シャドーAI・個人利用AIの証跡整備：監査対応の最小要件とチェックリスト
組織内でのシャドーAIや個人利用AIの増加は、監査・統制上の新たな課題をもたらします。本ページでは、これらのAI利用における証跡整備の重要性に焦点を当て、最小限必要な統制項目、証跡、ログ/運用記録、頻度を一覧化。監査対応で問われやすい質問への準備や、証跡の欠落を未然に防ぐための実践的なチェックリストとテンプレートを提供し、リスク管理とガバナンス強化を支援します。
最小証拠要件—統制項目・必要証跡・ログ/運用記録・頻度
表（観点。組織・規制により要否は異なる）
| 統制項目の例 | 必要証跡の観点 | ログ or 運用記録の例 | 頻度の例 |
|---|---|---|---|
| 利用の可視化 | 誰が・何を・いつ利用したかの説明可能性 | ログ、集計レポート | 継続または定期 |
| 方針の周知 | 周知・同意の記録 | 教育記録、同意ログ | 導入時・更新時 |
| 申請・承認 | 申請と承認の記録 | 申請ログ、承認者・日付 | 事象ごと |
| 例外管理 | 例外の理由・期限・承認者 | 例外一覧、承認記録 | 事象ごと |
| 変更管理 | 変更内容・承認 | 変更履歴、版管理 | 変更ごと |
| 棚卸 | 実態の把握と方針との整合 | 棚卸一覧、突合結果 | 四半期等、組織で定義 |
注意
- 頻度は「例」。規制・契約・監査方針に依存する。保証表現は使わない。
申請・承認ログの監査観点
例外申請の証跡が求められた場面 承認者・日付・理由がログに残っておらず指摘された。
- 申請ログ
- 承認記録
- 有効期限
証跡の目次・取得観点の整理支援です。合格保証は行いません。
証跡提出前の確認観点
- 目次と実物が対応している
- 版・日付が分かる
- 責任分界が説明できる
指摘と是正の観点（例）
指摘例: 例外の期限が未設定
是正観点: 期限と再審査手順を定義し、承認ログに残す観点で整えます。保証はしません。
Proof / Assurance 整理例
| 範囲 | 例 |
|---|---|
| Proof | 証跡目次・雛形・ログ整理 |
| Assurance | 監査結論・保証判断（御社・監査側） |
監査人は申請・承認の何を見ますか？
誰が・いつ・何を承認したかが追えること、例外の有効期限と再審査が分かることがよく聞かれます。断定はしません。
References
- AIMO Standard
- シャドーAI
_policy/content-claims.md
シャドーAI・個人利用に関する最小証跡チェックリスト
チェックリスト（観点のみ。保証はしない）
| # | 観点 | 証跡・記録の例 | 頻度の例 |
|---|---|---|---|
| 1 | 利用の可視化 | ログに基づく利用一覧・ツール別集計 | 継続または定期 |
| 2 | 方針の周知 | 教育・同意の記録 | 導入時・更新時 |
| 3 | 申請・承認の有無 | 申請ログ、承認者・日付 | 事象ごと |
| 4 | 例外の記録 | 例外申請・理由・承認者・有効期限 | 事象ごと |
| 5 | 棚卸との整合 | 棚卸一覧とログの突合が可能であること | 棚卸周期に合わせる |
統制から証跡・頻度への対応
対応表（観点）
| 統制の目標（例） | 証跡で示す観点 | 取得・更新の頻度例 |
|---|---|---|
| 利用の把握 | 利用一覧、ツール別・利用者別 | 継続 or 日次/週次集計 |
| リスク評価 | 申請時の評価記録、承認条件 | 事象ごと |
| 例外の管理 | 例外一覧、有効期限、承認者 | 事象ごと＋定期レビュー |
| 方針の有効性 | 棚卸・レビュー結果、是正措置 | 四半期等 |
| 継続的監査対応 | Evidence Pack 雛形、更新履歴 | 監査周期に合わせる |
監査で聞かれる質問と必要証跡の対応表
質問と証跡の観点（例）
| 監査で聞かれやすい質問（例） | 説明に使う証跡・記録の観点 |
