内部監査人協会（ＩＩＡ）情報グローバルな視点と洞察特別版−ＡＩ 第２部

ＩＩＡの人工知能監査フレームワーク
実務への適用

パートＡ

内部監査人協会（ＩＩＡ）
訳者：堺咲 子
内部監査財団（Internal Audit Foundation） 評議員
インフィニティコンサルティング 代表
ＣＩＡ，ＣＣＳＡ，ＣＦＳＡ，ＣＲＭＡ，ＣＰＡ（ＵＳＡ）目
はじめに……………………………………… 41
ＩＩＡのＡＩ監査『フレームワーク』… …… 41
ＡＩ戦略……………………………………… 42
サイバーレジリエンス…………………… 42
ＡＩ能力…………………………………… 43
ガバナンス…………………………………… 43
アカウンタビリティ、責任、監督……… 44
規制当局………………………………… 44
統治機関・取締役会・監査委員会…… 45
上級経営者……………………………… 45

次
第１のディフェンスライン…………… 45
第２のディフェンスライン…………… 45
第３のディフェンスライン…………… 45
外部監査………………………………… 45
規制の遵守………………………………… 46
データアーキテクチャとインフラストラクチャ…… 48
データ品質…………………………………… 49
フェイスブック社の是正措置……………… 50
ＡＩ監査に「基準」を利用する…………… 51
最後に………………………………………… 51

諮問委員会
ＩＩＡアラブ首長国連邦

ＩＩＡマレーシア
CIA, CCSA, CFSA, CGAP, CRMA

CIA, CCSA, CRMA

ヌル・ハヤティ・バハルディン氏

カレム・オベイド氏

ＩＩＡ北米

ＩＩＡアフリカ地域連合

CIA, CRMA, CPA

CIA, QIAL

キャロライン・セイント氏

レセディ・レセテディ氏

ＩＩＡコロンビア

ＩＩＡオランダ
CIA, CCSA, CGAP

CIA, CCSA, CRMA

ハンス・ニューランド氏

アナ・クリスティーナ・ザンブラノ・プレシアド氏

Copyright © 2017 by The Institute of Internal Auditors, Inc., (“The IIA”) strictly reserved. Any reproduction of
The IIA name or logo will carry the U.S. federal trademark registration symbol ®. No parts of this material may be
reproduced in any form without the written permission of The IIA.
Permission has been obtained from the copyright holder, The Institute of Internal Auditors, 1035 Greenwood Blvd.,
Suite 401 Lake Mary, FL 32746, U.S.A., to publish this translation. No part of this document may be reproduced,
stored in any retrieval system, or transmitted in any form, or by any means electronic, mechanical, photocopying,recording, or otherwise, without prior written permission of The IIA.

40

月刊監査研究2018．3（No.532）

内部監査人協会（ＩＩＡ）情報

ズムである、とマイクロソフト社ヴァイスプ

注
本文書は３部シリーズの第２部である。
詳細は第１部「人工知能－内部監査の専門家が考慮すべきこと」（編集注：『月刊監査研究』2018年２月号掲載）を参照。

レジデントのジョセフ・シラッシ氏はザ・タ
イムス紙に語った。このように組織的なＡＩ施策の促進を重視していることは、ＡＩに対して完全な準備を直ちに行うことが内部監査の専門家にとってより重要であるということを意味している。
ＡＩには機械学習の他にも、深層学習（デはじめにィープラーニング）、画像認識、自然言語処理、

AutoMLと呼ばれるグーグル社の新しいプ

認知（コグニティブ）コンピューティング、

ロジェクトは、機械を「賢く」するテクノロ

知能増幅、認知強化、機械拡張知能、拡張知

ジーを指す広義語である人工知能（ＡＩ）を能などの関連用語がたくさんある。ＩＩＡの別の段階へ移行させようとしている。ＭＬはＡＩ監査『フレームワーク』の中で使われてマシンラーニング（機械学習）の略で、タス

いるＡＩとは、これらすべての概念を網羅しクを実行するためにデータを分析するコンピている。

ュータアルゴリズムを指している。AutoML
は、別の機械学習アルゴリズムを作るための機械学習アルゴリズムである。
グーグル社エンジニアのジェフ・ディーン

ＩＩＡのＡＩ監査『フレームワーク』

氏はこのプロジェクトを、豊富な専門知識を持っていない企業でもＡＩを使ってシステムを構築する方法であると説明する。ＡＩを構

AI戦略
サイバーレジリエンス・AI能力

築する能力のある人材を持っている企業は現

ガバナンス

在わずか数千社であるが、もっと多くの企業

データ品質・成果測定
データアーキテクチャ＆インフラストラクチャが必要なデータを持っていると彼は推定している。
「機械学習の問題を解決する組織の数

人的要因を、数千社から数百万社にしたい」と彼はニ

倫理・ブラックボックスューヨークタイムズ紙１に語った。
グーグル社は、ヒューマン分析や意思決定といったヒューマンインテリジェンスを自動「人工知能－内部監査の専門家が考慮すべ化、拡張、または複製するためにＡＩの研究

