【AI時代の内部統制】会計監査で「AIのリスク」を知る必要があるのか？

ちょうどAIセキュリティの世界標準である「OWASP Top 10 for LLM Applications」の2026年版が8月4日に公開されていました。
「AIのことはシステム担当者に任せておけばいい」と思われるかもしれません。しかし、現在のビジネスにおいてAIは単なる便利な道具を超え、企業の「意思決定」や「業務執行」に深く入り込んでいます。
なぜ企業の監査部門や公認会計士が行う会計監査の内部統制検証の中でAIリスクを理解しなければならないのか。最新のガイドラインが示す「3つの視点」から見ていきます（今回は素人でも分かるように！）。

1. AIが勝手に「仕事」をしてしまうリスク（過剰なエージェンシー）
   最近のAIは、チャットで答えるだけでなく、人間に代わってメールを送ったり、データベースを書き換えたりする「自律的な動き（エージェント）」ができるようになっています。いわゆるAIエージェントです。もしこのAIエージェントが誤った判断をして、勝手に重要なデータを削除したり、不適切な送金処理を行ったりしたらどうなるでしょうか？これは企業の業務管理（内部統制）における重大なインシデントとなります。そのため、監査の現場では、AIに「どこまでの権限を与えているか」を検証することが必要になります。
2. 知らないうちに「秘密」が漏れるリスク（機密情報の漏洩）
   AIは学習したデータや、人間とのやり取りを記憶してしまう性質があります。そのため、例えば社員がAIに相談した「顧客情報」や「経営戦略」が、回り回って社外の第三者に回答として提示されてしまうといったリスクがあります。これは個人情報保護法（GDPRなど）への抵触だけでなく、企業の競争力を削ぐことにも繋がります。監査においては、AIとのやり取りの中に「個人情報（PII）」や「秘密事項」が含まれていないか、発見のためのログモニタリングは適切か等を検証する必要があります。
3. AIの「嘘」を信じてしまうリスク（誤情報）
   AIは、もっともらしい嘘（幻覚）をつくことがあります。いわゆる、ハルシネーションです。もしAIが生成した不正確なデータに基づいて、経営会議の資料が作られたり、経理の仕訳が行われたりすれば、決算書の信頼性が揺らぎかねません。AIの回答を鵜呑みにせず、重要な処理前には「人間がどう確認しているか（Human-in-the-loop）」というチェック機能を行うようになっているか等が必要になります。

まとめ：監査・会計のプロが守るべきもの
最新のガイドラインでは、「AIを騙されないように作るのではなく、AIが騙されてもビジネスが壊れない仕組み（システム）を作ること」の重要性を指摘しているようです。
監査現場では、AIだから人間と同じように判断出来ているとか、検証が不要とするのでなく、上述したようなリスクが存在する以上、AIという新しい技術であっても、当然情報の信頼性を損なわないよう、適切な予防や発見する統制が行われているかの検証が必要になってきています。

より専門的なセキュリティリスクの詳細については、以下の公式サイト（英語・日本語版あり）も併せてご参照ください。OWASP Top 10 for LLM Applications 公式サイト https://genai.owasp.org/
なお、生成AIに関する内部統制については、COSOの内部統制フレームワークが参考になるので、併せてご参照ください。GenAI COSO 公式サイト https://www.coso.org/generative-ai

AI導入に伴う内部統制の構築や、リスク評価についてのご相談は、ぜひ当事務所までお問い合わせください。