AIMOaaS 監査・統制の実務：証跡、ログ保持、取得頻度の実践ガイド
AIMOaaS環境における監査・統制の準備を実務的に支援します。統制項目ごとの必要証跡、ログ/運用記録、推奨頻度を詳細な表形式で整理。シャドーAIや個人利用AI対策のチェックリスト、監査で問われる質問と証跡の対応表、よくある欠落と是正策の観点を提供します。これらは貴社組織のリスクと規制に応じた体制整備の助けとなる「観点整理」であり、特定の監査結果や完全な準拠を保証するものではありません。
最小証拠要件—統制項目・必要証跡・ログ/運用記録・頻度
表（観点。組織・規制により要否は異なる）
| 統制項目の例 | 必要証跡の観点 | ログ or 運用記録の例 | 頻度の例 |
|---|---|---|---|
| 利用の可視化 | 誰が・何を・いつ利用したかの説明可能性 | ログ、集計レポート | 継続または定期 |
| 方針の周知 | 周知・同意の記録 | 教育記録、同意ログ | 導入時・更新時 |
| 申請・承認 | 申請と承認の記録 | 申請ログ、承認者・日付 | 事象ごと |
| 例外管理 | 例外の理由・期限・承認者 | 例外一覧、承認記録 | 事象ごと |
| 変更管理 | 変更内容・承認 | 変更履歴、版管理 | 変更ごと |
| 棚卸 | 実態の把握と方針との整合 | 棚卸一覧、突合結果 | 四半期等、組織で定義 |
注意
- 頻度は「例」。規制・契約・監査方針に依存する。保証表現は使わない。
申請・承認ログの監査観点
例外申請の証跡が求められた場面 承認者・日付・理由がログに残っておらず指摘された。
- 申請ログ
- 承認記録
- 有効期限
証跡の目次・取得観点の整理支援です。合格保証は行いません。
証跡提出前の確認観点
- 目次と実物が対応している
- 版・日付が分かる
- 責任分界が説明できる
指摘と是正の観点（例）
指摘例: 例外の期限が未設定
是正観点: 期限と再審査手順を定義し、承認ログに残す観点で整えます。保証はしません。
Proof / Assurance 整理例
| 範囲 | 例 |
|---|---|
| Proof | 証跡目次・雛形・ログ整理 |
| Assurance | 監査結論・保証判断（御社・監査側） |
監査人は申請・承認の何を見ますか？
誰が・いつ・何を承認したかが追えること、例外の有効期限と再審査が分かることがよく聞かれます。断定はしません。
References
- AIMO Standard
- シャドーAI
_policy/content-claims.md
シャドーAI・個人利用に関する最小証跡チェックリスト
チェックリスト（観点のみ。保証はしない）
| # | 観点 | 証跡・記録の例 | 頻度の例 |
|---|---|---|---|
| 1 | 利用の可視化 | ログに基づく利用一覧・ツール別集計 | 継続または定期 |
| 2 | 方針の周知 | 教育・同意の記録 | 導入時・更新時 |
| 3 | 申請・承認の有無 | 申請ログ、承認者・日付 | 事象ごと |
| 4 | 例外の記録 | 例外申請・理由・承認者・有効期限 | 事象ごと |
| 5 | 棚卸との整合 | 棚卸一覧とログの突合が可能であること | 棚卸周期に合わせる |
統制から証跡・頻度への対応
対応表（観点）
| 統制の目標（例） | 証跡で示す観点 | 取得・更新の頻度例 |
|---|---|---|
| 利用の把握 | 利用一覧、ツール別・利用者別 | 継続 or 日次/週次集計 |
| リスク評価 | 申請時の評価記録、承認条件 | 事象ごと |
| 例外の管理 | 例外一覧、有効期限、承認者 | 事象ごと＋定期レビュー |
| 方針の有効性 | 棚卸・レビュー結果、是正措置 | 四半期等 |