きこと」で説明した通り、ＡＩにおける内部やアプリケーションに投資している多くの組監査の役割は「人工知能が短期、中期、また織の１つである。コンピューターサイエンス

は長期の価値を創造する組織の能力に否定的によって切り開かれた創造の道筋を辿って、

または肯定的な影響を与える程度を評価し、マイクロソフト社はプログラマが「深層ニュ

理解し、伝達するのに役立つこと」である。

ーラルネットワーク」を構築するためのツー

内部監査がこの役割を果たすために、内部ルを最近発表したが、それは「多くの重労働」

監査人は組織に合わせてＡＩ関連のアドバイをなくすような種類のコンピュータアルゴリ

ザリー、アシュアランス、またはアドバイザ

１

訳者注：https://www.nytimes.com/2017/11/05/technology/machine-learning-artificial-intelligence-ai.html?_r=0

月刊監査研究2018．3（No.532）

41

内部監査人協会（ＩＩＡ）情報

リーとアシュアランスが融合したサービスを

略は、ＡＩ活動が意図する結果およびその結提供する際にＩＩＡのＡＩ監査『フレームワ

果が組織の目標にどのように関連しているかーク』を活用することができる。この『フレを明確に打ち出すことができる組織のビジネームワーク』は、ＡＩ戦略、ガバナンス、人スリーダーと、組織のＡＩ技術力、制約、願的要因の３つの包括的な要素と、７つの構成

望を理解している技術リーダーとの協働で策要素であるサイバーレジリエンス、ＡＩ能力、定すべきである。ビジネスリーダーと技術専

データ品質、データアーキテクチャとインフ門家の両者は、ＡＩ戦略遂行の管理にも関与

ラストラクチャ、成果測定、倫理、ブラックする必要がある。
ＡＩはビッグデータに依存しているので、ボックスで構成されている。
内部監査は『フレームワーク』を使って組ＡＩを検討する前に組織のビッグデータ戦略

織のＡＩ活動に関連するアドバイザリー、アを完全に策定し実施する必要がある。確かにシュアランス、またはアドバイザリーとアシ

ＡＩは、組織がビッグデータから洞察を得るュアランスが融合した内部監査サービスを提助けとなる。ＩＩＡのＩＴ監査の国際的ガイ供する際に、多くの監査目的またはコントロド（ＧＴＡＧ）「ビッグデータの理解と監査」

ール目的、および活動または手続を考慮すべ（編集注：『月刊監査研究』2018年１月号掲きである。本文書では、『フレームワーク』の載）で述べられているように、ビッグデータ

戦略（サイバーレジリエンス、ＡＩ能力）とからの洞察を用いると、「組織はよりよい判断

ガバナンス（データアーキテクチャとインフをすることができ、創造的で差別化された方ラストラクチャ、データ品質）に関連する目法で新規顧客を標的にすることができ、既存的、および活動または手続について説明する。

顧客に対しては個々人に合わせて的を絞った

ガバナンス（成果測定）と人的要因（倫理、より良い配送モデルで対応することができ、ブラックボックス）に関連する目的、および自社を競争相手から真に差別化する新たなサ活動または手続は、この３部シリーズの第３ービスと能力を提供することができる」。Ａ

部で説明する。

Ｉの機会を活用する組織は永続的に競争上の優位性を発揮できるので、ＡＩ戦略は、サイバーレジリエンスとＡＩ能力を背景に策定しＡＩ戦略

実施すべきである。

内部監査は組織のＡＩ戦略を評価する
前に、リスクアセスメントにＡＩを含めてリスクベースの監査計画にＡＩを含めるかを検討することによって、ＡＩをカバーするための内部監査自体の戦略を決定すべきである。

サイバーレジリエンス
不正な手段で組織のＡＩ技術を意図的に悪用するなどのサイバー攻撃に組織が抵抗し反応し、さらにサイバー攻撃から回復するための能力の重要性が増している（50ページの「フェイスブック社の是正措置」を参照）。内

各組織のＡＩ戦略は、ＡＩがもたらす機会

部監査部門長（ＣＡＥ）はチーム内のサイバの活用方法に基づいた独自のものとなる。組ーセキュリティ能力を迅速に磨き、ＡＩリス

織のＡＩ戦略は、組織全体のデジタル戦略やクやサイバーセキュリティリスクを継続的に

ビッグデータ戦略の明らかな拡張である可能

監視し、経営幹部と取締役会に組織のリスク性がある。ＡＩ戦略には、ＡＩ活動が意図すレベルとそのリスクに対処する取り組みを伝る結果を明確に打ち出すべきである。ＡＩ戦える必要がある。

