この記事で分かること
- リスク評価から報告までの7工程について、AIが担える作業・人が判断すること・残すべき監査証跡を1行ずつ書き分けた「監査手続×AI適用表」
- サンプリング（実施基準が例示する25件）から全件テストへ移したときに得られるものと失うもの、および全件テストを成立させるための前提条件
- 架空企業の購買承認統制について母集団10,000件を全件テストし、逸脱312件を重要度3区分に層別して件数・金額を検算する手順
- AIを使ったテストで「作業をやった証拠」を残すための6要素（対象データ・ツールとバージョン・指示内容・出力・レビュー記録・例外の処理）
結論：全件テストは精度が上がるのではなく、問題の形が変わる
内部統制の運用状況評価にAIやデータ分析を持ち込むと、まず「サンプリングをやめて全件見られるのではないか」という話になります。購買データも仕訳データも承認履歴も構造化データで手に入るので、母集団の全件に判定ルールを当てること自体はできます。問題はその先です。
25件を見て逸脱0件だった統制を10,000件見ると、逸脱が312件出てきます。件数が増えたのは統制が悪化したからではなく、見る量を400倍にしたからです。ここで起きるのは「精度が上がった」という素直な改善ではなく、扱いに困る例外が大量に出てくるという別種の問題です。312件のうち報告すべきものは何件で、その根拠は何か。これを説明できなければ、全件テストは工数だけ増えて結論が出ない作業になります。
したがって本記事の主張は3点です。第一に、全件テストを始める前に重要度の層別基準を決めておくこと。後から決めると、結果を見て基準を動かしたことになり、記録として弱くなります。第二に、全件テストは統計的サンプリングが持っていた理論的な裏付けを捨てるという事実を理解しておくこと。全件を見たという事実は、母集団データが完全で正確であるときにしか意味を持ちません。第三に、不備の程度と開示すべき重要な不備の該当性の判断は人が行うこと。AIは例外を集計し候補を並べるところまでです。
制度上の位置づけも先に断っておきます。財務報告に係る内部統制の評価は経営者が行うものであり、監査人が行う内部統制監査とは別のものです。全件テストの結果を経営者評価の証拠としてどう扱うか、監査人がそれをどこまで利用できるかは、監査人・監査法人と事前に協議して合意しておくべき事項です。本記事は制度の解釈を確定させるものではありません。
なお、契約・発注・検収・請求・仕訳といった証憑どうしの突合手続そのものは、AIによる証憑・監査証跡の突合で扱っています。本記事は社内の内部監査・内部統制評価という立場から、J-SOX固有の論点と、AIツールそのものを統制の対象としてどう扱うかに絞ります。
監査手続×AI適用マップ：7工程で線を引く
最初に作るべき成果物は、工程ごとに「AIが担える作業」「人が判断すること」「残す監査証跡」を書き分けた一覧です。これがないまま「内部監査にAIを入れる」と言うと、担当者ごとに使い方がばらつき、後から何をやったのか再現できなくなります。下図は7工程の全体像です。
この図で強調したいのは、AI側の列に並ぶ動詞が「抽出する」「整理する」「集計する」「たたき台を作る」に限られていることです。「評価する」「結論を出す」「該当性を判断する」という動詞は一つも入っていません。不備の程度の判断や開示すべき重要な不備に当たるかどうかの判断は、企業会計審議会の実施基準が示す枠組みに沿って人が行うものであり、AIの出力がそれを代替するものではありません。
工程ごとの中身を、依頼してよい形と依頼してはいけない形の対比で示します。自社の統制文書の呼び名に置き換えて使ってください。
| 工程 | AIに投げてよい依頼の例 | 投げてはいけない依頼 |
|---|---|---|
| ①リスク評価 | 「この仕訳明細から、承認者と起票者が同一の行、金額が権限境界の直下に集中している行を抽出して一覧にしてください」 | 「この会社の不正リスクはどこですか」 |
| ②監査計画 | 「過去3年の指摘事項と是正完了日を、業務プロセス別に集計してください」 | 「今年の評価範囲を決めてください」 |
| ③統制の理解・文書化 | 「購買管理規程から、承認・照合・職務分離に関する条項を条番号つきで抜き出してください」 | 「統制上の要点を選定してください」 |
| ④整備状況の評価 | 「業務記述書とリスクと統制の対応表を突き合わせ、対応表にあって記述書にない統制を列挙してください」 | 「整備状況は有効ですか」 |
| ⑤運用状況の評価 | 「別紙の判定ルールに従って全件を判定し、該当した条件番号を各行に付してください」 | 「この統制は運用されていますか」 |
| ⑥不備の評価 | 「逸脱行を層別基準に従って3区分に分け、区分別の件数と金額を出して母集団と検算してください」 | 「これは開示すべき重要な不備ですか」 |
| ⑦報告 | 「確定した結論と根拠だけを使って、報告書の事実記載部分の下書きを作ってください」 | 「結論を書いてください」 |
右列の依頼を投げてはいけない理由は、答えが返ってこないからではありません。もっともらしい答えが返ってくるからです。返ってきた文章には根拠らしきものが添えられていて、そのまま調書に貼りたくなります。しかしそれは、AIが手元の文書の記載から生成した文章であって、統制の有効性を確かめた結果ではありません。
