付録A 用語集

用語	意味
AI利用状況一覧（インベントリ）	組織が開発・導入・利用するAIシステムを用途、データ、責任者、供給者などとともに整理した一覧です。監査範囲の出発点となります。
シャドーAI	組織の承認や管理の対象外で使われるAIです。主に業務上の必要性や遅い承認手続きから生じます。
組み込みAI機能	既存の業務用ソフトウェア内で提供される要約・下書き作成などのAI機能です。追加の支払い・ライセンス・有効化が必要かどうかは、製品や契約によって異なります。
利用経路	AIが業務に入り込む経路です。オフィスのWebアクセス、個人決済、法人契約、組み込み機能、APIなどがあり、痕跡が残る場所が異なります。
リスクベース監査	影響の大きさと発生可能性に応じて、監査対象と深度、時間を配分する方式です。
監査深度	管理体系の確認、主要統制のテスト、精密監査のように、システムごとに定める監査の詳細レベルのことです。
監査基準（criteria）	あるべき状態のことです。法令、標準、契約、組織の指針、期待される成果、業界の慣行などになり得ます。
アシュアランス業務	統制や活動が有効であるかについて、独立した結論を提供する内部監査業務です。
アドバイザリー業務	経営陣が統制を設計または改善できるように助言する内部監査業務です。決定と運用の責任は経営陣に残ります。
客観性	判断が影響や利害関係に左右されない状態です。以前に責任を負っていた活動を評価すると損なわれます。
自己レビューの脅威	監査人が以前に自ら遂行した業務や判断を自分自身で評価する際に生じる独立性の脅威です。
経営陣の責任	方針決定、統制の設計・実装・維持、勧告の実施可否の決定など、監査人が引き受けると独立性が損なわれる職務のことです。
専門家	監査に必要な特殊な技法や知識を持つ人のことです。能力と客観性を評価し、作業範囲を文書化して起用します。
高影響人工知能	AI基本法第2条第4号が定める領域で使用され、生命、身体の安全、基本権に重大な影響を及ぼし得るAIシステムです。
事前検討	事業者がAIが高影響に該当するかどうかをあらかじめ検討することです（AI基本法第33条第1項）。
利用事業者の見なし	第34条第1項第1号から第3号までの措置の全部または一部を履行した人工知能事業者からシステムを受け取り、重大な機能変更なしに利用する利用事業者は、その措置の全部または一部を履行したものとみなす規定です（施行令第27条第3項）。
業務委託	個人情報処理業務を第三者に委託することです。委託文書、公開、受託者の教育・監督が必要です（個人情報保護法（韓国）第26条）。
自動化された決定	完全に自動化されたシステムが個人情報を処理して下す決定のことです（行政庁の自動的処分は除外）。権利・義務に重大な影響を及ぼす場合、拒否することができ、説明などを要求できます（個人情報保護法（韓国）第37条の2）。
NIST AI RMF	米国NISTのAIリスクマネジメントフレームワークです。GOVERN、MAP、MEASURE、MANAGEの4つの機能から構成されます。
GAO AI説明責任フレームワーク	米国GAOがガバナンス、データ、性能、モニタリングの4原則として整理した、AI監査の中核的実務と監査質問のことです。
ISO/IEC 42001	AIマネジメントシステムを確立・実施・維持・継続的に改善するための要求事項を定めた国際規格です。認証は認証機関が行います。
統制	リスクが結果（実害）につながらないようにする方針、手順、システムの仕組みのことです。
予防統制	エラーや不正が生じないよう、未然に防ぐ統制です。
発見統制	発生したエラーや不正を適時に発見する統制です。
自動統制	システムが人の介入なしに実行する統制です。反復実行において人的ミスのリスクは低いものの、誤った設定・データ・プログラムの変更によって有効性が損なわれる可能性があります。
設計の有効性	統制が定められたとおりに実施されれば、統制目標を達成できるように構築されているかどうかのことです。
運用の有効性	統制が実際に設計どおりに実施され、実施者に必要な権限と能力があったかどうかのことです。
設計上の不備	必要な統制が存在しないか、定められたとおりに運用されても目標を達成できないように設計されている状態のことです。
運用上の不備	適切に設計された統制が定められたとおりに実施されなかったか、実施者に権限や能力がない状態のことです。
ウォークスルー	1つの取引を最初から最後まで追跡しながら、質問、観察、文書検証を併せて行う手続きです。主に設計の評価に用います。
