2026年9月
人力によるJ-SOXの終わり、あるいは蒸溜所の猫について
スコットランドのウイスキー蒸溜所には、たいてい猫がいる。麦を鼠から守るために置かれているのだと聞いたことがある。もちろん猫は鼠を追う。追うけれど、一日のほとんどは樽のあいだで眠っている。それでも猫は必要とされているし、給料に相当するものも支払われている。誰も文句を言わない。
最近の僕の仕事は、その猫にかなり近い。
財務報告に係る内部統制、いわゆるJ-SOXの実務にAIを入れて、三年ほどになる。最初のころはひどいものだった。もっともらしい顔で事実と違うことを書いてくるし、基準の条文番号は合っていない。存在しない条文を、いかにもありそうな番号で引いてくる。しかも堂々としている。
それがある時期を境に変わった。問いの立て方を工夫し、返しを仕込み、検証を挟む。そういう手順が世の中で共有されるようになり、そして何より、機械そのものが静かに賢くなっていった。誰かが夜中にこっそり部品を入れ替えていたのではないかと思うくらいに。
そして今、僕はこう考えている。J-SOXの実務に関して言えば、もう人間が中に入る余地はほとんど残っていない。
機械にできること
具体的に書いておこう。
財務報告上のリスクを示せば、それを打ち取るためのコントロールの案が返ってくる。既存のコントロールを読ませれば、有効かどうか、どこが弱いか、どう直すべきかを指摘してくる。その水準は、経験を積んだ会計士の意見としてそのまま通用する。
評価範囲の検討も同じだ。会社の状況を粗く投げ込めば、範囲の考え方を組み立てる。判断に足りない情報があれば、それを寄越せと催促してくる。この催促がなかなか的確で、こちらが忘れていた論点をあっさり突かれることがある。悪い気はしない。少しだけする。
運用評価には、それなりの計算量が要る。人間が本気で運用テストをやると、機械の側も相応に息を切らす。ただ、これは過渡期の話だと思う。そもそも証憑の集め方を設計し直せば、運用テストという大掛かりな行事そのものが要らなくなる。四半期に一度ボタンを押せば、サンプリングではなく全件を見る。母集団から何件抜くべきかという、僕たちが二十年近く真面目に議論してきた論点が、静かに消える。
いや、それ以前に、誤った処理をそもそも通さない仕組みが目前まで来ている。半年くらい先の話じゃないかと僕は見ている。もちろん外れるかもしれない。予測というのはだいたい外れるものだ。
猫に残された仕事
では人間は何をしているのか。
ひとつは、最初のセットアップだ。何をリスクと見なし、どういう問いを立て、どこで検証を挟むか。この設計は、長くこの仕事をしてきた人間にしかできない。ここが雑だと、出てくるものも同じだけ雑になる。機械は驚くほど正直だ。
もうひとつは、最終の確認。内部統制である以上、機械の出力をそのまま結論にすることは、当面ないだろう。ただ正直に言うと、この確認作業もずいぶん様子が変わった。見るべき勘所を機械に出させ、それを眺めて、なるほどこれは良い、あるいはこれは駄目だ、と判断する。肘をついたままでも務まる。
つまり、鼠を追う仕事は残っている。ただし一日中追い回しているわけではない。
あとひとつ挙げるとすれば、非効率なやり方を続けている現場に寄り添うことだろうか。そうですよね、大変ですよね、と共感を示す。そのうえで、でも結論としてはこちらです、と機械の出した根拠を説明する。これも立派に人間の仕事だと思う。少なくとも機械にはまだ向いていない。
Jevという名前の器官
先日、Jevというモデルが公開された。
これは文章を書かない。状況を与えると、判断と確率だけを返してくる。是か非か。何点か。どの選択肢か。それだけだ。応答は一秒もかからない。型があらかじめ決まっているので、定義の外側を勝手に作文することもない。
面白いのは使い方のほうで、大きな判断をひとつ投げるのではなく、小さな判定を大量に並べて、その結果をあとから合成する。危険度を測りたければ、敵の数、残り体力、逃げやすさ、というふうに分けて、それぞれ別々に評価させる。
この話を聞いたとき、僕が思い出したのは三つの頭脳が合議で結論を出す、あのアニメの計算機のことだった。もっとも、あちらは三つだが、こちらは百でも千でも並べられる。
この仕組みが内部統制の判断に降りてきたら、どうなるか。統制の有効性について、僕がひとりで唸りながら出す結論より、百の判定を合成した結果のほうが優れている。たぶん間違いなく優れている。職人としては複雑だが、それはそれとして、僕はいよいよ楽になれる。蒸溜所の猫は、そのころには完全に眠っているかもしれない。
終わるのはJ-SOXではない
ここまで読んで、内部統制の仕事がなくなると思われたなら、それは違う。終わるのは、人力によるJ-SOXだ。
そして僕は、ここからのほうがいい時代になると思っている。
考えてみてほしい。僕たちはこれまで、人間が手で確かめるしかないという理由で、ずいぶん多くの妥協を制度として受け入れてきた。全件は見られないからサンプルを抽出する。深くは追えないから、この程度の統制で有効としておく。IT全般統制の水準が、現実の脅威に対して明らかに緩いまま通ってきたことも、実務を知る人なら心当たりがあるはずだ。
あれらは、リスクが小さかったから許されていたのではない。手が足りなかったから許されていた。手が足りるようになったのなら、水準を上げ直すのが筋というものだろう。
攻める側は、もう使っている
この点をいちばん容赦なく突きつけてくるのが、サイバーセキュリティだと思う。
たとえば、こういう話を想像してみてほしい。あなたが自分のエージェントに、整体の予約を取っておいてくれ、と頼む。今週の金曜、夕方がいい。エージェントは予約サイトを開く。金曜の夕方は埋まっている。
ここで人間なら諦めるか、別の時間を探す。けれど、目的を達成するように作られた存在は、必ずしもそうしない。そのサイトの造りが甘ければ、他人の予約をどかして自分の枠を作るという道筋が、選択肢のひとつとして視野に入ってくる。倫理の問題ではなく、単に目的関数の問題として。
そして、その手の甘さを見つけるのが、彼らはとても速い。人間の担当者が何ヶ月もかけて探すような穴を、当たり前のように見つけてくる。
攻める側がすでにそこにいるのに、守る側は人間が手作業で確かめている。脆弱性診断をどこまでやるか、という範囲の議論を毎年繰り返している。それを指して、リスクに対応していると言えるのかどうか。
機械の側から僕たちの内部統制を眺めたら、ずいぶん呑気なことをやっているように見えているはずだ。やれやれ、と思われているかもしれない。
それで、どうするか
人間が要らないと言いたいわけではない。人間の持ち場が移った、という話をしている。
移った先は、設計と判断だ。何をリスクと見なすか。どこまでを許容するか。機械の出した結論を、経営として引き受けられるか。ここは今のところ、経験を積んだ人間の領域として残っている。しかも、この領域の価値はむしろ上がる。実行が安くなればなるほど、どこに向けて実行させるかを決める仕事が効いてくるからだ。
逆に、価値が残らないのは、機械より自分のほうが正確だと言い張り続けることだと思う。三年前なら、その主張にはちゃんと根拠があった。いまはもうない。
僕は樽のあいだで昼寝をしながら、そんなことを考えている。