サンプリングから全件テストへ：何を得て、何を失うのか
実施基準が示すサンプリングの位置づけ
まず制度側の記述を確認します。企業会計審議会が2023年4月7日に公表した「財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）」では、経営者による運用状況の評価について「運用状況の評価の実施に際して、経営者は、原則としてサンプリングにより十分かつ適切な証拠を入手する」と記載されています（実施基準Ⅱ．3．(3)④）。
また監査人の手続については「監査人自ら選択したサンプルを用いた試査により適切な証拠を入手する方法で行われる（例えば、日常反復継続する取引について、統計上の二項分布を前提とすると、90%の信頼度を得るには、評価対象となる統制上の要点ごとに少なくとも25件のサンプルが必要になる。）」という一文があります（実施基準Ⅲ．3．(3)②）。実務で「25件」という数字が定着しているのは、この例示が出発点です。なお改訂基準・改訂実施基準は、2024年4月1日以後開始する事業年度における評価及び監査から適用すると同意見書に記載されています。
押さえておきたいのは、25件が「25件見れば十分」という意味ではないことです。この例示は二項分布を前提に置いたときの必要サンプル数であり、逸脱0件だった場合に90%の信頼度で母集団の逸脱率について何が言えるか、という推定の枠組みとセットになっています。0件だった場合の上限逸脱率をこの前提から計算すると 1−0.1^(1/25)＝約8.8% です（この数値は前提から導いた計算値であり、実施基準に記載された数字ではありません）。つまり「25件中0件」が示すのは母集団の逸脱率がおおむね9%以下だろうという推定であって、逸脱が存在しないという事実ではありません。
全件テストで得られるもの
- 実在する逸脱の悉皆把握。推定した逸脱率ではなく実際の逸脱件数と金額が分かり、是正対象を特定できます。
- 金額での把握。サンプリングは件数ベースの手続なので金額規模は外挿するしかありませんが、全件テストなら該当取引の金額をそのまま合計できます。
- 期中の早期発見。データが日次・週次で取れるなら期末を待たずに是正できます。実施基準は不備が発見された場合に期末までに是正することを前提とした流れを示しており、早期発見はこれに沿います。
全件テストで失うもの
第一に、統計的な推定の枠組みそのものです。サンプリングには「信頼度」「許容逸脱率」「サンプル数」という三つ組があり、なぜその件数で足りるのかを理論的に説明できます。全件テストにこの説明はありません。全件見たのだから推定は不要だ、という言い方は一見正しいのですが、それは母集団データが完全かつ正確であるときにだけ成り立ちます。抽出条件から漏れた取引、システム外で処理された取引、マスタ登録前の暫定伝票があれば、それは「全件」ではありません。全件テストの信頼性の源は統計理論ではなく、データの網羅性と正確性、すなわちIT全般統制の有効性に移動します。
第二に、結論の出しやすさです。25件中0件なら結論は明快でした。10,000件中312件になると、312件が何を意味するのかを説明する作業が発生し、それは人の仕事になります。
第三に、監査人の手続との接続です。監査人は自ら選択したサンプルによる試査で証拠を入手するのが基本であり、経営者が抽出したサンプルと評価結果を利用できる場合についても、監査人がその妥当性を検討したうえで判断すると実施基準に記載されています。会社側が全件テストを行った場合にその結果をどう扱うかは監査人の判断領域です。移行前に、手続の設計・記録の様式・利用の可否を監査人と協議しておくことを強くおすすめします。ここは制度解釈が確定している領域ではないため、本記事では断定しません。
| 観点 | サンプリング（例：25件） | 全件テスト |
|---|---|---|
| 得られる結論の性質 | 母集団の逸脱率の推定 | 実在する逸脱の悉皆把握 |
| 結論の裏付け | 統計理論（信頼度・許容逸脱率） | 母集団データの網羅性・正確性 |
| 例外の出方 | 0〜数件。1件出ると影響が大きい | 数十〜数百件。層別しないと扱えない |
| 金額の把握 | 母集団への外挿が必要 | 該当取引の金額を直接合計できる |
| 主な作業負荷 | サンプル抽出と原本確認 | 判定ルールの設計と例外の評価 |
| 失敗のしかた | たまたま逸脱を引かず見逃す（前提：無作為性） | 例外が多すぎて結論が出ない（前提：母集団の全件性） |
両者は優劣の関係ではなく、推定の手続と、悉皆の事実把握という、性格の違う手続です。「全件テストをやったからサンプリングは不要」とも「全件テストのほうが証拠として強い」とも一概には言えません。組み合わせ方は、統制の性質・データの入手可能性・監査人との合意によって決まります。
全件テストの設計：層別基準を先に決める
全件テストは、実行そのものよりも設計に手間がかかります。次の7段階で組み立ててください。処理の流れは図2のとおりです。
手順1：統制の要件を判定可能な条件に書き下す
