AI監査向け証跡バンドル構成ガイド：AIMO Standardベースの観点
AIMOaaSの監査・統制実務向けに、AIMO Standardを基盤とした証跡バンドル（Evidence Bundle）の構成要件を整理します。これは、単一の証拠基盤で複数の規制・監査要件をカバーするための「最小証拠のまとまり」として設計されており、目次、形式、保持期間に関する実践的な観点を提供。規制や監査の範囲に応じた変動を考慮しつつ、提出物の項目・形式・保持期間を効率的に揃えるためのテンプレート観点を提供することで、組織の準備を支援します。準拠を観点の整理・支援であり、保証は行いませんものではなく、あくまで観点整理と支援に特化しています。
Evidence Bundle 構造の要約（AIMO Standard ベース）
Evidence Bundle の位置づけ（AIMO Standard 参照）
- 一つの証拠基盤で複数規制・監査の観点をカバーするための「最小証拠のまとまり」として整理されている。
- 目次・形式・最小要件は規制・監査の範囲により変動する。本モジュールは観点の整理であり、準拠保証ではない。
最小構成の観点（表）
| 観点 | 内容例 | 備考 |
|---|---|---|
| 棚卸 | 利用中の AI システム・ツール・用途の一覧 | 更新頻度は組織のポリシーに依存 |
| 変更履歴 | 導入・変更・廃止の記録 | 日付・理由・承認者を残す観点 |
| 方針・手順 | 利用方針、申請・審査・例外の手順 | 版管理を推奨 |
| ログ・証跡 | 誰が・いつ・何を利用したかの再構成可能な記録 | 保持期間は規制・契約による |
| レビュー記録 | 定期レビュー・例外承認・棚卸の記録 | RACI と紐づける |
Proof と Assurance の責任分界
監査法人との役割確認 証跡整備支援と保証結論の範囲を文書で整理した。
- 責任分界の文書
- 契約・SOW
Proof 側の範囲を明確にする整理を支援します。保証判断は監査・御社側です。
申請・承認ログの監査観点
- 申請者・承認者が識別できる
- 日付・理由が記録されている
- 例外の有効期限が分かる
- 再審査手順が定義されている
指摘と是正の観点（例）
指摘例: 保証と証跡支援の範囲が混同されやすい
是正観点: 責任分界を明文化し、Proof は証跡整備・Assurance は御社・監査側と整理します。
SLA観点サンプル（抜粋）
| 項目 | 観点 | 備考 |
|---|---|---|
| ログ取得 | 頻度・保持期間 | 規制・契約による |
| 承認 | 誰が・いつ | 記録が残るように |
AIMOaaS は保証を提供しますか？
いいえ。Proof（証跡の整備支援）を提供し、保証結論は出しません。保証は御社および監査側の範囲です。
References
Evidence Pack 表テンプレート（項目・形式・保持期間）
表テンプレート（観点）
| 項目 | 形式の例 | 保持期間の例 | 備考 |
|---|---|---|---|
| 棚卸一覧 | 一覧表（CSV/スプレッドシート等） | 規制・契約による | 更新日を記録 |
| 変更履歴 | 日付・変更内容・承認者 | 規制・契約による | 証跡と紐づけ可能に |
| 方針・手順 | 版管理された文書 | 有効期間＋α | 廃止版も保管する場合あり |
| ログ・利用記録 | ログまたは集計結果（改ざん防止の観点） | 規制・監査要請による | 誰が・いつ・何を利用したかの再構成可能性 |
| 申請・承認記録 | 申請ID、日付、承認者、条件 | 事象＋保持期間 | 例外は有効期限を明示 |
| レビュー・棚卸記録 | 実施日、担当、結果サマリ | 監査周期に合わせる |
注意
- 「必須」「必ず」は組織・規制に依存するため、上記は観点のみ。保持期間は規制・契約・監査方針に従う。
Evidence Pack 目次と最小要件の観点
目次に含める観点（例）
| セクション例 | 内容の観点 | 備考 |
|---|---|---|
| 1. 棚卸 | 利用中 AI・ツール・用途の一覧 | 更新日を明示 |
| 2. 方針・手順 | 利用方針、申請・審査・例外の手順 | 版管理 |
| 3. 変更履歴 | 導入・変更・廃止の記録 | 日付・理由・承認者 |
| 4. ログ・証跡 | 利用の再構成が可能な記録の説明 | 保持期間は規制による |
| 5. 申請・承認・例外 | 申請・承認・例外の記録一覧またはサマリ | 責任者を明示 |
| 6. レビュー・棚卸 | 定期レビュー・棚卸の記録 | 実施日・担当・結果 |
