リスク制限監査

リスク制限監査 （RLA）は、選挙後の集計監査手順であり、選挙戦で報告された結果が不正確であるというリスクを制限することができます。一般的に、（1）投票者が確認した投票用紙を安全に保管し、確認できるまで保管し、^[1] （2）リスク制限を満たすのに十分な証拠が集まるまで、投票用紙の統計サンプル を手動で検査します。 ^{[2] [3]}

RLAの利点としては、勝敗の差が大きい場合、サンプルは少量で安価で済むこと、^[2]一般の人々が各ステップを観察し検証するオプションがあること、^[1] どのステップでもエラーが見つかった場合は、必要に応じて100%手作業による集計まで含めたより大きなサンプルを含む是正措置が取られることなどが挙げられます。欠点としては、接戦の場合、ミスを見逃す可能性を最小限に抑えるために、サンプルは全投票用紙の大部分を占める必要があること、コンピューターの記録を一般に公開しない限り、コンピューターの合計を公に確認することが難しいことが挙げられます。^[4] サンプルを採取した投票用紙を調べた結果、投票用紙の保管に欠陥があることが判明した場合、通常の方法では正しい結果を回復できません。^[5] 研究者は、保管に欠陥がある投票用紙の数が勝者を変えるほど多い場合は、再投票を推奨しています。^[6]再投票の代替手段は、投票後すぐに紙の投票用紙のバックアップを作成して検証することであり、これにより、元の投票用紙の保管に欠陥がある場合の代替手段が生まれます。

他の選挙監査と同様に、その目的は、投票用紙や集計値の意図的な改変だけでなく、ソフトウェアエラー、センサーが詰まったスキャナー^[7]、または一部の投票用紙をスキップするスキャナーなどの選挙機械のバグも特定することです。このアプローチでは、すべての投票用紙、コンテスト、または機械が同じように処理されたとは想定していません。その場合は抜き取り検査で十分です。サンプルサイズは、傷や紙の破片がスキャナーのセンサー1つを塞いだ場合や、バグやハッキングが1つの選挙区または1つのコンテストで投票を入れ替えた場合など、これらの問題が結果を変えるほどの投票用紙に影響する場合、たとえ短時間でも検出できる可能性が高くなるように設計されている。

比較は投票ごとに行うことも、選挙区ごとに行うこともできますが、後者の方が費用がかかります。^[8]

リスク制限監査には、一般的に 3 つの種類があります。^[8]選挙の状況と監査方法に応じて、手作業で確認する必要がある投票用紙の数は異なります。たとえば、64,000 票が 500 票ずつのバッチで集計され、勝敗の差が 8% で、誤った結果が 10% 以上検出されないことが許容される管轄区域では、方法 1 (投票用紙比較) では平均 80 票、方法 2 (投票用紙投票) では 700 票、方法 3 (バッチ比較) では 13,000 票 (26 バッチ) が必要です。^[8]これらの方法は通常、コンピューターによる集計を確認するために使用されますが、方法 2 と 3 は、元の結果が手作業で集計された場合の正確性を確認するためにも使用できます。^[1]各タイプのリスク制限監査の手順は次のとおりです。

1. 投票用紙の比較。選挙コンピュータは各投票用紙の解釈（「投票記録」）を提供します。人間はコンピュータの「投票記録」を、無作為に抽出した投票用紙の物理的な保存用紙と照合します。独立したコンピュータが、以前の集計とは独立してすべての「投票記録」を集計し、新しい合計を取得します。^[2]人間は、解釈と合計の相違点を報告します。
2. 投票調査。人間が無作為に抽出した投票用紙を数え、サンプルの手作業による割合と選挙のコンピューターによる割合の差を人間が報告します。
3. バッチ比較。選挙結果には、投票用紙の各バッチ（投票区など）の合計が示されます。バッチのランダム サンプルでは、​​人間がすべての投票用紙を手作業で数えます。バッチの 100% について、人間が手作業で追加するか、独立したコンピューターを使用して、選挙の最初のバッチの合計が正しいかどうかを確認します。人間は、元の集計と監査集計の違いを報告します。

すべてのメソッドには以下が必要です:

