業務記述書・フローチャート・RCMを生成AIで作る手順｜ヒアリング記録から下書き、確認、承認まで

目次

1. 内部統制の3点セットの定義と実施基準での位置づけ
2. 2023年改訂の主な内容と3点セットの見直し
3. 生成AIに任せる作業と担当者・承認者の確認
4. ヒアリング記録から業務記述書の下書きを作る手順
5. 文字起こしと業務記述書の下書きの記入例
6. フローチャートの要素抽出とRCMのリスク・統制の候補
7. ヒアリング記録を生成AIに入力するときの機密情報の扱い
8. 監査法人への説明と作成記録の保存
9. よくある質問
10. 参考資料

この記事の要点

業務記述書・フローチャート・RCMの3点セットは、生成AIでヒアリングの議事録や文字起こしから下書きを作れます。AIに任せられるのは、業務の手順を時系列の文章に直す作業、フローの担当部署・書類・システムの抜き出し、RCMのリスクと統制の候補の列挙までです。下書きが業務の実態と合っているかの照合と、どの統制を統制上の要点（キーコントロール）にするかの選定は、会社の担当者と責任者が行います。

金融庁の内部統制報告制度に関するQ&A問9は、実施基準が必ずしもフローチャート等の作成を求めていないと答えています。AIで作った文書も、会社の記録として承認と版の管理を残せば評価に使えます。

内部統制の3点セットの定義と実施基準での位置づけ

本記事で原典として開いた資料は、金融庁の企業会計審議会が令和5年4月7日に公表した「財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）」（以下「基準」「実施基準」）、金融庁企画市場局「内部統制報告制度に関するQ&A」（令和5年8月31日改訂、以下「Q&A」）、金融庁「内部統制報告制度に関する事例集」（令和5年8月改訂、以下「事例集」）です。

3点セットという呼び方は基準や実施基準の条文にはありません。実施基準Ⅱ3(3)①は、評価対象となる業務プロセスの取引の流れと会計処理の過程を把握したうえで、その概要を「必要に応じ図や表を活用して整理・記録することが有用である」としています。事例集の事例2-3は、図や表の例として実施基準の参考2（業務の流れ図（例）、業務記述書（例））を挙げ、「業務の流れ図」「業務記述書」「リスクと統制の対応」の3つの資料という言い方をしています。3点セットは、この参考例が実務の標準様式として定着したものです。

作成が義務かどうかについて、Q&Aの問9は、監査人と経営者が別々にフローチャートを作る二重作業の質問に対し、実施基準は必ずしもフローチャート等の作成を求めておらず、会社独自の記録で評価できればその記録で足りると答えています。実施基準Ⅱ3(7)①も、記録の形式や方法は一律に規定されず、企業が作成・使用している記録を利用し、必要に応じて補足すれば足りるとしています。同じ項が記録する事項として挙げているのは、業務プロセスの概要（システムの流れやIT業務処理統制の概要を含む）、各業務プロセスで重要な虚偽記載が発生するリスクと、そのリスクを低減する内部統制の内容、その整備と運用の状況などです。様式は自由でも、この中身は記録に残す必要があります。

2023年改訂の主な内容と3点セットの見直し

令和5年の意見書は、令和6年4月1日以後開始する事業年度の評価と監査から改訂後の基準・実施基準を適用するとしています。意見書の前文が挙げる主な改訂点は、内部統制の目的の「財務報告の信頼性」を「報告の信頼性」に改めたこと、リスク評価で不正リスクの考慮とIT委託業務・サイバーリスクへの対応を加えたこと、評価範囲の決定で「売上高等のおおむね３分の２」や売上・売掛金・棚卸資産の3勘定を機械的に適用しないよう留意点を示したこと、ITを利用した内部統制の評価頻度を特定の年数で機械的に決めないとしたこと、内部統制報告書の記載事項を充実させたことなどです。前文の主な改訂点には、業務の流れ図や業務記述書の様式を変える項目はありません。

3点セットの作り直しに関係するのは、評価範囲とリスク評価の2点です（編集部の整理）。実施基準Ⅱ2(2)②の注1は、売上、売掛金及び棚卸資産の3勘定をあくまで例示とし、業種や事業の特性に応じて判断するよう求めているため、評価範囲を見直した結果として対象の業務プロセスが前年と変わる場合があります。不正リスクとIT委託業務の観点が加わったことで、既存のRCMに載っていないリスクの行を追加する作業も発生します。追加するリスクの候補を広く挙げる作業は、生成AIに下書きさせやすい作業の一つです。

生成AIに任せる作業と担当者・承認者の確認

生成AIは、渡された議事録や文字起こしに書かれている内容を整理し直すことはできますが、書かれていない業務の実態を知ることはできません。AIの出力は推測を含むため、3点セットの作成では、AIに任せる作業を「渡した記録の整理」と「一般的な候補の列挙」に限り、会社の業務に照らした判断は人が行う分担にします。文書ごとの分担は次のとおりです（編集部の整理）。