|---|---|
| 利用している AI は何か、どこで使っているか | 棚卸一覧、ログに基づく利用可視化 |
| 方針はあるか、周知されているか | 方針文書、教育・同意の記録 |
| 誰が承認しているか、例外はどう管理しているか | 申請・承認ログ、例外一覧・承認者 |
| 変更は記録されているか | 変更履歴、版管理された手順 |
| 定期的に見直しているか | 棚卸・レビュー記録、更新日付 |
よくある欠落と是正の観点
欠落と是正の観点（例）
| よくある欠落の例 | 是正の観点（例） |
|---|---|
| 証跡の頻度不足 | 規制・監査要請に合わせた取得頻度の定義と記録 |
| 形式・項目の不備 | 目次・形式のテンプレート整備と運用での遵守 |
| 責任者・承認者の不明確さ | RACI の明文化、申請・承認ログの一貫した記録 |
| 例外の記録漏れ | 例外申請・理由・有効期限・承認者を必ず記録する手順 |
| 棚卸とログの突合不足 | 棚卸周期とログ集計の紐づけ、突合結果の記録 |
| 方針と実態の乖離 | 棚卸・レビューで乖離を検知し、方針更新または運用是正 |
| 更新サイクルの未定義 | 方針・リスト・証跡の更新頻度を定義し記録 |
Evidence Pack 表テンプレート（項目・形式・保持期間）
表テンプレート（観点）
| 項目 | 形式の例 | 保持期間の例 | 備考 |
|---|---|---|---|
| 棚卸一覧 | 一覧表（CSV/スプレッドシート等） | 規制・契約による | 更新日を記録 |
| 変更履歴 | 日付・変更内容・承認者 | 規制・契約による | 証跡と紐づけ可能に |
| 方針・手順 | 版管理された文書 | 有効期間＋α | 廃止版も保管する場合あり |
| ログ・利用記録 | ログまたは集計結果（改ざん防止の観点） | 規制・監査要請による | 誰が・いつ・何を利用したかの再構成可能性 |
| 申請・承認記録 | 申請ID、日付、承認者、条件 | 事象＋保持期間 | 例外は有効期限を明示 |
| レビュー・棚卸記録 | 実施日、担当、結果サマリ | 監査周期に合わせる |
最小要件表
組織・規制により要否は異なる。頻度は例。
| 統制項目 | 必要証跡の観点 | ログ／運用記録 | 頻度の例 |
|---|---|---|---|
| 利用の可視化 | 誰が・何を・いつ利用したかの説明可能性 | ログ、集計レポート | 継続または定期 |
| 方針の周知 | 周知・同意の記録 | 教育記録、同意ログ | 導入時・更新時 |
| 申請・承認 | 申請と承認の記録 | 申請ログ、承認者・日付 | 事象ごと |
| 例外管理 | 例外の理由・期限・承認者 | 例外一覧、承認記録 | 事象ごと |
| 変更管理 | 変更内容・承認 | 変更履歴、版管理 | 変更ごと |
| 棚卸 | 実態の把握と方針との整合 | 棚卸一覧、突合結果 | 四半期等、組織で定義 |
監査質問集（抜粋）
観点の整理。保証・合格を約束するものではない。
| 監査で聞かれやすい質問（例） | 説明に使う証跡・記録の観点 |
|---|---|
| 利用している AI は何か、どこで使っているか | 棚卸一覧、ログに基づく利用可視化 |
| 方針はあるか、周知されているか | 方針文書、教育・同意の記録 |
| 誰が承認しているか、例外はどう管理しているか | 申請・承認ログ、例外一覧・承認者 |
| 変更は記録されているか | 変更履歴、版管理された手順 |
| 定期的に見直しているか | 棚卸・レビュー記録、更新日付 |
| 証跡は監査調書に貼付可能な形式か | Evidence Pack 目次・形式の整備 |
RACI（簡易）
組織の体制に合わせて定義する。
| アクティビティ | R（実行） | A（説明責任） | C（相談） | I（報告） |
|---|---|---|---|---|
