架空のA社で考えてみます（社名・人数・数字はすべて仮のものです）。社員は30人で、経理は2人です。会計はfreee（アドバンス。仕訳承認フローを使っています）、経費精算と請求書の受け取りはバクラクで回しています。
A社では半年前から、freeeと連携する市販のAIエージェントに仕訳案を作らせています。経理担当のBさんがAIの出力を確かめて承認する運用です（数字や会社名は仮のものです）。
監査役のCさんは、取締役会で「AIを経理に入れた」という報告を聞きました。ただ、どこまで任せているのか、何を人が確かめているのかは、手元の資料を読んでもよく分かりません。次の取締役会で、何を聞けば監査役として職責を果たせるのでしょうか。
この記事では、監査役と内部監査部門がAI活用を見るときに確かめるべきことを、一次資料と実務の見立てを分けて整理します。AIを統制のどこに置くかの全体像は経理や業務にAIを入れたときの監査対応の記事、AIエージェントの仕訳起票はAIエージェントに仕訳を起票させたときの監査対応の記事、AIの出力を証跡に使う方法はAIの出力を統制の証拠に使う方法の記事で扱っています。
内部統制の基準・実施基準は、監査役等に「独立した立場から、内部統制の整備及び運用状況を監視、検証する役割と責任」を課しています。AIの利用も、この監視の対象です。ただし、基準と金融庁Q&AにはAIを名指しした評価の枠組みはありません。AIの利用は、IT環境の変化として、既存の内部統制の枠組みに当てはめて確かめます。確かめるべきことは、AI利用方針が取締役会で決まっているか、AIの出力を人が確かめた記録が残っているか、生成AIサービスの委託先管理ができているかの3点です。
この記事の要約
利用方針が取締役会で決まっているか
最初に確かめるのは、AI利用の方針が組織として決まっているかです。
内部統制の基準・実施基準（企業会計審議会、令和5年改訂）は、取締役会を「組織の業務執行に関する意思決定機関であり、内部統制の基本方針を決定する」と位置づけています。会社法362条4項6号も、大会社の取締役会に、業務の適正を確保するための体制（いわゆる内部統制システム）の整備に関する決定を義務づけています。AIの利用も、IT環境の変化として、この基本方針の検討対象に含まれると考えられます。
実施基準はIT環境を「組織が活動する上で必然的に関わる内外のITの利用状況」と定め、「予め適切な方針と手続を定め、それを踏まえた適切な対応を行う必要がある」としています。AIの導入はIT環境の変化にあたり、方針なしに運用が先行していると、ITへの対応に関する内部統制上の不備と見なされるおそれがあります。
監査役・内部監査が確かめる項目は、次の3つです。
- AI利用方針（または社内規程）が、取締役会で決議されているか
- どの業務で、どのAIサービスを、どのように使っているかの一覧があるか
- 利用を禁止する業務や、人の承認なしにAIの出力を使ってはいけない場面が決まっているか
AI事業者ガイドライン（第1.2版、総務省・経産省、令和8年3月31日）は非拘束的なソフトローですが、「AI利用者」に対して、AIの適切な利用に関する方針の策定と組織内での周知を求めています。取締役会の決議が難しい段階でも、経営者が定めた方針が文書になっていれば、監査役として確認する土台はあります。
人のレビューが記録に残っているか
次に確かめるのは、AIの出力を人が確かめ、その記録が残っているかです。
テクノロジー委員会研究文書第11号（JICPA、2024年8月13日）のII.5「被監査会社におけるAIの利用」は、AIを用いて経理処理や開示書類等の作成を行う会社について、「十分な知識と経験を持った人間がその妥当性を評価した上で、財務諸表等の作成に利用することが求められる」と述べています。AIが仕訳案を作っても、人がその内容を確かめて承認するまでは、財務諸表に使える品質にはなりません。
監査役・内部監査が確かめる項目は、次の4つです。
- AIの出力を確かめる担当者が決まっているか。その担当者は、科目や税区分の誤りを判断できる知識を持っているか
- 確かめた結果が記録に残っているか。freeeの仕訳承認フローを使っていれば、承認履歴がシステムに残ります。承認以外のレビュー（たとえばAIが出した照合結果の目検）には、日付と担当者と確認結果を残す仕組みが要ります
- AIの出力の件数と、人が確かめた件数が一致しているか。全件レビューの運用なら、漏れがないことを突き合わせで確認できます
- AIの判断が誤っていた場合に、修正した記録が残っているか
315実務ガイダンス第1号（JICPA）のQ18（A18の小項目5「売上計上に関連して人工知能（AI）を利用する場合」）は、監査人が留意する点として、入力データの適切性、学習モデルの適切性、出力結果の適切性と不適切な結果の補正、利用者への説明責任、AIの適時・適切なチューニングの5点を挙げています。これは監査人向けの記述ですが、内部監査が同じ観点で自社の運用を見ると、監査法人への説明の準備にもなります。
