内部統制の未来｜AIで統制は「定期点検」から「常時監視」へ

何が変わるのか

• サンプル抽出 → 全件検証
• 期末評価 → 継続的モニタリング
• 不備の発見 → 逸脱の予兆検知

サンプリングという発想の限界

サンプリングという手法自体は、統計的に十分な根拠を持つ優れた発想です。しかし、それが機能するのは「母集団の性質が均質である」という前提があってこそです。実際の業務では、特定の担当者や特定の時期、特定の取引先に不正やミスが偏って発生することが少なくありません。

ベテランの内部監査担当者は「サンプリングで異常が見つからなかったからといって、安心してよいわけではない。むしろ見つからなかったことの方が不安だった」と打ち明けていました。統計的に正しい手法であっても、担当者の実感としては常にどこか心もとなさが残っていたのです。全件検証が可能になったことで、この長年の心もとなさから監査担当者が解放されるという側面は、見落とされがちですが重要な変化です。同時に、全件検証によって「見なくてよい」という安心感が「見なくても大丈夫だろう」という慢心に変わらないよう、検証結果を定期的に振り返る習慣を組織として維持することも欠かせません。

移行時の落とし穴

検知件数が急増し、対応が追いつかなくなる現象がよく起きます。閾値設計と優先度分類を先に決め、対応可能な件数から始めることが重要です。全件検証を始めた途端に、これまで見えていなかった細かな逸脱が大量に浮かび上がり、担当チームがパンクしてしまうというのはよくある失敗パターンです。

ある企業では、全件検証を導入した初月に検知件数が想定の20倍にのぼり、担当者が疲弊して離職を考えるほどの負荷がかかったといいます。技術的に検知できることと、組織が対応できる件数の間には大きな差があることを、事前に見積もっておく必要があります。「検知できる」ことと「対応する価値がある」ことは別の話であり、この区別を怠ると現場は疲弊するばかりで統制の質は上がりません。段階的に閾値を引き下げながら組織の対応能力を測る、いわば助走期間を設けることが、多くの企業にとって現実的な導入方法になっています。

AI自体を統制対象にする

統制にAIを使うなら、そのAIの入力データ・モデル変更・誤検知率も統制対象です。監視する仕組みを誰が監視するのかを文書化します。AIが「異常なし」と判断し続けている裏側で、実はモデルの精度が徐々に劣化しているという事態は十分に起こり得ます。

ある企業の内部監査部門は、四半期ごとにAIの誤検知率と見逃し率を人手でサンプル検証する仕組みを別途設け、AIの判断そのものへの信頼性を継続的に点検しています。「AIを信頼して任せる」ことと「AIを無条件に信じ込む」ことの間には大きな違いがあり、その線引きを保つための地道な検証作業を担うのもまた、人間の重要な役割です。この検証作業を怠った企業では、モデルの劣化に半年以上気づかず、その間に多数の異常取引が見逃されていたという苦い事例も報告されています。

現場が抱く「見張られている」感覚とどう向き合うか

常時監視型の統制が導入されると、現場の社員は「毎日の一挙手一投足が記録され、点検されている」という感覚を強く持つようになります。これまで年に一度の監査であれば、多少の緊張はあってもやり過ごせたものが、常時監視となると心理的な負担は質的に異なるものになります。

ある経理担当者は「以前は監査の時期だけ気を引き締めればよかったが、今は常に見られているようで気が休まらない」と率直な悩みを語っていました。統制の精度を高めることと、そこで働く人の心理的な健全性を保つことは、両立させなければならない別々の課題です。常時監視を導入する際には、その目的が「不正を捕まえること」ではなく「ミスを未然に防ぎ、担当者自身を守ること」であるというメッセージを、経営が繰り返し発信する必要があります。

全件検証がもたらす想定外の発見

サンプリングでは母集団の一部しか確認できないため、実は特定のパターンで繰り返されていた小さな異常が、長年見過ごされてきたというケースが少なくありません。ある企業で全件検証を導入したところ、特定の取引先との間で、契約条件からわずかに外れた価格設定が数年にわたって継続していたことが発覚しました。

