上場準備とAI活用：内部統制と説明の準備

自社の「戦略」の準備度は？10問・約3分で確かめる（無料・登録不要）

上場を目指す会社では、内部管理の体制を整え、それを説明できる状態にすることが求められます。そこにAIの活用が加わると、「AIを使ってよいのか」「何を整えればよいのか」と迷う場面が出てきます。この記事では、上場準備の中でAIを無理なく使い続けるための考え方と手順をご紹介します。個別の判断は、監査法人や主幹事証券会社などの専門家と相談しながら進めてください。

上場準備で、AIの使い方が問われるのはなぜですか？

理由は大きく2つあります。

1つ目は、上場審査で内部管理の体制と開示の適切さが見られることです。たとえば東京証券取引所のグロース市場の上場審査基準概要では、審査の内容として「企業内容、リスク情報等の開示の適切性」「企業のコーポレート・ガバナンス及び内部管理体制の有効性」「事業計画の合理性」などが挙げられています（市場によって項目の表現は異なります）。AIを業務や事業に使っていれば、その管理の仕方も内部管理の一部として説明できることが望まれます。

2つ目は、上場後に金融商品取引法の内部統制報告制度の対象になることです。財務報告に係る内部統制の評価と監査の基準は2023年4月に改訂され、2024年4月1日以後に開始する事業年度から適用されています。改訂では、ITの委託業務に係る統制の重要性が増していること、サイバーリスクの高まりを踏まえてセキュリティを確保すること、クラウドやリモートアクセスなどの技術を活用する場面への言及などが加わりました。

つまり、AIの活用そのものが問題になるのではなく、AIを含むITの使い方が、内部統制の考え方で整理され、説明できるかどうかが問われると考えるとわかりやすくなります。

AIを使う業務は、どう分けて考えればよいですか？

すべてのAIの利用に同じ管理を求めると、現場の負担が大きくなり、活用が止まってしまいます。そこで、財務報告への影響の大きさで業務を分け、管理の重さを変える考え方が役立ちます。次の区分は、整理のための一つの目安です。

どの区分に入るかは、会社の業務の流れや金額の大きさによって変わります。区分を決めたら、その理由も書き残しておくと、後で説明するときの材料になります。

IT統制の考え方で、何を整えればよいですか？

金融庁の実施基準は、ITに係る内部統制を2つに分けています。

• ITに係る全般統制：業務処理統制が有効に働く環境を保つための統制です。例として、システムの開発・保守の管理、運用・管理、アクセスの管理などの安全性の確保、外部委託に関する契約の管理が挙げられています。
• ITに係る業務処理統制：承認された業務がすべて正確に処理・記録されるように、業務の流れに組み込まれた統制です。例として、入力情報の完全性・正確性の確保、エラーの修正と再処理、マスタ・データの管理、アクセスの管理が挙げられています。

この考え方をAIに当てはめると、次のように整理できます。

AIの出力は、もっともらしく見えても誤りを含むことがあります。財務報告に直接関わる業務では、AIは候補を出し、人が確かめて確定する形にし、その確認の記録を残すことが、業務処理統制の考え方と合わせやすい進め方です。

外部のAIサービスを使う場合は、何を確かめますか？

実施基準は、重要な業務の一部を外部に任せている場合、委託業務に係る内部統制も評価の範囲に含まれるとしています。評価の方法として、受託した会社の報告書と基礎資料の整合を確かめ、一部を自社で検証する方法や、受託した会社から内部統制の評価結果を記載した報告書などを入手して使う方法が示されています。後者の場合は、その報告書が十分な証拠になるかを検討する必要があるとされています。

AIサービスに財務報告に関わる処理の一部を任せる場合は、次の点を確かめておくと、整理しやすくなります。

• 入力したデータの保存場所・保存期間と、学習に使われるかどうか
• 第三者による評価の報告書や認証の有無と、その対象の範囲
• 障害や仕様の変更があったときの知らせ方
• 契約が終わったときのデータの返却・削除

どこまでが評価の対象になるかは業務の内容によって変わるため、早い段階で監査法人に相談しておくと安心です。

審査や開示では、AIのことをどう説明しますか？

上場後は、有価証券報告書の「事業等のリスク」などで、事業に影響を及ぼしうるリスクを説明します。金融庁の「記述情報の開示に関する原則」は、主要なリスクについて、顕在化する可能性の程度や時期、顕在化した場合の影響の内容、対応策を具体的に書くことが求められているとしています。あわせて、一般的なリスクを並べるのではなく、投資家の判断に重要な影響を及ぼしうる事項を具体的に書くこと、取締役会や経営会議での重要性の判断を説明し、記載の順序に反映させることを望ましい取り組みとして挙げています。

AIが事業に重要な影響を与える会社では、たとえば次のような点を自社に即して整理しておくと、説明の準備になります。

• AIの誤りが顧客や取引に与えうる影響と、人の確認などの対応
• 使うデータの権利や個人情報の扱いと、その管理の方法
• 依存している外部のAIサービスが止まった場合の影響と、代わりの手段
• 国内外のルールの変化への対応の体制

事業計画にAIによる効果を織り込む場合は、「事業計画の合理性」の観点から、効果の見込みの根拠を説明できるようにしておくことも大切です。また、AI事業者ガイドラインは、AIの出力を事業の判断に使った場合に、関係する人へ合理的な範囲で情報を提供することをAI利用者の取り組みとして挙げています。

上場後は、東京証券取引所のコーポレートガバナンス・コードも踏まえた運営が求められます。2026年7月21日の版では、取締役会が内部統制や全社的リスク管理の体制を適切に整備し、その運用状況を監督することが示され（原則4-4とその解釈指針）、サイバーセキュリティのリスクや技術などの情報の流出のリスクへの対応も考慮事項として挙げられています。

どの順番で進めればよいですか？

次の手順で進めると、無理なく整えられます。

① 棚卸し： 社内で使っているAIのツールと、使っている業務を一覧にします。部署ごとに聞き取ると、把握していない利用も見つかりやすくなります。

② 区分： 一覧の業務を、財務報告への影響で区分し、理由を書きます。

③ 規程と記録： 利用ルール、権限、変更の手順、記録の残し方を決めます。既存の情報システムの規程に、AIの項目を加える形でも構いません。

④ 運用の確かめ： 一定の期間、決めたとおりに運用されているかを、内部監査などで確かめます。記録が残っていない、確認が形だけになっている、といった点を直します。

⑤ 説明の準備： 取締役会への報告の資料や、開示で使う説明の材料をまとめます。

上場準備の後半に急いで整えると、記録がそろわず、運用していたことを示しにくくなります。運用の記録が一定期間たまる時間を見込んで、早めに始めることをおすすめします。

チェックリスト

• 社内で使っているAIのツールと業務を一覧にした
• 業務を、財務報告への影響で区分し、理由を書いた
• 財務報告に直接関わる業務で、人が確かめて確定する手順を決めた
• AIへの指示や設定を変えるときの承認と記録の方法を決めた
• 使える人と機能の範囲を決め、異動・退職のときの見直しを決めた
• 利用の記録（ログ）の保存の方法と期間を決めた
• 外部のAIサービスの契約・データの扱い・障害時の知らせ方を確かめた
• 監査法人などの専門家に、評価の範囲について相談した
• AIに関わるリスクと対応を、自社に即して文書にした