AI利用の継続監査フローと棚卸サイクル：効果的な統制実務
本ページでは、AI利用におけるガバナンスと継続的な統制のための実務フローを解説します。申請、審査、例外、更新、棚卸、そして継続監査という一連のサイクルを通じて、AIシステムのリスクを管理し、適切な証跡を整備する観点を提供。RACIを用いた責任分担の明確化、Human-in-the-Loopの重要性、AIMO Standardに基づくフレームワーク活用を支援します。監査に備えた欠落是正や質問対応の観点も整理し、組織の監査・統制実務を効果的にサポートします。
運用ワークフロー—申請・審査・例外・更新
フロー（番号付きステップ）
| 段階 | 主なアクティビティ | 残す証跡の観点 |
|---|---|---|
| 1. 申請 | 新規利用・ツール導入の申請 | 申請者、日付、用途、データ範囲 |
| 2. 審査 | リスク評価・承認・却下 | 審査者、結論、条件 |
| 3. 例外 | 一時的例外の申請・承認 | 理由、有効期限、承認者 |
| 4. 更新 | 方針・リスト・設定の定期更新 | 版、変更内容、承認 |
| 5. 棚卸 | 利用実態の棚卸 | 一覧、突合結果、担当 |
| 6. 継続監査 | 内部監査・外部監査への証跡提供 | Evidence Pack 等 |
運用サイクル（例）
- 申請・例外：事象ベースで記録。
- 棚卸・更新：四半期または年次など、組織で定義した頻度。規制・監査の要請に応じて調整。
申請・承認ログの監査観点
例外申請の証跡が求められた場面 承認者・日付・理由がログに残っておらず指摘された。
- 申請ログ
- 承認記録
- 有効期限
証跡の目次・取得観点の整理支援です。合格保証は行いません。
証跡提出前の確認観点
- 目次と実物が対応している
- 版・日付が分かる
- 責任分界が説明できる
指摘と是正の観点（例）
指摘例: 例外の期限が未設定
是正観点: 期限と再審査手順を定義し、承認ログに残す観点で整えます。保証はしません。
Proof / Assurance 整理例
| 範囲 | 例 |
|---|---|
| Proof | 証跡目次・雛形・ログ整理 |
| Assurance | 監査結論・保証判断（御社・監査側） |
監査人は申請・承認の何を見ますか？
誰が・いつ・何を承認したかが追えること、例外の有効期限と再審査が分かることがよく聞かれます。断定はしません。
References
RACI—申請・承認・例外の責任
RACI（例。組織により役割は異なる）
| アクティビティ | R（実行） | A（説明責任） | C（相談） | I（報告） |
|---|---|---|---|---|
| 新規利用の申請 | 申請者（利用部門） | 部門責任者 | 情シス・法務 | ガバナンス担当 |
| リスク評価・審査 | 情シス／ガバナンス | 審査責任者 | 法務・リスク | 申請者 |
| 承認・却下 | 承認権限者 | 承認権限者 | — | 申請者・ガバナンス |
| 例外の申請 | 申請者 | 部門責任者 | 情シス | ガバナンス |
| 例外の承認 | 例外承認権限者 | 例外承認権限者 | 法務・コンプラ | ガバナンス |
| 棚卸・レビュー | ガバナンス／情シス | ガバナンス責任者 | 監査・法務 | 経営層 |
注意
- 上記は観点の例。組織の体制に合わせて RACI を定義する。
継続監査のワークフロー観点
フロー（観点）
| 段階 | 主なアクティビティ | 証跡の観点 |
|---|---|---|
| 平常時 | ログ取得・申請・承認・例外の記録 | 継続的に記録がたまる |
| 定期棚卸 | 利用一覧の更新、方針との突合 | 棚卸日・担当・結果 |
| 証跡整備 | Evidence Pack 目次・中身の更新 | 版・更新日 |
| 監査前 | 監査人要請に合わせた証跡の取りまとめ | 提出物リスト・形式確認 |