「発注は権限表に定める承認者の承認を得ること」という統制記述は、そのままでは判定できません。判定するには、次のように分解します。
- 承認レコードが存在すること（存在）
- 承認者が権限表上、当該金額帯の承認権限を持つこと（権限）
- 承認日時が発注確定日時以前であること（順序）
- 承認者と起票者が別人であること（職務分離）
4条件がすべて満たされていれば適合、いずれかを満たさなければ逸脱です。この分解を書いた文書が、全件テストの中核成果物になります。分解が粗いと、機械判定の結果が統制の要件と対応しなくなります。
手順2：母集団を確定し、網羅性を確認する
対象期間・対象システム・対象取引区分を決め、抽出条件（SQLやフィルタ条件）を文書に残し、件数と金額合計を確定させます。そのうえで、抽出した母集団が本当に全件かを別ルートで確かめます。総勘定元帳の該当科目の発生額や、購買システムの月次発生件数レポートと突き合わせる方法が典型です。ここが全件テストの成否を決めます。データの整え方はAIに読ませる財務データの作り方で扱っています。
手順3：層別基準を先に決める
逸脱を見る前に、重要度の区分と該当条件を決めて承認を受けます。区分の数は3つが扱いやすいと考えられます（本記事の提案です）。
| 区分 | 該当条件（事前に定義） | 後続の扱い |
|---|---|---|
| Ⅰ 重要度：高 | 承認が存在しない、承認者に権限がない、承認者と起票者が同一（職務分離の崩れ） | 全件を人が個別に確認。不備の程度の評価対象に必ず含める |
| Ⅱ 重要度：中 | 承認は行われているが記録が所定の場所にない、承認ルートが規程と異なる | サンプル抽出して原因を確認。件数と金額を集計して評価に持ち込む |
| Ⅲ 重要度：低 | 承認日時が発注確定より後（事後承認）だが権限内、備考欄の未記入など形式不備 | 件数と金額を集計。傾向が悪化していないかを見る。個別確認は抽出のみ |
区分の定義は自社の統制記述に合わせて書き換えてください。重要なのは、結果を見てから区分を作らないことです。「これは軽微だから低に入れよう」と後から決めると、判断の一貫性を説明できなくなります。
手順4〜7：パイロット・本番・評価・記録
- パイロット。人が手作業で判定した正解データ（30〜50件、逸脱の各区分を意図的に含む）を用意し、機械判定の結果と突き合わせます。食い違った行はすべて原因を特定し、判定ルールを直します。
- 本番実行。母集団全件に判定を当て、逸脱行に「該当した条件番号」と「判定根拠となった値」を付けて出力します。理由の付いていない判定結果は後で確認できないので使えません。
- 評価。区分別の件数と金額を集計し、区分Ⅰは全件、区分Ⅱ・Ⅲは抽出して原本に戻ります。ここから先は人の作業です。
- 記録。後述の監査証跡6要素で保存します。
判定ルールをExcelで実装すると、条件式が入れ子になって読めなくなりがちです。数式を追跡・検証する手順はExcelの数式監査の技術にまとめてあります。判定ロジック自体が検証対象になる点は、モデルの検証と同じ考え方です。
設例：神田精密機器の購買承認統制を10,000件テストする
以下はすべて架空の企業・架空のデータです。神田精密機器株式会社（精密部品の製造、3月決算、上場企業と仮定）の購買プロセスにおける統制上の要点「PC-03：発注は、権限表に定める承認者の承認を経て確定する」について、2026年3月期の全件テストを行ったものとします。単位は百万円、金額はすべて税抜・整数とします。
母集団と判定結果
母集団は当期の確定発注 10,000件、発注金額合計 40,000百万円（1件あたり平均4百万円）です。手順1で分解した4条件で全件判定した結果、逸脱は312件・1,536百万円となりました。
| 区分 | 内容 | 件数 | 金額（百万円） | 1件平均 |
|---|---|---|---|---|
| 区分Ⅰ（高） | 権限表を超える金額帯を承認 | 24 | 720 | 30 |
| 区分Ⅱ（中） | 承認記録がワークフロー外（メール承認） | 88 | 616 | 7 |
| 区分Ⅲ（低） | 権限内だが承認日時が発注確定より後 | 200 | 200 | 1 |
| 逸脱 合計 | － | 312 | 1,536 | － |
| 適合 | 4条件をすべて満たす | 9,688 | 38,464 | － |
| 母集団 合計 | － | 10,000 | 40,000 | 4 |
検算。件数は 24＋88＋200＝312、312＋9,688＝10,000（母集団件数と一致 ✓）。金額は 720＋616＋200＝1,536、1,536＋38,464＝40,000（母集団金額と一致 ✓）。1件平均は 720÷24＝30、616÷88＝7、200÷200＝1、40,000÷10,000＝4（いずれも整数で整合 ✓）。件数ベースの逸脱率は 312÷10,000＝3.12%、金額ベースは 1,536÷40,000＝3.84%です。
形式的に見えますが、実務では最初にここでつまずきます。層別の途中で1件が2区分に重複計上されていた、抽出条件から一部の取引区分が漏れていた、といった不整合は、合計を突き合わせて初めて見つかります。合計が母集団と一致しない全件テストは、全件テストではありません。
