AIガバナンス診断の方法｜5領域25項目で自社の現状を把握する
77509664・AIガバナンスの診断は5領域25項目で体系的に行う
・「利用実態の把握」と「取締役会による監督」は多くの企業で未整備
・診断結果は内部監査・監査役・取締役会報告の資料として使える
・IPO準備企業は早期診断でN-2期以前の体制整備が有利になる
はじめに
「社員がChatGPTやClaudeをどの程度使っているか把握できていない」「規程はあるが運用できているか不明」「監査役から質問されたとき何を答えればよいか分からない」――こうした状況は、AIガバナンスが未整備であることを示している。
AIガバナンスの診断とは、自社の生成AI利用状況を体系的に点検し、管理上の空白を特定する作業だ。本記事では、管理部門・内部監査・監査役・取締役会が使える診断フレームワークを解説する。
目次
1. AIガバナンス診断とは何か
AIガバナンス診断は、企業における生成AIの業務利用状況を、ガバナンス・リスク管理・コンプライアンス（GRC）の観点から点検する作業だ。
診断の目的は以下の3つ。
- 現状把握：どこにリスクの空白があるかを特定する
- 優先度付け：何から整備すべきかを判断する
- 説明責任：監査・取締役会・投資家に対して現状を説明できる状態にする
2. 5領域の診断フレームワーク
CFOs LLCのAIガバナンス診断シートは、以下の5領域で確認する。
| 領域 | 主な確認内容 | 対象部門 |
|---|---|---|
| ① AI利用実態 | 誰が何を使っているか把握できているか | 全部門 |
| ② 情報管理・機密情報 | 機密情報・個人情報の入力制限があるか | 管理部門・IT |
| ③ 社内規程・ルール | 利用規程・ガイドラインが整備されているか | 管理部門・法務 |
| ④ 内部統制・監査対応 | 統制が文書化され、監査証跡があるか | 内部監査・管理部門 |
| ⑤ 経営・取締役会による監督 | 経営層がAIリスクを理解・監督しているか | 取締役会・監査役 |
3. 各領域の確認ポイント
領域①：AI利用実態
確認すべき5項目：
- 社内で使用されている生成AIツールの一覧を把握しているか
- 部門別・個人別の利用状況を管理しているか
- 業務目的での利用と私的利用の区別ルールがあるか
- 新しいAIツール導入時の申請・承認手続があるか
- 外部委託先のAI利用状況を把握しているか
多くの企業では、この領域が最も把握できていない。「なんとなく使われている」という状態は、ガバナンス上は「管理不能」と同義だ。
領域②：情報管理・機密情報
確認すべき5項目：
- 入力禁止情報の定義と周知がされているか
- 顧客情報・未公表財務情報の入力禁止ルールがあるか
- AIサービスの学習設定（入力データの扱い）を確認・管理しているか
- テナント契約（エンタープライズプラン）の検討・採用状況
- 外部サービスへの情報送信に関する記録・ログの管理
領域③：社内規程・ルール
確認すべき5項目：
- AI利用規程またはAIガイドラインが文書化されているか
- 役員・従業員全員が規程内容を把握しているか
- 違反した場合の処罰規定が定められているか
- 規程の定期見直し手続が定められているか
- 関連する情報セキュリティポリシーとの整合性がとれているか
領域④：内部統制・監査対応
確認すべき5項目：
- AI利用プロセスが業務フロー・RCMに記載されているか
- AIの出力に対するレビュー・承認統制があるか
- 監査法人・内部監査へのAI利用説明資料を準備できるか
- J-SOX対象プロセスにAI利用が含まれる場合の対応
- インシデント発生時の報告・対応手順が定められているか
領域⑤：経営・取締役会による監督
確認すべき5項目：
- 経営会議・取締役会でAIリスクが定期的に報告されているか
- 監査役がAIガバナンスに関する確認を実施しているか
- AIリスク管理の責任者（CISO・管理部門長等）が明確か
- AIに関する倫理方針・基本方針が明文化されているか
- 外部環境（法改正・規制動向）への対応体制があるか
4. 診断結果の活用方法
診断結果は、以下の用途で活用できる。
管理部門：
- 規程整備・研修の優先順位付け
- 経営会議への現状報告資料
内部監査：
- AI利用に関する監査計画の策定
- リスクアセスメントの基礎資料
監査役：
- 取締役会へのAIガバナンス評価報告
- 監査報告書の記載内容の根拠
取締役会事務局：
- 取締役会議題としてのAIリスク報告
- 有価証券報告書・コーポレートガバナンス報告書の記載根拠
5. IPO準備企業における留意点
IPO準備企業では、監査法人の審査においてAI利用状況が確認される場面が増えている。特にN-2期（上場2年前）以降は、内部統制報告書の準備と並行してAIガバナンスを整備しておくことが重要だ。
監査法人が確認する主な項目：
- AI利用規程の有無と内容
- AI利用プロセスの内部統制評価
- 情報管理ルールの実施状況
- 役員・従業員への周知・教育実績
早期の診断と整備が、審査対応をスムーズにする。
よくある質問（FAQ）
Q1. 診断はどのくらいの頻度で行うべきですか？
A. 初回診断後は年1回を基本に、AIサービスの大幅な変更・新ツール導入・法改正・重大インシデント発生時に随時実施することを推奨します。
Q2. 診断は誰が行うべきですか？
A. 管理部門・内部監査部門が主体となり、IT・法務・各事業部門の代表者を加えたチームで行うのが効果的です。外部専門家の関与も有効です。
Q3. 25項目すべてを満たす必要がありますか？
A. 企業規模・業種・リスク状況によって優先度は異なります。まず「できていない項目」を特定し、リスクの高いものから順に整備することが現実的な進め方です。
Q4. 診断結果は誰に報告すべきですか？
A. 管理部門長→経営会議→取締役会・監査役という順で報告することが望ましい。特に取締役会への定期報告を仕組み化することで、経営レベルでの監督が実現します。
注意事項
本記事の内容は一般的な情報提供を目的としています。個別の法的判断・内部統制評価・監査対応については、公認会計士・弁護士・専門家にご相談ください。
AIガバナンス簡易診断シート
5領域・25項目で自社のAIガバナンス状況を確認できるExcel形式の診断シート。管理部門・内部監査・監査役・取締役会での利用を想定して設計。
価格：9,800円（税込）
関連記事
- AI利用規程の作り方｜管理部門が整備すべき7つの条項
- AIチェックリスト｜生成AI業務利用の確認事項
- J-SOXとAIリスク｜内部統制評価への影響
- 管理部門向けAI実務ナレッジ
Follow me!