• エラーが検出された場合、すべての紙の投票用紙をより正確に再集計する手順。これは通常、100% 手動集計として計画されますが、エラーのあるコンピューターの修正または交換、新しいコンピューターによる集計、監査で問題がなくなるまでその監査を行う必要がある場合があります。
• 軍事投票、不在者投票、暫定投票など、あらゆる種類の投票を監査します。
• どのコンテストが監査され、どのコンテストが監査されなかったかを明確にするか、すべてのコンテストまたは十分に大きなコンテストのランダム サンプルを監査して、誤った結果を見逃す可能性が許容できるほど低くなるようにします。
• 十分な数の投票用紙をランダムにサンプルとして監査することで、ミスを見逃す可能性を許容できるほど低くします。
• 最初の結果が公開された後にランダムなサンプルを選択します。サンプルにどのコンテストと投票が含まれるかを事前にハッカーに伝えると、ハッカーは他のコンテストや投票を自由にハッキングできるためです。
• 結果が確定する前にランダムサンプルを選択して、エラーを修正します。
• サンプルが選択されたらすぐに手動チェックを実行します。内部関係者がコンピューター ファイルを改ざんしていた場合、遅延を利用してサンプル投票用紙を誤ったコンピューター ファイルと一致するように変更し、エラーを隠すことができます。
• 輸送中および保管中の投票用紙に十分なセキュリティが確保され、内部者も外部者も投票用紙を変更できなくなります。
• 十分な数の独立した参加者が乱数シードの異なる数字を選択することで、誰もシードを制御できなくなり、ランダムサンプルを選択する乱数列も制御できなくなります。^[9]
• 職員が投票用紙やコンピューター記録を検査している間、国民が投票用紙の内容やコンピューター記録を含むすべての手順を見ることができるようにし、正確に集計されていることを確認する。^[1]

最後の 3 つの項目は、すべての参加者が与党の影響を受ける可能性がある一党独裁国家では難しい。

手作業で投票用紙を確認する (方法 1) と、選挙コンピューターが各投票用紙を解釈する方法のバグやハッキングが特定されるため、将来の選挙でコンピューター処理を改善できます。手作業で投票用紙を数える (方法 2 および 3) と、コンピューターのカウントのバグやハッキングが回避されるため、どのような間違いがあったかを正確に特定できません。投票記録を個別に合計する (方法 1) か、バッチ合計 (方法 3) と、選挙コンピューターが合計を計算する方法のバグやハッキングが特定されます。方法 2 では、勝者を直接特定するのに十分なサンプルがあるため、この独立した合計ステップは必要ありません。

コロラド州は、ほとんどの郡で方法1を採用し、投票記録を記録・保存しない選挙機械を使用するいくつかの郡では方法2を採用している。コロラド州は、そもそも手作業で投票用紙を数える2つの郡では監査方法を採用していない。^[10]

リスク制限監査は、投票が正確に集計されたかどうかを判断する結果監査であり、適切な手順が踏まれたかどうかを判断するプロセス監査ではありません。 ^[11]

このプロセスは、コロラド州の9%などの「リスク限度」を選択することから始まります。^[12]これは、最初の結果に誤った勝者がいた場合、監査によって少なくとも91%が捕捉され、最大9%が検知されずに当選することを意味します。^{[8] [2]}もう1つの最初のステップは、すべての選挙を監査するか、誤った勝者が当選するという既知のリスクを許容する選挙の無作為サンプルを監査するか、監査されていない選挙については統計的な信頼性が得られないように非無作為サンプルを監査するかを決定することです。式に基づいて、監査対象の各選挙のサンプルサイズが決定されます。^{[13] [8] [14]}サンプルのサイズは、主に対象の選挙での勝利の差によって決まります。

複数の独立した人々からの情報を組み合わせることでランダムな開始点（シード）が選択され、^[9]保管場所から取り出す特定の投票用紙を識別する一連の乱数（例えば、第1投票区の23番目、189番目、338番目、480番目の投票用紙、および他の投票区のその他の乱数など）が作成されます。