25件のサンプリングだったら何が見えたか
同じ母集団から25件を無作為抽出したと仮定して、二項分布を前提に計算してみます（あくまで理論上の計算であり、実際に試行した結果ではありません）。
- 逸脱の期待検出件数：25×3.12%＝0.78件。平均すると1件も出ない計算です。
- 25件すべてが適合となる確率：(1−0.0312)^25 ≒ 45%。約2回に1回は「逸脱0件」という結果になります。
- 区分Ⅰ（24件、母集団比0.24%）が1件でも含まれる確率：1−(1−0.0024)^25 ≒ 5.8%。最も重要な逸脱ほど、サンプルには入りにくいという構造がここに出ています。
ここから言えることは2つです。一つは、25件で逸脱0件という結果と、10,000件で逸脱312件という結果は矛盾していないということ。前者は「逸脱率がおおむね9%以下だろう」と推定しているだけで、全件テストの結果である3.12%はその範囲内に収まっています。統制が突然悪化したわけではありません。
もう一つは、低頻度・高重要度の逸脱を狙うならサンプリングは向いていないということです。区分Ⅰは母集団比0.24%しかないので、無作為抽出では捕まりません。確実に拾いたいなら、全件テストか、特定条件による狙い撃ちの抽出（例：金額が権限境界の直上にある発注だけを全件見る）が適します。逆に区分Ⅲのような形式不備は件数が多いので、傾向を見る目的ならサンプリングでも把握できます。手続の選択は、探したい事象の性質で決まります。
不備の評価は人が行う
ここまでが機械の仕事です。312件という数字は、それ自体では「開示すべき重要な不備がある」とも「ない」とも言いません。実施基準は、業務プロセスに係る内部統制の不備について、①不備の影響が及ぶ範囲の検討、②影響が実際に発生する可能性の検討、③質的重要性および金額的重要性（金額的重要性の判断の目安として、例えば連結税引前利益のおおむね5%程度が挙げられています）の判断、という順で程度を検討する枠組みを示しています。設例に当てはめると次のようになります（数値の当てはめは設例上の簡略化であり、実際の評価は個別の事実関係に基づいて経営者が行い、監査人と協議すべきものです）。
- 影響が及ぶ範囲。区分Ⅰは特定の承認者が権限表を超える金額帯を承認していたものでした。当該承認者が関与する発注区分の当期発注額 4,000百万円 を影響範囲と考えます。
- 発生可能性。実施基準は、発生確率をサンプリング結果から統計的に導く方法のほか、リスクの程度を高・中・低で定性的に把握しあらかじめ定めた比率を適用する方法も考えられるとしています。社内基準で「高＝20%」としていたとすると、潜在的影響額は 4,000×20%＝800百万円。
- 金額的重要性との比較。当期の連結税引前利益を 12,000百万円 とすると目安の5%は 600百万円。800＞600となり、目安を上回ります。
- 質的重要性の検討。職務分離・権限管理に関わる逸脱であること、期中に是正されたか、経営者による内部統制の無効化の兆候がないかを併せて検討します。ここは数値では割り切れません。
検算。4,000×0.20＝800、12,000×0.05＝600、800−600＝200（目安を200百万円上回る）。なお区分Ⅰの逸脱金額720百万円と潜在的影響額800百万円は別の概念です。前者は実際に逸脱と判定された取引の金額、後者は虚偽記載が生じうる範囲に発生可能性を乗じた金額であり、混同しないでください。
この計算結果をもって「開示すべき重要な不備である」と結論するのはAIではありません。数値の当てはめまでは自動化できますが、影響範囲の設定も、発生可能性の水準も、質的重要性の評価も、人が根拠を持って決めるものです。AIが出せるのは、判断のための材料が揃った表までです。
AI利用時の監査証跡：6要素をそろえる
全件テストをAIで回したとき、実務上いちばん問題になるのは記録です。「AIに確認させたところ問題ありませんでした」という一文は監査証拠として機能しません。何を対象に、どのツールで、どう指示して、何が出て、誰がどう確かめたのかが再現できないからです。次の6要素を毎回そろえてください。
| 要素 | 具体的に残すもの | 残さないと起きること |
|---|---|---|
| ①対象データの範囲と抽出条件 | 対象期間、対象システム、抽出条件（SQL・フィルタ条件の全文）、抽出実行日時、件数と金額合計、網羅性の確認方法と結果 | 「全件」と言えなくなる |
| ②使用したツールとバージョン | 製品名、モデル名、バージョン、主要な設定値、実行環境（社内承認済みか）、実行日時 | 再実行しても同じ結果が出ず、原因を切り分けられない |
| ③指示内容 | プロンプト全文（要約ではなく原文）、投入した判定ルール文書の版番号、入力ファイル一覧 | どの指示に対する出力か特定できない |
| ④出力 | 加工前の生の出力、判定結果ファイル、各行の判定理由と根拠値、保存場所と保存日 | 途中で人がどう介入したかを検証できない |
| ⑤人によるレビュー記録 | レビュー者、レビュー日、レビュー方法（全件／抽出何件）、再実施した件数と結果、相違があった行と対応 | AI出力がそのまま結論に見える |
