米国CAQ「生成AIの時代の監査」を監査法人のClaude運用設計に読み替える

「生成AIの時代の監査」は、なぜClaude運用の点検にも使えるのか

米国の監査品質センター(CAQ、Center for Audit Quality)が2024年4月に「Auditing in the Age of Generative AI」を公表しました。日本の公認会計士協会(JICPA)がこれを2025年6月に会員向けの仮訳として公開しています。原題どおり監査人向けの文書です。対象読者は、財務報告プロセスに生成AIを導入した企業を監査する公認会計士に限られます。企業側や個人向けの利用マニュアルではありません。

それでも参照価値があります。理由は、文書の骨格が特定の生成AIサービス名に依存しない点にあります。リスク領域ごとに「監査人が検討すべき質問」が並ぶ構成だからです。CAQの調査では、監査パートナーの3人に1人が、担当企業の財務報告プロセスへの生成AI導入または導入計画を確認しています。監査法人自身も、Claudeのような生成AIを開示書類のたたき台作成やSQLの生成に使い始めています。この文書は「監査される側のリスク管理」と「監査法人がClaudeを使うときの自己点検」の両方に読み替えられます。

文書の構成は、生成AIの基礎知識、規制環境、生成AI導入企業を監査する際の留意点、利用事例、その他の監査上の考慮事項の5部です。中心は11ページ目以降にある潜在的リスク領域の表です。ガバナンス・規制・知識及びスキル・不正・データプライバシー・セキュリティ・生成AIの選定及びデザイン・基盤モデルの利用・モデルトレーニングと開発・モデルパフォーマンス・プロンプト・継続的な信頼性とモニタリングの12領域があります。各領域にリスク要因の例と、監査人が検討すべき質問が並びます。

12のリスク領域を、Claude導入時の点検リストに圧縮する

12領域すべてを逐語で追うと冗長になります。Claudeを財務報告や経理業務に導入する企業が、実務で当てはまりやすい観点を絞って読み替えます。

CAQの原文では、この表の各行に「リスク又はリスク要因の例」も付いています。データプライバシーの行には次の指摘があります。「サードパーティー製の生成AIテクノロジーには、更なる技術開発に使用するため、全てのインプットを記録し保存するものがある」。Claudeを含む商用AIサービスを経理データに使う企業が、まず確認すべき論点と重なります。

基盤モデルの利用の行にも重要な指摘があります。「基盤モデルの信頼性が低いため、繰り返しエラーが発生する、又はモデルによって特定の結果やアウトプットが優先される」というリスクです。モデルの選定理由と検証手順を記録に残す必要性を示しています。セキュリティの行では、悪意あるプロンプトインジェクションが「信頼できないアウトプットを提供するよう生成AIテクノロジーを促すことを含む」と定義されています。業務システムから取得した外部データをそのままClaudeのプロンプトに混ぜる運用では、この観点の点検が要ります。

「知識及びスキル」の領域も見落とせません。CAQは、生成AIの監督・開発・展開・運用及び監視に責任を持つ人や管理職が、効果的に監督するための知識・スキルを持っているかを問います。企業側に置き換えると、Claudeを導入する部門が、プロンプト設計・出力レビュー・ハルシネーションのリスクについて従業員に研修を提供しているかという論点です。CAQのリスク要因の例には「企業が、生成AIテクノロジーを効果的かつデザイン通りに利用するための十分なトレーニングを従業員に提供していない、又は、従業員が生成AIテクノロジーを不適切に信頼している(自動化バイアス)」という項目があります。監査法人の担当者がClaudeの出力を無検証で受け入れる運用は、この自動化バイアスに直結します。

ヒューマン・イン・ザ・ループの要求は、出力レビュー体制の設計にそのまま使える

CAQの文書がもっとも紙幅を割いているのが「ヒューマン・イン・ザ・ループ」の考え方です。生成AIが入力した情報の網羅性と正確性を、従業員がレビューします。生成AIからのアウトプットもレビューし、その品質・信頼性・適切性を判断します。この責任を従業員が負う、という枠組みです。文書内の2つの利用事例が、この枠組みの具体像を示しています。