表の右2列は、AIを使わずに作る場合と変わりません。承認者の分け方は編集部の整理ですが、実施基準Ⅱ3(3)は、経営者が評価対象の業務プロセスを分析したうえで財務報告の信頼性に重要な影響を及ぼす内部統制を統制上の要点として識別すると定めており、この選定をAIの出力で置き換えることはできません。事例集の事例3-3も、統制上の要点の選定過程を記録して翌年の見直しに使う会社の例を示しています。AIの出力をそのまま採用した場合でも、選定した人と理由を会社の記録に残す点は同じです。

ヒアリング記録から業務記述書の下書きを作る手順

業務記述書の下書きは、ヒアリングの議事録か文字起こしを1プロセス単位で生成AIに渡して作ります。複数のプロセスをまとめて渡すと別の業務の手順が混ざった文章が返ってくることがあり、受注、出荷、売上計上、請求、入金消込のように分けて渡すのが確実です。指示文には、出力の形式と、記録にない内容を補わないことを明記します。編集部が作成した指示文の例は次のとおりです。

「記録にない事項を一覧にする」という指示で得られる一覧は、そのまま次回のヒアリングで聞く項目の一覧です。生成AIは指示がないと、一般的な販売業務の流れで空白を埋めた文章を返すことがあり、その文章は読みやすい分だけ、実態と違う箇所の見落としにつながる点に注意が必要です。

下書きを受け取った担当者は、ヒアリング相手と読み合わせをして手順と頻度を確かめ、承認の手順については申請書や承認画面の記録を1件見て、記述どおりに承認が残っているかを照合します。読み合わせで直した箇所の修正前後の記録は、監査法人から作成過程を聞かれたときの説明資料になるので、上書きせずに残します。

文字起こしと業務記述書の下書きの記入例

次の例は、受注業務のヒアリングの文字起こしの一部と、生成AIが作った業務記述書の下書き、担当者が読み合わせで直した後の記述を並べたものです。会社・人物・件数はすべて架空です。

下書きの段階では、金額基準と確認の方法が「記録になし」で残り、手順3は担当者が手で確定する記述になっていました。読み合わせで、承認がシステムのワークフローで行われ、承認しないと確定しない設定であることが分かり、手順2は人の確認、手順3はシステムの自動処理として書き分けています。文字起こしの「見てもらってます」が口頭の確認なのか記録が残る承認なのかは、文字起こしだけからは判断できません。生成AIの下書きをそのまま使わず読み合わせを挟む理由は、この区別を実態で確かめるためです。

フローチャートの要素抽出とRCMのリスク・統制の候補

フローチャートの要素の抜き出し

生成AIに図そのものを描かせるより、確定した業務記述書から図の要素を表に抜き出させるほうが、確認の手間が少なく済みます。表の列は、業務記述書の手順番号、部署（レーン）、処理の内容、使う書類、使うシステム、次の手順、分岐の条件の7つです。この表を見ながら、作図ソフトやExcelの図形でフローチャートを作ります。事例集の事例6-2は、業務の流れ図を機能ごとに分けて管理番号を付け、業務記述書にその番号を記載することで更新の手間と漏れを減らした例です。AIに抜き出させる表にも手順番号を持たせておくと、業務記述書とフローチャートの対応を番号で確かめられます。

RCMのリスクと統制の候補

RCMの下書きでは、業務記述書の手順ごとに、起こりうる虚偽記載のリスクと、そのリスクを低減する統制の候補を生成AIに挙げさせます。実施基準Ⅱ3(7)①が記録する事項に挙げているのは、リスクと内部統制の内容と、実在性、網羅性、権利と義務の帰属、評価の妥当性、期間配分の適切性、表示の妥当性との関係です。指示文でこの6つの要件を示し、リスクの候補ごとに関係する要件を付けさせると、要件の偏りを確認しやすくなります。

生成AIが挙げる統制の候補は、一般的な業務を前提にした一覧です。担当者は、候補のうち業務記述書に書かれている統制だけを残し、残した統制の頻度、実施者、証跡を業務記述書の記述に合わせて書き直します。候補にあって実際には行われていない統制はRCMに載せず、必要であれば整備の検討事項として別の一覧に移す扱いが適当です。統制の種類（自動化された統制、ITによる情報を使用した統制、手作業の統制）の書き分け方は自動仕訳を業務記述書・RCMに記載する方法の記事にまとめています。

どの統制を統制上の要点にするかは、AIの候補を参考にしても、会社の判断事項です。実施基準Ⅱ3(3)②は、経営者が不正又は誤謬による虚偽記載のリスクを識別し、取引の開始、承認、記録、処理、報告に関する内部統制を対象に、6つの要件を確保するためにどのような内部統制が必要かという観点から統制を識別するとしています。必要な統制の判断には取引の件数や金額、過去の誤りの発生状況といった会社固有の情報が要るため、評価責任者は、選定した統制と選定の理由をRCMの欄か別の記録に残し、承認します。