42

月刊監査研究2018．3（No.532）

内部監査人協会（ＩＩＡ）情報

ＡＩ能力■ ＡＩのしくみを知る。

ＩＩＡが示した関連する目的、および活動または手続は、監査計画を規定するもの
ではないが、示した例は監査目的またはコ
ントロールの目的の特定、およびＡＩ監査の計画と実施に役立つはずである。
ＡＩ監査は、ＩＩＡの「基準2200：内部監査（アシュアランスおよびコンサルティング）の個々の業務に対する計画の策定」に適合すべきである。ＡＩ監査計画とＡＩ監査目的および手続は、組織のニーズに合わせて常にカスタマイズすべきである。

■ ＡＩがもたらすリスクと機会を理解する。
■ ＡＩの成果が期待どおりかを判断する。
■ 必要に応じて是正措置を提案したり講じたりする。
このような能力は、内部監査の中でも第１と第２のディフェンスラインの中でも必要である。上級経営者と取締役会もＡＩのしくみを知り、ＡＩがもたらすリスクと機会を理解すべきである。
内部監査は、ＡＩ技術を提供する外部プロバイダが適格であるかを判断する能力を持つ必要もある。

「人工知能─内部監査の専門家が考慮すべきこと」で述べたように、ＡＩの専門知識を持つ技術専門家は少ないと言われている。たとえAutoML（41ページ参照）のようなプロジェクトが成功して豊富な専門知識を持っていない組織でさえＡＩを使用してシステム構
築が可能になるとしても、たとえ組織がＡＩに「手を出す」ことができないとしても、組織はＡＩを深く理解したスタッフとの知識ギャップを埋める必要がある。スタッフには、以下が必要である。

ガバナンス「ＩＩＡの人工知能監査『フレームワーク』は、ＡＩのリスクマネジメント、
コントロール、ガバナンスプロセスに対する独立的なアシュアランスを内部監査人が提供するのに役立つ実用的なツールである」
ＩＩＡマレーシア
ヌル・ハヤティ・バハルディン氏

ＡＩ戦略に関連する目的、および活動または手続
監査目的またはコントロール目的

活動または手続

ＡＩプロジェクトに最初から積極 ＡＩプロジェクトチーム会議に出席する。
的に関与し、うまく実施するための助言や洞察を提供する。
組織には明確なＡＩ戦略がある。

ＡＩ戦略が文書化されているかを判断して、文書化されている場合は戦略が以下のようになっているかを検証する。
■ 意図するＡＩ活動結果を明確に示している（戦略目的）。
■ Ａ Ｉ目的をどのように達成するかをハイレベルで明確に示している（戦略計画）。

サイバー脅威に対する準備状況と 確立されたサイバーセキュリティのフレームワークを活用して、効果的対応状況についてアシュアランス な防御と対応を確実にするためにＩＴや他の関係者と協働する。
を提供する。
ＡＩ戦略を実施するのに十分なリ ＡＩを支援するのに必要なスタッフと予算を決定するプロセスをレビュ
ソース（スタッフと予算）がある。 ーする。
ＡＩ戦略がＡＩの脅威と機会を適 ＡＩの脅威と機会について既に評価したあらゆるものをレビューする。
切に考慮しているかについて助言 もしもそのような評価が存在しなければ、（組織がどのようにしてＡＩ脅する。
威と機会を特定する計画を立てるかについて）取り組むよう提言する。

月刊監査研究2018．3（No.532）

43内部監査人協会（ＩＩＡ）情報

ＡＩガバナンスとは、組織のＡＩ活動を指ＩＡのポジション・ペーパー「有効なリスク

示、管理、監視するために導入された構造、

マネジメントとコントロールにおける３つのプロセス、手続を指す。組織のＡＩガバナン

ディフェンスライン」で述べている通り、規スの形式と構造は、当該組織の個々の特性に

制当局は時として組織におけるコントロール

よって異なる。ＡＩガバナンスは、を強化することを意図して規制要件を定めた■ アカウンタビリティ、責任、監督体制を確り、そのような規制要件について第１、第２もしくは第３のディフェンスラインの全部ま立する。
■ ＡＩ責任者が必要なスキルと専門知識を確たは一部を評価するための独立的で客観的な役割を果たす。

保するのを支援する。
■ ＡＩ活動やＡＩに関連する意思決定と活動

これまでのところ、ＡＩに特化した規制はが、組織の価値観、および倫理的、社会的、ない。しかし、既存の規制の一部はＡＩ活動

法的責任に沿ったものとなるように支援すに特に関係する可能性があり、世界中の規制る。

当局と基準設定機関は、調査研究、ディスカＡＩの方針と手続は、インプットからアウッションペーパー、勧告、ガイダンスを通じ

トプットまでのＡＩライフサイクル全体につて懸念を表明している（46ページの規制の遵いて定めるべきである。方針と手続は、研修、守を参照）。

成果測定、報告についても定めるべきである。

規制当局は既にＡＩ監査の重要性を認識している。例えば米国食品医薬品局（ＦＤＡ）

アカウンタビリティ、責任、監督

は、「医療機器での既製ソフトウェア（ＯＴ

ＡＩは巨大な効用と巨大な害をもたらす可Ｓ）の使用に関するガイダンス」の中で、Ｏ能性がある。最終的には、ステークホルダー

ＴＳ知識ベースソフトウェア（例えば、人工は組織のＡＩ成果について取締役会と上級経

知能、エキスパートシステム、ニューラルネ

営者に説明（釈明）する責任を負わせる可能ットソフトウェアなど）の監査の重要性を認性が高い。内部監査人がＡＩガバナンスを評めており、製造業者は、「ＯＴＳソフトウェア