最小要件（形式・保持）
- 形式：監査人・規制が求める形式に合わせる。表テンプレートは
evidence-pack-table-template.mdを参照。 - 保持期間：規制・契約・監査方針に従う。一律の保証はしない。
Evidence Pack のよくある形式
形式の例（観点）
| 種類 | 形式の例 | 備考 |
|---|---|---|
| 一覧・棚卸 | スプレッドシート、CSV、PDF 一覧 | 更新日・版を記録 |
| 方針・手順 | PDF/Word、版管理 | 承認日・有効期限を明示 |
| 変更履歴 | 表形式（日付、内容、承認者） | 証跡と紐づけ可能に |
| ログ・集計 | ログエクスポート、集計レポート、サマリ | 改ざん防止・保持期間は要確認 |
| 申請・承認 | チケット、一覧表、承認ログ | 誰が・いつ・条件を残す |
よくある欠落と是正の観点
欠落と是正の観点（例）
| よくある欠落の例 | 是正の観点（例） |
|---|---|
| 証跡の頻度不足 | 規制・監査要請に合わせた取得頻度の定義と記録 |
| 形式・項目の不備 | 目次・形式のテンプレート整備と運用での遵守 |
| 責任者・承認者の不明確さ | RACI の明文化、申請・承認ログの一貫した記録 |
| 例外の記録漏れ | 例外申請・理由・有効期限・承認者を必ず記録する手順 |
| 棚卸とログの突合不足 | 棚卸周期とログ集計の紐づけ、突合結果の記録 |
| 方針と実態の乖離 | 棚卸・レビューで乖離を検知し、方針更新または運用是正 |
| 更新サイクルの未定義 | 方針・リスト・証跡の更新頻度を定義し記録 |
証跡・Evidence 関連用語の対応表
用語の観点（表）
| 用語 | 意味の観点 | 備考 |
|---|---|---|
| Evidence Pack | 監査・申請に添付する証跡のまとまり（目次・形式は要確認） | 当社は整備支援・雛形を提供。保証はしない。 |
| Evidence Bundle | AIMO Standard でいう最小証拠のまとまり | 一つの証拠基盤で複数規制の観点を整理する考え方 |
| Proof（証憑） | 証跡の生成・提供。事実を記録したもの。 | AIMOaaS の役割はここまで。 |
| Assurance（保証結論） | 保証意見・結論。監査法人等の責任。 | 当社は保証結論を出さない。 |
| Evidence readiness | 証拠の準備が整っている状態を目指すこと | 「必ず合格」等の保証ではない。 |
Proof と Assurance の責任分界
監査法人との役割確認 証跡整備支援と保証結論の範囲を文書で整理した。
- 責任分界の文書
- 契約・SOW
Proof 側の範囲を明確にする整理を支援します。保証判断は監査・御社側です。
申請・承認ログの監査観点
- 申請者・承認者が識別できる
- 日付・理由が記録されている
- 例外の有効期限が分かる
- 再審査手順が定義されている
指摘と是正の観点（例）
指摘例: 保証と証跡支援の範囲が混同されやすい
是正観点: 責任分界を明文化し、Proof は証跡整備・Assurance は御社・監査側と整理します。
SLA観点サンプル（抜粋）
| 項目 | 観点 | 備考 |
|---|---|---|
| ログ取得 | 頻度・保持期間 | 規制・契約による |
| 承認 | 誰が・いつ | 記録が残るように |
AIMOaaS は保証を提供しますか？
いいえ。Proof（証跡の整備支援）を提供し、保証結論は出しません。保証は御社および監査側の範囲です。
最小要件表
組織・規制により要否は異なる。頻度は例。
| 統制項目 | 必要証跡の観点 | ログ／運用記録 | 頻度の例 |
|---|---|---|---|
| 利用の可視化 | 誰が・何を・いつ利用したかの説明可能性 | ログ、集計レポート | 継続または定期 |
| 方針の周知 | 周知・同意の記録 | 教育記録、同意ログ | 導入時・更新時 |
| 申請・承認 | 申請と承認の記録 | 申請ログ、承認者・日付 | 事象ごと |
| 例外管理 | 例外の理由・期限・承認者 | 例外一覧、承認記録 | 事象ごと |
| 変更管理 | 変更内容・承認 | 変更履歴、版管理 | 変更ごと |
| 棚卸 | 実態の把握と方針との整合 | 棚卸一覧、突合結果 | 四半期等、組織で定義 |
監査質問集（抜粋）
観点の整理。保証・合格を約束するものではない。
| 監査で聞かれやすい質問（例） | 説明に使う証跡・記録の観点 |
|---|---|
| 利用している AI は何か、どこで使っているか | 棚卸一覧、ログに基づく利用可視化 |
