AI利用のRACI責任分担と申請・承認フロー：監査・統制実務ガイド
本ページでは、企業におけるAIシステム利用の適切な監査と統制を実現するための実務フローを提示します。AI利用の申請、審査、例外承認、更新、棚卸、そして継続監査に至る一連のプロセスを解説。特に、RACIモデルを用いた責任分担の明確化に焦点を当て、各ステップにおける役割と責任を明確にします。また、棚卸や方針レビューのサイクル、監査で指摘されやすい欠落への是正観点、内部・外部監査で問われる質問と必要証跡の対応表を提供。AIガバナンスの実装と運用を支援するための実践的な観点整理を行います。
運用ワークフロー—申請・審査・例外・更新
フロー（番号付きステップ）
| 段階 | 主なアクティビティ | 残す証跡の観点 |
|---|---|---|
| 1. 申請 | 新規利用・ツール導入の申請 | 申請者、日付、用途、データ範囲 |
| 2. 審査 | リスク評価・承認・却下 | 審査者、結論、条件 |
| 3. 例外 | 一時的例外の申請・承認 | 理由、有効期限、承認者 |
| 4. 更新 | 方針・リスト・設定の定期更新 | 版、変更内容、承認 |
| 5. 棚卸 | 利用実態の棚卸 | 一覧、突合結果、担当 |
| 6. 継続監査 | 内部監査・外部監査への証跡提供 | Evidence Pack 等 |
運用サイクル（例）
- 申請・例外：事象ベースで記録。
- 棚卸・更新：四半期または年次など、組織で定義した頻度。規制・監査の要請に応じて調整。
Proof と Assurance の責任分界
監査法人との役割確認 証跡整備支援と保証結論の範囲を文書で整理した。
- 責任分界の文書
- 契約・SOW
Proof 側の範囲を明確にする整理を支援します。保証判断は監査・御社側です。
申請・承認ログの監査観点
- 申請者・承認者が識別できる
- 日付・理由が記録されている
- 例外の有効期限が分かる
- 再審査手順が定義されている
指摘と是正の観点（例）
指摘例: 保証と証跡支援の範囲が混同されやすい
是正観点: 責任分界を明文化し、Proof は証跡整備・Assurance は御社・監査側と整理します。
SLA観点サンプル（抜粋）
| 項目 | 観点 | 備考 |
|---|---|---|
| ログ取得 | 頻度・保持期間 | 規制・契約による |
| 承認 | 誰が・いつ | 記録が残るように |
AIMOaaS は保証を提供しますか？
いいえ。Proof（証跡の整備支援）を提供し、保証結論は出しません。保証は御社および監査側の範囲です。
References
RACI—申請・承認・例外の責任
RACI（例。組織により役割は異なる）
| アクティビティ | R（実行） | A（説明責任） | C（相談） | I（報告） |
|---|---|---|---|---|
| 新規利用の申請 | 申請者（利用部門） | 部門責任者 | 情シス・法務 | ガバナンス担当 |
| リスク評価・審査 | 情シス／ガバナンス | 審査責任者 | 法務・リスク | 申請者 |
| 承認・却下 | 承認権限者 | 承認権限者 | — | 申請者・ガバナンス |
| 例外の申請 | 申請者 | 部門責任者 | 情シス | ガバナンス |
| 例外の承認 | 例外承認権限者 | 例外承認権限者 | 法務・コンプラ | ガバナンス |
| 棚卸・レビュー | ガバナンス／情シス | ガバナンス責任者 | 監査・法務 | 経営層 |
注意
- 上記は観点の例。組織の体制に合わせて RACI を定義する。
継続監査のワークフロー観点
フロー（観点）
| 段階 | 主なアクティビティ | 証跡の観点 |
|---|---|---|
| 平常時 | ログ取得・申請・承認・例外の記録 | 継続的に記録がたまる |
| 定期棚卸 | 利用一覧の更新、方針との突合 | 棚卸日・担当・結果 |
