AIが作った集計や資料を、統制の証拠に使えるか——「元データ・ロジック・パラメータ」の3点を確かめる ‣ はてなベース株式会社

架空のA社で考えてみます（社名・人数・数字はすべて仮のものです）。社員は30人で、経理は2人です。会計はfreee（アドバンス。仕訳承認フローを使っています）、経費精算と請求書の受け取りはバクラクで回しています。

A社では、freeeと連携する市販のAIエージェントに仕訳案を作らせ、経理担当のBさんが確かめて承認する運用を半年ほど続けています（数字や会社名は仮のものです）。

ある日、内部監査の担当者がBさんに尋ねます。「AIが作った仕訳案の一覧を、承認済みの件数と突き合わせて、漏れがないことを確かめていますよね。その一覧は正しいと言える根拠はありますか」

Bさんは少し考えます。AIが出した一覧をそのまま使っていました。件数は合っています。ただ、その一覧が「正しい」と言える理由を、誰かに説明したことはありません。

この記事では、AIが作った集計や一覧を統制の証跡に使うとき、何を確かめておけばよいかを、一次資料と実務の見立てを分けて整理します。AIを統制のどこに置くかの全体像は経理や業務にAIを入れたときの監査対応の記事、AIエージェントの仕訳起票はAIエージェントに仕訳を起票させたときの監査対応の記事で扱っています。

AIが作った集計表や照合結果は、信頼性の確認なしには統制の証跡として扱いにくくなります。監基報500は、企業が作成した情報（IPE）を監査人が利用する場合に「正確性及び網羅性」の確認を求めています（第8項）。監基報315実務ガイダンス第1号は、IPEは「元データ・ロジック・パラメータ」で生成されるとし（Q20）、この3点の信頼性を確かめることが出発点になると整理しています。AIの出力には、プロンプトやモデルの変更で結果が変わりうるという固有の課題もあります。一覧の件数を元データと突き合わせる、ロジック（指示文と科目マッピング）の版を固定して記録する、パラメータ（モデルのバージョンや温度設定）を記録する、という3つの確認を仕組みにしておくと、「この一覧は正しい」と説明できる土台になります。
この記事の要約

📌 IPEとは何か——「企業が作成した情報」の正確性と網羅性

AIの出力が証拠になるかを考える前に、IPE（企業が作成した情報）の枠組みを押さえておきます。

この記事に出てくる用語

用語	ひとことで言うと	身近な例（架空のA社）
IPE（企業が作成した情報）	会社がシステムや手作業で作り、統制や監査で使う一覧や集計	AIが出した仕訳案の一覧、freeeの試算表、バクラクの請求書一覧
正確性	情報の中身が正しいこと	仕訳案の勘定科目と金額が、元のカード明細と合っていること
網羅性	情報に漏れや重複がないこと	カード明細412件に対して、仕訳案も412件あること
元データ	一覧を作るもとになったデータ	カード明細のCSV、請求書のPDF
ロジック	データを加工するルールや計算式	AIへの指示文と勘定科目の対応表（科目マッピング）
パラメータ	処理の条件や設定値	AIモデルのバージョン、温度（temperature）の設定
インテグリティ	情報が改ざんや欠損なく完全に保たれていること	元データからIPEが作られるまでに、途中で行が消えていないこと

監基報500が求めていること

監査基準報告書500（監査証拠）は、監査人が企業の作成した情報を利用する場合、その情報が目的に照らして十分に信頼性を有しているかどうかを評価しなければならないとしています（第8項）。評価にあたっては、(1) 情報の「正確性及び網羅性」に関する監査証拠を入手すること、(2) 情報が監査人の目的に照らして十分に正確かつ詳細であるかを評価すること、の両方が求められます。

これは監査人の手続ですが、会社にとっても関係します。内部統制で一覧や集計を使うなら、その一覧が正確で漏れがないことを自社で確かめる仕組みを整えておくと、監査での説明がしやすくなります。確かめる仕組みがなければ、監査人が追加の手続を行うことになり、時間と手間が増えます。

