CIAパート2：監査テクノロジー（AI・RPA・モニタリング）

Contents

テーマ：「手作業」から「自動化」へ～監査人の新しい武器庫～

かつての内部監査は、山積みの書類からランダムに数枚を抜き出してチェックする（サンプリング）のが主流でした。しかし、デジタル化が進んだ現代において、その手法だけではリスクを見逃す可能性があります。

セクションB-3-aでは、監査の効率（スピード・コスト）と有効性（発見能力・カバー率）を劇的に高めるためのテクノロジーツールについて学びます。

試験では、具体的な監査課題（例：大量データの照合、不正の予兆検知）に対して、「どのテクノロジーを使うのが最適解か？」をマッチングさせる問題が出題されます。

主要なテクノロジーを用途別に整理します。これらを混同しないことが試験攻略の鍵です。

役割： 「手」の代わり（定型作業の自動化）。
特徴： ルールが決まっている単純な繰り返し作業を、24時間365日高速で処理します。
監査での活用例：
- 異なるシステム間でのデータ転記。
- 全従業員の給与データの照合（計算間違いのチェック）。
- 標準的な監査手続（チェックリスト消化）の自動実行。
限界： 判断力はありません。「例外」が起きると止まります。

役割： 「脳」の拡張（パターン認識と予測）。
特徴： 大量のデータから人間では気づかない「パターン」や「異常値（アノマリー）」を学習し、発見します。
監査での活用例：
- 経費精算データから「不正な兆候」がある申請を自動抽出する。
- 契約書の山から「通常と異なる特約」が含まれるものを特定する。
- センチメント分析（メール等の文面から従業員の不満や圧力のリスクを検知）。

役割： 「監視カメラ」（リアルタイムの異常検知）。
特徴： 年に1回の監査ではなく、常にデータを監視し、リスクが顕在化した瞬間にアラートを出します。
監査での活用例：
- 重複支払いや限度額超過の取引が発生した瞬間に担当者に通知する。
- システムのアクセスログを常時監視し、時間外の不正アクセスを検知する。

役割： 「潜入捜査官」（システム内部での常駐監視）。
特徴： アプリケーションプログラムの中に、監査用のプログラムコードを直接組み込みます。
監査での活用例：
- 取引が処理されるプロセスの中で、特定の条件（例：100万円以上の送金）に合致したデータを即座に別ファイルにコピー（SCARF手法など）して監査人が確認できるようにする。
- 注意点： システム稼働中に常駐するため、システムパフォーマンスへの影響や、メンテナンスの難易度が高いという欠点があります。

データを分析しただけでは意味がありません。それを経営陣や被監査部門にわかりやすく伝える必要があります。

ダッシュボード： KPI（重要業績評価指標）やKRI（重要リスク指標）をグラフやチャートで一覧表示するツール。監査人はこれを見ることで、「今、どこが赤い（危険な）のか」を一目で把握し、監査リソースを重点配分できます。

GIASでは、テクノロジーの導入により以下の2点を達成することを求めています。

概念	意味	テクノロジーの効果
効率性 (Efficiency)	少ない資源で成果を出す	時間短縮、コスト削減、サンプリング作業の排除。
有効性 (Effectiveness)	目的を達成する	全件監査による網羅性、ヒューマンエラーの防止、より深い洞察。

×「AIを導入すれば、監査人の専門的判断は不要になる」
- 解説： 間違いです。AIは異常値を知らせてくれますが、「それがなぜ起きたか」「どう対処すべきか」を判断するのは人間の監査人です。テクノロジーは監査人を補完するものであり、代替するものではありません。
×「埋込型監査モジュール（EAM）は、あらゆるシステムに導入すべきベストプラクティスである」
- 解説： EAMは開発コストが高く、システム動作に負荷をかけます。費用対効果を考慮し、リスクが高い重要なシステムに限定して適用すべきです。
×「RPAは、未知の不正パターンを発見するのに適している」
- 解説： RPAは「言われたこと（プログラムされたルール）」しかできません。未知のパターンを見つけるのは「機械学習（AI）」の仕事です。