PCAOB、企業向けAI監査基準の策定圧力に直面
公開会社会計監視委員会（PCAOB）は、長年にわたる慎重なモニタリングを経て、AIを巡る前例のない判断局面を迎えている。Google Newsの直近の見出しは、この問題を企業向けAI基準を求める動きとして捉えている。しかし、本質的な問いはより限定的で、難しく、かつ重大だ。監査人は、意見の根拠となる証拠を弱めることなくAIに依拠できるのか。
この問いは現在、PCAOBの基準設定アジェンダに置かれている。同委員会は、人工知能を含む技術革新について、調査、ガイダンス、あるいは新たな要件が必要かどうかを利害関係者に尋ねた。パブリックコメントの受付は2026年8月7日に締め切られた。
このタイミングは明確な緊張関係を生んでいる。監査法人は、テスト、分析、文書化を改善するための十分な柔軟性を求めている。投資家には、信頼できる推論を示さずに断定的な回答を生み出し得るツールに対する一貫したルールが必要だ。既存の監査原則は引き続き適用されるが、AI固有の問題をすべて解決するものではない。
これは単にGoogle Newsで取り上げられた別の政策論争ではない。監査サイクルの合間にも変化するシステムに、財務監督が追随できるかを問う試金石である。PCAOBは、AI支援監査にどの程度の人間の判断、文書化、検証、監督が必要かを決めなければならない。
PCAOBが実際に検討対象としたこと
PCAOBは企業向けAI基準を採択していないが、AIに焦点を当てた基準設定への道を正式に開いた。
2026年6月23日、PCAOBは基準設定アジェンダと調査アジェンダの双方を対象とする、初のパブリックコメント募集を公表した。この募集では、同委員会のより広範な基準設定プロセスについても意見を求めた。
同委員会は、監査および財務報告を取り巻く環境の変化に合わせてアジェンダを進化させる必要があると述べた。現行の監査アジェンダでは、AIを含む技術革新が監査品質に影響し得る要因として位置付けられている。
この文言は重要だ。AIを会計事務所における内部的な生産性向上の選択肢として扱うのではなく、PCAOBの投資家保護という使命の中に位置付けているからである。
PCAOBは、上場企業およびSEC登録ブローカー・ディーラーを監査する登録監査法人を監督している。あらゆる企業AIアプリケーションを対象とする一般的な規制当局ではない。同委員会が採択する基準は、監査業務、財務報告、職業倫理、および関連する品質管理に焦点を当てることになる。
しかし、その影響は上場企業にも及ぶ。監査人は財務情報を生成するシステムを理解し、関連する内部統制を評価しなければならない。経営陣がこうしたシステム内でAIを利用している場合、監査人自身がAIモデルを導入していなくても、その技術は監査に影響し得る。
AIツールは、経費の分類、引当金の見積もり、異常取引の特定、照合作業の準備などを担う可能性がある。また、減損テストで用いる予測を支援することもある。利用のたびに、データ品質、アクセス制御、モデル変更、人によるレビュー、再現可能性に関する疑問が生じる。
その後、監査人には二つの異なる課題が課される。一つは、経営陣によるAI支援情報を評価すること。もう一つは、監査チーム自身が使用するAI対応ツールを統制することだ。
これらの課題は交差することがある。たとえば監査人は、企業の自動化された会計プロセスから出力された情報をテストするために、自動分析を利用する可能性がある。両方のシステムが関連するデータや類似のモデルに依存している場合、一見すると裏付けに見えるものでも、期待されるほど独立性がない可能性がある。
PCAOBの動きは、既存基準が突然機能しなくなったことを意味しない。監査証拠、職業的懐疑心、監督、文書化、独立性、品質管理を対象とする要件は、引き続き適用される。
争点は、こうした原則が十分な運用上の明確さを提供しているかどうかだ。「十分かつ適切な監査証拠」を求める規則は目標を定めている。しかし、それだけで、監査人が変化するモデルをどのように検証し、プロンプトを保存し、不整合な出力を調査すべきかを自動的に説明するわけではない。
