システム監査対応と内部統制強化

監査人が見るポイントとプロジェクトで埋めるべきギャップ

監査は「後で書類を揃える仕事」ではなく、障害や情報漏えいの再発防止を設計に織り込む営みです。開発と運用の現場でずれやすい箇所は事前に型に落としておくと負担が跳ね上がりません。監査人の視線は概ね次の通りです。

• 責任と権限の分離：開発・レビュー・承認・本番操作の役割分離。例外時の記録と事後レビューの有無。
• アクセス管理：入社・異動・退職（JML）に連動した権限付与/剥奪、特権IDの貸与記録、多要素認証、定期棚卸のエビデンス。
• 変更管理：1変更=1チケット=1プルリク=1リリースの紐付け、テスト結果、承認者、リリースノートの保存。
• 運用プロセス：監視、障害/問題/変更の台帳、バックアップと復元試験、定期メンテの手順と結果。
• ログ・証跡：保存期間、改ざん耐性、時刻同期、タイムゾーン統一、アクセスログと操作ログの分離保管。
• 外部委託管理：SLA、脆弱性対応の期限、再委託の範囲、セキュリティインシデント報告の体制。

抜けがちな「証跡の粒度」と「改版履歴」に注意します。承認のスクリーンショットだけでは弱く、台帳のCSVとチケットURL、実行ログをセットで残すと説明が早くなります。

90日で整える実務アクションプラン

0〜2週：現状把握とスコープ固定

資産台帳、システム構成図、データフロー図を最小構成で用意します。監査範囲（本番/検証/開発）と、個人情報や重要データの所在をタグ付け。承認者のRACIを決め、既存手順の棚卸しだけで終わらせないよう、欠落リスクを洗い出します。

3〜6週：手順と台帳の最小セットを作る

作るべきは、権限マトリクス、アカウント申請/廃止フロー、変更管理フローとプルリクのテンプレ、障害/問題/変更の3台帳、バックアップ方針、リリースチェックリスト。雛形づくりにChatGPTやClaude、Geminiを使うと初稿が早まります。機密はダミーデータに置換し、社内レビューを必須にします。

7〜10週：自動化と証跡化

CIでテスト結果を自動保存し、ビルド番号とチケットIDをメタデータに付与。デプロイは承認ワークフローを通過しないと進まない設計にします。監査フォルダは「年度/領域（アクセス・変更・運用）/案件ID」で統一し、ログは改ざん防止の仕組みへ転送、保存期間と削除手順まで定義します。

11〜13週：模擬監査と是正

テーブルトップ演習で「障害発生〜復旧〜事後レビュー」を通し、リストア試験は計測付きで実施。監査質問の想定QA集を作成し、Copilotなどでプルリク説明やテスト観点の草案を用意、実際の証跡と齟齬がないかを点検します。

監査に強い設計と運用のコツ

• 権限分離を構造で担保：本番への書き込みは運用ロールのみ。緊急時は緊急IDを時限付与し、翌営業日に必ず事後レビュー。
• 「1変更=1単位」の徹底：コミットメッセージ規約、プルリクのチェックリスト、タグ付けで可視化。紐付かない変更はリリース不可。
• IaCと設定のコード化：環境差分をなくし、レビュー可能な形式で管理。監視のしきい値やアラート連絡先もコード化して差分監視。
• 監査フォルダの型：FY/領域/案件で格納、命名規則と改版台帳を決める。スクリーンショットだけでなく、原データ（CSV/JSON）を同梱。
• データ保護：個人情報の棚卸し、マスキング方針、転送経路の暗号化、休止時暗号化の鍵管理とアクセスログの整合性確認。
• 事業継続：RTO/RPOの明文化、四半期ごとの復旧演習、手順書は誰がやっても再現できるよう時間目標を付記。
• 生成AIの安全利用：ChatGPT/Claude/Geminiの利用規程、入力データの匿名化、生成物の二重レビューを標準手順に組み込みます。

身近な企業活用例：地方で20店舗を展開する中堅スーパーの再起動

地方で20店舗を展開する中堅スーパーが、POSと在庫、ECをつなぐ販売基盤を刷新。初回のシステム監査で「権限の過大付与」「退職者アカウントの残存」「リリース承認の証跡欠落」「バックアップはあるが復元試験なし」の指摘を受けました。障害時の対応も人依存で、説明に時間がかかる状態でした。

改善では90日プランを適用。権限マトリクスとJMLフローを標準化し、週次で棚卸し。変更は1チケット1プルリクに統一し、テンプレにテスト観点と影響範囲を必須化。デプロイは承認ワークフローを通過しないと進まない設計に改修。日次バックアップの自動検証と、四半期ごとのリストア演習を実施。監査フォルダと命名規則を定義し、証跡の置き場を固定しました。

ドキュメント初稿はChatGPTで作り、Copilotでプルリク説明の叩き台を生成、Geminiでデータフロー図のドラフトを確認、質問想定集はClaudeで洗い出し。すべて機密を伏せ、社内レビューで整合性を担保しました。

結果、次回監査の指摘は15件から3件へ減少。リリースのリードタイムは20％短縮し、障害の平均復旧時間は2時間から45分に。説明資料の準備時間も半減し、現場の負担を増やさずに「守りの強化」と「開発の速度」を両立できました。

監査対応は後付けの書類作成では間に合いません。要件定義の段階で非機能要件として「権限分離・変更管理・ログ/証跡・バックアップ/復旧・外部委託管理」を見積りに含め、Definition of Doneへ落とし込むことが重要です。受託開発ソリューション事業では、設計・開発・運用設計・証跡設計を同一の流れで提供できる体制が、監査に強いプロダクトを無理なく生み出します。開発の生産性と内部統制はトレードオフではなく、プロセスと自動化の設計で両立できます。