| ⑥例外の処理 | 逸脱一覧、適用した層別基準の版、区分別集計、原因、是正措置、是正日、再テストの結果 | 翌期に前期の判断を参照できない |
③のプロンプト全文を残すことに抵抗がある現場がありますが、省略できません。プロンプトは手続書そのものだからです。手続の内容を書いた文書を残さずに「手続を実施した」とは言えません。④で生の出力を残すのも、後から加工した結果しか残っていないと、どこで人が介入したのかが分からなくなるためです。
⑤については、全件を人が見直すことはできないため、(a)区分Ⅰは全件、(b)区分Ⅱ・Ⅲは各区分から一定件数を抽出、(c)適合と判定された行からも一定件数を抽出（偽陰性の確認）という3方向で行うのが実務的です。(c)を省くと、判定ルールが逸脱を見落としていた場合に永久に気づけません。
プロンプト例：判定と層別を1回で終わらせない
抽出・判定・層別・集計を1つのプロンプトで済ませると、どこで誤ったかが追えなくなります。以下は判定側の完成形で、特定のAI製品に依存しない書き方にしています。
【役割】 あなたは内部統制評価の作業を支援するアシスタントです。統制の有効性、不備の程度、 開示すべき重要な不備の該当性についての結論は述べません。判断は人が行います。 【目的】 添付の発注データ全件に別紙の判定ルールを機械的に適用し、各行が「適合」か「逸脱」かを、 根拠となった値とともに出力すること。 【入力資料】 - purchase_orders.csv（発注番号／起票者ID／起票日時／確定日時／発注金額／ 取引区分／承認者ID／承認日時） - authority_matrix.csv（承認者ID／役職／承認可能上限金額／有効期間） - rules_PC03_v1.2.md（判定ルール文書。条件C1〜C4を定義） ※上記以外の情報源（一般知識・推測）は使用しないこと。 【対象期間】2025年4月1日〜2026年3月31日（確定日時ベース） 【単位】金額はすべて百万円、整数。小数が生じた場合は丸めず「小数あり」と注記すること。 【判定ルール（この4条件のみを使う）】 C1 存在：当該発注番号に対応する承認レコードが1件以上存在する C2 権限：承認者IDの承認可能上限金額 ≧ 発注金額、かつ承認日時が権限表の有効期間内 C3 順序：承認日時 ≦ 確定日時 C4 職務分離：承認者ID ≠ 起票者ID → C1〜C4をすべて満たす場合のみ「適合」。1つでも満たさなければ「逸脱」。 【出力形式】 1行目にヘッダを置いたCSV（半角カンマ区切り）。列は次の順: 発注番号, 判定, 不成立条件（C1〜C4を該当するだけ）, 発注金額, 承認者ID, 承認可能上限金額, 承認日時, 確定日時, 起票者ID, 判定根拠 「判定根拠」列には、どの値をどう比較して不成立と判断したかを1文で書く。 日付時刻は YYYY-MM-DD HH:MM に統一する。 【計算方法】 - 権限超過額 ＝ 発注金額 − 承認可能上限金額（C2不成立の行のみ。他は空欄） - 承認遅延日数 ＝ 承認日時の日付 − 確定日時の日付（C3不成立の行のみ） 【禁止事項】 - 4条件以外の観点で適合・逸脱を判定しないこと。 - 逸脱の重要度を判定・分類しないこと（層別は別工程で行う）。 - 不備の程度、開示すべき重要な不備の該当性、統制の有効性について述べないこと。 - 不正の有無や、特定の個人の意図について述べないこと。 - 入力データにない値を補完・推測しないこと。金額や日時を修正しないこと。 【不明情報の処理】 判定に必要な値が欠落している行は判定列に「判定不能」と記載し、不成立条件列に 欠落項目名を書く。空欄で埋めたり推測で補ったりしないこと。 【出典の表示】 各行の「判定根拠」列の末尾に、判定に用いた値の出所を（ファイル名:行番号）で付記する。 【検算（出力の最終行の後に記載）】 1. 入力件数・適合件数・逸脱件数・判定不能件数を示し、合計＝入力件数 を確認する。 2. 入力金額合計・適合金額合計・逸脱金額合計・判定不能金額合計を示し、 合計が入力金額合計と一致することを確認する。 3. 不成立条件C1〜C4それぞれの該当件数を示す。複数条件に該当する行があるため、 4条件の合計件数が逸脱件数を上回る場合はその旨を明記する。 【レビュー項目（出力の末尾に箇条書き）】 1. 判定不能とした行の一覧と、その理由 2. 複数の条件に同時に該当した行の一覧 3. 権限表に存在しない承認者IDが現れた行の一覧 4. 承認レコードが2件以上存在した行の一覧（どれを採用したかを明記）
この形にすると、出力の各行に「なぜ逸脱と判定したか」が残るので、人によるレビューが成立します。判定理由の付いていない一覧表は、レビューのしようがありません。再現性のため、プロンプトを版管理し、判定ルール文書の版番号と対応づけて保存してください。
AIツール自体を統制の対象として見る
ここまではAIを「評価する側の道具」として扱ってきました。しかし内部監査の観点では、もう一方向の見方が必要です。AIが業務プロセスに組み込まれたとき、そのAIは評価される側の統制になります。
