AIMOaaSにおけるAI統制の最小証拠要件と必要証跡・頻度
本ページでは、AIMOaaSを利用する組織がAI統制を実践する上で考慮すべき最小証拠要件と、それに伴う必要証跡の観点を提供します。統制項目、ログ/運用記録、頻度を網羅的に提示し、特にシャドーAI対策における証跡チェックリスト、監査で問われやすい質問と必要証跡の対応、よくある欠落と是正策について整理します。これらの情報は、組織のリスクや適用される規制、監査方針に応じて必要な対策を検討するための参考資料であり、特定の保証や合格を約束するものではありません。あくまで観点整理と整備支援を目的としています。
最小証拠要件—統制項目・必要証跡・ログ/運用記録・頻度
表（観点。組織・規制により要否は異なる）
| 統制項目の例 | 必要証跡の観点 | ログ or 運用記録の例 | 頻度の例 |
|---|---|---|---|
| 利用の可視化 | 誰が・何を・いつ利用したかの説明可能性 | ログ、集計レポート | 継続または定期 |
| 方針の周知 | 周知・同意の記録 | 教育記録、同意ログ | 導入時・更新時 |
| 申請・承認 | 申請と承認の記録 | 申請ログ、承認者・日付 | 事象ごと |
| 例外管理 | 例外の理由・期限・承認者 | 例外一覧、承認記録 | 事象ごと |
| 変更管理 | 変更内容・承認 | 変更履歴、版管理 | 変更ごと |
| 棚卸 | 実態の把握と方針との整合 | 棚卸一覧、突合結果 | 四半期等、組織で定義 |
注意
- 頻度は「例」。規制・契約・監査方針に依存する。保証表現は使わない。
申請・承認ログの監査観点
例外申請の証跡が求められた場面 承認者・日付・理由がログに残っておらず指摘された。
- 申請ログ
- 承認記録
- 有効期限
証跡の目次・取得観点の整理支援です。合格保証は行いません。
証跡提出前の確認観点
- 目次と実物が対応している
- 版・日付が分かる
- 責任分界が説明できる
指摘と是正の観点（例）
指摘例: 例外の期限が未設定
是正観点: 期限と再審査手順を定義し、承認ログに残す観点で整えます。保証はしません。
Proof / Assurance 整理例
| 範囲 | 例 |
|---|---|
| Proof | 証跡目次・雛形・ログ整理 |
| Assurance | 監査結論・保証判断（御社・監査側） |
監査人は申請・承認の何を見ますか？
誰が・いつ・何を承認したかが追えること、例外の有効期限と再審査が分かることがよく聞かれます。断定はしません。
References
- AIMO Standard
- シャドーAI
_policy/content-claims.md
シャドーAI・個人利用に関する最小証跡チェックリスト
チェックリスト（観点のみ。保証はしない）
| # | 観点 | 証跡・記録の例 | 頻度の例 |
|---|---|---|---|
| 1 | 利用の可視化 | ログに基づく利用一覧・ツール別集計 | 継続または定期 |
| 2 | 方針の周知 | 教育・同意の記録 | 導入時・更新時 |
| 3 | 申請・承認の有無 | 申請ログ、承認者・日付 | 事象ごと |
| 4 | 例外の記録 | 例外申請・理由・承認者・有効期限 | 事象ごと |
| 5 | 棚卸との整合 | 棚卸一覧とログの突合が可能であること | 棚卸周期に合わせる |
統制から証跡・頻度への対応
対応表（観点）
| 統制の目標（例） | 証跡で示す観点 | 取得・更新の頻度例 |
|---|---|---|
| 利用の把握 | 利用一覧、ツール別・利用者別 | 継続 or 日次/週次集計 |
| リスク評価 | 申請時の評価記録、承認条件 | 事象ごと |
| 例外の管理 | 例外一覧、有効期限、承認者 | 事象ごと＋定期レビュー |
| 方針の有効性 | 棚卸・レビュー結果、是正措置 | 四半期等 |