| 証跡整備 | Evidence Pack 目次・中身の更新 | 版・更新日 |
| 監査前 | 監査人要請に合わせた証跡の取りまとめ | 提出物リスト・形式確認 |
| 監査後 | 指摘・是正措置の記録、次回への反映 | 是正計画・実施記録 |
棚卸とレビューサイクル
サイクル（観点。頻度は組織・規制による）
| アクティビティ | 内容の観点 | 頻度の例 |
|---|---|---|
| 棚卸 | 利用中 AI・ツール・用途の一覧更新、ログとの突合 | 四半期、年次等 |
| 方針レビュー | 利用方針・手順の妥当性見直し、更新 | 年次または重要変更時 |
| 証跡の見直し | Evidence Pack 目次・中身の充足度確認 | 棚卸・監査周期に合わせる |
| 例外の一覧レビュー | 例外の有効期限、必要性の再確認 | 四半期等 |
よくある欠落と是正の観点
欠落と是正の観点（例）
| よくある欠落の例 | 是正の観点（例） |
|---|---|
| 証跡の頻度不足 | 規制・監査要請に合わせた取得頻度の定義と記録 |
| 形式・項目の不備 | 目次・形式のテンプレート整備と運用での遵守 |
| 責任者・承認者の不明確さ | RACI の明文化、申請・承認ログの一貫した記録 |
| 例外の記録漏れ | 例外申請・理由・有効期限・承認者を必ず記録する手順 |
| 棚卸とログの突合不足 | 棚卸周期とログ集計の紐づけ、突合結果の記録 |
| 方針と実態の乖離 | 棚卸・レビューで乖離を検知し、方針更新または運用是正 |
| 更新サイクルの未定義 | 方針・リスト・証跡の更新頻度を定義し記録 |
監査で聞かれる質問と必要証跡の対応表
質問と証跡の観点（例）
| 監査で聞かれやすい質問（例） | 説明に使う証跡・記録の観点 |
|---|---|
| 利用している AI は何か、どこで使っているか | 棚卸一覧、ログに基づく利用可視化 |
| 方針はあるか、周知されているか | 方針文書、教育・同意の記録 |
| 誰が承認しているか、例外はどう管理しているか | 申請・承認ログ、例外一覧・承認者 |
| 変更は記録されているか | 変更履歴、版管理された手順 |
| 定期的に見直しているか | 棚卸・レビュー記録、更新日付 |
最小要件表
組織・規制により要否は異なる。頻度は例。
| 統制項目 | 必要証跡の観点 | ログ／運用記録 | 頻度の例 |
|---|---|---|---|
| 利用の可視化 | 誰が・何を・いつ利用したかの説明可能性 | ログ、集計レポート | 継続または定期 |
| 方針の周知 | 周知・同意の記録 | 教育記録、同意ログ | 導入時・更新時 |
| 申請・承認 | 申請と承認の記録 | 申請ログ、承認者・日付 | 事象ごと |
| 例外管理 | 例外の理由・期限・承認者 | 例外一覧、承認記録 | 事象ごと |
| 変更管理 | 変更内容・承認 | 変更履歴、版管理 | 変更ごと |
| 棚卸 | 実態の把握と方針との整合 | 棚卸一覧、突合結果 | 四半期等、組織で定義 |
監査質問集（抜粋）
観点の整理。保証・合格を約束するものではない。
| 監査で聞かれやすい質問（例） | 説明に使う証跡・記録の観点 |
|---|---|
| 利用している AI は何か、どこで使っているか | 棚卸一覧、ログに基づく利用可視化 |
| 方針はあるか、周知されているか | 方針文書、教育・同意の記録 |
| 誰が承認しているか、例外はどう管理しているか | 申請・承認ログ、例外一覧・承認者 |
| 変更は記録されているか | 変更履歴、版管理された手順 |
| 定期的に見直しているか | 棚卸・レビュー記録、更新日付 |
| 証跡は監査調書に貼付可能な形式か | Evidence Pack 目次・形式の整備 |
RACI（簡易）
組織の体制に合わせて定義する。
