【生成AI×内部統制】経理のAI活用を監査に耐える形に｜J-SOX対応表付き

この記事は約9分で読めます。

経理で生成AIを使い始めると、次に悩むのが監査への説明です。「AIが作った仕訳案をそのまま計上してよいのか」「監査人にどんな記録を見せればよいのか」と迷う方は多いはずです。便利さだけで広げると、決算期に統制の不備として指摘されるおそれがあります。

この記事では、生成AIを経理業務に組み込むときの内部統制の考え方を整理します。J-SOX（内部統制報告制度）の改訂基準と、米国COSOが公表した生成AI向けガイダンスを手がかりにします。リスクと統制の対応表、整備の手順、監査対応用の記録テンプレートも用意しました。

対象読者は、上場企業やIPO準備企業の経理・内部監査担当者、管理部門の責任者です。非上場企業でも、決算の信頼性を高める実務ルールとしてそのまま使えます。

この記事の要点

  • 生成AIの内部統制とは、AIの出力を財務数値に使う前に、人の承認・記録・変更管理で正確性を担保する仕組みです。
  • 2024年4月1日以後開始事業年度から適用の改訂J-SOX基準は、ITの委託業務やセキュリティ確保の重要性を明記しました。
  • COSOは2026年3月ごろ生成AI向け内部統制ガイダンスを公表し、既存の5構成要素・17原則を生成AIに当てはめています。
  • 経理では、AIを「判断材料の作成者」と位置づけ、計上・支払の最終承認を人に残す設計が監査対応の基本です。
  • 利用台帳、プロンプトの版管理、出力の検証記録の3点をそろえると、監査人への説明がしやすくなります。
スポンサーリンク

生成AIの内部統制とは？経理が押さえるべき基本

生成AIの内部統制とは、生成AIの出力が財務報告に誤りを持ち込まないよう、業務の中に確認と記録の手続を組み込む仕組みです。新しい制度ではなく、既存の内部統制の考え方を生成AIに当てはめたものと捉えると整理しやすくなります。

従来の会計システムは、同じ入力に対して同じ結果を返すことが前提でした。生成AIは同じ指示でも出力が変わることがあり、もっともらしい誤り（ハルシネーション）も起こります。ハルシネーションとは、事実と異なる内容をAIが自然な文章で出力する現象です。

このため経理では、生成AIを「自動で正しい答えを出す仕組み」ではなく「担当者の下書きを作る道具」として扱うのが現実的です。仕訳案、勘定科目の推定、差異分析コメントなど、どの工程に使っても最終判断は人に残します。

従来のIT統制と何が違うのか

従来のIT統制は、プログラムが仕様どおり動くことを確認すれば、同じ処理が繰り返されると期待できました。生成AIでは、モデルの更新やプロンプトの書き換えで出力の傾向が変わります。そのため、導入時の検証だけでなく、継続的なモニタリングと変更管理の重みが増します。

J-SOXで生成AIはどう扱う？改訂基準とCOSOガイダンス

J-SOXには生成AIに特化した規定はなく、ITへの対応という既存の枠組みの中で評価されると考えるのが妥当です。金融庁の企業会計審議会は2023年4月7日に内部統制基準・実施基準の改訂を公表し、2024年4月1日以後開始する事業年度から適用されています。

改訂では、ITの委託業務に係る統制の重要性が高まっていること、サイバーリスクの高まりを踏まえた情報システムのセキュリティ確保が重要であることが追記されました。外部のクラウド型生成AIを経理に使う場合は、まさにこの「委託業務」と「セキュリティ」の論点に当たります。

COSOの生成AIガイダンスの位置づけ

COSOの生成AIガイダンスとは、内部統制の統合的フレームワークの5つの構成要素と17の原則を、生成AIの利用場面に当てはめて解説した文書です。米国COSOが2026年3月ごろに「Achieving Effective Internal Control Over Generative AI」として公表しました。