この区別は、短く圧縮されたGoogle Newsの見出しでは見失われがちだ。PCAOBが判断しているのは、企業にAIの利用を認めるべきかどうかではない。AIへの依拠が日常化する前に、監査上の義務により明確なAI固有の境界が必要かどうかである。
この判断に先立ち、数年にわたる調査が行われてきた。2024年7月、PCAOBスタッフは大手監査法人と上場企業へのアウトリーチから得た所見を公表した。同委員会によれば、接触した監査法人は合計で発行体の時価総額の大半を監査していた。
GenAIに関するアウトリーチでは、利用は限定的ながら急速に変化していることが示された。監査法人は一般に、監査の中核的なテストではなく、管理業務や調査志向の業務に生成AIを利用していた。
上場企業の作成者側も、業務全般での利用を模索していた。その導入計画は、財務報告における生成AIの利用よりも速く進むことが多かった。
この隔たりは、規制当局に問題を検討する時間を与えた。しかし、対応の必要性をなくしたわけではない。アウトリーチ後もAIの能力と企業導入は拡大している一方、監査基準は依然として技術中立的な原則に大きく依存している。
PCAOBは現在、調査、スタッフガイダンス、既存基準の改訂、または専用要件のいずれを選ぶかを決めなければならない。6月の要請は結論をあらかじめ決めたものではない。この選択を、同委員会の正式なアジェンダ策定プロセスの一部にしたのである。
既存の監査規則がAIによるストレステストに直面する理由
中心的な圧力は、AIの出力の変動性、限られた透明性、そして監査チームの外部にある統制への依存から生じている。
従来型の監査ソフトウェアも失敗する可能性がある。設定不良のスプレッドシート、サンプリングプログラム、データ分析スクリプトは、誤った結果を生み出し得る。監査基準はすでに、ツールが意図したとおりに機能しているかを監査法人が評価することを求めている。
生成AIは異なるリスクの組み合わせをもたらす。同じプロンプトでも異なる回答が生成されることがある。モデル提供者は、すべての技術的変更を明らかにせずにシステムを更新できる。出力には、作り話の事実や根拠のない結論が含まれていても、もっともらしく権威的に聞こえる場合がある。
これらの特性は監査証拠を複雑にする。証拠は、意図された目的に照らして関連性と信頼性を備えていなければならない。読みやすい要約であっても、それだけで、あるいは経営陣の見解と一致しているだけで、信頼できるとはいえない。
契約書のレビューにAIを用いる監査人は、そのシステムが関連するすべての条項を検討したかを把握する必要がある。チームはまた、元文書が完全で、正しく処理されたかも判断しなければならない。
人間のレビュー担当者は、最終要約を受け入れるだけではこの問題を解決できない。担当者には、作業を再構成し、出力に異議を唱え、見落としや誤読された条項を特定するために十分な情報が必要だ。
AIベンダーがモデルの詳細を独自技術として扱う場合、この要件はさらに難しくなる。監査法人は、学習データ、システムログ、評価方法、バージョン履歴に直接アクセスできない可能性がある。
第三者への依存は監査にとって新しいものではない。監査法人はすでに、ソフトウェアベンダー、クラウドインフラ、評価専門家、サービス組織に依存している。それでもAIは、重要な判断を精査しにくいまま、責任をより多くの層に分散させる可能性がある。
モデルドリフトも別の複雑さを加える。モデルドリフトとは、データ、構成、または周辺環境の変化に伴ってシステムの振る舞いが変わることを指す。導入時に実施した検証が、数か月後の依拠を裏付けるとは限らない。
したがって監査業務には変更統制が必要になる。チームは、どのモデルバージョンが稼働していたか、どの設定が適用されたか、誰が変更を承認したか、更新によって再テストが必要になったかを把握しなければならない。
プロンプトベースの操作は、別の誤りの経路を生み出す。文書内に埋め込まれた隠しテキストが、AIシステムへの指示に影響を与える可能性がある。契約レビュー用ツールが、監査人の意図した手続きではなく、埋め込まれた指示を優先することもあり得る。
