監査法人はAIが作った資料をどう確かめるか｜監査証拠としての信頼性と会社が残す記録
AIで作った明細や計算表は監査基準上の「企業が作成した情報」に当たり、監査人は元データからの網羅性と計算の正確性を確かめるため、会社は抽出条件・AIへの指示・検証結果を資料と一緒に残します。
監修 公認会計士 石塚 康一
目次
会社が生成AIや会計ソフトで作った明細・計算表を監査法人に渡すと、監査人はその資料を日本公認会計士協会の監査基準報告書500第8項にいう「企業が作成した情報」として扱い、正確性と網羅性の監査証拠を入手し、監査の目的に照らして十分に正確かつ詳細かを評価します。AIが作ったかどうかで基準の要求は変わらず、変わるのは確かめる手段です。
生成AIの出力は同じ入力でも同じ結果になるとは限らず、確かめ方は元データとの件数・合計の照合や再計算が中心です。会社は資料ごとに、元データの抽出条件、AIへの指示、人が行った照合の結果を残します。
企業が作成した情報の定義と本記事で確認した資料
企業が作成した情報とは、売掛金の年齢表、固定資産台帳、引当金の計算表のように、会社が自らの記録やシステムから作成して監査人に提供し、監査人が監査手続の中で監査証拠として利用する情報を指します。監査基準報告書500第8項は、監査人がこの情報を利用するときに、正確性と網羅性に関する監査証拠を入手することを求めた規定です。
監査の実務では、英語のInformation Produced by the Entityの頭文字をとってIPEと呼ぶことが多く、会社が提出する資料の依頼リストに並ぶ明細や計算表のかなりの部分がIPEに当たります。生成AIや会計ソフトのAI機能で作った資料も、会社が作成して監査人に渡す以上、扱いは同じです。
本記事で原典として開いた資料は、日本公認会計士協会（JICPA）監査・保証基準委員会の監査基準報告書500「監査証拠」（2023年1月12日最終改正、以下「監基報500」）、同315「重要な虚偽表示リスクの識別と評価」（2024年9月26日最終改正、以下「監基報315」）、同330「評価したリスクに対応する監査人の手続」（2022年10月13日最終改正、以下「監基報330」）と、2026年8月10日に公表された監基報500の改正の公開草案です。基準に書かれていない実務上の整理は、文中に「編集部の整理」と付けて区別しました。
監基報315・330とも、2026年10月20日時点で開いた本文に「人工知能」「AI」という語はありません。生成AIで作った資料に特有の取扱いを定めた規定はなく、既存の企業が作成した情報の規定とIT統制の規定を当てはめて考えることになります。
監基報500第8項が監査人に求める2つの評価
監基報500は第4項で、監査証拠を「監査人が意見表明の基礎となる個々の結論を導くために利用する情報」と定義しています。第6項が求めるのは、監査手続の立案と実施にあたって、監査証拠として利用する情報の適合性と信頼性を考慮することです。そのうえで第8項が、企業が作成した情報を利用する場合に、その情報が監査人の目的に照らして十分に信頼性を有しているかを評価するよう求め、評価の中身として次の2つを挙げています。
| 監基報500第8項 | 求めている内容 | AIで作った資料に当てはめた場合（編集部の整理） |
|---|---|---|
| 第8項(1) | 企業が作成した情報の正確性及び網羅性に関する監査証拠を入手すること | AIに渡した元データが会計帳簿の全件か、AIが計算・分類した結果に誤りがないか |
| 第8項(2) | 企業が作成した情報が監査人の目的に照らして十分に正確かつ詳細であるかを評価すること | AIが要約・集約した結果が、監査人が使う粒度（取引先別、資産別、月別）で出ているか |