同ガイダンスは、生成AIの使い方を「取り込み」「変換」「記帳」「オーケストレーション」「判断」「モニタリング」「規制情報の把握」「人とAIの協働」の8類型に分けています。プロンプト操作、推論過程の不透明さ、モデルのドリフト（出力傾向の変化）といったリスクにも触れています。日本のJ-SOXに直接適用されるものではありませんが、統制設計の参考資料として有用です。

経理の生成AI活用リスクと統制の対応表

経理の生成AI活用では、業務ごとにリスクと統制を1対1で対応させると、監査人に説明しやすくなります。以下は想定ケースとして整理した対応表です。自社の業務フローに合わせて行を追加してください。

利用場面 主なリスク 統制の例 証跡
請求書の読み取り・データ化 金額・日付・登録番号の誤読 原本との突合、合計額の自動照合 突合結果の一覧
勘定科目・税区分の推定 誤った科目や消費税区分の適用 担当者確認と上長承認、確信度が低い明細の全件確認 承認ログ
仕訳案の作成 架空・重複仕訳の混入 AI作成フラグの付与、計上前の承認必須化 仕訳の作成者・承認者の記録
差異分析・注記の文案 根拠のない説明文 数値の出所確認、レビュー者の署名 レビュー記録
プロンプト・設定の変更 無承認の変更で出力傾向が変化 変更申請と承認、版管理 変更履歴
外部AIサービスの利用 機密情報の流出、委託先の管理不足 法人契約、学習利用の無効化確認、アクセス権の定期棚卸 契約書、設定画面の記録

公認会計士の視点で特に重視したいのは「仕訳案の作成」と「プロンプト・設定の変更」の2行です。仕訳計上は財務諸表に直結するため、AIが作った仕訳を誰が承認したかを後から追えないと、統制が機能していたことを示せません。プロンプトの変更は見落とされがちですが、プログラム変更と同様にIT全般統制の変更管理の対象として扱うのが安全です。

生成AIの内部統制を整備する手順

生成AIの内部統制は、利用状況の棚卸から始めて、リスク評価、統制設計、記録、モニタリングの順に整備します。COSOガイダンスの解説でも、ガバナンス体制の確立からモニタリングまでを循環させる進め方が示されています。

  1. 利用台帳を作る：経理・財務で使っている生成AIツール、用途、入力データ、出力の使い道を一覧にします。個人で使っているツールも洗い出します。
  2. 財務報告への影響度で分類する：出力が仕訳や開示に直接使われるものを「高」、社内資料の下書き程度なら「低」とし、高から優先的に統制を整えます。
  3. 統制を設計する：前章の対応表をもとに、承認者、確認方法、記録の保存先を決めます。人の承認が入る位置を業務フロー図に明記します。
  4. プロンプトと設定を版管理する：本番で使うプロンプトを文書として保存し、変更時は申請・承認を経て版番号を更新します。
  5. 運用記録を残す：AI出力のどこを確認し、何を修正したかを記録します。修正件数は精度の目安にもなります。
  6. 定期的にモニタリングする：四半期ごとなど一定の頻度で、修正率の推移やモデル更新の有無を確認し、必要に応じて統制を見直します。

監査対応に使える記録テンプレート

監査対応の記録は、「どのAIに、何を入力し、誰が確認して、どう使ったか」が1行で追える形にするのが基本です。スプレッドシートで次の列を用意すると運用しやすくなります。

【生成AI利用記録（経理）】
記録ID / 実施日 / 業務名（例：月次 未払費用計上）
利用ツール・モデル名 / プロンプト版番号（例：v1.3）
入力データの種類（例：請求書PDF 25件）※個人情報の有無
AI出力の概要（例：仕訳案25件）
確認者 / 確認方法（原本突合・合計照合など）
修正件数と主な修正内容
承認者 / 承認日 / 会計システム上の伝票番号

統制文書の下書きに使えるプロンプト例

統制記述書（RCM：リスクと統制の対応表）の下書きも生成AIで作れます。ただし出力は必ず担当者がレビューし、自社の実態と合わない記述は修正してください。

あなたは上場企業の内部統制に詳しい経理部門の担当者です。
次の業務フローで生成AIを使っています。
財務報告に係るリスクと、それに対応する統制を
「リスク／統制内容／統制の種類（予防・発見）／実施者／頻度／証跡」
の列で表形式にしてください。