監基報315実務ガイダンス第1号（以下、315実務ガイダンス）は、IPEをさらに具体的に説明しています。Q20では、企業が作成した情報は「元データ・ロジック・パラメータによって生成されており、利用目的の如何を問わず、情報のインテグリティの担保が重要」としています。

[!NOTE]315実務ガイダンスはQ&A形式の実務ガイダンスであり、監査基準報告書（基準）そのものではありません。以下の引用もQ&Aの記述です。
この記事の要約

IPEの3要素（元データ・ロジック・パラメータ）を示す図。元データ（カード明細CSV）がロジック（指示文と科目マッピング）とパラメータ（モデルのバージョン・温度設定）を通って、IPE（仕訳案の一覧）になる流れ。それぞれに正確性・網羅性の確認が要る

A社で考えると、AIが作った仕訳案の一覧はIPEです。freeeから出した試算表も、バクラクから出した請求書一覧もIPEです。人が手で作ったExcelの集計もIPEです。AIが作ったかどうかではなく、「会社が作った情報を統制や監査で使うかどうか」で判断します。

📌 元データ・ロジック・パラメータの3点で確かめる

315実務ガイダンスQ20の枠組みに沿って、AIの出力を確かめる方法を整理します。

元データの確認

元データの正確性と網羅性を確かめるとは、AIに入れたデータが正しく、漏れがないことを確かめることです。

A社なら、カード明細のCSVが元データです。確かめ方の例は次のとおりです。

カード会社のサイトで表示される件数と、CSVの行数を突き合わせる
CSVの合計金額と、カード会社の月の利用合計を突き合わせる
CSVの取得日を記録し、翌月に追加の明細が出ていないかを確かめる

ロジックの確認

ロジックとは、元データを加工するルールです。AIの場合は、指示文（プロンプト）と科目マッピングがこれに当たります。

確かめ方の例は次のとおりです。

指示文と科目マッピングに版番号を付け、変更のたびに記録する（AIエージェントに仕訳を起票させたときの監査対応の記事で詳しく扱っています）
変更前後でテスト用のデータを流し、出力が期待どおりに変わったことを確かめる
指示文に書かれていないルール（暗黙のルール）がないかを洗い出す。暗黙のルールは、AIのモデルが変わると動きが変わるおそれがあります

パラメータの確認

パラメータとは、処理の条件や設定値です。AIの場合は、モデルのバージョンと温度（temperature）の設定が代表的です。

モデルのバージョンが変わると、同じ指示文でも出力が変わることがあります。利用しているモデルの名前とバージョンを記録します
温度の設定が高いと出力のばらつきが大きくなります。経理の仕訳のように決まった答えが欲しい処理では、温度を低く設定し、その値を記録します
AIサービスの提供元がモデルを更新した場合に通知を受けられるかを確かめます。通知がなければ、定期的に確認する頻度を決めます

3つの確認ポイント（元データ・ロジック・パラメータ）ごとに、何を残すかを整理した図。元データは件数・金額の突合と取得日、ロジックは指示文の版番号と変更前後のテスト、パラメータはモデルのバージョンと温度設定の記録

📌 AIの出力に固有の課題

従来のシステムが出す帳票（freeeの試算表など）は、同じデータを入れれば同じ結果が出ます。ロジックはプログラムに固定されていて、パラメータもシステムの設定で管理されています。

AIの出力には、従来の帳票にはなかった課題があります。

課題	具体的に何が起きるか	A社での例
出力の再現性	同じ入力でも、実行のたびに結果が変わることがある（生成AIの特性）	同じカード明細を2回処理したら、1回目は「消耗品費」、2回目は「事務用品費」になった
モデルの更新	AIサービスの提供元がモデルを更新すると、出力の傾向が変わる	先月まで正しく分類できていた取引が、今月は別の科目に振られた
ハルシネーション	AIが事実に基づかない結果を出力する	存在しない取引先名を摘要に書いた
ブラックボックス	AIがなぜその結果を出したかの説明が難しい	「なぜ旅費交通費でなく通信費にしたのか」をAIに聞いても、根拠が不明確