価する際は、３つのディフェンスラインモデ

開発者が使用した製品開発方法は、意図したルを活用することができる。３つのディフェ用途に適切かつ十分である」というアシュア

ンスラインは、上級経営者、統治機関、外部

ランスを提供することが求められており、「こ

監査人、規制当局のすべてと共にＡＩにおけ

れにはＯＴＳソフトウェアの開発に使用したる役割がある。内部監査人は各当事者の役割

ＯＴＳソフトウェア開発者の設計および開発を理解すべきであり、さらに内部監査とその方法の監査を含むことが推奨される。この監役割との関係を理解すべきである。

査では、ＯＴＳソフトウェア用の開発文書と規制当局

必要条件文書を徹底的に評価する必要があ

規制当局は、国、地域、州、地方レベルる」と述べている。

で、特定の活動（銀行業、ヘルスケア、食品

監査人は、ＡＩ分野における規制当局と基安全など）に情報を与えて管理する。規制当

準設定機関の作業について知り、重要な事項

局は、調査研究の実施、基準やガイダンスのについて経営陣と取締役会に助言し、組織の策定への関与、ステークホルダーとのコミュ

規制関連コントロール目的が新たな規制、基ニケーションのような活動を通じて「情報を準、ガイダンスを反映しているかを評価する

与える」。規制当局は、監督、規則の制定と必要がある。

施行のような活動を通じて「管理する」。Ｉ
44

月刊監査研究2018．3（No.532）

内部監査人協会（ＩＩＡ）情報

統治機関・取締役会・監査委員会

ＡＩリスクのいくつかの側面を監督する可能「内部監査はＡＩ活動に対するアシュ
アランスを提供することに加えて、監査委員会と取締役会が自社のＡＩに関連するメリットとリスクのバランスを取る際の役割を理解できるようにする必要がある」
バージニア大学
性のある第２のディフェンスラインの一部である。内部監査は、第２のディフェンスライ
ンのＡＩ方針と手続を評価し、コントロール
目的が適切であり設計どおりに機能していることを検証すべきである。

第３のディフェンスライン「ＡＩを新たに使用する際は、アルゴ

ＣＡＥ

キャロライン・セイント氏

取締役会は、組織のＡＩ活動の最終的な監督責任を負う。取締役会は上級経営者と共に、組織のＡＩ戦略の決定に関与すべきである。

リズムの設計に使用されたロジックを監査で明確に取り上げる必要がある」
ＩＩＡオランダＣＥＯ

ハンス・ニューランド氏

内部監査は、ＡＩ全般および組織のＡＩ活

内部監査はＡＩのリスク、ガバナンス、コ動を具体的に理解して十分な情報を得なけれントロールについて、独立したアシュアラン

ばならない。内部監査はＡＩ活動に対するアスを提供すべきである。ＩＩＡのＡＩ監査

シュアランスを提供することに加えて、取締『フレームワーク』は、この役割を容易にす

役会がその役割を果たせるように助言と洞察る。規制当局と基準設定機関は、リスクマネを提供すべきである。

ジメントとコンプライアンスにおけるＡＩの上級経営者

可能性を認識している。金融安定理事会（Ｆ

上級経営者は取締役会と連携して、組織のＳＢ）のレポート「Artificial intelligence andＡＩ戦略を定める。上級経営者はＡＩ目的も

machine learning in financial services２（金融設定し、ＡＩ戦略を実施する計画を策定する。

サービスにおける人工知能と機械学習）」に

内部監査は上級経営者チームに参加すべきよれば、「金融サービスにおけるＡＩと機械学であり、上級経営者のＡＩ施策を常に詳しく習の利用は、金融サービスおよび規制当局が知っておくべきである。ＡＩのリスクマネジ

システミックリスクを監視する上で効率化のメント、ガバナンス、コントロールについて、形で金融安定化に重要な恩恵をもたらすこと

内部監査は上級経営者の信頼されるアドバイがある…ＡＩと機械学習を内部（バックオフ

ザーとなるべきである。

ィス）で適用すれば、もしかすると低コスト

第１のディフェンスライン

で、リスクマネジメント、不正の検出、規制業務部門の管理者は、日常的にＡＩリスク

要件の遵守を向上させる可能性がある」。同を所有し管理すべきである。内部監査は、業様に、最先端の内部監査部門はアルゴリズム

務レベルのＡＩ方針と手続を評価し、コントを使用して継続的な監査と継続的なモニタリ

ロール目的が適切であり設計どおりに機能しングを開始しており、有効性と効率性を向上ていることを検証すべきである。

させている。

第２のディフェンスライン

外部監査

コンプライアンス、倫理、リスクマネジメ

外部監査人は組織に既得権益のない第三者

ント、情報プライバシー・セキュリティは、であり、財務諸表が適切な財務報告のフレー

２

訳者注：http://www.fsb.org/2017/11/artificial-intelligence-and-machine-learning-in-financial-service/