トレッドウェイ委員会支援組織委員会（COSO）は、2026年のGenAI controlsに関する出版物でこれらの懸念を取り上げた。COSOは、生成AIのガバナンスを既存の内部統制フレームワークと結び付けた。
このガイダンスは、サイバー上の脆弱性、不透明な推論、モデルドリフト、プロンプト操作、頻繁な構成変更に伴うリスクを強調している。これらは、業務、報告、コンプライアンスに影響し得るため、統制上の問題である。
COSOの取り組みは、企業の経営者が内部統制を設計するうえで役立つ。ただし、監査人に対するPCAOB要件に代わるものではない。監査人には依然として、これらの統制を評価し、不備が監査手続にどう影響するかを判断するための基準が必要である。
人間による監督は、最も目に見えやすい論点であり続ける。「Human in the loop」は、人が自動化システムの作業をレビューまたは統制するプロセスを表す。この表現は安心感を与えるが、実務上の意味は大きく異なる。
AIが生成した結論を承認するだけのレビュー担当者では、保護効果はほとんどない。有効なレビューには、システムに異議を唱えるための能力、時間、証拠、権限が必要である。
したがってPCAOBは、名目的なレビューと実質的な監督を区別する必要がある。また、どの判断を有資格の専門家に委ね続けなければならないかも明確にする必要がある。
職業的判断が、自動化されたワークフローの最後に行う形式的な承認になってはならない。モデルがどれほど多くの分析を行っても、監査契約のパートナーは監査意見に責任を負い続ける。
文書化基準も関連するストレステストに直面している。通常、監査ファイルには、実施した手続、入手した証拠、到達した結論、完了したレビューが示される。AI支援業務ではさらに、プロンプト、システム指示、出力履歴、検証結果、例外処理が必要になる場合がある。
こうした記録がなければ、検査チームは何が起きたのかを判断できない可能性がある。監査法人自身も、モデル更新後に手続きを再現することが難しくなるかもしれない。
明確なPCAOBのAI基準は、共通の文書化の最低水準を定めることができる。また、監査品質が各ベンダーの推奨する統制に左右されるような、相互に互換性のないアプローチの採用を防ぐことにもつながり得る。
原則重視と規範的なPCAOB AI基準
主な争点は、イノベーション対規制ではない。不透明で変化するツールに対する柔軟な原則と最低要件の対立である。
原則ベースのアプローチを支持する側には、説得力のある主張がある。AI技術は、特定のモデル、アーキテクチャ、製品機能を中心に組み立てた基準では対応できないほど急速に変化している。
詳細な規則は、監査法人が実装を完了する前に時代遅れになる可能性がある。また、すべてのアプリケーションを過去の技術を前提に設計された枠組みに当てはめることで、有用なツールを阻害するおそれもある。
既存のPCAOB基準はすでに監査人に責任を課している。適切な証拠、職業的懐疑心、監督、文書化、品質管理を求めている。コンピューターが手続の一部を実行しても、これらの義務が消えるわけではない。
このアプローチは、製品リリースのたびに規則集を開き直すことなく、新たなツールに対応できる。また、規制の焦点を技術的な流行ではなく監査品質に置き続けることができる。
国際的な基準設定機関も、この道筋の一部をたどっている。2026年8月、国際監査・保証基準審議会は、三つの基礎的な基準の改訂案を提示した。
提案されているaudit evidence revisionsは、リスク対応、監査証拠、分析的手続を対象としている。デジタル情報、証拠の信頼性、職業的懐疑心、テクノロジー支援型の業務を重視している。
提案は引き続き原則主義に基づくものだ。企業と監査人が先端技術を活用する状況で、既存の目的がより適切に機能するようにすることを目指している。コメントの提出期限は2026年12月15日である。
この国際的なプロセスは、PCAOBにとって有用な参照点となる。同時に、圧力も生み出す。世界的な要件がより明確になる一方、米国が主に広範な原則に依拠し続けるなら、多国籍企業は不均一な期待に直面する可能性がある。
