AI監査 教本

目次

1. この教本の使い方
2. 第1章 監査計画・範囲とAI目録

   AI監査が答える問い · 何をAIとみなすか · AI目録の役割と項目 · 目録の網羅性を検証する方法 · シャドーAI · リスクに基づく範囲設定 · 監査の深さを決める · 監査基準の意味と出典 · 規制のマッピング①：AI基本法 · 規制のマッピング②：個人情報保護法（韓国） · フレームワークのマッピング③：NIST AI RMF、GAOフレームワーク、ISO/IEC 42001 · アシュアランスとアドバイザリー、そして客観性 · 専門家と過去の監査結果の活用 · 組み込みAIを目録に含めるか · 監査基準と法的判断の境界 · 助言の後の保証：同じチームが2度見るとき

3. 第2章 統制設計と運用の有効性

   統制の種類 · 設計の有効性と運用の有効性 · 設計上の不備と運用上の不備 · テスト技法と証拠の強さ · 逸脱に直面したとき · 人によるレビュー統制が備えるべきもの · 形式的承認と自動化バイアス · 形式的レビューを見抜くテストの選択 · アクセス統制 · 変更管理統制 · 自動統制とベースライン戦略 · ベンダー管理統制 · サービス組織報告書の読解 · 意味のある人によるレビューのコスト · エージェントのツール権限と人による承認

4. 第3章 証拠収集とテスト・サンプリング

   十分性と適切性 · 関連性、妥当性、信頼性 · 信頼性の一般原則 · 証拠を入手する手続 · 企業が作成した情報 · 項目を選定する3つの方法 · サンプリング手法 · サンプルサイズを決定する要因 · サンプリング結果の評価 · ログは監査の問いから逆算して設計する · 再現可能性と再実施 · 被監査組織のAIが作成した証拠 · 監査人が利用するAIツール · 全数分析の時代にも標本が必要な理由 · エージェントログの完全性

5. 第4章 モデル・データのリスク検証

   妥当性、信頼性、正確度、堅牢性 · 混同行列と指標 · 基準線 · 評価セットが満たすべき条件 · 生成AIの品質測定 · バイアスの3つの分類 · 集団別の性能検証 · データの出所と系譜 · ラベルの品質 · 運用中の変化とモニタリング · 変更の種類と再検証の範囲 · 再検証の手順と承認基準 · 公平性の基準は一つではない · 人とAIが協働したときの性能

6. 第5章 報告とフォローアップ

   発見事項の4つの要素 · 原因の特定 · 影響の推計と表現 · リスク等級と優先順位 · 勧告の記述 · 経営陣の意見の聴取 · 結論と保証の表現 · 範囲・方法・限界の明示 · フォローアップ確認の原則 · 対応類型別の完了証拠 · リスクの受容と報告 · AIの指摘事項の影響は人に及ぶ · 経営陣と意見が異なるとき

7. 付録A 用語集
8. 付録B セルフチェックの解答と解説
9. 付録C 試験当日のガイド
10. 付録D 参考文書一覧