適用指針のA49項は、販売数量の記録に標準価格を当てはめて売上高を検討する例を挙げ、販売数量と価格の両方の情報が正確でなければ監査証拠として弱くなること、母集団が網羅的でなければ手続の結果の証明力が下がることを説明した項です。A50項は、正確性と網羅性の証拠を、情報を使う監査手続と同時に入手できる場合があるとし、同時に入手できないときは情報の作成と保持に関する内部統制の運用評価で入手することがあると述べています。
A51項は、経営者が使っている業績指標のような情報を監査人が流用するときに、その情報が監査の目的に照らして十分に正確で詳細でなければならないことを示しています。会社が経営会議向けにAIで作った増減分析の資料を、そのまま監査人の分析的手続に使えるとは限らない、という意味です。
情報の信頼性の一般原則を示しているのはA31項です。A31項は、信頼性が情報の情報源と種類、入手の状況、作成と保持に関する内部統制に左右されるとし、独立した情報源から入手した証拠や、関連する内部統制が有効な状況で作成された証拠のほうが、証明力が強いと整理しています。
なお、2026年8月10日に公表された監基報500の改正の公開草案（意見募集期限2026年9月10日）は、新旧対照の形で変更箇所だけを示しています。示された変更はA33-1項が参照する監基報240の項番号の変更で、第8項とA49項からA51項は変更の対象外です。
監基報315・330におけるIT全般統制とシステムが生成したレポート
監基報315は第11項で、情報処理統制を、情報のインテグリティに関するリスクに直接対応する内部統制と定義しています。ITアプリケーションによる統制と手作業の統制の両方を含む定義で、A5項も、情報処理統制には自動化されている場合と手作業の場合があると説明しています。一方、IT全般統制は、IT環境の継続的かつ適切な運用を支援するITプロセスに係る内部統制という定義です。
第25項は、監査人に対し、アサーション・レベルのリスクに対応する内部統制を識別したうえで、ITの利用から生じるリスクの影響を受けるITアプリケーションを識別し（第25項(2)）、そのITアプリケーションについてITの利用から生じるリスクと対応するIT全般統制を識別すること（第25項(3)）を求めています。会社が生成AIのサービスを使って計算表を作っている場合、そのサービスが第25項(2)のITアプリケーションに当たるかどうかは、監査人の判断です。
監基報330のA28項は、自動化された内部統制がITアプリケーションの変更がなければ一貫して機能すること、導入時に意図どおり機能していると判断した場合には関連するIT全般統制の評価などで継続して機能しているかを確かめることがあると説明しています。A28-2項は、システムが生成したレポートの網羅性と正確性に関わるリスクに対応する運用評価手続にIT全般統制の評価が含まれている場合、第9項(1)の事項（期間中の運用状況、運用の一貫性、運用した人や方法）について追加の手続が不要になる場合があるという説明です。
会計ソフトの定型の帳票、たとえば補助元帳や固定資産台帳は、同じデータからは同じ結果が出る作りのため、A28項とA28-2項の考え方に沿って、IT全般統制の評価と組み合わせて確かめることができます。クラウド会計のIT全般統制の分担とSOC1報告書の読み方はクラウド会計のIT全般統制の記事にまとめました。
生成AIの出力は、同じ入力と同じ指示でも毎回同じ結果になるとは限りません。A28項が前提にしている「変更がなければ一貫して機能する」という性質を持たないため、IT全般統制の評価だけで出力の正確性まで確かめる整理は取りにくく、出力そのものを元データと照合する方法が中心になるというのが編集部の整理です。
AIで作った資料が監査証拠として使われる場面
監査人が会社に依頼する資料のうち、経理の現場で生成AIや会計ソフトのAI機能を使って作り始めているものには、次のような資料があります（編集部の整理）。
- 会計ソフトから出した売掛金明細を生成AIに渡して作った取引先別の年齢表
- 契約書のPDFを読み取らせて作ったリース契約やサブスクリプション契約の一覧
- 固定資産の取得明細から生成AIに耐用年数と月割の償却額を計算させた表