| 方針はあるか、周知されているか | 方針文書、教育・同意の記録 |
| 誰が承認しているか、例外はどう管理しているか | 申請・承認ログ、例外一覧・承認者 |
| 変更は記録されているか | 変更履歴、版管理された手順 |
| 定期的に見直しているか | 棚卸・レビュー記録、更新日付 |
| 証跡は監査調書に貼付可能な形式か | Evidence Pack 目次・形式の整備 |
RACI（簡易）
組織の体制に合わせて定義する。
| アクティビティ | R（実行） | A（説明責任） | C（相談） | I（報告） |
|---|---|---|---|---|
| 新規利用の申請 | 申請者（利用部門） | 部門責任者 | 情シス・法務 | ガバナンス担当 |
| リスク評価・審査 | 情シス／ガバナンス | 審査責任者 | 法務・リスク | 申請者 |
| 承認・却下 | 承認権限者 | 承認権限者 | — | 申請者・ガバナンス |
| 例外の申請 | 申請者 | 部門責任者 | 情シス | ガバナンス |
| 例外の承認 | 例外承認権限者 | 例外承認権限者 | 法務・コンプラ | ガバナンス |
| 棚卸・レビュー | ガバナンス／情シス | ガバナンス責任者 | 監査・法務 | 経営層 |
お問い合わせ後に、専門家が簡易ログ診断のご案内をします。
役割分担の整理
AIMOaaS は Proof（証跡の生成・整備支援）を提供します。監査で説明可能にするための証拠の目次や雛形、ログに基づく可視化を整えるお手伝いをします。
保証判断（Assurance）は、御社および監査法人等の責任範囲です。当社は保証結論を出しません。役割分担を明確にしたうえで、証跡整備を伴走支援します。
よくある質問
証跡バンドル（Evidence Bundle）とは何ですか？
証跡バンドルは、AIMO Standardに基づき、AIシステムの監査や統制に必要な証拠を効率的にまとめたものです。複数の規制や監査の観点をカバーするための「最小証拠のまとまり」として整理されています。
AIMO Standardは、この証跡バンドル構成にどのように関連しますか？
AIMO Standardは、証跡バンドルの構造と内容を定義する主要な根拠となります。本ページでは、AIMO Standardの原則に基づき、提出物の構成を要約し、実践的な観点を提供します。
このガイドに従えば、AI監査の合否は提出物・運用・監査人評価に依存しますできますか？
本ガイドは、証跡バンドル構成に関する観点整理と整備支援を目的としています。特定の監査や規制への準拠を観点の整理・支援であり、保証は行いませんものではなく、組織の状況や規制要件に応じて追加の対応が必要になる場合があります。
証跡バンドルの最小構成要件には何が含まれますか？
最小構成要件は、目次、形式、保持期間などの観点から整理されます。これらは、規制や監査の範囲により変動するため、本ページでは具体的な項目や形式のテンプレート観点を提供します。
証跡バンドルでよく使われる形式は何ですか？
監査人や規制が指定する形式が優先されますが、一般的には文書ファイル、ログデータ、構成情報、テスト結果などが含まれます。本ページでは、これらの一般的な形式に関する観点を列挙しています。
証跡の保持期間はどのように決定すればよいですか？
証跡の保持期間は、関連する規制、契約、または組織の監査方針に従う必要があります。一律の期間を観点の整理・支援であり、保証は行いませんものではなく、個別の状況に応じた判断が求められます。
監査で指摘されやすい証跡の欠落を避けるにはどうすればよいですか？
本ページでは、監査や申請で指摘されやすい欠落の観点とその是正に関するヒントを整理しています。例えば、証跡の網羅性、一貫性、検証可能性などが重要です。
「Evidence Pack」と「証憑」などの用語の違いは何ですか？
本ページでは、Evidence Pack、証憑、保証といった関連用語を整理し、それぞれの役割と責任分界を明確にすることで、混同を防ぐための観点を提供しています。
提供されている表テンプレートはどのように活用できますか？
提供される表テンプレートは、提出物の項目、形式、保持期間を一貫した観点から整理するためのフレームワークです。組織独自の要件に合わせてカスタマイズし、証跡管理の効率化に役立てることができます。
複数規制への対応を一つの証拠基盤でカバーできますか？
はい、AIMO Standardに基づく証跡バンドルは、一つの証拠基盤で複数の規制・監査の観点をカバーできるように設計されています。本ガイドは、そのための観点整理と準備を支援します。