JICPAの監査AI研究文書が示すClaude活用と限界

日本の公認会計士協会であるJICPAは2024年8月13日、テクノロジー委員会が研究文書第11号「監査におけるAIの利用に関する研究文書」を公表しました。監査法人でAI監査ツールの導入が進む状況を踏まえ、AIが使える領域と使えない領域、導入時の課題を整理した文書です。生成AIを監査調書の作成補助に使う場面が具体例として挙げられており、Claudeを業務に組み込もうとする公認会計士・監査法人にとって、判断材料になる内容です。

JICPA研究文書第11号は何を扱っているか

本研究文書は、2019年にテクノロジー委員会が公表した研究文書第4号「次世代の監査への展望と課題に係る研究文書」の後継にあたります。前号は監査AIの想定にとどまっていましたが、第11号は大手監査法人でのAI監査ツール開発と実務導入が進んだ後に書かれました。構成は大きく4章です。AIの基礎知識、監査におけるAI利用の領域、利用に伴う課題、そして今後の会計士に求められる役割の4点を扱っています。

対象読者は監査法人・会計事務所の実務者ですが、記述は特定ベンダーのAIツールに限定されていません。会計基準そのものの差分整理はClaudeでJ-GAAPとIFRS差分チェックを行うプロンプト設計で扱っています。データ分析用のAIから生成AI（LLMベースの対話型AI）まで幅広く扱う設計です。この記事では、生成AIの利用領域とリスクの部分を中心に、Claudeを実際に監査業務へ組み込む際の対応関係を見ていきます。研究文書全体としては、証憑突合や不正検知に使う専用のAI監査ツールと、文章生成中心の生成AIを明確に区別しており、両者を同列に語らない構成が特徴です。

AI監査ツールと生成AIを分ける2区分

研究文書は監査AIを大きく2種類に分けます。監査業務に特化して開発された「AI監査ツール」と、汎用の「生成AI」です。前者はデータの分析や自動化による監査手続の効率化を担い、後者は監査手続や判断そのものではなく、文書のドラフト作成や質問応答といった補助的な利用が想定されています。

生成AIの利用例として、研究文書は次の5区分を挙げています。

いずれもClaudeの一般的な使い方と重なります。長文の監査調書を読み込ませて矛盾点を抽出させる、業界情報を要約させるといった作業は、Claudeのファイル読み込みと要約機能で日常的に行われている使い方です。特に情報収集補助の区分は、Web検索機能を使って被監査会社のプレスリリースや同業他社の開示情報をその場で取得し要約させる使い方に対応します。監査計画の初期段階で業界動向を把握する作業を、資料を事前に集めずにその場で進められる点は、研究文書が挙げる利用例の中でも実務への転用がしやすい部分です。

ただし研究文書は、これらを「あくまでも補助的な用途にとどめるべき」と明記しています。どの監査手続を実施すべきかの判断や、調書作成の最終的な責任は監査人にあるという前提を崩しません。

Claudeで監査調書を扱うとき何に気をつけるか

研究文書がAI監査ツール全般に求める要件のうち、Claudeを含む汎用生成AIの利用に直接関わるのは情報セキュリティの機密性です。監査人は被監査会社から機密情報の提供を受けて業務を行うため、情報漏えいは監査業界全体の信頼性を損ないます。研究文書は生成AIの利用について「特に被監査会社に関する機密情報の入力は、適切な情報セキュリティが確保されていなければ行うべきではない」と述べています。

この要件をClaudeの契約形態に当てはめると、確認すべき点が具体化します。Anthropicの商用製品（Claude for Work、Claude API、Claude Enterprise等）は、既定では入力・出力をモデルの学習に使いません。学習に使われるのは、ユーザーがフィードバックボタンで明示的に報告した会話や、利用者が別途許諾した場合に限られます。個人向けのClaude Free・Pro・Maxはこの既定ルールの対象外で、扱いが異なる点に注意が必要です。監査業務で機密情報を入力するのであれば、商用契約の対象となっているかをまず確認する必要があります。

さらに厳格な要件が必要な場合、Claude APIにはゼロデータ保持（Zero Data Retention、ZDR）の契約形態があります。ZDRが有効な組織では、APIレスポンスを返した後にプロンプトや応答をAnthropic側に保存しません。ZDRは組織単位で個別に有効化する必要があり、Claude Codeでは商用組織のAPIキー、またはZDRを有効化したClaude Enterpriseで利用した場合に適用されます。ただしClaude Teams・Enterpriseの製品インターフェース自体はZDR対象外で、対象となるのはAPI経由の利用が中心です。監査事務所がどの利用形態でClaudeを使っているかによって、この保護が及ぶ範囲は変わります（契約形態ごとの適用範囲はClaude Zero Data Retentionが有効になる契約形態の切り分けで詳しく扱っています）。