| 監査後 | 指摘・是正措置の記録、次回への反映 | 是正計画・実施記録 |
棚卸とレビューサイクル
サイクル（観点。頻度は組織・規制による）
| アクティビティ | 内容の観点 | 頻度の例 |
|---|---|---|
| 棚卸 | 利用中 AI・ツール・用途の一覧更新、ログとの突合 | 四半期、年次等 |
| 方針レビュー | 利用方針・手順の妥当性見直し、更新 | 年次または重要変更時 |
| 証跡の見直し | Evidence Pack 目次・中身の充足度確認 | 棚卸・監査周期に合わせる |
| 例外の一覧レビュー | 例外の有効期限、必要性の再確認 | 四半期等 |
よくある欠落と是正の観点
欠落と是正の観点（例）
| よくある欠落の例 | 是正の観点（例） |
|---|---|
| 証跡の頻度不足 | 規制・監査要請に合わせた取得頻度の定義と記録 |
| 形式・項目の不備 | 目次・形式のテンプレート整備と運用での遵守 |
| 責任者・承認者の不明確さ | RACI の明文化、申請・承認ログの一貫した記録 |
| 例外の記録漏れ | 例外申請・理由・有効期限・承認者を必ず記録する手順 |
| 棚卸とログの突合不足 | 棚卸周期とログ集計の紐づけ、突合結果の記録 |
| 方針と実態の乖離 | 棚卸・レビューで乖離を検知し、方針更新または運用是正 |
| 更新サイクルの未定義 | 方針・リスト・証跡の更新頻度を定義し記録 |
監査で聞かれる質問と必要証跡の対応表
質問と証跡の観点（例）
| 監査で聞かれやすい質問（例） | 説明に使う証跡・記録の観点 |
|---|---|
| 利用している AI は何か、どこで使っているか | 棚卸一覧、ログに基づく利用可視化 |
| 方針はあるか、周知されているか | 方針文書、教育・同意の記録 |
| 誰が承認しているか、例外はどう管理しているか | 申請・承認ログ、例外一覧・承認者 |
| 変更は記録されているか | 変更履歴、版管理された手順 |
| 定期的に見直しているか | 棚卸・レビュー記録、更新日付 |
最小要件表
組織・規制により要否は異なる。頻度は例。
| 統制項目 | 必要証跡の観点 | ログ／運用記録 | 頻度の例 |
|---|---|---|---|
| 利用の可視化 | 誰が・何を・いつ利用したかの説明可能性 | ログ、集計レポート | 継続または定期 |
| 方針の周知 | 周知・同意の記録 | 教育記録、同意ログ | 導入時・更新時 |
| 申請・承認 | 申請と承認の記録 | 申請ログ、承認者・日付 | 事象ごと |
| 例外管理 | 例外の理由・期限・承認者 | 例外一覧、承認記録 | 事象ごと |
| 変更管理 | 変更内容・承認 | 変更履歴、版管理 | 変更ごと |
| 棚卸 | 実態の把握と方針との整合 | 棚卸一覧、突合結果 | 四半期等、組織で定義 |
監査質問集（抜粋）
観点の整理。保証・合格を約束するものではない。
| 監査で聞かれやすい質問（例） | 説明に使う証跡・記録の観点 |
|---|---|
| 利用している AI は何か、どこで使っているか | 棚卸一覧、ログに基づく利用可視化 |
| 方針はあるか、周知されているか | 方針文書、教育・同意の記録 |
| 誰が承認しているか、例外はどう管理しているか | 申請・承認ログ、例外一覧・承認者 |
| 変更は記録されているか | 変更履歴、版管理された手順 |
| 定期的に見直しているか | 棚卸・レビュー記録、更新日付 |
| 証跡は監査調書に貼付可能な形式か | Evidence Pack 目次・形式の整備 |
RACI（簡易）
組織の体制に合わせて定義する。
| アクティビティ | R（実行） | A（説明責任） | C（相談） | I（報告） |
|---|---|---|---|---|
| 新規利用の申請 | 申請者（利用部門） | 部門責任者 | 情シス・法務 | ガバナンス担当 |
