AI利用の棚卸・継続監査・定期レビュー実践ガイド
本ページは、企業におけるAI利用の適切な監査・統制を目的とした実践的な指針を提供します。AIアプリケーションの申請、審査、例外処理、更新、そして定期的な棚卸と継続監査の運用ワークフローを体系的に解説。RACIモデルによる役割分担、監査で指摘されやすい欠落の観点、内部・外部監査で問われる質問と必要な証跡の対応表を整理し、堅牢なAIガバナンス体制構築を支援します。本モジュールは観点整理に重点を置き、組織固有の要件に応じた柔軟な適用を前提としています。
運用ワークフロー—申請・審査・例外・更新
フロー（番号付きステップ）
| 段階 | 主なアクティビティ | 残す証跡の観点 |
|---|---|---|
| 1. 申請 | 新規利用・ツール導入の申請 | 申請者、日付、用途、データ範囲 |
| 2. 審査 | リスク評価・承認・却下 | 審査者、結論、条件 |
| 3. 例外 | 一時的例外の申請・承認 | 理由、有効期限、承認者 |
| 4. 更新 | 方針・リスト・設定の定期更新 | 版、変更内容、承認 |
| 5. 棚卸 | 利用実態の棚卸 | 一覧、突合結果、担当 |
| 6. 継続監査 | 内部監査・外部監査への証跡提供 | Evidence Pack 等 |
運用サイクル（例）
- 申請・例外：事象ベースで記録。
- 棚卸・更新：四半期または年次など、組織で定義した頻度。規制・監査の要請に応じて調整。
Proof と Assurance の責任分界
監査法人との役割確認 証跡整備支援と保証結論の範囲を文書で整理した。
- 責任分界の文書
- 契約・SOW
Proof 側の範囲を明確にする整理を支援します。保証判断は監査・御社側です。
申請・承認ログの監査観点
- 申請者・承認者が識別できる
- 日付・理由が記録されている
- 例外の有効期限が分かる
- 再審査手順が定義されている
指摘と是正の観点（例）
指摘例: 保証と証跡支援の範囲が混同されやすい
是正観点: 責任分界を明文化し、Proof は証跡整備・Assurance は御社・監査側と整理します。
SLA観点サンプル（抜粋）
| 項目 | 観点 | 備考 |
|---|---|---|
| ログ取得 | 頻度・保持期間 | 規制・契約による |
| 承認 | 誰が・いつ | 記録が残るように |
AIMOaaS は保証を提供しますか？
いいえ。Proof（証跡の整備支援）を提供し、保証結論は出しません。保証は御社および監査側の範囲です。
References
RACI—申請・承認・例外の責任
RACI（例。組織により役割は異なる）
| アクティビティ | R（実行） | A（説明責任） | C（相談） | I（報告） |
|---|---|---|---|---|
| 新規利用の申請 | 申請者（利用部門） | 部門責任者 | 情シス・法務 | ガバナンス担当 |
| リスク評価・審査 | 情シス／ガバナンス | 審査責任者 | 法務・リスク | 申請者 |
| 承認・却下 | 承認権限者 | 承認権限者 | — | 申請者・ガバナンス |
| 例外の申請 | 申請者 | 部門責任者 | 情シス | ガバナンス |
| 例外の承認 | 例外承認権限者 | 例外承認権限者 | 法務・コンプラ | ガバナンス |
| 棚卸・レビュー | ガバナンス／情シス | ガバナンス責任者 | 監査・法務 | 経営層 |
注意
- 上記は観点の例。組織の体制に合わせて RACI を定義する。
継続監査のワークフロー観点
フロー（観点）
| 段階 | 主なアクティビティ | 証跡の観点 |
|---|---|---|
| 平常時 | ログ取得・申請・承認・例外の記録 | 継続的に記録がたまる |
| 定期棚卸 | 利用一覧の更新、方針との突合 | 棚卸日・担当・結果 |