規範的な最低基準を求める根拠は、まず一貫性にある。特にAIシステムの設計が異なる場合、二つの監査法人が「適切な人によるレビュー」を異なる形で解釈し得る。
ある監査法人は、既知の結果との独立したテストを求めるかもしれない。別の監査法人は、ベンダーの文書と管理職によるレビューを受け入れる可能性がある。どちらも同じ一般原則への準拠を主張できる。
最低要件は、その解釈の幅を狭め得る。モデル承認、定期的な検証、データ統制、アクセス制限、変更管理、記録保持、信頼できない出力のエスカレーションなどを対象にできる。
また、裏付けなしにはAI出力を証拠として利用できない場面を定義することもできる。こうした境界は、生産性向上を根拠のない依拠へと転換する圧力に監査人が抵抗する助けとなる。
ただし、詳細な基準にはそれ自体の危険もある。監査法人が、チェックリストを満たしたことをシステムの安全性の証明として扱う可能性がある。AIリスクは文脈に依存するため、技術的な手順への準拠は職業的懐疑心に取って代わることはできない。
メモの書式を整えるために用いるモデルと、テスト対象の仕訳を選定するモデルでは、同じ統制を必要としない。基準はこのリスクベースの区別を維持しなければならない。
最も有効な道筋は、原則と強制可能な基準線を組み合わせることだ。原則は技術全般にわたる責任を定め、基準線は監査法人が独自解釈で回避すべきではない予見可能な失敗点に対処する。
例えば、基準は特定のモデル名を挙げる必要はない。それでも、監査法人にモデルとバージョンの特定、意図された用途の検証、関連するやり取りの記録保持、変更の監視を求めることはできる。
監査チームに対し、独立した証拠に照らして出力をテストするよう求めることもできる。また、チームが再現も説明もできない要約への無批判な依拠を禁じることも可能だ。
この構造は、ベンダーを事実上の基準設定者にすることなく、イノベーションを支えられる。監査法人はツールを選択できるが、それらが目的に適していることを証明するための一貫した義務を負うことになる。
この区別は小規模監査法人にとっても重要だ。大手ネットワークは、社内評価チームの構築、ベンダーへのアクセス交渉、独自プラットフォームの維持ができる。小規模監査法人は商用製品への依存度がより高い可能性がある。
曖昧な基準は、このリソース格差を拡大しかねない。小規模監査法人は、検査で不備を指摘されるまで、規制当局がどのような検証を期待しているのか分からない可能性がある。
過度に複雑なルールは、反対の問題を生み出し得る。コンプライアンスコストによって小規模監査法人が有用な技術を利用できなくなり、最大手ネットワークの市場での地位が強化されるおそれがある。
そのため、拡張可能な要件が不可欠だ。テストの水準は、ツールの役割、重要な虚偽表示のリスク、出力への依拠の程度を反映すべきである。
Google Newsの読者は、この議論をより厳格な監督を求める単純な声として受け取るかもしれない。より重要な選択は設計に関するものだ。PCAOBには、執行可能なほど具体的でありながら、次のモデルサイクルにも耐えられるほど柔軟なルールが必要である。
企業のAI活用により、監査人はモデルの両側に立つ
AIは、まず企業の報告システムを変え、次に監査人によるそのシステムのテスト方法を変えることで、監査を二重に変革する。
上場企業はすでに、会計以外の領域でAIを活用している。顧客サービス、ソフトウェア開発、マーケティング、調達、予測、文書処理などに適用している。
こうした活動の一部は、最終的に財務諸表へ影響を及ぼす。AI支援による価格決定は収益を変え得る。自動化された在庫計画は引当金に影響し得る。生成された予測は、評価や減損見積りに影響を与え得る。
財務報告上のリスクは、AIシステムが仕訳を直接計上しなくても生じる。モデルは、経営陣が後に従来の会計プロセスに組み込む前提を形づくることができる。
監査人はこうしたつながりを追跡しなければならない。AIが重要な勘定、見積り、開示、または財務報告に係る内部統制のどこに影響するのかを特定する必要がある。
財務報告に係る内部統制、すなわちICFRは、信頼できる財務諸表を支えるために設計されたプロセスを指す。AIアプリケーションは、関連情報を作成、変換、承認、監視する場合、ICFRを変化させ得る。
