生成AIとJ-SOX｜業務プロセスへのAI組込みと内部統制評価の実務
77509664・生成AIが業務プロセスに組み込まれた場合のJ-SOX評価スコープへの影響を解説
・RCM（リスク・コントロール・マトリックス）の更新ポイントを整理
・IT全般統制・IT業務処理統制との関係を明確化
・監査法人との事前相談で確認すべき論点を提示
はじめに
生成AIが経理・決算・開示・契約等の業務に組み込まれると、J-SOX（金融商品取引法に基づく内部統制報告制度）の評価範囲に影響が生じる。
しかし「どのような場合にスコープに入るのか」「RCMをどう更新するのか」について、整理できていない企業は多い。本記事では、内部統制・J-SOXの実務視点から、生成AI組込みプロセスへの対応方法を解説する。
目次
1. J-SOXとAI利用の関係
J-SOXは「財務報告に係る内部統制の評価・報告制度」であり、財務報告の信頼性を確保するための内部統制が適切に整備・運用されているかを経営者が評価・報告することを求める。
生成AIが以下の業務に組み込まれた場合、J-SOXの評価対象になる。
| AI利用場面 | J-SOXへの影響 |
|---|---|
| 仕訳・勘定科目提案への AI活用 | 業務処理統制の評価対象 |
| 月次・四半期決算レポートのAI草稿作成 | 財務報告プロセスの評価対象 |
| 開示書類（有価証券報告書等）のAI文章生成 | 開示統制の評価対象 |
| 契約書・重要書類のAIレビュー | 業務プロセス統制の評価対象 |
| 経費精算のAI異常検知 | IT業務処理統制の評価対象 |
2. 評価スコープ判定の考え方
AI利用がJ-SOXの評価スコープに含まれるかどうかは、以下の観点から判定する。
① 財務報告への影響の重要性
- そのAI利用が財務報告の数値・内容に影響するか
- 影響が重要性の基準を超える可能性があるか
② プロセスへの組み込み度
- AIが単なる参考ツールか、業務プロセスのステップに組み込まれているか
- AI出力が承認なしに処理に使われているか
③ 代替統制の有無
- AIが誤った出力をしても、人間のレビュー統制が機能しているか
判定の実務的な考え方：
- AI出力を人間がレビュー・承認してから業務処理に使う場合→レビュー統制が機能していれば、AI自体のスコープへの組み込みは最小化できる可能性がある
- AI出力を承認なしに業務処理に直結させている場合→スコープ組み込みの必要性が高まる
3. RCM更新のポイント
AI利用が評価スコープに含まれる場合、RCM（リスク・コントロール・マトリックス）を以下の観点で更新する。
新たに追加すべきリスクの例：
- 「AIハルシネーションにより誤った仕訳・数値が財務報告に組み込まれるリスク」
- 「AI利用による機密情報漏洩が財務報告の信頼性に影響するリスク」
- 「AIツールのサービス変更・停止による業務中断リスク」
対応コントロールの例：
- 「AI生成の仕訳・数値について、経理部長が承認する（キーコントロール）」
- 「AI利用による入力禁止情報の管理規程が整備され、研修が実施されている」
- 「AIツール変更時に業務プロセスへの影響を事前確認する手続がある」
RCM更新時の注意点：
- 既存のコントロールがAI利用後も有効かを確認する
- AI特有のリスク（ハルシネーション・データ漏洩等）を既存フレームワークに追加する
- IT全般統制との連携を確認する
4. IT全般統制・IT業務処理統制との関係
IT全般統制（ITGC）：
社内のAIシステム（自社開発・SaaS利用）のアクセス管理・変更管理・運用管理は、既存のITGCの評価対象に加わる可能性がある。
- アクセス管理：誰がAIツールを使えるかの権限管理
- 変更管理：AIツールのバージョンアップ・設定変更の管理
- 運用管理：AIサービスの継続性・障害時の対応
IT業務処理統制（ITAC）：
AIが組み込まれた業務処理システムの処理の正確性・完全性を確保するための統制。自動化されたコントロールとして評価対象になる場合がある。
5. 監査法人との相談事項
J-SOX対象企業は、AI利用が業務プロセスに組み込まれた時点で、監査法人との事前相談を推奨する。
相談すべき主な事項：
1. AI利用の評価スコープへの組み込みの要否
2. RCMへの追加内容の妥当性確認
3. IT全般統制との整合
4. テスト計画への組み込み方法
5. 内部統制報告書への記載方法
監査法人との相談タイミング：
- AI利用を新規に業務プロセスに組み込む前
- 既存の業務プロセスでAI利用範囲が大幅に拡大した時
- 使用するAIツールを変更した時
AIガバナンス簡易診断シート
J-SOX対応に必要な内部統制・監査対応の観点を含む診断シート。内部監査・管理部門のJ-SOX対応準備に活用できます。
価格：9,800円（税込）
よくある質問（FAQ）
Q1. ChatGPTを「参考として使う」だけでもJ-SOXの対象になりますか？
A. 業務処理の流れや出力の使われ方によります。参考情報として使い、全ての判断・処理は人間が行う場合は対象外になる可能性があります。ただし業務プロセスに組み込まれている度合いを都度確認することが重要です。
Q2. AI利用規程はJ-SOX文書の一部として扱うべきですか？
A. AI利用規程は内部統制の整備状況を示す重要な文書です。業務フロー・RCMとの紐付けを明確にすることで、J-SOX文書体系の中に位置づけられます。
Q3. AI出力のレビューを「キーコントロール」に設定すべきですか？
A. 財務報告に重要な影響を与えるAI出力のレビューは、キーコントロールに設定することを推奨します。キーコントロールに設定することで、そのコントロールが実際に機能しているかのテストが必要になります。
関連記事
- 生成AI利用と内部統制｜3つの統制点
- J-SOXとAIリスク（既存記事）
- 内部監査部門のAIリスク対応
- 経理業務でのAIリスク
Follow me!