| 継続的監査対応 | Evidence Pack 雛形、更新履歴 | 監査周期に合わせる |
監査で聞かれる質問と必要証跡の対応表
質問と証跡の観点（例）
| 監査で聞かれやすい質問（例） | 説明に使う証跡・記録の観点 |
|---|---|
| 利用している AI は何か、どこで使っているか | 棚卸一覧、ログに基づく利用可視化 |
| 方針はあるか、周知されているか | 方針文書、教育・同意の記録 |
| 誰が承認しているか、例外はどう管理しているか | 申請・承認ログ、例外一覧・承認者 |
| 変更は記録されているか | 変更履歴、版管理された手順 |
| 定期的に見直しているか | 棚卸・レビュー記録、更新日付 |
よくある欠落と是正の観点
欠落と是正の観点（例）
| よくある欠落の例 | 是正の観点（例） |
|---|---|
| 証跡の頻度不足 | 規制・監査要請に合わせた取得頻度の定義と記録 |
| 形式・項目の不備 | 目次・形式のテンプレート整備と運用での遵守 |
| 責任者・承認者の不明確さ | RACI の明文化、申請・承認ログの一貫した記録 |
| 例外の記録漏れ | 例外申請・理由・有効期限・承認者を必ず記録する手順 |
| 棚卸とログの突合不足 | 棚卸周期とログ集計の紐づけ、突合結果の記録 |
| 方針と実態の乖離 | 棚卸・レビューで乖離を検知し、方針更新または運用是正 |
| 更新サイクルの未定義 | 方針・リスト・証跡の更新頻度を定義し記録 |
Evidence Pack 表テンプレート（項目・形式・保持期間）
表テンプレート（観点）
| 項目 | 形式の例 | 保持期間の例 | 備考 |
|---|---|---|---|
| 棚卸一覧 | 一覧表（CSV/スプレッドシート等） | 規制・契約による | 更新日を記録 |
| 変更履歴 | 日付・変更内容・承認者 | 規制・契約による | 証跡と紐づけ可能に |
| 方針・手順 | 版管理された文書 | 有効期間＋α | 廃止版も保管する場合あり |
| ログ・利用記録 | ログまたは集計結果（改ざん防止の観点） | 規制・監査要請による | 誰が・いつ・何を利用したかの再構成可能性 |
| 申請・承認記録 | 申請ID、日付、承認者、条件 | 事象＋保持期間 | 例外は有効期限を明示 |
| レビュー・棚卸記録 | 実施日、担当、結果サマリ | 監査周期に合わせる |
最小要件表
組織・規制により要否は異なる。頻度は例。
| 統制項目 | 必要証跡の観点 | ログ／運用記録 | 頻度の例 |
|---|---|---|---|
| 利用の可視化 | 誰が・何を・いつ利用したかの説明可能性 | ログ、集計レポート | 継続または定期 |
| 方針の周知 | 周知・同意の記録 | 教育記録、同意ログ | 導入時・更新時 |
| 申請・承認 | 申請と承認の記録 | 申請ログ、承認者・日付 | 事象ごと |
| 例外管理 | 例外の理由・期限・承認者 | 例外一覧、承認記録 | 事象ごと |
| 変更管理 | 変更内容・承認 | 変更履歴、版管理 | 変更ごと |
| 棚卸 | 実態の把握と方針との整合 | 棚卸一覧、突合結果 | 四半期等、組織で定義 |
監査質問集（抜粋）
観点の整理。保証・合格を約束するものではない。
| 監査で聞かれやすい質問（例） | 説明に使う証跡・記録の観点 |
|---|---|
| 利用している AI は何か、どこで使っているか | 棚卸一覧、ログに基づく利用可視化 |
| 方針はあるか、周知されているか | 方針文書、教育・同意の記録 |
| 誰が承認しているか、例外はどう管理しているか | 申請・承認ログ、例外一覧・承認者 |
| 変更は記録されているか | 変更履歴、版管理された手順 |
| 定期的に見直しているか | 棚卸・レビュー記録、更新日付 |