生成AIサービスの委託先管理ができているか
3つ目は、AIサービスの提供元の管理です。
生成AIサービス（OpenAI、Anthropic、Google Cloud、Azureなど）を使う場合、会社のデータがサービス提供者に渡ります。経理のデータには取引先名や金額が含まれるため、委託先管理の対象になりえます。
監査役・内部監査が確かめる項目は、次の3つです。
- AIサービスの提供者が、SOCレポート（SOC 2 Type 2など）を取得しているか。SOCレポートの取得状況は、提供者のTrust PortalやCompliance Portalで確認できます（2026年10月時点。OpenAIはSOC 2 Type 2・SOC 3を公開。AnthropicはSOC 2 Type I・Type IIを取得。Google CloudのVertex AIはSOC 1・2・3の対象。AzureはSOC 1・2・3を発行し、SOC 1 Type 2は四半期ごとに更新）
- 契約条件やデータの取り扱いポリシーで、入力データがAIの学習に使われないことが確認できるか。多くの企業向けプランでは、入力データを学習に使わないと明記されていますが、プランによって扱いが異なることがあります
- AIサービスのモデルのバージョンが変わったときに、会社側で変更を検知して影響を確かめる手順があるか
AI事業者ガイドラインの第4部P-6)iiは、AI提供者が利用者に提供する情報の例として、「AIシステム・サービスの学習等による出力又はプログラムの変化の可能性」や「AIシステムの更新を行った場合の更新内容及びその理由の情報」を挙げています。委託先がこうした情報を開示しているかを確かめることも、管理の一環です。
3つの確認点で、求める資料と質問
ここまでの3点を、監査役や内部監査が実際に動ける形に置き直します。確かめる前に「どの資料を出してもらうか」と「担当者に何を聞くか」を決めておくと、ヒアリングが感想の聞き取りで終わらずに済みます。
| 確認点 | 求める資料 | 質問の例 | よくある不備の形 |
|---|---|---|---|
| 利用方針 | AI利用方針（社内規程）、決議した取締役会の議事録、AIを使っている業務の一覧 | 方針はいつ、どの会議体で決めたか。一覧にないAIを使っている部署や担当者はいないか | 方針はあるが、経理で使い始めたAIエージェントが一覧に載っていない |
| 人のレビュー | 仕訳承認フローの承認履歴、承認以外のレビュー記録、AIの出力件数と承認件数の突き合わせ、修正の記録 | 直近1か月で、AIの仕訳案を何件修正したか。担当者が休んだ日は誰が確かめたか | 承認の履歴は全件そろっているが、修正の記録が1件もない |
| 委託先管理 | AIサービスの契約書・利用規約、データの取り扱いポリシー、SOCレポートと、それを読んだ記録 | 入力したデータが学習に使われないことを、どの文書で確かめたか。SOCレポートはいつ入手し、誰が読んだか | SOCレポートを取得しているかだけを確かめ、中身を読んだ記録がない |
利用方針では、文書があるかどうかよりも、実際の利用と一覧が合っているかが確かめどころです。法人で契約したAIサービスは一覧に載りやすい一方で、担当者が個人のアカウントで使っている生成AIは管理部門から見えません。請求書の内容を個人のアカウントの生成AIに貼り付けて確かめている、といった使い方は、一覧を眺めても出てきません。
そのため「一覧にないAIを使っていないか」という質問は、情シスや管理部門だけでなく、現場の担当者にも直接聞くのが有効と考えられます。法人契約のAIと個人で使っているAIを分けて管理しているか、個人での利用を認めるならどの業務までか、を方針の中で決めているかも合わせて確かめます。
人のレビューでは、修正の記録が手がかりになります。承認の履歴が全件そろっていても、修正が1件もなければ、承認者がAIの出力を確かめずに通している可能性を疑えます。修正がゼロであること自体は不備ではありませんが、その理由を担当者に聞き、具体的にどこを見て承認しているかを説明してもらうと、運用の実態が見えてきます。
テクノロジー委員会研究文書第11号のII.5は、AIが判断や分析を行う基となるデータに誤りや漏れがあれば結果の信頼性を担保できないとして、「基礎データの正確性や網羅性についての検証を行える内部統制を整備すること」も被監査会社が留意すべき重要ポイントとしています。架空のA社でいえば、バクラクで受け取った請求書の件数と、AIが仕訳案を作った件数が合っているかを確かめる手順があるか、という質問になります。AIの出力を確かめるだけでは、AIに渡らなかった請求書の漏れは見つかりません。