月刊監査研究2018．3（No.532）

45

内部監査人協会（ＩＩＡ）情報

ムワークや規則に従って作成されているかに

例えばＨＩＰＰＡプライバシー規則は、「電ついて意見を表明する。ＡＩに関しては、外子化された（筆者による強調）医療情報を扱

部監査人は成果に重点を置く可能性が最も高う医療従事者、医療保険者、医療情報データ

い。例えば、リスクマネジメントモデルや評センターの３種類に適用される医療情報保護価モデルの背後にあるアルゴリズムや、そののための国家基準を設定している」。またＦ

アルゴリズムが財務諸表に重大な影響を与え

ＳＢのレポート「Artificial intelligence andるかなどである。

machine learning in financial services（金融サービスにおける人工知能と機械学習）」に

規制の遵守

は、
「ＧＤＰＲのいくつかの条項は、特にＡＩ規制は概してテクノロジーの変化に遅れをに関係がある。第11条は（アルゴリズムの）取りがちであるが、ＡＩも例外ではない。し評価後の判断について説明する権利、第９条

かし、ザ・ヒル が報じたようにテスラ社Ｃは特別な（慎重に扱うべき）種類の個人デー

ＥＯのイーロン・マスク氏は、規制はすぐにタの取扱禁止、第22条はデータ主体が当該デでも必要であると全米知事協会に警告した。

ータ主体に関する法的効果をもたらすか又は

さらに、1996年の米国の医療保険の相互運用

当該データ主体に同様の重大な影響をもたら性と説明責任に関する法律（ＨＩＰＰＡ）やすプロファイリングなどの自動化された取扱

2018年５月に施行されるＥＵ一般データ保護

いのみに基づいた決定に服しない権利、さら規制（ＧＤＰＲ）などのプライバシー規制は、に第24条では、決定は個人データの特別な種

ＡＩの導入を複雑にする可能性がある。どち類に基づくものではないこと、を規定していらの規制も、ＡＩ技術への典型的な入力項目

る」と書かれている４。

３

である個人識別可能情報を保護するものであ

その他一般に認識されている規制上の懸念る。

事項には、特にＡＩサービスを組織に提供す３つのディフェンスラインモデル
統治機関・取締役会・監査委員会
上級経営者

第3のディフェンスライン

財務管理
業務管理
者による
コントロー
ル

セキュリティ
内部統制
手段

リスクマネジメント

規制当局

第2のディフェンスライン

外部監査

第1のディフェンスライン

内部監査

品質
検査
コンプライアンス

出典：ECIIA/FERMA Guidance on the 8th EU Company Law Directive, article 41

３

訳者注：The HillはワシントンD.C.で1994年から発刊しているアメリカ合衆国の政治専門紙。当該記事は、http://
thehill.com/policy/technology/342345-elon-musk-we-need-to-regulate-ai-before-its-too-lateを参照。

４

訳者注：「」内はＦＳＢレポートの中の「Annex A: Legal issues around AI and machine learning」の引用である。

46

月刊監査研究2018．3（No.532）

内部監査人協会（ＩＩＡ）情報る第三者による差別禁止法や法的責任の遵守

人顧客や個人顧客に金融サービスを提供し始などがある。ＦＳＢは第三者に関する懸念をめると、規制当局の管轄外で金融活動が行わ

次のようにまとめた。「金融サービスにおいれる可能性がある」。

て現在ＡＩや機械学習を提供しているプロバ

組織は、規制環境がテクノロジー環境に追イダの多くは、規制当局の管轄から外れてい

いつくまで待つべきではない。既存の規制がる可能性があり、あるいは関係法規に精通し法律の文章という形でＡＩを具体的に扱ってていない可能性がある。金融機関が重要な機いなくても、組織はＡＩ活動が既存の法律の能についてＡＩや機械学習の外部プロバイダ

精神と一致するかを自問すべきである。そに頼っており、アウトソーシングのルールがのための１つの方法は、ＡＩ活動が悪意のあ整っていなかったり理解されていなかったりる行為や犯罪行為に利用される可能性や、意する場合、これらのサービスやプロバイダは図しない結果が害を及ぼすかを判断するため