| 証跡整備 | Evidence Pack 目次・中身の更新 | 版・更新日 |
| 監査前 | 監査人要請に合わせた証跡の取りまとめ | 提出物リスト・形式確認 |
| 監査後 | 指摘・是正措置の記録、次回への反映 | 是正計画・実施記録 |
棚卸とレビューサイクル
サイクル（観点。頻度は組織・規制による）
| アクティビティ | 内容の観点 | 頻度の例 |
|---|---|---|
| 棚卸 | 利用中 AI・ツール・用途の一覧更新、ログとの突合 | 四半期、年次等 |
| 方針レビュー | 利用方針・手順の妥当性見直し、更新 | 年次または重要変更時 |
| 証跡の見直し | Evidence Pack 目次・中身の充足度確認 | 棚卸・監査周期に合わせる |
| 例外の一覧レビュー | 例外の有効期限、必要性の再確認 | 四半期等 |
よくある欠落と是正の観点
欠落と是正の観点（例）
| よくある欠落の例 | 是正の観点（例） |
|---|---|
| 証跡の頻度不足 | 規制・監査要請に合わせた取得頻度の定義と記録 |
| 形式・項目の不備 | 目次・形式のテンプレート整備と運用での遵守 |
| 責任者・承認者の不明確さ | RACI の明文化、申請・承認ログの一貫した記録 |
| 例外の記録漏れ | 例外申請・理由・有効期限・承認者を必ず記録する手順 |
| 棚卸とログの突合不足 | 棚卸周期とログ集計の紐づけ、突合結果の記録 |
| 方針と実態の乖離 | 棚卸・レビューで乖離を検知し、方針更新または運用是正 |
| 更新サイクルの未定義 | 方針・リスト・証跡の更新頻度を定義し記録 |
監査で聞かれる質問と必要証跡の対応表
質問と証跡の観点（例）
| 監査で聞かれやすい質問（例） | 説明に使う証跡・記録の観点 |
|---|---|
| 利用している AI は何か、どこで使っているか | 棚卸一覧、ログに基づく利用可視化 |
| 方針はあるか、周知されているか | 方針文書、教育・同意の記録 |
| 誰が承認しているか、例外はどう管理しているか | 申請・承認ログ、例外一覧・承認者 |
| 変更は記録されているか | 変更履歴、版管理された手順 |
| 定期的に見直しているか | 棚卸・レビュー記録、更新日付 |
最小要件表
組織・規制により要否は異なる。頻度は例。
| 統制項目 | 必要証跡の観点 | ログ／運用記録 | 頻度の例 |
|---|---|---|---|
| 利用の可視化 | 誰が・何を・いつ利用したかの説明可能性 | ログ、集計レポート | 継続または定期 |
| 方針の周知 | 周知・同意の記録 | 教育記録、同意ログ | 導入時・更新時 |
| 申請・承認 | 申請と承認の記録 | 申請ログ、承認者・日付 | 事象ごと |
| 例外管理 | 例外の理由・期限・承認者 | 例外一覧、承認記録 | 事象ごと |
| 変更管理 | 変更内容・承認 | 変更履歴、版管理 | 変更ごと |
| 棚卸 | 実態の把握と方針との整合 | 棚卸一覧、突合結果 | 四半期等、組織で定義 |
監査質問集（抜粋）
観点の整理。保証・合格を約束するものではない。
| 監査で聞かれやすい質問（例） | 説明に使う証跡・記録の観点 |
|---|---|
| 利用している AI は何か、どこで使っているか | 棚卸一覧、ログに基づく利用可視化 |
| 方針はあるか、周知されているか | 方針文書、教育・同意の記録 |
| 誰が承認しているか、例外はどう管理しているか | 申請・承認ログ、例外一覧・承認者 |
| 変更は記録されているか | 変更履歴、版管理された手順 |
| 定期的に見直しているか | 棚卸・レビュー記録、更新日付 |
| 証跡は監査調書に貼付可能な形式か | Evidence Pack 目次・形式の整備 |
RACI（簡易）