- 過去の貸倒実績や賞与支給実績を集計させた引当金の計算表
- 月次の試算表を比較させて作った増減分析と増減理由の説明
監査人から見ると、どの資料も第8項の「企業が作成した情報」です。年齢表は貸倒引当金の見積りや滞留債権の検討に、契約一覧はリース会計の網羅性の検討に、償却計算表は減価償却費の再計算に使われます。資料の用途によって、監査人が網羅性と正確性のどちらに重点を置くかが変わります。
手作業やExcelで作った資料との違いは、作成の過程が人にもファイルにも残りにくい点です。Excelであれば数式を開けば計算の中身を追えますが、生成AIの回答画面には結果しか表示されないことが多く、どの行を読み込んだか、どの行を読み飛ばしたかが資料の外からは分かりません。監査人が「この表はどうやって作りましたか」と最初に聞くのはこのためです。
監査人がAI作成資料について確かめる点と会社が残す記録
監査人が実際にどの手続を選ぶかは、リスク評価と監査の方針によって異なります。下の表は、監基報500・330の規定をもとに、資料の種類ごとに監査人が確かめることの多い点と、会社が資料と一緒に残しておく記録を編集部が整理したものです。
| 会社がAIで作る資料 | 監査人が確かめる点（基準の項） | 会社が残す記録 |
|---|---|---|
| 取引先別の売掛金年齢表 | 年齢表の合計が売掛金の総勘定元帳残高と一致するか、取引先別の件数が元データと一致するか（監基報500第8項(1)、A49項）。経過日数の区分が貸倒引当金の見積りに使える粒度か（第8項(2)） | 会計ソフトから出した元データのファイルと出力日時、元帳残高との照合表、AIへの指示文、経過日数の計算を人が抜き取りで再計算した結果 |
| 契約書から作ったリース・サブスクリプション契約の一覧 | 読み取った契約書の件数が契約管理台帳や支払実績と一致するか（第8項(1)）。契約期間・金額の読み取りに誤りがないか | 読み込ませた契約書のファイル一覧と件数、支払実績からの逆引きで漏れがないことを確かめた記録、読み取り結果を原本と照合した件数と修正件数 |
| 固定資産の減価償却計算表 | 計算表の取得価額合計が固定資産台帳と一致するか（第8項(1)）。耐用年数・償却方法・月割の計算が正しいか、監査人が再計算できる情報が載っているか（第8項(2)、A19項） | 固定資産台帳との合計の照合表、耐用年数の判定根拠、表計算ソフトで同じ計算をして差額がないことを確かめた記録 |
| 賞与・貸倒等の引当金の計算表 | 計算に使った実績データが網羅的で正確か（第8項(1)）。計算の前提が会社の見積りの方針と一致しているか | 実績データの出所と期間、計算の前提を記した資料、計算結果を経理責任者が検証して承認した記録 |
| 月次試算表の増減分析 | 分析に使った数値が試算表と一致するか。監査人の分析的手続に使える精度と詳細さがあるか（第8項(2)、A51項） | 比較した試算表の版と出力日、増減理由の裏付けとした資料、AIが書いた理由を担当者が確かめた結果 |
| 会計ソフトのAI機能が出す定型レポート | システムが生成したレポートの網羅性と正確性を、IT全般統制の評価と組み合わせて確かめる（監基報330 A28項、A28-2項、監基報315第25項(2)(3)） | 帳票の出力条件の画面、利用者権限の設定、提供会社のSOC1報告書の入手記録 |
表のうち、監査人が実務で会社に尋ねる内容を並べると、元データをどのシステムからどの条件で出したか、AIに何を指示してどの部分を任せたか、出力を誰がどの方法で確かめたか、同じ資料をもう一度作れるか、の4点に集約されます（編集部の整理）。4点に資料の形で答えられれば、監査人は第8項(1)の証拠を会社の照合記録から入手し、必要な範囲で自ら再計算や抜き取りの照合を行う流れになります。