| リスク評価・審査 | 情シス／ガバナンス | 審査責任者 | 法務・リスク | 申請者 |
| 承認・却下 | 承認権限者 | 承認権限者 | — | 申請者・ガバナンス |
| 例外の申請 | 申請者 | 部門責任者 | 情シス | ガバナンス |
| 例外の承認 | 例外承認権限者 | 例外承認権限者 | 法務・コンプラ | ガバナンス |
| 棚卸・レビュー | ガバナンス／情シス | ガバナンス責任者 | 監査・法務 | 経営層 |
短期で証跡の棚卸と最小要件の整理を、伴走して支援します。
役割分担の整理
AIMOaaS は Proof（証跡の生成・整備支援）を提供します。監査で説明可能にするための証拠の目次や雛形、ログに基づく可視化を整えるお手伝いをします。
保証判断（Assurance）は、御社および監査法人等の責任範囲です。当社は保証結論を出しません。役割分担を明確にしたうえで、証跡整備を伴走支援します。
よくある質問
AI利用の継続監査フローはどのようなステップで構成されますか？
AI利用の申請から審査、承認、更新、棚卸、そして継続的な監査・レビューまでの一連のサイクルをフローとして整理しています。これにより、AIシステムのリスクを継続的に管理し、統制を維持する観点を提供します。
棚卸とレビューサイクルの推奨頻度はどのくらいですか？
棚卸とレビューの頻度は、組織の方針、利用するAIシステムのリスクレベル、関連する規制要件によって異なります。四半期または年次など、組織の実情に合わせて定義し、継続的な見直しが重要です。
RACIチャートは監査・統制実務でどのように役立ちますか？
RACIチャートは、AI利用の申請、承認、例外処理などの各プロセスにおける責任範囲を明確化するのに役立ちます。これにより、誰が何に対して責任を持つのかが明確になり、効率的な運用と監査対応を支援します。
監査で聞かれやすい質問や必要な証跡にはどのようなものがありますか？
内部監査や外部監査では、AI利用の承認プロセス、リスク評価、統制状況、例外処理、継続的なモニタリングなどに関する質問がよく聞かれます。本ページでは、これらの質問に対応するための証跡の観点を整理しています。
本資料のフローに従えば、必ず監査に合格できますか？
本資料は、AI利用におけるガバナンスと統制の実務を支援するための「観点の整理」を提供します。個別の組織の状況や規制要件、監査人の判断によって必要な対策は異なるため、合格を保証するものではありません。
Human-in-the-LoopはAI統制においてなぜ重要ですか？
Human-in-the-Loopは、AIの判断や意思決定プロセスにおいて人間の介入を確保する考え方です。これにより、AIのリスクを軽減し、倫理的な問題への対応、透明性の向上、説明責任の確立に寄与する重要な統制観点です。
AIMO Standardは、この監査・統制フローにどのように関連しますか？
AIMO Standardは、AIモデルのライフサイクル全体にわたる統制フレームワークを提供します。本ページのフローは、AIMO Standardで提唱される原則と実践に基づき、具体的な運用・監査実務の観点を整備するための指針となります。
監査で指摘されやすい欠落点にはどのようなものがありますか？
一般的に、AI利用のリスク評価の不備、承認プロセスの不明確さ、例外処理の記録不足、継続的なモニタリングの欠如などが指摘されやすい点です。本ページでは、これらに対する是正の観点を整理しています。
AIの利用申請時に記録すべき事柄は何ですか？
AIの利用申請時には、目的、利用範囲、データソース、リスク評価、統制策、責任者、緊急時対応計画などを事象ベースで詳細に記録することが重要です。これにより、透明性と説明責任を確保します。
継続的な方針レビューはどのような目的で行われますか？
継続的な方針レビューは、組織のAI利用に関するポリシーが、最新の技術トレンド、規制要件、組織のリスク許容度と整合しているかを確認するために行われます。これにより、統制の有効性を維持します。