情報セキュリティリスクと低減策の対応関係

研究文書は生成AI利用に伴う情報セキュリティリスクを、入力データと出力データの2軸で整理しています。

このうち「学習データに利用されてしまう」リスクへの対応が、前段で触れた商用契約とZDRの話に対応します。「利用者教育」の部分は、監査事務所側でAIの利用規則を定め、不適切な入力（被監査会社の未公表の決算情報など）を防ぐガバナンス設計を指しており、Claudeの契約形態だけで解決する話ではありません。研究文書はこの点を「不適切なAI利活用を禁止するガイドラインやマニュアルの策定」「AI利活用に対する教育」「AI利用のモニタリング」の3つの取り組みとして提示しています。

中小監査事務所にとってClaudeはどう位置づけられるか

研究文書は、AI監査ツールの開発・導入について中小監査事務所が直面する課題を別立てで論じています。AI監査ツールの開発には目標設定からデータ収集、チューニング、訓練・評価まで数か月単位の工数がかかり、プラットフォーム費用も安価ではありません。大手の監査事務所はグローバルファームとの連携で開発を進められますが、中小監査事務所が単独でAI監査ツールの開発費を負担するのは容易ではないというのが研究文書の指摘です。

生成AIはこの構図とは事情が異なります。研究文書は生成AIの特徴として、利用に当たってデータやプログラミングの知識は不要で、AIの専門家でなくても簡単に使える点を挙げています。Claudeのような汎用生成AIは、監査業務専用のAIツールを自前で開発するのとは異なり、既存のサービスをそのまま契約して使い始められます。中小監査事務所がAI監査ツールの開発費や専門人材の確保に苦労する一方で、監査調書のドラフト作成や情報収集の補助といった用途であれば、Claudeの契約導入は開発コストをかけずに着手できる選択肢になります。ただし、この手軽さは「専門知識がなくても使える」という特徴の裏返しでもあり、前段で見た情報セキュリティの留意点は組織規模にかかわらず同じように適用されます。

独立性と専門性はAI普及後も会計士に残る

研究文書の後半は、AIが普及した後も会計士に残る役割を論じています。中心は独立性と専門性の2点です。AIモデルは統計的に処理されるため100%の信頼性を保証できず、学習データのバイアスや環境変化の影響を受けます。ブラックボックス性から、入出力に基づく評価が信頼性確認の中心にならざるを得ません。こうした技術的限界がある以上、AIの出力に対して独立した第三者が信頼性を付与する役割は残り続ける、というのが研究文書の立場です。

生成AIを監査調書作成に使う場面でも、この構図は変わりません。Claudeが生成した調書のドラフトは「参考の一つ」であり、内容の正確性を判断し、最終的な成果物に責任を持つのは監査人自身です。研究文書はAIリテラシーの向上を今後の会計士に求めるスキルの筆頭に挙げていますが、これは「AIに何ができて何ができないか」を理解した上で、既存業務を置き換えるのか品質を補強するのかという目的を会計士自身が定める力を指しています。AIの出力をそのまま採用するかどうかの最終判断は、AIが授けてくれるものではないという前提です。

まとめ

JICPA研究文書第11号は、監査業務における生成AIの利用を「補助的な用途」に明確に限定し、判断と責任の所在を監査人に残す構成で書かれています。Claudeを監査調書の作成・査閲補助に使う場合、研究文書が求める情報セキュリティの機密性確保は、商用契約かどうか、ZDRの対象範囲に入っているかという具体的な契約条件の確認に置き換えられます。監査法人・会計事務所でClaudeの導入を検討する担当者は、利用規則の策定とあわせて、この契約条件の切り分けを先に済ませておくと判断が早くなります。研究文書自体が2019年の第4号から2024年の第11号へと5年で改訂されている点も踏まえ、契約条件やClaudeの機能仕様は固定的なものと考えず、定期的に見直す前提で運用を設計するのが実務的です。契約形態別の管理ログの確認方法はClaude監査ログの見方、米国基準側の視点は米国CAQ「生成AIの時代の監査」を監査法人のClaude運用設計に読み替えるも参考になります。