反対に、元データのファイルが残っておらず、出力日も分からない資料は、監査人が会社の会計システムからデータを取り直して同じ表を作り直す手続が加わり、その分の時間が期末監査の日程に上乗せされる、という結果になりがちです。監基報500のA13項も、電子的な情報は一定期間を過ぎると再作成できなくなることがあり、監査人が情報の保存を依頼したり、入手できる間に手続を実施したりする必要が生じる場合があると述べています。
AI作成資料に添付する作成記録の項目
監査人への提出物として資料を出すときは、資料本体と別に、作成の過程を1枚にまとめた作成記録を添付しておくと、監査人からの質問に資料で答えられます。作成記録の項目は次のとおりです（編集部の整理）。
資料名：2026年9月末 売掛金年齢表（取引先別）
元データ：会計ソフトの売掛金補助元帳、2026年10月6日 9時12分出力、全312件、残高合計48,615,200円
AIの利用：社内で利用を認めている生成AIサービスの法人向けプラン、利用日2026年10月6日。指示文は「取引先ごとに計上日からの経過日数を30日・60日・90日・180日超に区分して集計」。指示文の全文は別紙に保存
人の確認：年齢表の合計48,615,200円と総勘定元帳の売掛金残高の一致を確認。取引先数87社と補助元帳の取引先数の一致を確認。経過日数は計上日の古い順に20件を表計算ソフトで再計算し、差異なし
作成者：経理担当者A（10月6日）、確認者：経理責任者B（10月7日）
作成記録で特に問われやすいのは、元データの件数と合計です。AIが一部の行を読み落としても、出力された表の見た目からは気づけません。元データ側の件数と合計を先に控えておき、出力と突き合わせた結果を残しておけば、監査人は第8項(1)の網羅性の検討に会社の照合記録を使えます。生成AIで作った集計表を照合する具体的な手順はChatGPTで作った仕訳・集計表の検算手順の記事が扱う内容です。
指示文と利用したサービスの記録は、資料を作り直すときに使います。生成AIは同じ指示でも結果が変わることがあるため、作り直した表が前回と一致するとは限りません。最初に作った版の出力ファイルを保存しておき、作り直しの必要が出たときには、前回の版と比べて差異を説明できるようにしておきます。
監査法人への説明の時期と社内の統制との関係
監査人は、監基報315に従い、期中のリスク評価の段階で会社の情報システムとITアプリケーションを理解します。AIで資料を作る運用を始めたときは、期末の資料提出の段階ではなく、期中の打合せでどの資料をどのAIで作っているかを監査人に伝えておくと、監査人が第25項(2)の識別や手続の計画に織り込めます（編集部の整理）。
| 時期 | 会社が監査人に示す内容 | 監査人の手続との対応 |
|---|---|---|
| 期中のリスク評価の打合せ | AIで作っている資料の一覧、利用しているサービスと権限の管理、作成記録の様式 | 監基報315第24項・第25項による情報システムとITアプリケーションの理解 |
| 期中の内部統制の評価 | 作成記録の運用実績（作成者と確認者の記録、照合の結果） | 監基報330第9項による運用評価手続、監基報500 A50項の作成と保持に関する内部統制の評価 |
| 期末の資料提出 | 資料本体、作成記録、元データのファイル | 監基報500第8項による正確性と網羅性の検討、再計算と抜き取りの照合 |
上場準備会社や内部統制報告制度の対象会社では、AIで作った資料を決算の統制の中に位置づけておくと、監査人は資料ごとの照合に加えて、作成記録の運用を内部統制として評価する選択肢を持てます。AIの出力を人が承認する運用とAIの出力がそのまま確定する運用の区分は経理のAI活用と内部統制の記事で、業務記述書とRCMへの書き方は自動仕訳を業務記述書・RCMに記載する方法の記事で整理しました。
作成記録の様式で求める項目は、監査法人ごとに異なる場合もあります。新しい様式で運用を始める前に、監査チームに様式案を見せて、元データの出力条件や照合の件数の書き方を合わせておくと、期末に追加の資料を求められる回数を減らせます。