監視や監督の対象にならない可能性がある。

に、シナリオを使って「起こりうる事態」の同様に、そのようなツールのプロバイダが法分析をすることである。ガバナンス責任者は、

ＡＩガバナンスに関連する目的、および活動または手続
監査目的またはコントロール目的

活動または手続

ＡＩガバナンス体制が確立され、 ビジネスモデルと組織体制をレビューする。ビジネスモデルと組織体制文書化され、設計どおりに機能し が組織のＡＩ戦略を反映しているか判断する。
ているというアシュアランスを提 ＡＩ方針と手続をレビューする。組織の方針と手続が組織のＡＩ戦略、供する。
ガバナンス、データアーキテクチャ、データ品質、倫理的規範、成果測定に関する役割と責任を明確に特定しているかを判断する。
ＡＩの責任者が業務を上手く遂行 ＡＩの責任者にインタビューする。
するために必要な能力を持ってい ＡＩの職務記述書や求められるスキルなどをレビューする。ＡＩの責任
るかを評価する。例えば、倫理的 者に定められた資質があるかを検証する。
規範の責任者は、ＡＩへインプットを行う人の倫理的行動を評価する能力を持っているべきであり、ＡＩの活動とは独立しているべきである。
ＡＩ方針と手続が定められ文書化 ＡＩ方針と手続をレビューして、ＡＩリスクに十分対応しているかを判されているというアシュアランス 断する。
を提供する。
方針と手続が定期的な「起こりうる事態」分析やシナリオ立案を規定しているかを判断する。
ＡＩ活動の監査証跡がＡＩに関す ＡＩ監査証跡をレビューする。
るどのような意思決定がなぜ行わ 監査証跡がＡＩに関するどのような意思決定がなぜ行われたかを理解す
れたかを理解するのに十分な情報 るのに十分かを判断する。
を提供しているというアシュアラ
ンスを提供する。
方針と手続が実施され設計どおりに機能しており、従業員が従っているというアシュアランスを提供する。

従業員がＡＩ手続を実施しているのを観察する。
電話相談サービスや緊急通報の報告書をレビューして、ＡＩに関連する
非遵守または悪意のある活動があるとする報告書をフォローアップする。
従業員を無作為に選んでインタビューし、ＡＩ方針と手続をよく理解しているか判断する。
ＡＩへのアクセス方針と手続を特定してレビューする。
アクセス方針を評価して、アカウントコントロールをテストする。
規制当局に関連するコントロール目的が新たな規則、基準、ガイダンスを反映しているかを評価する。

月刊監査研究2018．3（No.532）

47

内部監査人協会（ＩＩＡ）情報

ＡＩが確立されたルールを無効化することを

ＡＩのデータアーキテクチャとインフラス

学んだ場合や、ＡＩシステムが組織に知られトラクチャは、組織がビッグデータを扱うたずに互いにコミュニケーションをとり「協力」

めのアーキテクチャやインフラストラクチャ

し合う方法を学習した場合に、ＡＩ活動が内と同じか少なくとも近いものになる。それに部統制を弱める可能性があることを考慮するは以下の検討事項が含まれる。

必要がある。既存の法律の精神を考慮すると■ データへのアクセス方法（メタデータ、分いう積極的な方法をとれば、新しい規制が制定・施行される際に組織は機敏に対応しやすくなる。

類法、固有識別子、命名規則）。
■ データのライフサイクル（データの収集、使用、保管、廃棄）を通した情報のプライ
バシーとセキュリティ。

データアーキテクチャとインフ
ラストラクチャ「データインフラストラクチャとアー
キテクチャ、およびデータ品質は結び付けられていることが多い。１つの分野における関連する監査目的またはコントロ
ール目的、および活動または手続は、他の分野における目的、活動、手続と重複したり影響し合ったりすることがある」
ボツワナ通信・公開教育大学（BOCODOL）
戦略＆コーポレートサービス事務次長（Deputy CEO）


レセディ・レセテディ氏■ データライフサイクルを通したデータ所有権と使用に対する役割と責任。
「InfoWorld」によると、ＡＩ統合の成功を確実にするためには、組織はソフトウェア開発の３つの主要分野に焦点を当てるべきである。
■ データ統合−ＡＩを組織のアプリケーショ

ンやシステムに組み込む前に、複数ソース
からのデータを統合しなければならない。
■ アプリケーションの最新化−ソフトウェアの更新は定期的に行う必要がある。システ
ムを遅くしたり中断したりするような頻繁で集中度の低い更新は、頻度が低くより集中的な更新に変える必要がある。
■ 従業員教育−ソフトウェア開発者、プロジ

データアーキテクチャとインフラストラクチャに関連する目的、および活動または手続
監査目的またはコントロール目的

活動または手続組織にサーバーレジリエンスがあるというアシュア ビッグデータを理解して監査する（ＩＩＡのプラクテ
ランスを提供する。サイバーレジリエンスにはサイ ィス・ガイド「ビッグデータの理解と監査」参照）。
バーセキュリティが含まれるが、サイバーセキュリ 組織がＥＵ一般データ保護規制（ＧＤＰＲ）のような
ティ単独よりも幅広い。サイバーレジリエンスには、 新たなテクノロジー規制の遵守に備えているかを評価
セキュリティ（抵抗）、反応、回復が含まれる。
する。
組織の災害復旧プロトコルに ＡＩの障害が含まれているかを評価する。この障害には、ＡＩガバナンスによって定められたルールを維持するためのコントロー
ルの機能停止が含まれる。
ＡＩ戦略で示されたＡＩ活動の規模と複雑さにデー インフラストラクチャが構造化データと非構造化デー
タインフラストラクチャが対応する能力を備えてい タを処理できるかを評価する。
るというアシュアランスを提供する。
組織がデータ分類法を確立しているというアシュア 分類法がＡＩ活動の規模と複雑さに対応できる堅固なランスを提供する。組織全体で使用されるデータ分 ものであるかを評価する。
類法の品質、完全性、一貫性を評価する。