実施基準は、ITに対する統制活動をIT全般統制とIT業務処理統制の2つで捉え、IT全般統制の具体例として「システムの開発、保守に係る管理」「システムの運用・管理」「内外からのアクセス管理などシステムの安全性の確保」「外部委託に関する契約の管理」を挙げています。また2023年の改訂では「ITへの対応」について、ITの委託業務に係る統制の重要性が増していることや、サイバーリスクの高まり等を踏まえた情報システムに係るセキュリティの確保が重要であることが記載されたと、意見書の主な改訂点で説明されています。この枠組みに照らすと、業務に組み込まれたAIは次のように整理できます（以下は本記事の整理であり、制度上の解釈を示すものではありません。自社での適用は監査人と協議してください）。
| IT全般統制の領域 | AIを業務に組み込んだ場合に対応するもの | 確認する記録 |
|---|---|---|
| 開発・保守に係る管理 | プロンプトの作成・改訂、判定ルール文書の改訂、連携スクリプトの改修 | 変更申請書、テスト結果、承認記録、版管理台帳 |
| 運用・管理 | 定期実行、失敗時の再実行、出力の保管、監視とアラート | 実行ログ、エラー対応記録、保管場所と保持期間 |
| アクセス管理・安全性の確保 | 誰がプロンプトを編集・実行でき、誰が出力を見られるか。投入できるデータの範囲 | 権限一覧、付与・剥奪の申請と承認、定期棚卸の記録 |
| 外部委託に関する契約の管理 | AIサービス提供者との契約、データの取扱い条件、モデル更新の通知 | 契約書、利用規約の版、変更通知の受領記録 |
変更管理が最大の論点になる
とくに注意が必要なのが変更管理です。プロンプトやモデルの変更が業務の結果を変えるなら、それは変更管理の対象です。「プロンプトを少し直しただけ」はシステムの分岐条件を書き換えたのと同じ意味を持ちうるにもかかわらず、申請も承認もテストもなく担当者の裁量で行われがちです。ここが統制上の穴になります。
さらに厄介なのが自社が意図しない変更です。外部のAIサービスは提供者側でモデルが更新されることがあり、同じプロンプトでも出力が変わる可能性があります。自社の変更管理プロセスの外側で起きる変更なので、契約管理と変更検知の仕組みで補う必要があります。具体的には、(a)固定の検証用データセットを定期実行して出力の変化を監視する、(b)提供者の変更通知を受け取る担当を決める、(c)モデルやバージョンを指定できる場合は指定する、といった対応が考えられます。モデル台帳の作り方や再検証トリガーの設計は生成AIのモデルリスク管理に、用語としての整理はモデルのバージョン管理にまとめてあります。
実施基準の「サンプル件数を減らせる」を機械的に当てはめない
実施基準には、ITを利用した内部統制は一貫した処理を反復継続するため、その整備状況が有効であると評価された場合には、ITに係る全般統制の有効性を前提に、人手による内部統制よりも、例えばサンプル件数を減らし対象期間を短くするなど、一般に運用状況の評価作業を減らすことができる、という趣旨の記載があります。
ここで編集部の考えを一点付け加えます。この記載の前提は「一貫した処理を反復継続する」という性質です。ルールベースのシステム統制はこの前提を満たしますが、生成AIを用いた判定は同じ入力に対して常に同じ出力を返すとは限りません。したがって生成AIを組み込んだ統制に上記の考え方をそのまま適用してよいかは自明ではないと考えられます。出力の一貫性を自社で確かめたうえで、取扱いを監査人と協議することをおすすめします。AIエージェントに一連の処理を任せる構成での承認ポイントの置き方はAIエージェントの統制設計で扱っています。
全件テスト結果の検証方法
AI出力の一般的な検証手順は生成AI出力の検証手順に譲り、ここでは全件テストに固有の検証項目だけを挙げます。次の6点は、実行のたびに機械的に確認してください。
- 母集団の網羅性。抽出件数・金額合計を、総勘定元帳の該当科目の発生額や基幹システムの月次発生件数レポートと突き合わせる。差異があれば原因を特定してから先に進む。
- 件数と金額の閉じ合わせ。適合＋逸脱＋判定不能＝母集団件数、各金額合計＝母集団金額合計。層別後も同じ検算を行う。
- 重複計上の排除。複数条件に同時に該当した行が区分をまたいで二重に数えられていないか。層別は最も重要度の高い区分に一本化して数えるルールを決めておく。
- 偽陽性の確認。逸脱と判定された行から抽出して原本に戻る。表記揺れやマスタの不備による誤判定が一定数出ます。
- 偽陰性の確認。適合と判定された行からも抽出して原本に戻る。全件テストの検証で最も省略されやすく、最も重要な工程です。ここを省くと判定ルールの見落としに気づけません。
- 再実行の一致。同じ入力・プロンプト・設定でもう一度実行し、判定結果が一致するかを確認する。一致しない場合は差異の件数を記録に残し、判定を機械的なルール処理に置き換えられないか検討する。
期末の評価では、期中に是正した統制について是正後の期間を対象とした再テストが必要になります。是正前後で母集団を分けて集計しておくと、是正の効果を数値で説明できます。
機密情報・個人情報の注意