よくある質問
生成AIで作った資料は監査証拠として使えないのですか。
使えないという規定はありません。監査基準報告書500第8項は、企業が作成した情報を利用するときに正確性と網羅性の監査証拠を入手し、監査の目的に照らして十分に正確かつ詳細かを評価するよう求めており、AIで作った資料もこの評価を経て使われます。元データとの照合記録がない資料は、監査人が自ら作り直す範囲が広がります。
会計ソフトの帳票と生成AIで作った表で、監査人の確かめ方は変わりますか。
変わることがあります。会計ソフトの定型の帳票は同じデータから同じ結果が出るため、監査基準報告書330のA28項・A28-2項に沿ってIT全般統制の評価と組み合わせて確かめられます。生成AIの出力は同じ指示でも結果が変わることがあるため、元データとの件数・合計の照合や再計算で確かめる方法が中心になります（編集部の整理）。
AIで作った資料に何を添付すればよいですか。
元データの出力元・出力日時・件数・合計、AIに渡した指示文と利用したサービス、出力を元帳や台帳と照合した結果、作成者と確認者の記録を1枚の作成記録にまとめて添付します。項目は編集部の整理で、監査法人ごとに求める項目が異なることがあるため、事前に監査チームと様式を合わせておきます。
監査法人にはいつAIの利用を伝えればよいですか。
期中のリスク評価の打合せで伝えるのが適しています。監査人は監査基準報告書315第25項に従って、ITの利用から生じるリスクの影響を受けるITアプリケーションを識別するため、期中に知っていれば手続の計画に織り込めます。期末の資料提出の段階で初めて伝えると、追加の確認が期末の日程に重なります。
参考資料
- 日本公認会計士協会 監査・保証基準委員会 監査基準報告書500「監査証拠」（2023年1月12日最終改正） （最終確認 2026年10月20日）
- 日本公認会計士協会 監査基準報告書500「監査証拠」の改正について（公開草案、2026年8月10日） （最終確認 2026年10月20日）
- 日本公認会計士協会 監査・保証基準委員会 監査基準報告書315「重要な虚偽表示リスクの識別と評価」（2024年9月26日最終改正） （最終確認 2026年10月20日）
- 日本公認会計士協会 監査・保証基準委員会 監査基準報告書330「評価したリスクに対応する監査人の手続」（2022年10月13日最終改正） （最終確認 2026年10月20日）
本記事は2026年10月20日時点で確認できた法令・資料に基づいています。個別の取引への当てはめは、顧問税理士や監査法人と確認してください。
内部監査の計画書・調書・指摘事項一覧 様式集（生成AIを使う場合の記録欄つき）
内部監査の年度計画、資料依頼、監査調書、指摘事項のフォローアップの様式に記入例を入れました。調書には生成AIを使った作業と監査人の確認方法を書く欄があり、上場申請の添付書類dの準備にも使えます。
あわせて読む記事
-
経理のAI活用と内部統制｜IT統制ガイダンスの記載と監査法人に説明する記録
AIの出力を人が承認してから確定する運用と、AIの出力がそのまま確定する運用で、監査法人に示す記録が変わります。
-
自動仕訳を業務記述書・RCMに記載する方法｜起票者の扱いと承認証跡の残し方
ルールやAIが作る仕訳は人が起票操作をしないため、業務記述書とRCMでは起票者の代わりにルールの設定者・承認者・証跡を書き分けます。
-
経理部門の生成AI利用ルールに定める項目｜入力してよい情報の区分・ログ・承認者
経理の生成AI利用ルールは、情報の区分ごとの入力可否、会社が契約したプランの指定、ログの保存、帳簿と開示に使う出力の承認者の4項目で構成します。
-
クラウド会計のIT全般統制の評価項目｜SaaS側と自社の分担とSOC1報告書の確認範囲
クラウド会計ではIT全般統制の大半を提供会社が担いますが、ユーザー権限の設計と変更記録、SOC1報告書の読み合わせ、報告書が利用者側に求める統制の運用は自社の仕事として残ります。