# 業務フロー
1. 受領した請求書PDFを生成AIで読み取り、仕訳案を作成する
2. 経理担当者が仕訳案を確認し、会計システムに登録する
3. 経理課長が月末に登録仕訳を承認する

# 条件
- 不明な点は推測で埋めず「要確認」と記載する
- 法令や基準の条文番号は書かない

導入時の注意点・リスク

生成AIの内部統制で最も注意すべき点は、入力する情報の管理と、AIの出力に対する過度な依存です。統制を整えても、前提となる情報管理が崩れると全体の信頼性が失われます。

  • 情報漏えい：未公表の決算数値や取引先情報は、インサイダー情報や契約上の秘密に当たる場合があります。入力してよい情報の範囲を社内規程で定め、法人向け契約で学習利用の扱いを確認してください。
  • 個人情報：給与・経費精算データには個人情報が含まれます。個人情報保護法上の取扱いを確認し、不要な項目は入力前に削除します。
  • ハルシネーション：AIは存在しない取引や誤った税務判断を自然な文章で示すことがあります。根拠資料のない数値は採用しないルールを徹底します。
  • 権限管理：会計システムへの書き込み権限をAIエージェントに与える場合は、登録までに留め、承認・支払実行の権限は人に残します。
  • 職務分掌：プロンプトを変更する人と、AI出力を承認する人を分けると、意図しない変更を発見しやすくなります。
  • 監査人との事前協議：重要な業務にAIを組み込む前に、監査人へ利用範囲と統制方針を共有しておくと、期末の指摘リスクを下げられます。

なお、各AIサービスの契約条件やデータの取扱いは変更されることがあります。導入時点だけでなく、更新時にも公式の利用規約を確認してください。

よくある質問（FAQ）

生成AIで作った仕訳をそのまま計上しても問題ありませんか？

いいえ、人の確認と承認を経ずに計上することは避けるべきです。生成AIは誤った勘定科目や金額を出力することがあり、承認の記録がないと統制が機能していたことを説明できません。AI作成の仕訳であることが分かる印を付け、担当者の確認と上長の承認を経て計上する流れにしてください。

J-SOXに生成AI専用のルールはありますか？

いいえ、2026年11月時点でJ-SOXに生成AI専用の規定はありません。生成AIの利用は、ITへの対応やIT全般統制、業務処理統制といった既存の枠組みで評価されると考えられます。具体的な評価方法は、監査法人と早めに協議することをおすすめします。

プロンプトの変更も変更管理の対象にすべきですか？

はい、財務数値に使うプロンプトは変更管理の対象にするのが安全です。プロンプトを書き換えると出力の傾向が変わるため、プログラム変更と同じ影響があり得ます。変更申請、承認、版番号の更新、変更後の検証を記録として残しましょう。

非上場企業でも生成AIの内部統制は必要ですか？

はい、規模に応じた簡易な統制は必要です。J-SOXの対象外でも、決算の誤りは税務申告や金融機関への報告に影響します。利用台帳と承認ルールの2点から始めるだけでも、ミスの早期発見と担当者交代時の引き継ぎに役立ちます。

まとめ：生成AIの内部統制は「人の承認」と「記録」から始める

生成AIの内部統制は、新しい制度を一から学ぶものではなく、既存の内部統制の考え方を生成AIに当てはめる作業です。改訂J-SOX基準はITの委託業務やセキュリティの重要性を明記し、COSOも生成AI向けのガイダンスを公表しました。

経理で押さえるべきポイントは、AIを判断材料の作成者と位置づけ、計上や支払の最終承認を人に残すことです。そのうえで、利用台帳、プロンプトの版管理、出力の検証記録をそろえると、監査人への説明がしやすくなります。

次のアクションとして、まず今週中に経理部門で使っている生成AIツールと用途を一覧にしてみてください。財務報告への影響が大きい業務が見えれば、統制を整える優先順位も自然に決まります。

関連記事

参考リンク

スポンサーリンク
タイトルとURLをコピーしました