担当者はこの発見に驚きつつも、「不正というよりも、担当者の交代の際に引き継ぎが不十分だったことが原因だった」と説明していました。全件検証は、意図的な不正を暴くためだけの道具ではなく、組織の中に静かに蓄積していた運用の緩みを可視化する効果も持っています。この発見的な側面は、統制の導入効果を語る際にしばしば見落とされがちですが、実務上は非常に価値のある副産物です。

経営層への報告の仕方をどう変えるか

常時監視型の統制に移行すると、経営層への報告の頻度と形式も見直す必要が出てきます。年に一度の監査報告書という形式は、日々発生する検知結果を扱うには不向きであり、かといって毎日の検知結果をすべて経営層に共有することも現実的ではありません。

ある企業では、月次で検知傾向のサマリーを共有し、重大な逸脱が発見された場合のみ随時報告するという二段構えの報告体制を構築しました。この体制を設計した担当役員は、「経営層に伝えるべきは個々の検知結果ではなく、それが示すリスクの傾向とトレンドだ」と説明しています。加えて、重大な逸脱の随時報告には必ず一次対応の状況も添えることで、経営層が漠然とした不安だけを抱えることのないよう配慮しています。報告の粒度を適切に設計することは、常時監視の仕組みを経営判断に結びつけるための重要な工程であり、技術導入と同じくらいの丁寧さが求められます。

中小規模の組織における現実的な進め方

大企業向けに語られる常時監視型統制の理想像は、必ずしもすべての企業にそのまま当てはまるわけではありません。専任の監査部門を持たない中小規模の組織では、全件検証を導入すること自体のハードルが高く、まずは検知の自動化だけを部分的に導入するという現実的な選択が有効です。

ある中堅企業では、経理業務の中でも特にリスクの高い経費精算の領域に絞って自動検知の仕組みを導入し、そこで得られた知見をもとに徐々に対象範囲を広げていくという段階的なアプローチを取りました。すべての業務を一気に常時監視化しようとするのではなく、限られたリソースの中でどこから着手するかという優先順位づけこそが、中小規模の組織にとって最も重要な意思決定になります。

3年の移行ロードマップ

• 1年目：高リスク業務プロセス2つで全件検証を試行
• 2年目：検知ルールの精度改善と対応体制の常設化
• 3年目：期末評価の負荷を継続的モニタリングへ置換

テクノロジーベンダー選定の落とし穴

常時監視の仕組みを構築する際、多くの企業は最初にベンダー選定に注力しますが、実際に運用を始めてから後悔するケースが少なくありません。ある企業の情報システム担当者は、「デモでは検知精度の高さばかりが強調されていたが、実際に導入してみると、検知結果を人間が確認しやすい形で提示する機能が貧弱で、結局エクセルに書き出して手作業で整理する羽目になった」と振り返っています。

検知の精度そのものと同じくらい、検知結果をどう提示し、どう業務フローに組み込むかという運用面の使い勝手が、導入の成否を分ける重要な要素です。ベンダー選定の際には、実際の業務担当者を交えたパイロット運用を必ず組み込み、机上のデモだけで判断しないという慎重さが求められます。

統制強化と業務効率のバランスをどう取るか

常時監視型の統制を徹底しようとすると、確認のステップが増え、業務のスピードが落ちるという副作用が生じることがあります。ある企業では、すべての取引に対して厳格なリアルタイムチェックを導入した結果、正常な取引までもが頻繁に止められてしまい、営業現場から強い不満の声が上がりました。

この企業は後に、リスクの高い取引パターンにのみ厳格なチェックを適用し、通常の取引は事後的な検証にとどめるという、リスクベースのアプローチへと方針を転換しました。統制はやればやるほど良いというものではなく、業務効率とのバランスを見極めながら、投じる労力をリスクの大きさに応じて配分するという設計思想が不可欠です。この転換を主導した責任者は、「統制の目的は取引を止めることではなく、健全な事業活動を守ることだ」という原点に立ち返ったことが、方針転換の決め手になったと話していました。以来この企業では、新しい統制ルールを導入する前に必ず「これは誰のどんなリスクを防ぐためのものか」を明文化し、目的が曖昧なルールは導入しないという原則を徹底しています。

