内部統制AI化、業務量大幅削減への現実解

J-SOXやコーポレートガバナンス・コードの改訂を背景に、企業の内部統制には大きな転換が求められています。従来のように、定められた手続きを漏れなく実施し、証跡をそろえることだけでは、十分なガバナンスとはいえなくなりつつあります。これから求められるのは、リスクの大きさに応じて統制の濃淡をつけ、経営として説明可能な状態をつくることです。

しかし実務の現場では、いまだに「指摘されないこと」を目的としたチェックリスト型の運用が残っています。低リスクの業務であっても確認をやめにくく、証跡収集、サンプル確認、資料作成に多くの時間が費やされています。その結果、本来であれば経営判断、リスク評価、投資家や監査法人への説明に充てるべき時間が、定型的な作業に吸収されている企業も少なくありません。

ここで重要なのは、内部統制を効率化することと、統制を弱めることはまったく別だという点です。AIを活用すれば、データ収集、異常検知、前年・他拠点比較、説明資料のドラフト作成といった作業を大幅に効率化できます。人はAIが整理した情報をもとに、リスクの評価や最終判断、説明責任に集中できます。

内部統制のAI化は、単なる省力化ではありません。内部統制を「作業をこなす仕組み」から「経営判断を支える仕組み」へ変えるための現実的な選択肢です。

制度改訂によってリスクアプローチへの転換が促されているにもかかわらず、なぜ現場の負担は減らないのでしょうか。理由の一つは、内部統制に必要なデータが、部門、拠点、システムごとに分散されていることです。売上、債権、承認ログ、マスタ変更履歴などの情報が別々の形式で管理されているため、確認作業の前段階であるデータ収集と加工に多くの時間がかかります。

さらに、三点セット、内部統制報告書、コーポレートガバナンス報告書、統合報告書など、関連する資料が個別に作成されていることも負担を大きくしています。同じ情報を複数の資料に転記し、表現を整え、関係者の確認を受ける作業が積み重なることで、内部統制部門だけでなく、現場部門にも大きな負荷がかかります。

特に難しいのは、低リスク業務を統制対象から外す判断です。現場感覚ではリスクが低いと分かっていても、監査法人や経営層に説明できる根拠がなければ、従来どおり確認を続けざるを得ません。その結果、リスクアプローチへ移行したいにもかかわらず、実務上は網羅的なチェックが残り続けます。

AIは、この構造的な負担を軽減する有効な手段になります。部門や拠点に分散したデータを集約し、異常値や変化点を自動的に抽出できれば、統制対象を絞る根拠を示しやすくなります。また、報告資料のドラフト作成をAIに任せることで、重複作業も削減できます。重要なのは、AI導入の前に、どのデータを使い、どの判断に活用するのかを明確にすることです。ここが曖昧なままでは、AI化しても単なる作業の置き換えに終わってしまいます。

内部統制にAIを活用するうえで、最も重要なのは、AIを「判断者」ではなく「判断支援者」と位置づけることです。AIは大量のデータを短時間で処理し、異常値や通常とは異なる傾向を抽出することに優れています。一方で、その取引が本当に不正なのか、事業上合理的な例外なのかを判断するには、業務背景、組織事情、経営判断との整合性を踏まえた「人」による確認が欠かせません。

例えば、AIが期末売上の急増、値引率の異常、承認遅延を検知したとします。これらはリスクの兆候である可能性がありますが、すべてが不正や誤謬を意味するわけではありません。大型案件の納品時期、顧客との契約条件、商習慣、組織変更など、個別の事情によって合理的に説明できるケースもあります。したがって、AIの役割は結論を出すことではなく、人が確認すべき論点を明確にすることです。

この役割分担を明確にすれば、内部統制業務の質と効率は大きく変わります。AIが拠点別の売上、債権、承認ログを取り込み、前年や他拠点との比較を行い、リスクが高い取引を抽出する。さらに、リスク評価表や監査法人向け説明資料の下書きを作成する。人はその内容を確認し、追加調査の要否を判断し、最終的な説明責任を果たす。この流れを構築できれば、内部統制部門は定型作業から解放され、より高度な判断業務に時間を使えるようになります。

AI活用の成否は、技術そのものよりも、AIと人の責任分界をどこまで明確に設計できるかに左右されます。

内部統制では、取引や会計処理の事後確認、金額・数量の照合、クロスチェックなど、発見的アプローチに多くの時間が使われています。もちろん、こうした確認作業は内部統制において重要です。しかし、確認件数を増やせば統制が強くなるとは限りません。むしろ限られた人員で広範囲を確認しようとすると、一件あたりの検証は浅くなり、本当に見るべきリスクを見落とす可能性があります。

従来の人手によるプロセス統制では、対象件数が多いため、サンプル分析が中心になります。サンプル分析は現実的な手法ですが、不正や誤謬の兆候がサンプル外にあれば発見できません。また、確認対象の選定には担当者の経験や勘が入りやすく、リスクの高い取引を網羅的に捉えることには限界があります。