監査人がその変化をテストする前に、経営陣はそれを理解しなければならない。導入済みシステムとその責任者の一覧を持たない企業は、モデルを効果的に統治できない。
基本的な問いは具体的だ。どのデータがモデルに入力されるのか。誰がその設定を変更できるのか。例外はどのようにレビューされるのか。出力が正確であり続けることを示す証拠は何か。
企業にはインシデント対応プロセスも必要だ。従業員は、ハルシネーション、データ漏えい、無許可の利用、予期しない挙動をどこに報告すべきかを知っていなければならない。重要なインシデントを技術チーム内に閉じ込めてはならない。
米国証券取引委員会はすでに、裏付けのないAIに関する主張について上場企業に警告している。元委員長はこの問題を、組織がAIの利用や能力を誇張するAIウォッシングと表現した。
SECのAI disclosure warningは、上場企業が重要な主張について合理的な根拠を持つ必要があると強調した。投資家には、重要なAIリスクに関する企業固有の情報も必要である。
この開示の問題は監査と交差する。監査人は財務諸表と一定の関連情報を評価するが、AIに関するすべての企業発言を保証するわけではない。
基準はこの境界を維持しつつ、AIに関する主張が監査対象となる財務見積り、統制、開示に影響する場合に対応しなければならない。
モデルのもう一方の側には監査法人がいる。監査法人は、より大きな母集団の検索、文書の要約、異常の特定、反復作業の削減を実現する手段としてAIを見ている。
これらの利用は、カバレッジを向上させ得る。従来のサンプリングでは、取引母集団の一部しか調査しないことがある。テクノロジー支援型の分析は、記録されたすべての項目をスクリーニングし、通常と異なるパターンに注意を向けることができる。
カバレッジの拡大が、自動的により良い証拠を生むわけではない。システムは、誤ったルールを母集団全体に一貫して適用する可能性がある。また、有意義な調査には多すぎる偽陽性を生み出すこともある。
監査品質は、チームが結果をどう扱うかに左右される。チームは手続の目的を理解し、例外を評価し、発見事項を関連する財務諸表のアサーションと結び付けなければならない。
AIエージェントは、さらに重要性を高める。エージェントとは、時に外部ツールやデータを用いながら、目標に向けた複数のステップを計画・実行できるソフトウェアである。
エージェントは、記録を要求し、文書を比較し、不整合を指摘し、結論の草案を作成するかもしれない。このワークフローは単一の分析ツールを超える。
エージェントがどのステップを取るかを決める場合、責任が曖昧になり得る。監査人は、それでも手続が適切かつ完全であったかを判断しなければならない。
自律的な一連の処理は、攻撃対象領域も広げる。不適切な権限、改ざんされた文書、欠陥のあるツール呼び出しは、人が結果をレビューする前に複数の段階を汚染し得る。
米国国立標準技術研究所は、AIリスクの把握、測定、管理、統治のための任意のAI risk frameworkを提供している。これは、システムレベルの監督に役立つ共通言語を監査法人に与える。
しかし、NISTは何が十分な監査証拠に当たるかを決定しない。技術的に適切に統治されたモデルであっても、特定の監査手続には不適切である可能性がある。
PCAOBのAI基準は、システム統治と職業上の義務を結び付けなければならない。堅実なモデル統制は証拠に対する監査人の評価を支えるが、それに代わるものではないことを明確にすべきである。
独立性も未解決の論点である。監査法人は、自らの保証業務のためのツールを開発する一方で、テクノロジー関連サービスを提供することが多い。
既存の独立性ルールは、客観性を損なう関係やサービスを制限している。AIは、共有プラットフォーム、学習データ、ベンダーとの提携、監査人とクライアントの双方が使用するシステムに関する問題を新たに提起する。
類似した技術を利用することが、自動的に独立性を損なうわけではない。しかし監査法人には、自らが作成に関与した前提や設定を監査することへの防止策が必要である。