| 新規利用の申請 | 申請者（利用部門） | 部門責任者 | 情シス・法務 | ガバナンス担当 |
| リスク評価・審査 | 情シス／ガバナンス | 審査責任者 | 法務・リスク | 申請者 |
| 承認・却下 | 承認権限者 | 承認権限者 | — | 申請者・ガバナンス |
| 例外の申請 | 申請者 | 部門責任者 | 情シス | ガバナンス |
| 例外の承認 | 例外承認権限者 | 例外承認権限者 | 法務・コンプラ | ガバナンス |
| 棚卸・レビュー | ガバナンス／情シス | ガバナンス責任者 | 監査・法務 | 経営層 |
短期で証跡の棚卸と最小要件の整理を、伴走して支援します。
役割分担の整理
AIMOaaS は Proof（証跡の生成・整備支援）を提供します。監査で説明可能にするための証拠の目次や雛形、ログに基づく可視化を整えるお手伝いをします。
保証判断（Assurance）は、御社および監査法人等の責任範囲です。当社は保証結論を出しません。役割分担を明確にしたうえで、証跡整備を伴走支援します。
よくある質問
シャドーAIの証跡はなぜ必要ですか？
シャドーAIは組織のリスク管理外で利用されるため、セキュリティ、データプライバシー、コンプライアンス違反のリスクを高めます。これらのリスクを特定し、適切に管理していることを示すために証跡が必要です。
個人利用AIのログ記録は必須ですか？
組織のリスク許容度、事業内容、適用される規制によりますが、個人利用AIであっても機密情報の漏洩や不適切な利用を防ぐため、ログ記録による利用状況の可視化が強く推奨されます。
このページのチェックリストやテンプレートを使えば、監査は合否は保証しませんできますか？
本ページのチェックリストやテンプレートは、証跡整備の観点整理と準備を支援するものですが、監査の結論は監査人や保証提供者の責任であり、合格を約束するものではありません。
証跡の取得頻度はどのように決めれば良いですか？
証跡の取得頻度は、規制要件、内部統制の重要度、リスク評価の結果、および組織の監査方針に依存します。本ページで提示する頻度はあくまで一例としてご参照ください。
シャドーAI利用が見つかった場合、どのような対応が求められますか？
まず利用実態を正確に把握し、リスクを評価します。その後、利用停止、正式な承認プロセスへの移行、セキュリティ対策の適用、利用者への教育など、リスクレベルに応じた是正措置を講じ、その過程も証跡として記録することが重要です。
AI利用に関する証跡の保持期間はどのくらいが適切ですか？
保持期間は、適用される法規制（個人情報保護法など）、業界ガイドライン、契約上の義務、および社内規定によって異なります。これらの要件に基づき決定し、定期的に見直すことが推奨されます。
このページのテンプレートは、あらゆる組織でそのまま使えますか？
テンプレートは汎用的な観点を提供していますが、組織固有のリスク、事業特性、規模、適用される規制に応じてカスタマイズが必要です。必ず貴社の状況に合わせて調整してください。
AIMOaaS Standardとの関連性について教えてください。
AIMOaaS Standardは、AIシステムの信頼性と安全性に関する国際的な基準であり、本ページで提示する証跡要件や統制の観点は、AIMOaaS Standardに準拠したAIガバナンス体制構築の一助となるものです。
監査でよく指摘される欠落点には何がありますか？
よくある欠落点としては、利用規程の不備、ログの一貫性の欠如、個人情報保護に関するリスク評価不足、利用承認プロセスの未確立、インシデント対応計画の不明確さなどが挙げられます。
Human-in-the-Loopの概念は、シャドーAI対策にどう関連しますか？
Human-in-the-Loopは、AIの意思決定プロセスに人間の関与を組み込むことで、AIの誤作動や不適切な判断によるリスクを軽減します。シャドーAIにおいても、人間の監視や承認プロセスを導入することで、統制と信頼性を高める上で重要な観点となります。