1つ目の事例は、財務諸表の開示書類作成です。前年度の開示、基礎となるスケジュール、総勘定元帳データを使って、生成AIに最初の開示案を作成させます。その後、財務報告担当者が開示案を確認する責任を負う運用です。ここでリスクとして識別されているのは2つです。①開示書類が基礎データの網羅性や正確性に欠けるリスク、②生成AIの学習データのカットオフ後に会計基準の開示要求事項が更新され、出力が適切ではなくなるリスク。対応は「適切な権限と能力を持つ従業員が、開示案が網羅的かつ正確であることを検証する管理態勢を有している」ことでした。

2つ目の事例は、レポート作成のためのコード生成です。統制実施者がSQLベースのレポート作成ツールを使う業務があります。従来は統制実施者自身がSQLを記述していました。現在は生成AIに記述させ、SQLの専門知識を持つ従業員が更新前に確認する運用に切り替わりました。文書は「将来の展望」にも触れています。統制実施者がレポートに必要な変更を生成AIに指示し、人間が関与することなく本番環境に移行するところまで進化する可能性がある、という展望です。

Claudeで仕訳チェックや開示書類のたたき台作成を行う企業にとって、この2事例は「どこまで自動化してよいか」の線引きの参考になります。共通点は明快です。生成AIが作業を代替した後も、SQLの知識や開示要求事項の知識を持つ人間が最終的な検証責任を持ち続けています。裏を返せば、検証できる知識を持つ担当者が不在のまま、生成AIの出力を本番データに反映する運用は危険です。CAQの枠組みでは、これは統制の空白として扱われます。

監査チームの知識・スキルという論点は、導入企業の側にも跳ね返る

文書の終盤では、監査チーム自身の知識及びスキルにも触れています。生成AIを導入している企業を監査する場合、監査人には適切な知識及びスキルが要ります。企業の生成AI利用に関連するプロセスレベルのリスクや、ITから生じるリスクを含めた重要な虚偽表示リスクを、識別・評価・対応するための知識です。監査チームがこれを有しているかどうかを検討する、という内容です。

これは監査人側の要求です。裏返せば、Claudeを財務報告プロセスに導入する企業の側にも、同じ水準の説明責任が生じます。監査を受ける立場で「なぜこの業務にClaudeを使っているのか」「基盤モデルはどれか」「プロンプトはどう標準化されているか」を説明できるかどうかが問われます。説明できなければ、監査人は十分かつ適切な監査証拠を入手できません。結果として、内部統制の評価に時間がかかります。CAQは結論部分でこう明記しています。「企業が生成AIへの依存度を高めている場合に、十分かつ適切な監査証拠を入手することは、監査人にとって引き続き焦点となる事項であり、潜在的な課題である」。監査対応を円滑にする観点からも、Claudeの利用範囲・基盤モデル・レビュー体制の文書化には実務上の意味があります。

まとめ

CAQ「生成AIの時代の監査」は監査人向けの一般文書で、Claudeを名指ししているわけではありません。ただし12のリスク領域と「監査人が検討すべき質問」のリストは、Claudeを財務報告プロセスや経理業務に導入する企業が使えるチェックリストです。ガバナンス・データプライバシー・プロンプト管理・レビュー体制を点検する粒度で書かれています。監査法人自身がClaudeを開示書類のたたき台作成やコード生成に使う場合も、原文にある2つの利用事例(開示書類作成・SQLレポート生成)が参考になります。ヒューマン・イン・ザ・ループの具体的な運用イメージを与えてくれます。原文はJICPA会員向けの仮訳で公開されています。閲覧には著作権規約への同意が必要です。実務に反映する前に、必ず一次資料を確認してください。

社内でClaude利用規程を整備する担当者は、デジタル庁の生成AIガイドラインをClaude社内規程に転用する記事のリスク4軸も合わせて確認すると、政府系ガイドラインと監査業界ガイドラインの2つの視点から抜け漏れを点検できます。Claude利用の変更履歴を追跡する実務はClaude監査ログの見方、経理部門でのSaaS連携範囲は経理部門がClaudeで使えるSaaS連携まとめ、コンプライアンス監査向けの書類整理はClaudeで散在した書類をコンプライアンス監査向けに整理する方法で扱っています。