テクノロジー委員会研究文書第11号（JICPA, 2024年8月。以下、テク研11号）は、主に監査人がAIを利用する場面を扱った研究文書です。同文書は、AIには「信頼性の評価や、説明可能性を担保することの難しさ（ブラックボックス問題）等の課題が存在する」としています。監査人がAI監査ツールを使う場面では、ハルシネーション（AIが事実に基づかない結果を出力すること）の出力は監査では利用できないとしています（図表10 区分6）。

同研究文書は、監査人がAI監査ツールを利用する際の留意点として、被監査会社側のAI利用にも触れています。被監査会社がAIを利用した業務の内部統制を構築していなければ、AIからの出力結果の信頼性が担保されず、監査証拠として利用できないことに留意する、という趣旨の記述があります（2(4)）。

これは監査人向けの研究文書であり、会社の義務を定めたものではありません。ただ、会社の側で内部統制を整えてAIの出力の信頼性を担保しておくことが、監査での説明をしやすくする方向だと考えられます。

経済産業省のシステム管理基準追補版（以下、追補版）も同じ方向で、AIを使う業務では「出力の正確性・妥当性などのチェック・承認を組み込むことが必要である」としています（第II章コラム「AI導入での留意点」）。

AIの出力に固有の4つの課題（再現性、モデル更新、ハルシネーション、ブラックボックス）と、それぞれへの対応を示す図。対応はいずれも「人が確かめる仕組み」に帰着する

📌 「AIは専門家か」という問いは立たない

監査の文脈で「AIの判断を専門家の意見として扱えるか」と聞かれることがあります。結論は、現行の基準では扱えません。

監査基準報告書620（専門家の業務の利用）は、専門家を「会計又は監査以外の分野において専門知識を有する個人又は組織」と定義しています（第5項(1)）。AIは個人でも組織でもないため、現行の監基報620をAIに直接適用することはできません。

AIの出力は、あくまで会社が作った情報（IPE）として扱い、正確性と網羅性を会社自身で確かめることになります。

📌 読み違えやすいポイント

読み違えやすい読み方	原文では	根拠
AIが出した一覧は、人が確認すれば統制の証跡になる	人の確認だけでは足りない。元データの正確性と網羅性、ロジック、パラメータの信頼性を確かめる仕組みが要る	監基報500 第8項、315実務ガイダンス Q20
freeeの試算表はシステムが出すものだから、IPEとして確かめなくてよい	SaaS会計ソフトから出力した帳票であっても、ユーザーが条件を指定して抽出したものや、入力データの正しさは会社の責任。監査人がIPEとして扱うかは利用の目的による	315実務ガイダンス Q20
AIの出力は再現性がないから、統制の証跡に使えない	再現性がないこと自体が使えない理由ではない。出力を確かめる仕組み（入出力の記録、件数の突合など）を整え、信頼性を担保しておくと、監査での説明がしやすくなる	テク研11号 2(4)、追補版第II章コラム

📌 明日からやること

AIの出力をIPEとして管理するために、次の項目を確かめてみてください。

自社でAIが作っている一覧や集計を洗い出す。仕訳案の一覧、勘定科目の照合結果、入金消込の突合表など
それぞれについて、元データは何か、ロジック（指示文・科目マッピング）は固定されているか、パラメータ（モデルのバージョン・温度設定）は記録されているかを確かめる
元データの件数や金額を、別の情報源と突き合わせる手順を決める。カード明細ならカード会社のサイト、請求書ならバクラクの受領件数など
AIの出力を保存するタイミングと保存先を決める。AIサービスのログが消えても、自社で入力と出力の対応が追えるようにする。AI事業者ガイドライン（第1.2版）も、入出力のログの記録・保存を推奨しています（第2部 C.6)①）
モデルの更新やサービスの仕様変更を、誰がどの頻度で確認するかを決める
監査法人に「AIが作った一覧を統制で使っています」と伝え、確かめ方について協議する。IPEの扱いは監査法人ごとに判断が分かれることがあります