この教本の使い方
注意
法律助言や監査意見ではありません。 本書はAIDAN特技コースの準備に向けた学習教材です。監査基準や法令を理解できるよう要約・解説したものであり、特定の組織や事案に対する法的意見や監査結論ではありません。実際の監査では、所属組織が準拠する基準の原文および監査時点で施行されている法令を確認し、必要に応じて弁護士や該当分野の専門家によるレビューを受けてください。
確認日：2026年10月22日。 本書が引用した基準および法令は、すべて同日時点で各機関の公式ウェブサイトから原文を確認し整理したものです。
- 「人工知能の発展および信頼基盤の造成等に関する法律」（略称：AI基本法）［施行 2026. 7. 21.］［法律第21311号、2026. 1. 20.、一部改正］
- 同法施行令［施行 2026. 8. 20.］［大統領令第36580号、2026. 8. 18.、他法改正］
- 「個人情報保護法（韓国）」［施行 2026. 9. 11.］［法律第21445号、2026. 3. 10.、一部改正］
- The IIA「Global Internal Audit Standards」2024年版、米国GAO「Government Auditing Standards」2024年改訂版（Yellow Book）、PCAOB監査基準 AS 1105・2201・2315・2601
- NIST AI RMF 1.0および生成AIプロファイル（NIST AI 600-1）、GAO「AI説明責任フレームワーク」（GAO-21-519SP）、ISO/IEC 42001:2023案内ページ
PCAOB基準は上場企業の財務諸表監査を対象とし、Yellow Bookは米国政府監査を対象としています。本書は、これら2つの基準が整理した証拠・サンプリング・統制評価の原則をAI監査に援用しています。読者の皆様の組織が準拠すべき独自の基準がある場合は、そちらの基準が優先されます。
本書の対象読者
本書は3つの層の読者を対象に執筆しました。第1に、組織のAI利用を初めて監査計画に組み込む必要がある内部監査人および外部監査人です。第2に、AI関連の統制を設計・点検するリスク・コンプライアンス担当者です。第3に、AIガバナンスの報告を受ける監査委員会およびその支援組織です。これら3者の読者の問いはそれぞれ異なりますが、最終的には同じ5つの実務に集約されます。すなわち、何が存在するかを把握すること、統制が適切に構築され実際に機能しているかを確認すること、その判断を裏付ける証拠を収集すること、モデルとデータが主張どおりに信頼できるかを検証すること、そして発見事項を是正できるよう報告し最後まで確認することです。
白帯（AIの基本スキル）レベルのAIに関する理解と、監査や内部統制の業務に少しでも携わった経験があれば十分です。監査に初めて携わる方でもついてこられるよう、用語は初出時にかみ砕いて説明し、統計は四則演算のレベルで扱っています。逆に、AIには詳しいものの監査は初めてというデータサイエンティストにとっても、本書を通じて監査人が何をなぜ問うのかを理解できます。
本書を修了した時点で、以下の成果物を自ら作成できるようになる必要があります。独立した証拠によって網羅性を確認したAIインベントリ、リスクに応じて深度を定めた監査計画、人間によるレビュー統制のテスト計画、監査目的に合わせたサンプリング設計書、モデル性能の主張に関する検証表、そして基準・現状・原因・影響を備えた発見事項とフォローアップ確認計画です。各章にある2つの実習課題を通じて、これらの成果物を段階的に作成していきます。
本コースでは、財務諸表監査の全般や監査意見の作成、モデルを直接開発したりチューニングしたりすることは扱いません。法令は監査基準として用いる範囲でのみ扱い、あるシステムが法的義務の対象となるか否かの結論は法務判断に委ねます。
本書の構成
本文は、試験ドメインと同じ順序で構成された全5章です。第1章は監査をどこに適用するかを定める計画、第2章は統制が適切に構築され機能しているかを確かめる評価、第3章はその判断を支える証拠とサンプリング、第4章はAI特有のリスクであるモデルとデータの検証、第5章は報告とフォローアップを扱います。前章で作成した成果物が後続の章の材料となるよう構成されています。第1章のAIインベントリが第2章の統制評価の対象となり、第2章のテスト計画が第3章のサンプリング設計につながり、第4章の検証結果が第5章の発見事項となります。
各章は、学習目標、はじめに、重要な概念、さらに深く（トレードオフと境界事例）、実務の場面（見送った選択肢まで示す架空事例）、間違えやすいポイント、ひと目でわかるまとめ、公式ドキュメントで確認する、セルフチェック（解説は付録B）、実習課題の10の節からなっています。
付録には、用語集（A）、セルフチェック解説（B）、試験当日ガイド（C）、本書が引用した公式ドキュメント一覧（D）があります。初めて読む際は章の順序どおりに読み、復習する際は各章の「ひと目でわかるまとめ」と「間違えやすいポイント」から確認することをお勧めします。
試験の概要
AI監査（AUD）は特技コースです。特技審査は35問を60分以内で解答し、満点の75%以上を獲得すれば合格です。無料練習セットは10問、25分です。
| 章 | ドメイン | 配分 |
|---|---|---|
| 第1章 | 監査計画・範囲とAIインベントリ | 20% |
| 第2章 | 統制の設計と運用の有効性 | 20% |
| 第3章 | 証拠収集とテスト・サンプリング | 25% |
| 第4章 | モデル・データリスクの検証 | 20% |
| 第5章 | 報告とフォローアップ | 15% |
第3章の配分が最も大きくなっています。監査の結論は最終的に証拠の質と量に左右され、AIシステムはログや自動生成データという新しい種類の証拠を大量に生み出すためです。法令に関する設問は試験時点で施行されている法令を、基準に関する設問は本書の確認日時点における原文をベースとしています。