再実施	企業が実施した手続きや統制を、監査人が独立して改めて実行する手続きです。
再計算	情報の数学的正確性を監査人が改めて計算して確認する手続きです。
逸脱	サンプル項目において、統制が定められたとおりに実施されていないケースのことです。
形式的承認	レビュー手続きはあるものの、実際にはAIの出力をそのまま通過させている状態のことです。
自動化バイアス	人が自動化されたシステムの出力に過度に依存したり、他の情報源よりも高く評価したりする傾向のことです。
最小権限	業務にどうしても必要な最小限の権限のみを付与する原則です。人のアカウントとAIエージェントの双方に適用します。
ベースライン戦略（ベンチマーキング）	全般統制が有効であり、自動統制に変更がないことを確認することで、過去のテスト結果に引き続き依拠する方式です。
サービス組織報告書	外部サービス組織の統制について独立監査人が作成した報告書です。種類、範囲、対象期間を読み取る必要があります。
利用者側の補完統制	サービス組織の統制が効果を発揮するために、利用企業が運用しなければならないと前提づけられた統制のことです。
十分性	監査証拠の量のことです。
適合性	監査証拠の質のことです。関連性と信頼性（Yellow Bookでは妥当性も含みます）から構成されます。
会社が作成した情報	被監査組織のシステムや従業員が作成したレポート・ログ・集計のことです。正確性と完全性を確認した上で証拠として用います。
全数検査	母集団のすべての項目を検査する方法です。手続きを自動化できる場合に特に適しています。
特定項目の選択	重要またはリスクの高い項目を選んで検査する方法です。結果を母集団全体に推計することはできません。
監査標本	母集団の一部に手続きを適用し、母集団の特性を評価する方法です。
層化	母集団を監査目的に関連する特性によって類似したグループに分類し、グループごとにサンプルを抽出する方法です。
許容逸脱率	計画した統制への依拠度を変更することなく受け入れられる最大の逸脱率のことです。
標本リスク	サンプルに基づいて導き出した結論が、母集団全体を検査した場合の結論と異なるリスクのことです。サンプルが小さいほど大きくなります。
再現可能性	同じ入力に対して同じ結果を再び得られる性質のことです。生成モデルは完全に決定論的ではありません。
confabulation	生成AIが、確信を持って述べられた誤った内容や虚偽の内容を作り出す現象です。一般にはハルシネーションと呼ばれます。
混同行列	分類結果を、真陽性、偽陽性、偽陰性、真陰性の4つのマスで整理した表です。
再現率	実際の陽性のうち、モデルが陽性と捉えた割合です。
偽陰性率	実際の陽性のうち、モデルが見落とした割合です。1から再現率を引いた値となります。
特異度	実際の陰性のうち、モデルが陰性と正しく判定した割合です。
適合率	モデルが陽性と判定したもののうち、実際の陽性の割合です。
偽陽性率	実際の陰性のうち、モデルが誤って陽性と判定した割合です。
ベースライン	性能を比較するための基準のことです。多数派クラス判定、従来の手法、人間の性能などがあります。
妥当性確認	特定の意図された用途の要求事項が満たされていることを、客観的証拠によって確認することです。
信頼性	与えられた条件の下で、与えられた期間中に障害なく要求どおりに動作する能力のことです。
正確度	結果が真の値、または真として受け入れられる値に近い度合いのことです。
堅牢性	さまざまな状況において性能水準を維持する能力のことです。
データ漏洩	評価データの情報が学習に混入し、性能が実際よりも高く測定されてしまう問題のことです。
代理変数	機微な変数を除外しても、その役割を代替する別の変数（居住地、利用パターンなど）のことです。
ラベルバイアス	正解ラベルそのものに含まれる偏りのことです。過去の人間の判断を正解として使用する際に生じやすくなります。
ドリフト	運用中に入力データ（データドリフト）や入力と結果の関係（概念ドリフト）が、学習時と異なってくる現象のことです。
回帰評価	変更後も既存の機能が正常に動作するかどうか、変更前後を比較する評価のことです。
発見事項	監査で見出された基準と現状の差異のことです。基準、現状、原因、影響の順で展開します。
根本原因	基準と現状の差異をもたらした、より深層の要因のことです。勧告がターゲットとすべき対象となります。
リスク受容	リスクを低減させずに受け入れる対応のことです。許容限度を超える場合は、経営陣や取締役に報告します。
フォローアップ確認	勧告や改善措置計画が実際に履行され、原因が解消されたかをリスクベースで確認する手続きです。