監査担当者の役割はどう変わるか

サンプルを抽出して手作業で確認するという従来の監査業務の多くは、AIに代替されていきます。これは監査担当者の仕事が縮小することを意味するのではなく、仕事の重心が変わることを意味します。検知された逸脱の中から、本当に重要な問題を見極め、その背景にある組織的な要因を掘り下げるという、より高度な判断業務に時間を割けるようになるのです。

ベテランの監査担当者は「これまでは数字を突き合わせる作業に一日の大半を費やしていたが、今はなぜその逸脱が起きたのか、現場に足を運んで話を聞く時間が増えた」と話しています。数字の裏にある人間の事情に向き合う時間が増えることは、監査という仕事の本質に立ち返る好機とも言えるでしょう。

外部監査人との関係の再定義

常時監視型の統制が社内に定着すると、外部監査人との関係性にも変化が生まれます。従来の外部監査は、限られた期間にサンプルを確認するという性質上、企業側が用意した資料に依存する部分が大きくありましたが、常時モニタリングのログが整備されていれば、外部監査人はより広範なデータに基づいた検証を行えるようになります。

ある企業の監査役は、「外部監査人から、うちの常時監視データを見せてほしいと言われたときは正直驚いたが、結果的に監査の質が上がり、指摘事項もより的確なものになった」と話しています。社内の統制の高度化は、外部との関係においても新しい協働の形を生み出す可能性を秘めており、この変化を前向きに捉える企業ほど、監査全体の効率と質を同時に高められる傾向があります。

失敗事例から学ぶ導入の順序

常時監視型の統制への移行に失敗した企業の多くに共通するのは、技術導入を先行させ、組織的な合意形成を後回しにしたという点です。ある企業では、準備期間をほとんど設けないまま、経営トップの号令で急遽全社的な常時監視システムを導入しましたが、現場への説明が不十分だったため、社員から「監視されている」という強い反発が起き、結局システムの一部機能を停止せざるを得なくなりました。

この失敗から学べる教訓は、技術の性能や機能の充実度以上に、なぜこの変化が必要なのかを現場に丁寧に説明し、納得を得るプロセスにこそ時間をかけるべきだという点です。逆に、小規模なパイロットから始めて、参加した社員自身が「不正の疑いを晴らすのに役立った」といった肯定的な体験を得た企業では、その後の全社展開が比較的スムーズに進んでいます。導入の順序を誤らないことが、技術そのものの優劣以上に、成否を分ける決定的な要因になります。段階的に信頼を積み上げていくプロセスを軽視せず、小さな成功体験を丁寧に積み重ねることが、結果的に最も速く全社展開にたどり着く近道になるという逆説を、多くの企業が身をもって学んでいます。

予兆検知がもたらす新しい難しさ

逸脱の予兆を検知するという発想は魅力的である一方、新しい難しさも伴います。「まだ不正は起きていないが、その兆候がある」という段階で担当者に注意を促すことは、時に濡れ衣を着せるような結果になりかねません。予兆検知の精度が十分でない段階では、無実の社員を疑ってしまうリスクを常に意識する必要があります。

ある企業では、予兆検知のアラートが出た社員に対して、いきなり詰問するのではなく、まず業務上の事情を丁寧にヒアリングするというプロセスを徹底しています。「疑われている」ではなく「確認させてもらっている」という姿勢の違いが、その後の信頼関係を大きく左右するという教訓が、多くの企業の試行錯誤から見えてきています。

これから数年の展望

今後数年で、常時監視型の内部統制はさらに多くの業務領域に広がり、検知の精度も向上していくでしょう。同時に、検知されたことをどう扱うかという運用面のノウハウが、企業間の統制品質の差を分ける決定的な要素になっていくと考えられます。

技術が進化するほど、最後に問われるのは「その技術をどれだけ人間的な配慮を持って運用できるか」という点に収斂していくはずです。統制の網の目を細かくすることと、そこで働く人々の尊厳を守ることは、対立する概念ではなく、両輪として設計されるべきものだという認識が、これからの内部統制の常識になっていくでしょう。