問題はこのような形です
問題は5つの形式で出題されます。大半は架空の組織の状況をまず提示し、その状況で監査人が下すべき最も適切な判断や手続を問います。
| 形式 | 構成 | 採点 | 解答のコツ |
|---|---|---|---|
| 単一選択 | 選択肢5つのうち正解1つ | 完全一致 | 状況の条件（何が残っているか、誰が責任を負うか、何が変更されたか）をまずマークしてから選択肢を読む |
| 複数選択 | 選択肢5〜6つのうち2〜3つ | 正解をすべて選択し、誤答を1つも選んでいない場合のみ正解 | 選択肢ごとに独立して正誤を判定する |
| 記述判定 | 記述ごとにYes/No | 判断と理由の双方が合致して初めてYes | 結論が正しくても理由が誤っていればNo |
| 順序配列 | ステップ4〜5段階を順序どおりに並べる | 全体の順序が一致 | 「前段階の結果が次段階の材料になっているか」で並べる |
| マッチング | 左側の項目と右側の選択肢を連結 | すべての組み合わせが一致 | 最も確実な組み合わせから消去し、使われない選択肢が1つあることを念頭に置く |
本試験の単一選択問題の多くは、同じ選択肢リストを複数の状況で再利用する方式で作成されています。同じ5つの選択肢でも状況に応じて正解が変わるため、選択肢だけを読んで「最も模範的な回答」を選ぶと誤りやすくなります。例えば、「無作為抽出（ランダムサンプリング）」は母集団が均質な場合には正解ですが、リスクが異なる部分集団が存在すれば層化サンプリングに優先度を譲り、確認すべき属性が自動判定できる場合は全数分析に優先度を譲ります。状況に含まれる事実の一つひとつが正解を左右するという意識で読み解いてください。
誤答の選択肢は、通常4つのパターンで作成されます。第1に、設計と運用を混同させます（「手順書があるから稼働している」）。第2に、証拠の量を質と錯覚させます（「ログが数万件あるから十分だ」）。第3に、被監査部門の証言を証拠として扱います（「担当者が履行したと答えた」）。第4に、監査人が経営陣の仕事を代行します（「監査チームがツールを承認する」）。各章の「間違えやすいポイント」は、この4つの類型を章ごとに整理したものです。
6週間の学習計画
1日40〜60分、週5日を基準に作成しました。監査実務の経験が豊富であれば、第2週と第3週を統合しても構いません。毎週末には、手元に残る具体的な成果物があるようにしてください。
| 週 | 範囲 | 取り組むこと | 成果物 |
|---|---|---|---|
| 第1週 | 第1章 | NIST AI RMF CoreのGovernおよびMapを原文で読む | 独立した情報源で補完したAIインベントリ草案 |
| 第2週 | 第1章後半と実習 | AI基本法第2条、第31条、第33条〜第35条および施行令第27条を読む | リスクの優先順位と監査の深度を定めた計画表 |
| 第3週 | 第2章 | PCAOB AS 2201の設計・運用評価の段落およびAS 2601を読む | 人間によるレビュー統制のテスト計画、ベンダー統制確認表 |
| 第4週 | 第3章 | AS 1105、AS 2315、Yellow Book第8章の証拠の段落を読む | サンプリング設計書とログ要求一覧 |
| 第5週 | 第4章 | NIST AI RMFの信頼性特性およびGAOフレームワークのData・Performanceを読む | 性能の主張に関する検証表 |
| 第6週 | 第5章、全体復習 | Yellow Book第9章およびIIA原則14・15（基準14.1〜15.2）を読み、セルフチェックを解き直す | 発見事項1件とフォローアップ確認計画、復習ノート |
要点
基準は要約版ではなく、一度は原文で読んでください。「should」と「may」、「generally」と「always」の違いが監査人の判断を左右します。本試験では、その違いが頻繁に問われます。
表記と出典の方針
基準の表記。 PCAOB基準は「AS 2315 .41」のように基準番号と段落番号で、Yellow Bookは「GAO 8.124」のように段落番号で、IIA基準は「IIA 14.3」のように基準番号で表記します。NIST AI RMFのサブカテゴリーは「GOVERN 1.6」「MEASURE 2.11」のように機能と番号で表記します。
条文の表記。 法律の条文は「第34条第1項第4号」、施行令は「施行令第27条第2項」のように表記します。法律名を明記していない条文は、AI基本法の条文です。個人情報保護法（韓国）を引用する場合は法律名を明示します。
動詞の強度。 基準の文章における動詞は、要求の強度を示しています。Yellow Bookにおいて「must」は関連するすべての状況で遵守しなければならない無条件の要求事項であり、「should」は原則として遵守すべき要求事項であって、例外的に逸脱する場合は代替手続を実施し、逸脱した正当な理由およびその代替手続が要求の趣旨をどのように達成したかを文書で記録に残さなければなりません（GAO 2.02–2.04）。IIA基準は各基準を「Requirements（遵守すべき要求事項）」と「Considerations for Implementation（実施のための考慮事項）」に分けて記述しています。法令における「〜しなければならない（하여야 한다）」と「〜努めなければならない（노력하여야 한다）」も同様の方法で区分します。
架空の組織。 本文に登場する企業や機関はすべて架空の名称です。数値も説明のために作成したものです。
状態の表示。 公式ドキュメントで確認できていない内容は記載していません。基準が直接言及しておらず、本書が原則を援用して適用した箇所については、「援用すると」「適用すると」のように明記しています。
通知ボックス。 ノート（NOTE）は補足的な背景情報、ヒント（TIP）は必ず記憶すべき点、注意（WARNING）は誤りの多い箇所、実習（EXAMPLE）は実際に取り組む課題を示しています。