保管場所が開けられると、記録がチェックされ、サンプルを採取した各投票所に選挙中に記録された投票用紙の数がまだ同じかどうか、封印に正しい番号が記載されているかどうか、機械や容器が何らかの形で改ざんされていないかどうか、および/または投票用紙が侵入を免れたかどうかを確認する他の方法が調べられる。^{[15] [8] [2]}投票用紙が適切に保管されていない場合、リスク制限監査の支持者は、再投票を行うべきである、^{[6] [8]または結果を宣言しないべきである[16]}と述べている。この場合、通常は再投票が必要となるが、「疑わしいまたは欠落している監査記録の数が競争の結果を変えることができないほど少ない」場合は結果を宣言できる。 ^{[15] [8]}ただし、保管場所や記録に欠陥がある場合、法律により、監査なしで最初の結果を受け入れることが求められる場合がある。^[17]再投票の代替策として、フロリダ州の7つの郡では、投票の翌日に選挙機械とは別の機械で紙の投票用紙をコピーしてバックアップしている。^[18]いかなるコピーにも欠陥がある可能性はありますが、投票記録をこれらの独立したバックアップコピーと比較することで、保管場所が信頼できない場合に再投票や監査の省略を行う代わりになるでしょう。フロリダ州は、リスク制限監査で求められるこのバックアップを手作業でチェックしていません。その代わりに、フロリダ州は投票と選挙の 100% を機械で監査しています。彼らは公式の機械から 1～2 票の不一致を発見しました。^[19]メリーランド州には、安全性の低い代替アプローチがあります。メリーランド州の選挙機械は、選挙中に投票用紙の画像を作成し、投票記録とは別に保管します。ほとんどの選挙機械がそうしています。^[20]メリーランド州は、投票記録を同じ選挙機械からのこれらの投票用紙の画像と比較します。^[21]フロリダ州とは異なり、このアプローチは独立したバックアップやチェックではありません。選挙機械のハッキングやバグにより、画像と投票記録の両方が同時に変更、スキップ、または二重カウントされる可能性があります。^[22]メリーランド州の半独立検査は、検査を行わないよりはましである。なぜなら、コンピューターが記入票と解釈した折り畳まれた投票用紙の画像に折り目が残ることや、過剰投票と解釈された画像に線が残るセンサーの欠陥、スキャナー内で2枚の投票用紙が重なり、1枚がカウントされない二重給紙など、不一致を発見して解決してきたからである。^[23]

監査の結果が当初の選挙結果と同じ場合、リスク制限の範囲内で結果が確認され、監査は完了します。監査サンプルに結果に疑問を抱かせるほどの矛盾が見られる場合、より大きなサンプルが選択され、カウントされます。このプロセスは、サンプルによって当初の勝者が確認されるまで、またはすべての投票を手作業で数えて別の勝者が決定されるまで継続されます。^[8]

どの方法でも、僅差で勝利した場合にはサンプル サイズが急速に増大します。小さな市や郡で 4,000 票の投票がある場合、方法 1 の投票比較では、勝利率 2% の選挙に 300 票 (300～600 分、以下のコストで説明) が必要となります。勝利率 0.1% の場合、3,000 票 (市や郡でのスタッフ作業時間 50～100 時間) が必要となります。方法 2 または 3 の投票投票または一括比較では、4,000 票をすべて手作業で数える必要があります (スタッフ作業時間 70～130 時間)。0.1% 未満の差は、選挙の 60 分の 1 から 460 分の 1 の割合で発生します。

投票用紙上の争いの数が多いと、管轄区域内でこのような小さな差と大きなサンプルが発生する可能性が高くなります。そのため、すべての争いに対してリスク制限監査を行う場所はなく、地方支出^[24]と土地利用の決定に何百万ドルものお金がかかっているにもかかわらず、ほとんどの地方自治体の選挙は監査されていません。 ^[25]コロラド州は、大きなサンプルを避けるために、差の大きい争いを選んでいます。^[13]カリフォルニア州の2019～2021年の規則では、RLAがすべての争いを監査することを義務付けており、^[26]これらの規則の下でRLAを使用することを選択した選挙事務所はありません。

サンプルの有効性は、スタッフが不一致があった場合にそれを事務上の誤りとして却下するのではなく、監査を拡大するかどうかにも左右される。 ^[27]また、問題のある投票用紙を再スキャンして修正するだけでもよい。^[28]

メリーランド州は監査方法を評価した際、サンプルは「監査対象の選挙での勝利の差に大きく依存しており、勝利の差が非常に小さいと、職員が何日も作業する必要があり、地方の認証期限に間に合わない可能性がある」ため、地方選挙管理委員会はリスク制限監査の予算を組んだり、人員を計画したりすることができないと指摘した。^[21]