48

月刊監査研究2018．3（No.532）

内部監査人協会（ＩＩＡ）情報ェクトマネージャ、その他の技術スタッフのやり取りがなかったり、システム間で複雑は、機械学習や技術「スタック」（ＡＩをなアドオンやカスタマイズによってやり取り実行するソフトウェアやコンポーネント）

されていたりすると、組織のＡＩ活動を妨げのあらゆる面の最新情報に通じている必要

ることがあるので、このデータがどのようにがある。

照合され合成され検証されるかは非常に重要

さらに、四捨五入、人口統計、その他の変である。

数などの微妙な差異が正規化されるように、入力の前にデータを調整する必要がある。

ＡＩ技術は、標準化された形式で明確に定義されているデータ（構造化データ）に加えて、非構造化データ（ソーシャルメディアの投稿など）に依存していることがある。ＩＩ

データ品質

ＡのＩＴ監査の国際的ガイド（ＧＴＡＧ）「ビ

内部監査は、内部監査報告書に使用するデータがどのように調整され、統合さ
れ、検証されたかも調べるべきである。

ッグデータの理解と監査」で述べられている
ように、非構造化データは、「進化し予測しがたい性質であるため通常は管理がより難しい。そして多くの場合、大規模で異なるもの

ＡＩアルゴリズムを構築するデータの完全から構成される外部のデータソースから提供性、正確性、信頼性は非常に重要である。Ａされる。その結果として、このデータを管理

Ｉを成功させるためには、組織は明確に定義し分析するために新しいソリューションが開され標準化された形式の高品質なデータに大発された」。

量にアクセスする必要がある。システム間の皮肉なことに、組織はデータ品質を向上さやり取りがなかったり、システム間で複雑なせるためにＡＩの一形態である機械学習に頼アドオンやカスタマイズによってやり取りさることがある。例えば、組織の多くの事業部

れていたりすることがよくある。システム間やデータベースやスプレッドシートに複数のデータ品質に関連する目的、および活動または手続
監査目的またはコントロール目的

活動または手続

ＡＩの基礎となるアルゴリズムとアルゴリズムの基 ＡＩに入力する生データのサンプルを入手する。
礎となるデータの信頼性に対するアシュアランスを ＡＩの結果を実際の現実世界の結果で検証するための提供する。
手続を組織が実施していること、およびその２つの間の不一致を継続的に測定、監視、上申、修正するための方針と手続が組織にあることを検証する。
正確性を最大限に高めるためにデータ入力が照合さ データの正確性と完全性に関する問題を継続的に測れ正規化されているというアシュアランスを提供す 定、監視、上申、修正するための方針と手続が組織にる。
あることを検証する。
組織が一貫して正式なデータ照合フレームワークに従い監視していることを確認する。これには、異なる方法と結果が存在する場合の根拠が含まれる。
集計されたデータが完全であるというアシュアラン データ入力の偏りを抑えるための方針と手続が組織にスを提供する。
あることを検証する。
データの完全性が測定され監視され、さらに意思決 ＡＩの測定指標と測定レポートをレビューする。
定に影響を与える重大な例外が特定され説明される 意思決定の責任者がデータ品質に関連する重要な例外というアシュアランスを提供する。これは、例外が に関する説明を受け取り検討したかを評価する。
人間によって判断されるかＡＩによって判断されるかにかかわらず実施するべきである。

月刊監査研究2018．3（No.532）

49

内部監査人協会（ＩＩＡ）情報

バージョンの業者名が存在する場合には、コのすべてのばらつきをスキャンして調整でき

ンピュータプログラムは数時間か数分で名前る。

フェイスブック社の是正措置
ＡＩに関連するフェイスブック社の問題は大々的に報道されてきた。この巨大なソーシャルネットワー
クは、アルゴリズムで動くテクノロジーが悪意のある方法で使用されたり誤用されたりしていないか厳しい監視を受けている。

時系列で表した主な問題：■ 2016年秋、（非営利団体の）プロパブリカは、広告主がフェイスブック社のターゲット広告ツールを使用

して特定の人種を除外することができると報告した。これは、連邦住宅局規則および公民権法に違反する可能性がある。
■ 2017年９月：○ フェイスブック社は、ロシアが背後にいると思われる偽アカウントの保有者が、2016年の大統領選挙までの間に米社会の分断をあおるようなテーマの政治広告を購入したことを明らかにした。
○ プロパブリカは、フェイスブック社のターゲット広告ツールを使用すると広告主は自称「嫌悪主義者」