内部統制の評価で扱うデータには、承認者・起票者の氏名や社員ID、取引先の名称と単価、稟議の内容といった、営業秘密と個人情報の双方が含まれます。社内で承認された環境以外にこれらを投入しないでください。無償の一般向けサービスや個人アカウントへのアップロードは、検証目的であっても避けます。
加えて内部監査特有の事情として、調査中の事案に関する情報や、是正前の不備の内容が含まれることがあります。これらは社内でも共有範囲が限定されるべき情報です。どの情報をどの環境まで入れてよいかの区分と、社内規程への落とし込み方は生成AIに入れてよい情報・いけない情報で整理しています。
よくある失敗
失敗1：層別基準を結果を見てから決める。312件を見てから「これは軽微」「これは重い」と振り分けると、基準が結果に引きずられます。基準は先に文書化して承認を受け、版番号を記録に残してください。途中で変えた場合は変更前後の集計を両方残します。
失敗2：母集団の網羅性を確認しないまま「全件」と称する。抽出条件から特定の取引区分が漏れていた、システム外の紙の稟議が対象外だった、というのはよくあることです。ここを確認しないと結論そのものが成立しません。
失敗3：AIの判定結果を人がレビューしたことにする。「一覧を確認しました」では何をどう確かめたのか分かりません。区分Ⅰは全件、それ以外は何件を抽出し、うち何件で原本と相違があったか、まで書いて初めてレビュー記録になります。
失敗4：適合と判定された行を一度も見ない。偽陽性（逸脱でないのに逸脱とされた行）は目立つので確認されますが、偽陰性（逸脱なのに適合とされた行）は誰も気づきません。判定ルールの不備はこちら側に隠れます。
失敗5：全件テストの結果を監査人に事前相談なしで持ち込む。手続の設計や記録の様式が監査人の期待と食い違っていると、期末直前にやり直しになります。実施基準も評価範囲について必要に応じて監査人と協議することを示しており、計画段階で話しておくのが安全です。
実務チェックリスト
- 統制の記述を、機械判定できる条件（存在・権限・順序・職務分離など）に分解して文書化した
- 母集団の対象期間・対象システム・抽出条件を文書に残し、件数と金額合計を確定させた
- 母集団の網羅性を、総勘定元帳や基幹システムの集計と突き合わせて確認した
- 重要度の層別基準を、テスト実行前に文書化して承認を受けた（版番号つき）
- 複数条件に該当する行を、最も重要度の高い区分に一本化して数えるルールを決めた
- 人が作成した正解データでパイロットを行い、判定ルールを修正した
- 区分別の件数・金額を集計し、合計が母集団と一致することを検算した
- 適合と判定された行からも抽出し、偽陰性の確認を行った
- 監査証跡6要素（対象データ／ツールとバージョン／指示内容／出力／レビュー記録／例外の処理）をそろえた
- プロンプト全文と判定ルール文書の版番号を対応づけて保存した
- AIに投入したデータが社内で承認された環境の範囲内であることを確認した
- 業務に組み込んだAIについて、アクセス管理・変更管理の対象としているかを確認した
- 不備の程度の評価（影響範囲・発生可能性・重要性）を人が行い、根拠を記録した
- 全件テストの取扱いについて、評価の計画段階で監査人と協議した
日本企業での留意点
稟議とワークフローの併存。日本企業では稟議による承認と電子ワークフローが並行して運用されていることが少なくありません。承認の事実が2系統に分かれるため、全件テストの前に「どちらをもって承認済みとするか」を定義しないと、片方しか見ていない判定になります。設例の区分Ⅱ（承認記録がワークフロー外）は、この構造から生まれる逸脱です。
権限表の版管理。組織改編や人事異動で承認権限は年度途中に変わります。全件テストでは取引時点の権限表と照合しなければならないので、権限表に有効期間を持たせておく必要があります。最新の権限表だけで過去1年分を判定すると、異動前の承認がすべて逸脱として上がってきます。
3線モデルにおける立ち位置。2023年の改訂では、内部統制・ガバナンス・全組織的なリスク管理の体制整備の考え方として3線モデルが例示され、第3線を内部監査部門による独立的評価と位置づけています。また内部監査人について、熟達した専門的能力と専門職としての正当な注意をもって職責を全うすること、取締役会および監査役等への報告経路も確保すること等の重要性が記載されたと、意見書の主な改訂点で説明されています。AIの導入はこの独立性や報告経路を変えるものではありません。
評価範囲の考え方は変わらない。2023年の改訂では、評価対象を選定する指標として例示されている「売上高等のおおむね3分の2」や「売上、売掛金及び棚卸資産の3勘定」を機械的に適用すべきでないことが記載されたと説明されています。全件テストが技術的に可能になっても、評価範囲の決め方が自動的に変わるわけではありません。なお、テスト結果として計上額に修正が生じる場合、影響は損益計算書だけでなく貸借対照表にも及びます（財務三表のつながり）。
よくある質問（FAQ）
Q. 全件テストで逸脱が0件だった場合、その統制は「サンプリングより強く」有効と言えますか。