大規模なサンプルの代わりに、手頃なサンプルサイズを監査し、サンプルサイズではなくリスク限度を変動させることも考えられます。^[22]固定サンプルの場合、勝利の差が小さいほど、誤った勝者が当選するリスクが高くなりますが、十分なサンプルがあれば、誤りを検知できる可能性が高くなります。選挙管理者は、サンプルによって提供される信頼性のレベルを発表し、サンプルで1つ以上の誤りが見つかった場合にフォローアップする手順を用意します。^[22]

提示されたサンプルサイズは、リスク制限の範囲内で、見かけ上の勝者が実際の勝者である場合に、結果を確定するのに十分な大きさです。サンプルで勝者が確定しない場合は、さらに投票用紙をサンプリングし、最大100%の手作業で別の勝者を確定します。^[8]

投票用紙は、投票箱や投票所から投票所に輸送される際に危険にさらされるため、GPS追跡、^[29]警備員、セキュリティシステム、^[30]および/または一般市民による護送隊^{[31]によって保護されることがあります。}

米国の州には、投票用紙の物理的セキュリティに関する適切な法律はない。^[32] 選挙のセキュリティに関する推奨事項には、選挙後できるだけ早く監査を開始すること、投票用紙や機器へのアクセスを規制すること、^[33] 保管場所を設計または管理する人以外の人がリスクを特定すること、身元調査と不正開封防止シールを使用することなどが含まれる。^{[34] [8]} ただし、プラスチック表面のシールは通常、損傷を与えることなく取り外して再貼り付けできます。^{[35] [36]}

経験豊富なテスターは通常、すべての物理的なセキュリティシステムを回避できます。セキュリティ機器は、配送前と配送後に脆弱です。内部の脅威とすべてのセキュリティ手順に従うことの難しさは通常過小評価されており、ほとんどの組織は脆弱性を知りたくありません。^[37]

方法1では、投票用紙を厳密な順序で保管する必要があるため、サンプル投票用紙のコンピューターによる解釈と実際の投票用紙を正確に比較することができます。^[38]正しい投票用紙は存在するが順序が乱れている場合は、方法2を使用できます。メリーランド州は他の州と同様に、投票の秘密を守るために紙の投票用紙と投票記録の順序をランダム化しているため、紙の投票用紙と投票記録を比較できないため、方法1はそこでは実行できません。^[21]

州全体の選挙でこれらの方法を実施する場合、投票用紙が保管されている場所にかかわらず、州全体で手作業が必要となるため、住民と候補者は、手順が確実に遵守されるように、あらゆる場所に監視員を配置する必要がある。^{[ 1 ]しかし、コロラド州およびほとんどの州では、監査}作業を公開で行うことを 法律で義務付けていない。 ^[39]

すべての方法は選挙ソフトウェアから独立して設計されており、選挙ソフトウェアで検出されていないエラーが監査によって発見されることが保証されています。実際の監査は選挙システムとは別の独自のソフトウェアに依存しています。選挙スタッフは投票用紙を検査し、スタッフの解釈をオンラインソフトウェアツールに入力します。このツールは、投票システムの解釈との比較、不一致の報告、スタッフにさらにサンプルを採取するかどうかの指示を処理することになっています。^{[40] [41]}選挙システムの情報を使用せずに、サンプルを採取する投票用紙のリスト（投票マニフェスト）を準備することも困難です。

方法 1 の投票用紙比較では、投票用紙のサンプルを確認する以外に、2 番目の手順が必要です。投票用紙のコンピューターによる解釈 (「投票記録」) の 100% を、元の選挙コンピューターとは独立したコンピューターで再集計する必要があります。^[2]この再集計では、選挙コンピューターが投票記録を正しく集計したかどうかを確認します。他のコンピューター手順と同様に、この独立した集計は、ハッキングやバグの影響を受けやすく、特に投票規則が複雑な場合 (異なる地区の候補者の投票数が異なる場合など) は影響を受けやすくなります。再集計手順が必要な理由は、異なる種類のマシンを独立してプログラミングすることで、公式の選挙マシンを独立してチェックできるためです。

すべての方法では紙の投票用紙に物理的なセキュリティが必要ですが、方法1では投票記録を誰も変更できないように十分なセキュリティも必要です。これは、投票記録の各ファイルのハッシュコードをコンピューターで計算、保存、比較することで実現できます。^[42] (a) 選挙直後、(b) 独立した集計が行われたとき、(c) 投票用紙の比較が行われたとき。^[22]

コロラド州は、投票記録を独自に集計するシステムがあると主張しているが、それはまだ公に文書化されていないため、^[43]州務長官事務所のこの独立したコンピュータと1台以上の選挙マシンにバグやハッキングが影響を及ぼす可能性は不明である。