AIを活用すれば、この前提を大きく変えることができます。全件データを対象に、金額の急増、承認フローの逸脱、通常と異なる取引条件、過去傾向からの乖離などを分析し、リスクの高い取引やプロセスを抽出できます。人はAIが示したアラートを確認し、必要に応じて証跡確認や関係者へのヒアリングを行います。

ここで重要なのは、AIが不正を自動的に断定するわけではないという点です。AIは、確認すべき対象を広く、速く、客観的に示すための仕組みです。人はその結果を踏まえ、専門的な判断を行います。内部統制改革で問うべきなのは、「どれだけ多く確認したか」ではありません。「本当にリスクの高い場所を見ているか」です。見る量から見る場所へ。この発想の転換が、内部統制の実効性を高める鍵になります。

AIによってプロセス統制を効率化して生まれた余力は、単なる人員削減や作業削減で終わらせるべきではありません。内部統制の高度化において重要なのは、削減した時間をどこに再配分するかです。定型的な確認作業を効率化し、その余力を全社統制やIT統制の強化に振り向けることで、内部統制はより実効性の高い仕組みへ進化します。

全社統制とは、企業倫理、経営者の姿勢、組織体制、権限規程、研修制度など、会社全体の統制環境を整える取り組みです。これらは個別取引を直接チェックするものではありませんが、不正や誤謬が起こりにくい組織文化と管理体制をつくるうえで欠かせません。

一方、IT統制は、アクセス権管理、ログ保存、セキュリティポリシー、業務システム上の入力制御など、ITを通じて不正や誤処理の機会を減らす仕組みです。業務のデジタル化が進むほど、IT統制の重要性は高まります。システム上の権限設定やログ管理が不十分であれば、どれだけ事後チェックを行っても、不正や誤謬を未然に防ぐことは難しくなります。

多くの企業では、日々の証跡確認や資料作成に追われ、こうした統制基盤の強化に十分な時間を割けていません。しかし、内部統制の本来の目的は、作業を増やすことではなく、リスクを適切に管理し、企業価値を守り、高めることです。AIによってプロセス統制を軽くし、全社統制・IT統制を厚くする。これにより、内部統制は「重いが脆い仕組み」から「軽くて強い仕組み」へ変わります。

複数拠点を持つある大手製造業では、内部統制業務が長年の課題になっていました。売上、債権、承認ログ、マスタ変更履歴などのデータが拠点ごとに異なる形式で管理されており、内部統制部門は毎期、各拠点からExcelを集め、手作業で加工・確認していました。低リスクの業務も一律にチェック対象に含まれていたため、現場部門にも証跡提出や確認依頼が集中し、内部統制部門と現場の双方に大きな負担がかかっていました。

さらに、問題は工数だけではありませんでした。確認対象が広すぎるため、担当者は限られた時間で大量の証跡を確認せざるを得ず、本当にリスクの高い取引や承認遅延を深く検証する時間が不足していました。内部統制報告や監査法人向け説明資料も用途ごとに個別作成され、同じ情報を何度も整理する非効率も発生していました。つまり、「多くの時間をかけているのに、重要リスクに十分な目が届きにくい」という状態に陥っていたのです。

この企業では、まず各拠点の売上、債権、承認ログ、マスタ変更履歴を共通フォーマットに整備し、AIが分析できるデータ基盤を構築しました。そのうえで、AIが前年・他拠点との比較、金額の急増、承認フローの逸脱、マスタ変更後の不自然な取引などを全件分析し、リスクが高い取引をアラートとして抽出する仕組みを導入しました。

これにより、内部統制部門の確認作業は大きく変わりました。従来のように広範囲の証跡を人手で確認するのではなく、AIが抽出した高リスク取引を中心に、人が取引背景や承認経緯を確認する運用へ移行しました。また、AIがリスク評価表や監査法人向け説明資料のドラフト作成を支援することで、資料作成にかかる時間も削減されました。

結果として、内部統制業務が「人手で広く浅く見る」運用から、「AIで広く分析し、人が深く判断する」運用へと転換しました。削減できた工数は、単なる作業削減にとどめず、全社統制やIT統制の強化に振り向けることで、内部統制全体の実効性向上にもつながっています。

内部統制AI導入を進める際には、最初から全社一斉に展開するのではなく、対象業務とデータを絞ったスモールスタートが有効です。まずは一部の拠点や業務領域でAI分析と人の判断結果を照合し、アラート基準やレビュー手順を整備します。そのうえで対象範囲を広げ、監査法人への説明方針やAIと人の責任分担を明確にしていくことが重要です。

証跡収集やサンプル確認に多くの時間がかかっている、低リスク業務も統制対象に残り続けている、AIを活用したいがどこから始めればよいかわからない――このような課題をお持ちの企業様は、ぜひレイヤーズ・コンサルティングにお問い合わせください。貴社の内部統制業務の実態を踏まえ、AI活用による効率化と実質的なガバナンス強化に向けたロードマップづくりをご支援します。

【出典】
• 金融庁「財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について」

• 日本取引所グループ「改訂コーポレートガバナンス・コードの公表」