市場慣行が固定化する前に、PCAOBはこれらの関係を検討すべきだ。監査法人が相互接続されたプラットフォームを構築した後で独立性統制を後付けすることは、より困難になる。
AI監査ガイダンスが依然として保証できないこと
いかなる基準もハルシネーション、不透明性、または自動化バイアスを取り除くことはできない。したがって問われるのは、ルールが失敗を可視化し、封じ込められるようにするかどうかである。
迅速な基準設定を支持する側も、新しいルールで達成できることを過大評価すべきではない。規制は、AIシステムがあらゆる状況で一貫して動作することを保証できない。
また、すべてのモデルを完全に説明可能にすることもできない。開発者が広範な技術文書を提供しても、解釈が難しいシステムは残る。
説明可能性の要件は、基準が説明すべき判断を定義しなければ無意味になり得る。監査人がすべてのモデルパラメータの完全な説明を必要とすることはめったにない。
監査人に必要なのは、システムが特定の手続に適している理由を理解するための十分な情報だ。また、関連する条件下でその出力が信頼できる状態を保つことを示す証拠も必要である。
自動化バイアスは別の人間的な問題を生む。人は、特にシステムが自信に満ちている、あるいは高度に見える場合、コンピューター生成の推奨に過度な重みを置く傾向がある。
レビューを義務付けても、このバイアスはなくならない。レビュー担当者は、AIが生成した回答を反証しようとするのではなく、確認材料を探す可能性がある。
そのため監査法人は、ワークフローに検証的な問い直しを組み込まなければならない。レビュー担当者は、出力を独立した証拠と比較したり、意図的に難しいテストケースを使用したり、矛盾する結果を調査したりできる。
研修も重要だ。会計士がモデルエンジニアになる必要はないが、担当業務に関連する限界を理解しなければならない。
これは業務執行社員にも当てはまる。彼らは、監査意見に対する形式上の責任だけを保持しながら、技術的な理解をすべて専門家に委ねることはできない。
基準は、すべてのツールに一つの研修プログラムが適合すると仮定せず、能力に対する期待を定めるべきだ。必要な知識は、システムの役割とリスクを反映すべきである。
ベンダーの集中は、もう一つの不確実性をもたらす。複数の監査法人が同じクラウドプロバイダーや基盤モデルに依存する可能性がある。共有された欠陥は、同時に多くの監査業務に影響を与え得る。
従来の個別監査業務レベルの統制では、このようなシステミックなエクスポージャーを見逃すかもしれない。PCAOBには、機密のクライアントデータを露出させずに監査法人横断のパターンを特定できる情報共有の仕組みが必要になる可能性がある。
検査手法も変化する必要がある。検査官は、ツールの統治と個々の監査業務での実行の双方を評価しなければならない。どちらか一方がもう一方の代わりになることはない。
監査法人が優れた中央承認プロセスを維持していても、監査チームがツールを誤って使う可能性がある。別のツールは、ある手続には適していても、異なる目的には信頼できない可能性がある。
規制当局は、こうした違いを判断するための技術的専門性を必要とする。モデルの挙動に関する説明を、監督対象である監査法人やベンダーに全面的に依存すべきではない。
基準は、企業の取締役会に誤った安心感をもたらすこともある。監査意見が適正であっても、企業内のすべてのAIシステムが安全、公正、セキュア、または法令準拠であることを意味するわけではない。
財務監査は、定義された報告目的を対象とする。より広範なAIガバナンスには、プライバシー、差別、知的財産、サイバーセキュリティ、消費者保護、オペレーショナル・レジリエンスが含まれる。
読者は、これらの領域を一つの呼称にまとめて考えるべきではない。「AI監査」は、AIを用いた財務監査、AIガバナンスの監査、あるいはAI製品の評価を指し得る。
Bloomberg Taxの論説が扱ったのは第1のカテゴリー、すなわち企業におけるAIの財務報告上の影響だった。すべてのアルゴリズムを対象とする包括的な保証制度を確立したものではない。