| アクティビティ | R（実行） | A（説明責任） | C（相談） | I（報告） |
|---|---|---|---|---|
| 新規利用の申請 | 申請者（利用部門） | 部門責任者 | 情シス・法務 | ガバナンス担当 |
| リスク評価・審査 | 情シス／ガバナンス | 審査責任者 | 法務・リスク | 申請者 |
| 承認・却下 | 承認権限者 | 承認権限者 | — | 申請者・ガバナンス |
| 例外の申請 | 申請者 | 部門責任者 | 情シス | ガバナンス |
| 例外の承認 | 例外承認権限者 | 例外承認権限者 | 法務・コンプラ | ガバナンス |
| 棚卸・レビュー | ガバナンス／情シス | ガバナンス責任者 | 監査・法務 | 経営層 |
短期で証跡の棚卸と最小要件の整理を、伴走して支援します。
役割分担の整理
AIMOaaS は Proof（証跡の生成・整備支援）を提供します。監査で説明可能にするための証拠の目次や雛形、ログに基づく可視化を整えるお手伝いをします。
保証判断（Assurance）は、御社および監査法人等の責任範囲です。当社は保証結論を出しません。役割分担を明確にしたうえで、証跡整備を伴走支援します。
よくある質問
RACIモデルをAI利用の統制に適用するメリットは何ですか？
RACIモデルを適用することで、AIシステム導入から運用、監査までの各フェーズにおける責任範囲が明確になり、属人化を防ぎ、効率的な意思決定とガバナンス強化に繋がります。
AI利用の申請・承認プロセスはどの程度厳格にすべきですか？
AIシステムの重要性、リスクレベル、組織の規模、および適用される規制要件に基づいて、プロセスの厳格さを調整することが重要です。リスクが高いほど、より詳細な審査と承認が必要です。
AIシステム利用の棚卸や更新の推奨頻度はありますか？
一般的には四半期または年次での棚卸と更新が推奨されますが、これは組織のポリシー、AI利用の変化の速度、および規制・監査要請によって調整されるべき観点です。
監査対応において、特に注意すべき証跡や記録は何ですか？
申請・承認の記録、リスク評価、倫理レビュー、モデルの検証結果、変更管理記録、インシデント対応記録、そしてRACIに基づく責任分担の定義が特に重要です。これらはAI利用の透明性と説明責任を示す上で不可欠です。
本ガイドラインに従えば、AI監査は必ず合格できますか？
本ガイドラインはAIガバナンス構築のための実践的な観点とフローを提供しますが、監査結果を保証するものではありません。監査の結論は監査人・保証提供者の責任であり、組織の具体的な状況と規制要件に応じた対策が必要です。
シャドウAIへの対応はどのように考慮すれば良いですか？
シャドウAIは未承認のAI利用であり、ガバナンス上の大きなリスクとなります。本ガイドの申請・承認フローは、AI利用の早期発見と正規化を促すための観点を含んでおり、組織内でのAI利用状況の可視化から始めることが推奨されます。
Human-in-the-LoopはAIガバナンスでどのような役割を果たしますか？
Human-in-the-Loopは、AIの判断を人間がレビュー・介入する仕組みであり、AIの誤判断や倫理的な逸脱を防ぐ上で重要です。RACIモデルにおいて、この人間によるレビュー・承認の責任を明確に位置づけるべきです。
小規模な組織でも、この複雑なワークフローを導入する必要があるのでしょうか？
本ガイドは汎用的な観点を提供しており、組織の規模やAI利用の成熟度に応じて、プロセスを柔軟に調整・簡素化することが可能です。重要なのは、責任分担と主要な統制活動が明確であることです。
監査法人との連携はどのように進めれば良いですか？
監査法人の皆様には、AIガバナンスと統制の観点整理を支援するための資料も提供しています。早期に連携し、組織のAI利用実態と統制状況について透明性を持って情報共有することで、円滑な監査に繋がります。