監査を自動化すると何が減らせる？ 日常点検と独立した評価の役割
経費データを毎晩読み込み、重複や承認漏れを自動で探せるようになった。以前は監査の時期に抽出していた項目まで、毎日確認できる。それなら年次監査の工数を大幅に減らせるのではないか。
この説明用の場面には、減らせる仕事と、点検の回数を増やしても代わりにならない仕事が混在している。同じルールを当てる作業は自動化できても、そのルールで重要な不正や誤りを捉えられるかは、別に判断しなければならない。
本稿の提案は、データがそろい、判定条件が安定した反復点検を自動化し、監査ではデータの抜け、ルールの妥当性、例外の処理、事業の変化を独立した立場から確かめることである。監査の頻度を一律に守るか廃止するかではなく、何の証拠を誰が作り、その証拠を誰が評価するかを組み直す。
毎日動く仕組みにも、二つの役割がある
内部監査人協会（IIA）の2025年版GTAGは、継続的監査と継続的モニタリングを扱っている。前者は技術を使った継続的なリスク・統制の評価を通じて内部監査を支える考え方である。日々の業務管理で異常を見つけて直すことと、同じ意味ではない。IIAの公開概要
役割の違いは、IIAの「3ラインモデル」でより明確になる。経営側がリスクを管理する責任と、内部監査が独立した客観的な評価を提供する役割を分けている。独立性は、経営の意思決定や運用の責任から距離を保つことで支えられる。IIA「3ラインモデル」2024年更新版
これらは専門機関の実務指針であり、自動化によって事故が何％減るかを測った実験ではない。日本企業に特定の監査周期を要求する根拠としても、そのまま使えない。本稿は役割を区別する材料として参照する。
経費担当が毎日点検して誤請求を直す仕組みは、業務管理として価値がある。ただし、その担当者が除外条件を自由に変え、その結果だけを「異常なし」と報告しているなら、同じ報告を受け取る回数が増えても、設定の適切さを確かめたことにはならない。
自動点検の対象一覧が完全か、判定ルールが目的に合うかは、稼働回数とは別に評価する。全件検査でも残る母集団の抜けと、標本検査の限界は別稿で扱う。ここでは、その結果を評価する人と、例外を修正する人の役割へ進む。
米国NISTの評価手続きは、資料等の調査、関係者への聞き取り、試験を評価方法として区別している。機械から得る記録だけが証拠の全種類ではない。これは情報システムの統制評価の枠組みであり、経費監査そのものの効果を測る研究ではない。NIST SP 800-53A Rev.5
この区別を使うなら、監査人は「点検が正常終了した」という記録を読むだけでなく、除外設定の理由を聞き、想定した不適切な取引を検出できるか試す、といった組合せを選べる。実際の試験は業務を傷めない環境と承認範囲で行い、本番へ不正な支払を流す必要はない。
自動化が進むほど、監査の焦点は設定と変更へ移る
ここで「自動化は業務側、監査は手作業」と区分しないことが大切だ。監査人自身が独自のデータ分析や継続的なテストを使うこともできる。同じ技術を使うかどうかより、評価対象の運用を誰が決め、どの立場で結論を出すかが問題になる。
NISTも、統制評価の自動化を支える枠組みを公開している。望ましい状態を機械が扱える形で表すことが重要な前提になる。NISTIR 8011 Vol.1の概要 自動化の範囲を狭く固定する必要はないが、何を正しい状態とするかの判断が、技術によって消えるわけではない。
例えば、監査人が別経路で取得した支払データを照合し、業務側の点検に入らない取引を探せるなら、自動化を独立した評価へ使える。逆に、担当者が作った「確認済み」一覧だけを読み込めば、仕組みが別でも証拠の出所は同じである。この差を踏まえて、使うデータと変更権限を設計する。
判定が安定している重複請求なら、自動点検の結果と修正記録を継続的に利用し、同じ照合作業を監査時に一から繰り返す量を見直せる。ただし、結果を信頼してよい範囲の評価が先になる。
反対に、取引形態が変わったのに旧ルールを当て続けている場合は、過去の正常稼働が安心の根拠にならない。例えば、請求書一枚に一発注という前提から、複数発注の合算請求へ変われば、重複の判定条件自体を再検討する必要がある。
これは架空例である。ここで監査へ残したい仕事は、合算請求を全件手作業で読むことだけではない。変更を誰が把握し、誰が点検ルールを直し、誤って除外し過ぎていないかを確かめることである。
日常の点検に監査人が助言することと、毎日の例外を代わりに処理して運用責任を引き受けることも分けたい。後者を担ったなら、その活動を自ら独立に保証できると扱わず、評価の担当や独立性への対処を見直す必要がある。
設定変更による見逃しは、全件検査でも起こります。例えば承認欄を調べるルールから緊急変更を除外すれば、未承認の変更が残っても緑になるかもしれません。運用側が規則と例外を保守し、評価側は警告が出るはずの失敗例で判定を試します。同じ検査を二度動かすこととは、確認する対象が違います。
例外が増えたときは、誤検知と未処理を分ける
点検を増やせば、正常な取引まで候補に上がることがある。担当者が処理しきれず、確認済みの印だけをまとめて付けるようになれば、検出できることと、是正できることが離れてしまう。
そのとき、通知件数だけを減らすと重要な案件まで隠れる。一方、すべてを監査へ回せば、日常管理を監査人に肩代わりさせることになる。本稿では、業務責任者が処理する例外と、ルール自体の見直しへ戻す問題を分けることを提案する。
例えば、正当な合算請求ばかりが検出されるなら、条件の見直し候補である。証拠のない例外承認が繰り返されるなら、処理の適切さを評価する対象になる。同じ「例外100件」でも、必要な対応は違う。件数は仮定であり、許容水準の推奨ではない。
評価の記録には、未処理のまま何日残ったか、誰が何を根拠に解除したか、同じ原因が戻ってきたかを含める。監査の目的は通知を消すことではなく、点検が業務の是正までつながっているかを確かめることにある。
減らすのは、同じ証拠を何度も作る作業
経営が自動化案を承認する際は、点検項目数より、従来のどの手続きが不要になるのかを問いたい。データの範囲とルールが評価され、例外の処理を追えるなら、その範囲の反復確認を減らす案に理由がある。
逆に、未接続の取引が残る、変更の影響が分からない、運用者自身が評価結果を決めているなら、独立した確認を残す。外部監査や契約で必要な手続きを、社内の自動点検だけで置き換えられるとは扱わない。
導入後に比べたいのは、監査工数の削減と、重要な例外が是正されるまでの時間である。新しい検出方法で過去からの問題が多く見つかった場合、指摘件数の増加を制度の悪化と即断しない。一方、指摘ゼロでも、データが届かなくなっただけなら成果ではない。
業務側が日々の例外を直し、監査側がその点検の設計・証拠・変更を評価する。監査側も分析を自動化できるが、日常運用を引き受けた活動を自ら独立に保証したことにはしない。工数を減らすなら、同じ照合を省ける範囲と、独立した判断を残す範囲を先に示したい。