A. 「強い・弱い」という比較にはなりません。全件テストで逸脱0件という結果は、母集団データが完全かつ正確である限りにおいて、判定ルールに照らして逸脱が存在しなかったという事実を示します。したがって主張の強さは、統計的な信頼度ではなく、母集団の網羅性の確認と判定ルールの妥当性にかかっています。逆に言えば、網羅性の確認が弱ければ、全件テストの0件はサンプリングの0件より弱い証拠になりえます。この結果を経営者評価や監査人の手続でどう扱うかは、監査人と協議して決めてください。
Q. 内部監査部門がAIツールを導入する際、どこから手を付けるのが現実的ですか。
A. 判断を伴わず、出力の正誤を明確に確かめられる工程からです。母集団の件数・金額の集計、規程からの条項抽出、過年度指摘事項の整理といった作業は正解が一意に決まるため、AIの出力精度を測れます。逆にリスクの識別や不備の程度の評価から始めると、出力が正しいかを検証する手立てがないまま運用が始まります。導入の順序は「検証できる作業から」が原則です。
Q. J-SOXの適用対象ではない企業にも全件テストは意味がありますか。
A. 内部統制報告書の作成義務がなくても、購買承認や職務分離の逸脱を把握する作業自体には意味があります。ただし「制度上の不備の評価」という枠組みが外れるため、何のために何を数えるのかを自社で定義する必要があります。目的が損失リスクの把握なのか業務標準化の進捗把握なのかで、層別基準も報告先も変わります。
まとめ
内部監査・内部統制評価にAIを使うときの要点は、工程ごとに線を引くことです。リスク評価から報告までの7工程で、AIが担うのは抽出・整理・集計・たたき台の作成まで。統制上の要点の確定、整備・運用状況の結論、不備の程度の判断、開示すべき重要な不備の該当性の判断は、人が根拠を持って行います。
サンプリングから全件テストへ移すことは、精度を上げる改善ではなく手続の性格を変える選択です。得られるのは実在する逸脱の悉皆把握と金額の直接集計、失うのは統計的推定の枠組みと結論の出しやすさ。全件テストの信頼性は、統計理論ではなく母集団データの網羅性、すなわちIT全般統制の有効性に移ります。だからこそ層別基準は結果を見る前に決め、偽陰性の確認を省かず、取扱いは監査人と事前に協議します。
そして「AIが問題なしと言った」は監査証拠になりません。対象データの範囲と抽出条件、使用したツールとバージョン、指示内容、出力、人によるレビュー記録、例外の処理。この6要素がそろって初めて、実施した手続として説明できる状態になります。加えて、AIが業務プロセスに組み込まれた瞬間から、そのAIはIT全般統制（アクセス管理・変更管理）の対象になりうるという視点を持ち続けてください。
判定ルールと層別集計をExcelで組んでみる
この記事の設例（母集団10,000件・逸脱312件・3区分の層別）は、条件式と集計表さえ作れば手元で再現できます。モデリングラボの教材で、判定ロジックの組み方と検算の型を確認してください。
出典・参考（2026-08-16確認）
- 企業会計審議会「財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）」（令和5年4月7日）公表ページ：https://www.fsa.go.jp/news/r4/sonota/20230407/20230407.html ／ 意見書本体（PDF、基準・実施基準を含む）：https://www.fsa.go.jp/news/r4/sonota/20230407/1.pdf ※本文で引用した「運用状況の評価は原則としてサンプリング」「二項分布を前提に90%の信頼度を得るには統制上の要点ごとに少なくとも25件」「IT全般統制の具体例4項目」「不備の程度の検討（影響範囲・発生可能性・質的／金額的重要性、連結税引前利益のおおむね5%程度）」「3線モデルの例示」「適用時期＝2024年4月1日以後開始する事業年度」は、いずれも同PDFの記載に基づきます。
- 金融庁「『内部統制報告制度に関するQ&A』等の改訂について」（令和5年8月31日）：https://www.fsa.go.jp/news/r5/sonota/20230831-2/20230831-2.html
- 日本公認会計士協会「テクノロジー委員会研究文書第11号『監査におけるAIの利用に関する研究文書』」（2024年8月13日公表）案内ページ：https://jicpa.or.jp/specialized_field/20240813dfu.html ※研究文書であり、監査基準・実務指針ではありません。
- 日本公認会計士協会「公認会計士業務とAI」：https://jicpa.or.jp/cpainfo/ai.html
- 本文中の確率（0.78件、約45%、約5.8%）および上限逸脱率（約8.8%）は、実施基準が前提として示す二項分布に基づき編集部が計算した値であり、実施基準に記載された数値ではありません。また実測結果でもありません。
- 設例（神田精密機器株式会社および10,000件の発注データ）はすべて架空であり、実在の企業・取引とは関係ありません。金額は百万円単位の整数で作成し、本文中に検算過程を記載しています。
※本記事は教育目的の一般的な解説であり、法務・税務・会計・投資に関する助言ではありません。実際の判断は専門家にご確認ください。設例は理解のための仮設例です。AI製品の仕様・料金は変更されることがあるため、利用前に各社の公式情報をご確認ください。