組織の体制に合わせて定義する。
| アクティビティ | R（実行） | A（説明責任） | C（相談） | I（報告） |
|---|---|---|---|---|
| 新規利用の申請 | 申請者（利用部門） | 部門責任者 | 情シス・法務 | ガバナンス担当 |
| リスク評価・審査 | 情シス／ガバナンス | 審査責任者 | 法務・リスク | 申請者 |
| 承認・却下 | 承認権限者 | 承認権限者 | — | 申請者・ガバナンス |
| 例外の申請 | 申請者 | 部門責任者 | 情シス | ガバナンス |
| 例外の承認 | 例外承認権限者 | 例外承認権限者 | 法務・コンプラ | ガバナンス |
| 棚卸・レビュー | ガバナンス／情シス | ガバナンス責任者 | 監査・法務 | 経営層 |
お問い合わせ後に、専門家が簡易ログ診断のご案内をします。
役割分担の整理
AIMOaaS は Proof（証跡の生成・整備支援）を提供します。監査で説明可能にするための証拠の目次や雛形、ログに基づく可視化を整えるお手伝いをします。
保証判断（Assurance）は、御社および監査法人等の責任範囲です。当社は保証結論を出しません。役割分担を明確にしたうえで、証跡整備を伴走支援します。
よくある質問
AIの利用申請から監査までのサイクルはどのように設計すれば良いですか？
申請・審査・例外・更新の運用フローを確立し、定期的な棚卸と継続監査をサイクルに組み込むことが重要です。組織の規制要件やリスク許容度に応じて頻度を調整します。
RACIチャートはAI統制においてどのように活用できますか？
AI利用の申請、審査、例外承認プロセスにおける責任者（Responsible）、説明責任者（Accountable）、協議者（Consulted）、情報提供者（Informed）を明確にし、ガバナンスの透明性と効率性を高めます。
AI棚卸の適切な頻度と内容は？
四半期または年次など、組織のポリシーと規制要件に基づいて頻度を定義します。利用中のAIアプリケーションの現状を把握し、リスク評価やポリシー遵守状況を確認します。
継続監査の具体的な観点には何がありますか？
運用ワークフローの遵守状況、更新プロセスの適切性、リスク管理状況、法規制への対応、そして証跡の網羅性と信頼性などが主な観点となります。
監査で指摘されやすいAI統制の欠落点とは何ですか？
未承認AI（シャドーAI）の存在、証跡の不備、役割と責任の不明確さ、リスク評価の未実施、ポリシーレビューの不足などが挙げられます。これらを事前に特定し是正観点を検討します。
内部監査や外部監査でどのような証跡が必要になりますか？
AI利用申請書、審査記録、リスク評価レポート、棚卸結果、ポリシー文書、更新履歴、トレーニング記録などが証跡として求められます。本ページでは対応表の観点を整理します。
本モジュールを利用すれば、AI監査に「必ず合格」できますか？
本モジュールは、AI統制・監査の「観点整理」と「整備支援」を目的としています。監査の結論は監査人の責任であり、特定の保証や合格を約束するものではありません。
未承認AI（シャドーAI）への対策はどのように行えば良いですか？
AI利用申請フローの周知徹底、定期的なAI利用状況の棚卸、従業員への教育を通じて、潜在的なシャドーAIのリスクを早期に発見し、適切に管理する体制を構築することが重要です。
規制の変更があった場合、AI統制プロセスはどのように対応すべきですか？
定期的なポリシーレビューサイクルを設け、規制変更を迅速に反映できる体制を構築します。特に棚卸や更新のタイミングで、最新の規制要件と照らし合わせるのが効果的です。
AIの更新プロセスで注意すべき点は何ですか？
更新時には、変更内容のリスク評価、承認プロセスの実施、関連文書の改訂、そして変更後の性能やセキュリティの再検証が不可欠です。