| 継続的監査対応 | Evidence Pack 雛形、更新履歴 | 監査周期に合わせる |
監査で聞かれる質問と必要証跡の対応表
質問と証跡の観点（例）
| 監査で聞かれやすい質問（例） | 説明に使う証跡・記録の観点 |
|---|---|
| 利用している AI は何か、どこで使っているか | 棚卸一覧、ログに基づく利用可視化 |
| 方針はあるか、周知されているか | 方針文書、教育・同意の記録 |
| 誰が承認しているか、例外はどう管理しているか | 申請・承認ログ、例外一覧・承認者 |
| 変更は記録されているか | 変更履歴、版管理された手順 |
| 定期的に見直しているか | 棚卸・レビュー記録、更新日付 |
よくある欠落と是正の観点
欠落と是正の観点（例）
| よくある欠落の例 | 是正の観点（例） |
|---|---|
| 証跡の頻度不足 | 規制・監査要請に合わせた取得頻度の定義と記録 |
| 形式・項目の不備 | 目次・形式のテンプレート整備と運用での遵守 |
| 責任者・承認者の不明確さ | RACI の明文化、申請・承認ログの一貫した記録 |
| 例外の記録漏れ | 例外申請・理由・有効期限・承認者を必ず記録する手順 |
| 棚卸とログの突合不足 | 棚卸周期とログ集計の紐づけ、突合結果の記録 |
| 方針と実態の乖離 | 棚卸・レビューで乖離を検知し、方針更新または運用是正 |
| 更新サイクルの未定義 | 方針・リスト・証跡の更新頻度を定義し記録 |
Evidence Pack 表テンプレート（項目・形式・保持期間）
表テンプレート（観点）
| 項目 | 形式の例 | 保持期間の例 | 備考 |
|---|---|---|---|
| 棚卸一覧 | 一覧表（CSV/スプレッドシート等） | 規制・契約による | 更新日を記録 |
| 変更履歴 | 日付・変更内容・承認者 | 規制・契約による | 証跡と紐づけ可能に |
| 方針・手順 | 版管理された文書 | 有効期間＋α | 廃止版も保管する場合あり |
| ログ・利用記録 | ログまたは集計結果（改ざん防止の観点） | 規制・監査要請による | 誰が・いつ・何を利用したかの再構成可能性 |
| 申請・承認記録 | 申請ID、日付、承認者、条件 | 事象＋保持期間 | 例外は有効期限を明示 |
| レビュー・棚卸記録 | 実施日、担当、結果サマリ | 監査周期に合わせる |
最小要件表
組織・規制により要否は異なる。頻度は例。
| 統制項目 | 必要証跡の観点 | ログ／運用記録 | 頻度の例 |
|---|---|---|---|
| 利用の可視化 | 誰が・何を・いつ利用したかの説明可能性 | ログ、集計レポート | 継続または定期 |
| 方針の周知 | 周知・同意の記録 | 教育記録、同意ログ | 導入時・更新時 |
| 申請・承認 | 申請と承認の記録 | 申請ログ、承認者・日付 | 事象ごと |
| 例外管理 | 例外の理由・期限・承認者 | 例外一覧、承認記録 | 事象ごと |
| 変更管理 | 変更内容・承認 | 変更履歴、版管理 | 変更ごと |
| 棚卸 | 実態の把握と方針との整合 | 棚卸一覧、突合結果 | 四半期等、組織で定義 |
監査質問集（抜粋）
観点の整理。保証・合格を約束するものではない。
| 監査で聞かれやすい質問（例） | 説明に使う証跡・記録の観点 |
|---|---|
| 利用している AI は何か、どこで使っているか | 棚卸一覧、ログに基づく利用可視化 |
| 方針はあるか、周知されているか | 方針文書、教育・同意の記録 |
| 誰が承認しているか、例外はどう管理しているか | 申請・承認ログ、例外一覧・承認者 |
| 変更は記録されているか | 変更履歴、版管理された手順 |
| 定期的に見直しているか | 棚卸・レビュー記録、更新日付 |