この限界は、用語を正確に使う必要性をさらに強める。規制当局はAI保証を説明する際、目的、対象事項、基準、証拠、責任主体を明確にすべきである。
依然として最も重要な懐疑的視点は実装にある。企業が、チームによるAI出力の検証や異議申し立ての方法を変えずに、コンプライアンスを文書化するだけなら、どれほど妥当な基準も機能しない。
最も明確な証拠となるのは検査結果だ。ログの欠落、弱い検証、表面的なレビューに関する不備が繰り返し見つかれば、原則だけでは不十分であることが示される。
反対に、統制された導入と信頼できる監査業務の証拠が得られれば、より柔軟なアプローチを支持できる。PCAOBは、証拠が蓄積されるにつれて要件を調整する姿勢を維持すべきだ。
Google Newsのサイクル後に注目すべき3つのシグナル
次の段階は、PCAOBの議題、国際的な監査提案、そして検査から得られる証拠によって形作られる。
第1のシグナルは、PCAOBが2026年のコメント募集プロセスにどう対応するかだ。AIを調査プロジェクト、スタッフ向けガイダンスの取り組み、または正式な基準設定項目のいずれに位置付けるか、同委員会は決めなければならない。
正式なプロジェクトとなれば、既存の要件にはより明確な適用指針が必要だという主張が強まる。スタッフ向けガイダンスであれば、現時点では解釈による対応がより迅速な解決策だとPCAOBが見ていることを示す。
調査のみという位置付けは柔軟性を維持する一方、企業により大きな裁量を残すことにもなる。読者は名称だけでなく、プロジェクトの範囲を検討すべきだ。
最も有用な範囲は、監査人が利用するAIと、企業の財務報告に組み込まれたAIの双方を扱うものだろう。また、文書化、検証、監督、独立性、ベンダー統制も考慮すべきである。
第2のシグナルは、国際的な監査証拠に関する協議の結論だ。IAASBが提案した改訂は、テクノロジー支援型の業務に向けた原則ベースのモデルを提示している。
ステークホルダーから強い支持を得られれば、監査人や投資家が近代化された証拠規則を実行可能な基盤と見ていることが示される。より詳細なAI要件を求める声は、そのアプローチの限界を浮き彫りにするだろう。
PCAOBは国際基準をそのまま採用する必要はない。しかし、説明のない乖離はグローバル監査を複雑にし、同じ技術に対して一貫しない期待を生む可能性がある。
第3のシグナルは、検査と執行から得られる。規制当局には、AIが監査上の不備に寄与しているのか、それともチームによる重要な問題の特定を支援しているのかについて、実証的な証拠が必要だ。
関連する指標には、検証の失敗、文書の欠落、弱い監督、不適切な依拠、開示されていない利益相反が含まれる。規制当局は、AIが母集団テストや不正検知を改善するケースも追跡すべきである。
このバランスの取れた証拠は重要だ。すべてのAI支援手続が品質を低下させると決めつけることなく、実証されたリスクに対応するルールが求められる。
企業は最終基準を待つべきではない。財務部門のリーダーは、重要なAI利用を棚卸しし、責任者を定め、変更履歴を保持し、関連する統制を今すぐテストできる。
監査委員会は、AIが見積もり、照合、開示、統制モニタリングのどこに影響しているかを経営陣に尋ねることができる。外部監査人に対し、自らのツールがどのように管理されているかを尋ねることもできる。
監査法人は、想定される用途、制約、検証結果、アクセス統制、必要な人によるレビューを文書化すべきだ。重要なAI支援手続を再構築できるだけの情報を保持する必要がある。
こうしたレビューを支えるナレッジワーカーには、信頼できる記録が必要だ。適切に維持されたAIナレッジベースは、正式な監査文書に取って代わることなく、方針、評価、インシデント、承認、モデル変更を整理できる。
Google Newsによる注目が薄れた後の重要な問いは、PCAOBが抽象的な意味で「AIを規制する」かどうかではない。自動化された業務が監査証拠に組み込まれる前に、同委員会が検証可能な責任を確立できるかどうかだ。
議題、国際協議、検査記録を注視すべきである。これらのシグナルを総合すれば、柔軟な原則で十分なのか、それとも執行可能なPCAOBのAI基準が不可避になるのかが見えてくる。