ヒアリング記録を生成AIに入力するときの機密情報の扱い

3点セットのヒアリング記録に出てくる情報は、取引先名、取引条件、従業員の氏名、未公表の業績や組織変更の話題など、社外に出せないものが中心です。生成AIに入力する前に、入力してよい情報の区分と、使ってよいサービスの契約形態を社内の利用ルールで決めておきます。法人向けの契約で入力データがモデルの学習に使われない設定になっているか、利用ログを会社が取得できるかは、サービスごとに確認が必要です。経理部門で定めるルールの項目は経理部門の生成AI利用ルールの記事で整理しています。

上場準備中の会社では業績見通しや資本政策に関わる発言がヒアリングに混ざることもあるので、文字起こしをそのまま渡さず、プロセスの説明に関係のない部分を削り、個人名を役職名に置き換えてから入力する手順を作成手順書に書いておきます。

監査法人への説明と作成記録の保存

基準・実施基準・Q&Aには、文書の作成に生成AIを使ったことを監査人に報告するよう求める記載はありません。監査人が確かめるのは、実施基準Ⅱ3(7)①の記録事項である業務プロセスの概要、リスクと統制の内容、整備と運用の状況が実態と合っているかどうかです。監査法人から作成の経緯を聞かれたときに答えられるよう、次の記録を文書の版と一緒に保存しておきます（編集部の整理）。

• ヒアリングの日付、相手、使った議事録・文字起こしと、生成AIに渡した指示文
• 読み合わせで直した箇所の修正履歴と、照合に使った証憑・画面の記録
• 業務を所管する部署の責任者の承認日と、統制上の要点の選定者・選定理由

上場準備の段階では、ショートレビューで3点セットの整備状況が確認されることがあります。準備する資料の一覧は上場準備のショートレビューの記事に、AIの出力を人が承認する運用とAIの出力がそのまま確定する運用の区分は経理のAI活用と内部統制の記事にまとめました。3点セットの作成では、AIの出力は下書きにとどまり、人の照合と承認を経て会社の記録になります。そのため、業務に組み込むときは前者の区分で記録を残します。

よくある質問

参考資料

1. 金融庁 企業会計審議会「財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）」の公表について 令和5年4月7日 （最終確認 2026年10月20日）
2. 金融庁 企業会計審議会「財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）」令和5年4月7日（前文、基準Ⅱ3(3)・Ⅱ3(7)） （最終確認 2026年10月20日）
3. 金融庁「財務報告に係る内部統制の評価及び監査の基準・実施基準（抄）新旧対照表」令和5年4月7日（実施基準Ⅱ2(2)②・注1） （最終確認 2026年10月20日）
4. 金融庁 企画市場局「内部統制報告制度に関するQ&A」令和5年8月31日改訂（問9） （最終確認 2026年10月20日）
5. 金融庁「内部統制報告制度に関する事例集」令和5年8月改訂（事例2-3、事例3-3、事例6-2、参考に掲載の実施基準Ⅱ3(3)①・Ⅱ3(7)①） （最終確認 2026年10月20日）

本記事は2026年10月20日時点で確認できた法令・資料に基づいています。個別の取引への当てはめは、顧問税理士や監査法人と確認してください。

無料の資料（Excel）

AIを使う経理業務のRCM・業務記述書 記載例

AI-OCR、自動仕訳、AI入金消込、生成AI、AIエージェントを使う経理業務について、リスクとコントロール、業務記述書の文例、監査法人への説明の文例をまとめた記載例です。

資料を受け取る

30分の無料相談

J-SOXの文書化と評価の支援

上場後に内部統制報告書を提出する会社の管理部長・経理責任者に向けて、評価範囲の決定から、業務記述書・フローチャート・RCMの作成、IT全般統制の文書化、整備状況と運用状況の評価調書の作成までを、監査法人に説明できる記録の形でお手伝いします。

本サイトの運営会社（株式会社プライムコンサルティング）の支援サービスです。

相談を申し込む支援内容を見る

あわせて読む記事

• 
  内部統制・監査2026.10.20

  自動仕訳を業務記述書・RCMに記載する方法｜起票者の扱いと承認証跡の残し方

  ルールやAIが作る仕訳は人が起票操作をしないため、業務記述書とRCMでは起票者の代わりにルールの設定者・承認者・証跡を書き分けます。

• 
  内部統制・監査2026.10.20

  経理のAI活用と内部統制｜IT統制ガイダンスの記載と監査法人に説明する記録

  AIの出力を人が承認してから確定する運用と、AIの出力がそのまま確定する運用で、監査法人に示す記録が変わります。

• 
  内部統制・監査2026.10.20

  経理部門の生成AI利用ルールに定める項目｜入力してよい情報の区分・ログ・承認者

  経理の生成AI利用ルールは、情報の区分ごとの入力可否、会社が契約したプランの指定、ログの保存、帳簿と開示に使う出力の承認者の4項目で構成します。

• 
  内部統制・監査2026.10.20

  クラウド会計のIT全般統制の評価項目｜SaaS側と自社の分担とSOC1報告書の確認範囲

  クラウド会計ではIT全般統制の大半を提供会社が担いますが、ユーザー権限の設計と変更記録、SOC1報告書の読み合わせ、報告書が利用者側に求める統制の運用は自社の仕事として残ります。