| 証跡は監査調書に貼付可能な形式か | Evidence Pack 目次・形式の整備 |
RACI（簡易）
組織の体制に合わせて定義する。
| アクティビティ | R（実行） | A（説明責任） | C（相談） | I（報告） |
|---|---|---|---|---|
| 新規利用の申請 | 申請者（利用部門） | 部門責任者 | 情シス・法務 | ガバナンス担当 |
| リスク評価・審査 | 情シス／ガバナンス | 審査責任者 | 法務・リスク | 申請者 |
| 承認・却下 | 承認権限者 | 承認権限者 | — | 申請者・ガバナンス |
| 例外の申請 | 申請者 | 部門責任者 | 情シス | ガバナンス |
| 例外の承認 | 例外承認権限者 | 例外承認権限者 | 法務・コンプラ | ガバナンス |
| 棚卸・レビュー | ガバナンス／情シス | ガバナンス責任者 | 監査・法務 | 経営層 |
短期で証跡の棚卸と最小要件の整理を、伴走して支援します。
役割分担の整理
AIMOaaS は Proof（証跡の生成・整備支援）を提供します。監査で説明可能にするための証拠の目次や雛形、ログに基づく可視化を整えるお手伝いをします。
保証判断（Assurance）は、御社および監査法人等の責任範囲です。当社は保証結論を出しません。役割分担を明確にしたうえで、証跡整備を伴走支援します。
よくある質問
統制項目ごとの必要証跡はどのように確認できますか？
本ページでは、統制項目に対し、必要証跡、ログ/運用記録、そして取得頻度を対応表として整理し、実務的な観点を提供しています。
証跡の取得頻度はどのように決定すれば良いですか？
本ページで提示する頻度はあくまで「例」です。貴社の業界規制、法的要件、内部統制方針、および契約内容に基づいて適切に設定・調整してください。
シャドーAI対策としてどのような証跡を揃えるべきですか？
社内での個人AI利用やシャドーAI対策のために揃えたい最小証跡の観点をチェックリスト形式で提供しており、対策検討の一助となります。
監査でよく問われる質問と、それに対応する証跡を知りたいです。
内部監査や外部監査で問われやすい質問と、その説明に必要となる証跡の観点を対応表で整理しています。これにより、事前の準備を効果的に進められます。
ログの保持期間はどのくらいが適切ですか？
ログの保持期間は、関係する規制、契約、および貴社の監査方針に厳密に従って決定されるべきです。本ページは検討の観点を提供します。
このページの内容を実践すれば監査に合格できますか？
本ページは、監査対応に向けた「観点整理」と「整備支援」を目的としています。特定の監査結果や完全な準拠を観点の整理・支援であり、保証は行いませんものではなく、最終的な監査の結論は監査人の責任となります。
監査や申請で指摘されやすい欠落点は何ですか？
監査や申請で頻繁に指摘されやすい欠落点と、それに対する是正の観点や対策を事例として整理しています。ただし、是正策が監査合格を保証するものではありません。
証拠提出用のテンプレートはありますか？
はい、証拠提出物の項目、形式、保持期間を整理するためのEvidence Pack表テンプレートの観点を提供しており、社内での準備にご活用いただけます。
AIMO Standardとこのページの関係は何ですか？
AIMO StandardはAIガバナンスの国際的な規範であり、本ページはそのAIMO Standardを含む複数の根拠に基づき、より実践的な監査・統制の証跡と頻度の観点を提供します。
Human-in-the-Loopの観点は監査においてどのように重要ですか？
Human-in-the-LoopはAIシステムの品質と統制において極めて重要です。監査で問われる質問と必要証跡の対応表において、関連する証跡の観点として整理されており、その重要性を示しています。