| 証跡は監査調書に貼付可能な形式か | Evidence Pack 目次・形式の整備 |
RACI（簡易）
組織の体制に合わせて定義する。
| アクティビティ | R（実行） | A（説明責任） | C（相談） | I（報告） |
|---|---|---|---|---|
| 新規利用の申請 | 申請者（利用部門） | 部門責任者 | 情シス・法務 | ガバナンス担当 |
| リスク評価・審査 | 情シス／ガバナンス | 審査責任者 | 法務・リスク | 申請者 |
| 承認・却下 | 承認権限者 | 承認権限者 | — | 申請者・ガバナンス |
| 例外の申請 | 申請者 | 部門責任者 | 情シス | ガバナンス |
| 例外の承認 | 例外承認権限者 | 例外承認権限者 | 法務・コンプラ | ガバナンス |
| 棚卸・レビュー | ガバナンス／情シス | ガバナンス責任者 | 監査・法務 | 経営層 |
お問い合わせ後に、専門家が簡易ログ診断のご案内をします。
役割分担の整理
AIMOaaS は Proof（証跡の生成・整備支援）を提供します。監査で説明可能にするための証拠の目次や雛形、ログに基づく可視化を整えるお手伝いをします。
保証判断（Assurance）は、御社および監査法人等の責任範囲です。当社は保証結論を出しません。役割分担を明確にしたうえで、証跡整備を伴走支援します。
よくある質問
AI統制における最小証拠要件とは具体的に何を指しますか？
AI統制を維持・証明するために必要とされる、統制項目、必要証跡、ログ/運用記録、頻度といった要素の観点を指します。組織のリスクと規制に応じて適切な範囲を検討する際の目安としてご活用ください。
提示されている証跡の頻度は、必ず遵守する必要がありますか？
いいえ、本ページで提示する頻度はあくまで「例」です。実際の頻度は、適用される規制、契約内容、内部ポリシー、監査方針、組織のリスク評価によって異なるため、貴社固有の状況に合わせて調整してください。
シャドーAI対策の証跡はどのように揃えれば良いですか？
シャドーAI・個人利用に関する最小証跡チェックリストとして観点を整理しています。シャドーAIの特定、利用状況の把握、リスク評価、対策実施の証跡など、組織のリスクと規制に応じた範囲でご検討ください。
監査で聞かれる質問への対応表は、そのまま使えますか？
監査で問われやすい質問と、それに説明として活用できる必要証跡の観点を示していますが、監査の結論は監査人・保証提供者の責任です。本表は観点整理であり、特定の保証や合格を約束するものではありません。
Evidence Packテンプレートは、提出物の準備に役立ちますか？
はい、提出物の項目、形式、保持期間を表形式で揃えるためのテンプレート観点を提供します。これにより、効果的な証拠提出を支援しますが、具体的な必須要件や保持期間は組織や規制、契約に依存するため、ご確認ください。
この情報だけでAI統制を完全に整備し、監査に合格できますか？
本ページの情報は、AI統制の整備を支援するための観点整理を目的としており、「必ず監査に合否は保証しません」「準拠の可否は組織・監査の範囲ですする」といった保証はできません。組織の状況、リスク、適用される規制要件に基づき、専門家と相談の上で適切な対策を講じることが重要です。
よくある欠落と是正の観点は、どのような時に参考にすべきですか？
監査や申請で指摘されやすい証跡の欠落と、それに対する是正の観点を整理しています。自組織のAI統制における潜在的な改善点を見つけ、是正策を検討する際の参考にご活用ください。
AIMO Standardとは何ですか？
AIMO Standardは、AIシステムのガバナンスとリスク管理に関する包括的な枠組みを提供するものです。本ページの多くの観点は、このStandardに準拠した統制の実践を支援するために設計されています。