委託先管理では、実施基準の「委託業務の評価」の考え方が参考になります。実施基準は、委託業務に係る内部統制を評価する手続の例として、委託業務の結果の一部を企業内で検証する方法と、受託会社から内部統制の評価結果を記載した報告書等を入手する方法を挙げ、後者では「当該報告書等が十分な証拠を提供しているかどうかを検討しなければならない」としています。AIサービスが財務報告の重要な業務プロセスの一部を担うようになれば、SOCレポートを取得しているかだけでなく、対象となるサービスや期間が自社の使い方と合っているかまで読むことが求められると考えられます。
監査役と内部監査で、役割はどう違うか
同じAI利用を見るにしても、監査役と内部監査では立ち位置が違います。
実施基準は、監査役等について「独立した立場から、内部統制の整備及び運用状況を監視、検証する役割と責任を有している」とし、その役割を実効的に果たすために「内部監査人や監査人等と連携し、能動的に情報を入手することが重要である」と述べています。内部監査人については、モニタリングの一環として「内部統制の整備及び運用状況を検討、評価し、必要に応じて、その改善を促す職務を担っている」とし、取締役会及び監査役等への報告経路を確保することが適切だとしています。
AI利用の監視について、監査役と内部監査の分担を定めた一次資料は見当たりません。ここからは各者の一般的な役割に沿った整理ですが、承認履歴と出力件数の突き合わせのような記録の検証は内部監査が受け持ち、監査役はその結果の報告を受けたうえで、方針を決めた経緯や、経営者がAIにどこまで任せると判断したかの妥当性を見る、という分け方が自然と考えられます。架空のA社のように内部監査部門を置いていない会社では、監査役が記録の一部を抽出して自ら確かめることになります。
会計監査人との連携も欠かせません。実施基準は、会社法上、監査役等が会計監査人の会計監査の方法と結果の相当性を評価することとされている点に触れています。また、JICPAの「監査及びレビュー等の契約書の作成例」は2026年3月の改正で、監査人が会社から入手する情報に「AI（生成AIを含む。）を利用したアプリケーション又はツールの使用に関する情報」を含める文例を加えました。この文例を使うかは各監査法人の判断ですが、会計監査人からAI利用の説明を求められる場面は増えると考えられます。監査役が先に社内の状況を押さえておけば、会計監査人との意見交換で具体的な話ができます。
1年のどの時期に何を見るか
確かめる時期を決めておかないと、AI利用の確認は「気づいたときにだけ聞く」ものになりがちです。次の表は、四半期ごとの棚卸しを軸にした時期の割り振りの例です。法令や基準で決まった時期ではなく、会社の監査計画に合わせて組み替える前提の見立てです。
| 時期 | 監査役 | 内部監査 |
|---|---|---|
| 期初（監査計画を立てる時期） | AI利用を監査計画の重点項目に入れるかを決める。方針と業務一覧の更新状況を経営者に聞く | 業務一覧をもとに、レビューの記録を確かめる対象業務を選ぶ |
| 四半期ごと | 内部監査から棚卸しの結果の報告を受け、気になる点を質問する | 出力件数と承認件数の突き合わせ、修正の記録、新しく入ったAIサービスの有無を確かめる |
| 期末前 | 会計監査人と、AI利用の状況と監査上の論点について意見を交わす | 1年分の結果をまとめ、不備と改善の状況を取締役会と監査役に報告する |
| AIサービスの追加やモデルの変更があったとき | 取締役会や経営会議で報告されたかを確かめる | 変更後の出力を抽出して確かめた記録があるかを見る |
四半期を軸にしたのは、AIサービスの機能やモデルの更新が速く、年1回の確認では変化を追いきれないと考えられるためです。最後の行のように、時期ではなく出来事をきっかけに確かめる項目を1つ入れておくと、四半期の棚卸しの間に起きた変化も拾えます。
読み違えやすいポイント
| 読み違え | 正しくは |
|---|---|
| 基準にAIの評価項目がないので、監査役はAI利用を見なくてよい | 基準・実施基準にAIの名指しはないが、IT環境の変化として監視の対象になる。監査役等は「内部統制の整備及び運用状況を監視、検証する役割と責任」を負っている（実施基準I.4(3)） |
| AIの導入は情シスの判断で進めてよい | AIの利用が財務報告に影響する業務に及ぶ場合は、内部統制の基本方針の範囲になる。取締役会で方針を決めるか、少なくとも経営者が定めた方針を文書にしておく |
明日からやること
- 社内でAIを使っている業務の一覧を作る。どの部署が、どのAIサービスを、何の業務に使っているか
- AI利用方針（社内規程）が取締役会で決議されているかを確かめる。なければ、まず経営者が方針を文書化する
- 人のレビューの記録が残っているかを、経理に聞いて確かめる。仕訳承認フローの履歴、レビュー記録の有無
- 生成AIサービスの契約条件とSOCレポートの取得状況を、情シスに確かめる
- 四半期に1回、上の4点を棚卸しする手順を決める
IT統制・J-SOX対応の進め方をご相談ください
使っているSaaSの洗い出し、IDと権限・設定変更の記録の始め方、SOC1レポートの読み込み、監査法人との協議に出す案づくりまで、公認会計士とエンジニアが一緒に整理します。