実だと言えるでしょう。

また、監査人自身のキャリア形成も変わっていくでしょう。これまでは会計や法務の知識が監査人の基礎教養でしたが、今後はそこにAIリテラシーと、現場の人間心理を読み解く洞察力が加わります。技術を学ぶことと、人を理解することの両方に投資できる監査人こそが、これから最も必要とされる人材になるはずです。現場を歩く監査人には、統計や規程だけでなく、人がなぜそう振る舞うのかという視点が欠かせません。

監査ツール自体の妥当性検証

皮肉なことに、AI監査を効率化するために監査部門自身が導入するAI監査支援ツールも、検証の対象から除外してはいけません。ある監査法人では、異常取引を自動検知するAIツールを導入した後、そのツール自体が特定のパターンの不正を見逃しやすいという弱点を抱えていることが、後になって判明しました。監査を助けるはずの道具が、逆に新たな死角を生み出していたのです。

監査部門は、自らが用いるツールについても、選定理由、性能評価、限界の把握という一連のプロセスを、監査対象の企業に求めるのと同じ厳格さで実施する必要があります。自分たちの道具を批判的に検証できない監査部門が、他社のAI運用を厳しく評価することはできません。

国際的な監査基準との整合

AI監査の手法はまだ発展途上にありますが、国際的な内部監査人協会や各国の会計士団体は、AIシステムを対象とした監査ガイダンスの整備を急速に進めています。日本国内の企業においても、こうした国際的な議論の動向を注視し、自社の監査手続がガラパゴス化しないよう配慮することが求められます。

ある企業の内部監査部門は、海外子会社への監査手続を統一する過程で、国内基準では十分とされていたAI監査の項目が、国際基準に照らすと不足していることに気づきました。グローバルに事業を展開する企業ほど、国内だけで通用する独自の基準にとどまらず、国際的な水準を意識した監査設計を早期に整えておくことが、将来の摩擦を避ける有効な備えになります。