をターゲットにすることができたと報告した。
■ 2017年10月、ラスベガスでの銃乱射事件について間違った情報をフェイスブック社（とグーグル社）が投稿した際に、フェイクニュースに関する懸念が再浮上した。
■ 10月下旬の上院司法小委員会の証言によると、フェイスブック社は、ロシアが背後にいる広告の到達範

囲が当初分かっていたよりもはるかに広く、2016年の大統領選挙前と選挙中に1億2,600万人に達したと述べた。

フェイスブック社の対応
フェイスブック社最高執行責任者のシェリル・サンドバーグ氏は、2017年９月20日の投稿で以下の３つの是正措置を発表した。
１．フェイスブック社は、フェイスブック社のコミュニティ基準に反するコンテンツをターゲット広告に使用できないようにするために、広告方針を明確にしており、実施プロセスを厳格にしている。（方針とプロセスは、『フレームワーク』のガバナンス要素に関連している。とりわけＡＩガバナンスは、実施についてのアカウンタビリティと監督体制を確立すべきである。）
２．フェイスブック社は、自動プロセスに対する「人によるレビューと監督」を強化している。（人によるレビューと監督は、『フレームワーク』の倫理要素に関連している。とりわけ倫理は、ＡＩの結果が元の目的を反映しているかどうか、またＡＩからのアウトプットが法的に、倫理的に、責任ある形で使用されているかどうかを扱っている。）
３．フェイスブック社は、フェイスブックの利用者に広告システム悪用の可能性を報告するよう促すプロ
グラムに取り組んでいる。
（報告システムは、『フレームワーク』の成果測定要素に関連している。報告システムは、ＡＩ活動の成果を管理するのに役立つ。成果測定は「グローバルな視点と洞察」特別版−ＡＩ第３部で取り上げる。
）
内部監査人はＩＩＡのＡＩ監査『フレームワーク』を利用することによって、企業が真実とでっち上げを区別してＡＩに関連する報告、業務、コンプライアンスに係るリスクに対処するのに役立つアシュアラ
ンス業務とアドバイザリー業務を提供することができる。

50

月刊監査研究2018．3（No.532）

内部監査人協会（ＩＩＡ）情報

ＡＩ監査に「基準」を利用する
内部監査人はＡＩ監査業務を計画または実施する際に、当てはまるすべてのＩＩＡの「基準」に適合すべきである。ＡＩに特に関連するＩＩＡの「基準」は右のコラムに示した通りであるが、他の「基準」が該当する場合もある。
各「基準」は実施ガイダンスによって補完されている。実施ガイダンスは、内部監査人
が「基準」を適用するのに役立つ。実施ガイ
ダンスは、内部監査のアプローチ、方法論、検討事項を総括的に扱っているが、プロセスや手続を詳述してはいない。

関連するガイダンス
主なＩＩＡの基準
ＩＩＡの「内部監査の専門職的実施の国際基準」には、ＡＩに特に関連する基準がいくつかある。
■ ＩＩＡ基準1210：熟達した専門的能力■ ＩＩＡ基準2010：（内部監査部門の）計

画の策定■ ＩＩＡ基準2030：監査資源の管理■ ＩＩＡ基準2100：業務（work）の内容■ ＩＩＡ基準2110：ガバナンス■ ＩＩＡ基準2130：コントロール■ ＩＩＡ基準2200：内部監査（アシュアランスおよびコンサルティング）の個々の業務に対する計画の策定

最後に■ ＩＩＡ基準2201：計画の策定におけるＩＩＡのＡＩ監査『フレームワーク』は、内部監査人がＡＩのアドバイザリー業務やア
シュアランス業務を規律ある姿勢で体系的に行うのに役立つ。組織のＡＩ技術と活動が社内で開発されたものであろうとAutoMLや第三者によって開発された技術であろうと、内部監査は第１と第２のディフェンスラインと連携して取締役会と上級経営者に助言する準備をすべきであり、さらにＡＩのリスクマネ
ジメント、ガバナンス、コントロールに対す
るアシュアランスを提供すべきである。
本文書は３部シリーズの第２部である。第２部では、ＩＩＡのＡＩ監査『フレームワー
ク』のＡＩ戦略要素とガバナンス要素を実施

考慮事項■ ＩＩＡ基準2210：内部監査（アシュアランスおよびコンサルティング）の個々の業務における目標■ ＩＩＡ基準2220：内部監査（アシュアランスおよびコンサルティング）の個々の業務の範囲■ ＩＩＡ基準2230：内部監査（アシュアランスおよびコンサルティング）の個々の業務への資源配分■ ＩＩＡ基準2240：内部監査（アシュアランスおよびコンサルティング）の個々の業務の作業プログラム■ ＩＩＡ基準2310：情報の識別するための提案を説明している。第３部では、ガバナンスと要素と人的要因を実施するための提案を説明する。

月刊監査研究2018．3（No.532）

51