カリフォルニア州のリスク制限監査のプロセスでは、独立した合計のステップが省略されています。^[44]パイロットテストでは、独立した合計は学生が大学のコンピューターで計算しました。^[45]

コストは、給与水準と必要なスタッフの時間によって異なりますが、スタッフは通常2人または3人のチーム（1人が投票を読み、1人または2人が投票を記録する）で作業します。2人が読み、2人が記録する4人のチームはより安全ですが^[46]、コストが増加します。

1 分ごとに投票をチェックすると、1 時間あたり 15 ドルで 1 票あたり 25 セント、つまり 1,000 票あたり 250 ドルになります。ランダム投票をチェックするには、投票箱から個々の投票用紙を取り出し、同じ場所に戻す必要があるため、さらに時間がかかります。これは方法 1 と 2 に関係します。

^{[更新が必要]}

2017年初頭の時点で、約半数の州^{[ broken anchor ]}が何らかの形で結果監査を義務付けています。^[39]通常、これらの州は、投票機の1％など、ごくわずかな割合のみをチェックする監査を規定しています。その結果、選挙結果が確定する前に集計エラーを検出して修正するのに十分なサンプル数やタイムリーさを持つ管轄区域はほとんどありません。^{[47] [48]}

2017年、コロラド州^[49]は、選挙の数日後に、64郡のうち50郡それぞれで、無作為に選ばれていない1つの選挙を監査する投票比較監査を実施した最初の州となった^[50]。2018年の総選挙後、コロラド州は、自動投票集計装置を使用している64郡のうち62郡で監査を実施する予定である（残りの2郡は手作業で投票用紙を数える）。

ロードアイランド州は、州選挙管理委員会が2018年からリスク制限監査を実施することを義務付ける法律^[51]を可決した。他の地域の個々の管轄区域では、地元の選挙事務官の主導でこの方法を使用している可能性がある。

2018年、アメリカ統計協会、ブレナン司法センター、コモン・コーズ、パブリック・シチズン、およびいくつかの選挙公正性団体が、リスク限定監査の3つの方法すべてを承認した。最初の5つの基準は以下のとおりである。^[1]

1. 有権者が確認できる投票用紙の検査: 監査では、選挙の真実を示す投票者が記入した投票用紙を人間が検査する必要があります。投票者が記入した投票用紙は、手作業で記入することも、投票用紙記入装置で記入することもできます。監査では、投票者の意図を正確に反映するために、スキャンした画像や機械による投票用紙の解釈に頼ることはできません。
2. 透明性: 選挙は国民のものです。国民は、プロセスに干渉することなく、監査を観察し、監査が正しく実施されたことを検証できなければなりません。
3. 責任の分離: 監査に関するポリシーや規制の設定、また監査がそれらの規制を満たしているかどうかを判断する権限は、監査中の投票の集計や投票の検査に直接関与する組織のみに与えられるものではありません。
4. 投票用紙の保護: 集計および監査されるすべての投票用紙は、紛失、置換、変更、または追加から検証可能な方法で保護されなければなりません。
5. 包括性: すべての管轄区域と、不在者投票、郵送投票、暫定投票を含むすべての有効投票を考慮する必要があります。一部の投票は優先される可能性がありますが、事前に監査から除外されるべきではありません。

2014年、大統領選挙管理委員会は、大まかに次のような方法を推奨しました。

• 「委員会は、投票サンプルに基づいて正しい勝者が決定されたことを確認するリスク制限監査と、投票技術が約束どおり期待どおりに機能しているかどうかを評価するパフォーマンス監査の両方を承認します。」^[52]

リスク制限監査では、統計的リスクに応じてさまざまなサイズのサンプルを選択することで、結果（つまり、誰が勝ったか）を迅速にテストするためにすべての投票を数える必要がなくなり、一定レベルの統計的信頼性が提供されます。

2011年、連邦選挙支援委員会は、実際の選挙でこの方法をテストし実証するためのパイロットプロジェクトへの助成金を開始しました。^[53]

カリフォルニア大学バークレー校のフィリップ・スターク教授は、大学のウェブサイトにリスク制限監査を実施するためのツールを掲載している。^[54]

• 選挙監査
• 選挙
• 選挙不正
• 選挙の公正性
• 僅差の選挙結果一覧