内部監査と認証監査のための監査証跡を集める

内部監査と認証監査

内部監査は、実際の業務が手順書の内容と一致しているかを確認するために自社で行う監査です。認証監査は、外部の認証機関が規格に基づいて行うもので、一般的には ISO 9001（品質）、ISO 14001（環境）、ISO 45001（労働安全衛生）などのマネジメントシステム規格が対象です。顧客監査やサプライヤー監査は、その中間に位置します。

本サイトでは、これらの規格の要求事項を条項ごとには説明しません。規格そのものを読むか、認証機関に問い合わせてください。一般的に、マネジメントシステムの監査では、仕事のやり方を定めていること、そのとおりに実施していること、それを示す記録を残していること、そして見直しと改善を行っていることの証拠が確認されます。証拠は通常、手順書、台帳、教育訓練記録、点検表、会議の議事録、是正措置といった普段の業務記録です。

これは自動化にとって朗報です。証拠はすでに存在しており、フォルダー、メールボックス、人の間に散らばっています。必要なのは、それを集める作業です。

監査計画から証跡リストへ

多くの監査は、監査員からの計画書や依頼リスト、あるいは自社の内部監査チェックリストから始まります。それを収集済みの証跡にするには、毎回同じ手順を踏みます。

1. 依頼を個々の項目に分け、それぞれに担当者を割り当てる。
2. ファイルの中にすでにあるものを探す。
3. 見つからないものを担当者に依頼する。
4. 各項目が最新版であり、監査対象期間をカバーしているかを確認する。
5. 監査員が経緯をたどれるように保存する。
6. 不足の一覧を作り、それぞれにどう対応するかを決める。

手順 1、2、3、5 と不足一覧は事務です。手順 4 は一部が事務（日付と版）で、一部が判断です。不足にどう対応するかを決めるのは判断です。

AI ワーカーが証跡を取りまとめる方法

The Everything は、渡された監査計画やチェックリストを読み取り、お客様の Microsoft 365 テナント内で順に作業を進められます。

• 検索。直近二回分のマネジメントレビューの議事録、現在のリスク台帳、特定の拠点と期間の点検記録など、該当する記録を SharePoint と OneDrive から探します。
• 取りまとめ。見つけたものを一つの監査フォルダーにコピーまたはリンクし、各依頼項目とそれに対応するファイルを結び付けた索引を作ります。
• 催促。見つからない項目は、担当と思われる人にメールや Teams で依頼し、フォローアップし、返ってきたものを保存します。
• 指摘。古そうな項目や監査対象期間外の項目を記録し、確認用に不足を一覧にします。
• 下書き。監査後は、指摘事項を担当者と期日付きの是正措置リストにまとめ、期日が近づくと担当者に知らせます。

同じ記録がすべての監査で使われるため、台帳、管理文書、教育訓練記録を一年を通して最新に保てば、毎回の監査の手間が大幅に減ります。

ずれていくコピーではなく、原本を保つ

監査フォルダーは実際の記録を指し示すべきもので、記録の二つ目のセットになってはいけません。うまく機能する実践的なルールは次のとおりです。

• 可能な場合は管理されている版にリンクし、監査員が固定のスナップショットを必要とするときだけコピーする。
• 監査のために記録の見栄えをよくしようと編集しない。欠けているものがあれば、その不足を記録する。
• 索引には、作成した日付と承認者を残す。

規制業種の中には、監査証跡について明確な規則を設けているものがあります。米国では、電子記録に関する FDA（米国食品医薬品局）の規則（21 CFR パート11、§11.10(e)）が「安全で、コンピューターで生成され、タイムスタンプ付きの監査証跡」を求め、「記録の変更は、以前に記録された情報を見えなくしてはならない」と定めています。こうした規則の対象であれば、記録システムがどのようにそれを満たしているかを確認してください。AI アシスタントがその義務を変えることはありません。

人に残ること

• 十分性。ある記録が監査員の求めるものを実際に示しているかどうかは、そのプロセスを知る人の判断です。
• 監査員とのやり取り。質問に答え、背景を説明し、指摘事項を受け入れるか異議を唱えるのは人です。
• 不足。欠けている証跡にどう対応するかを決め、それについて誠実であることは、経営判断です。
• 是正措置。AI は追跡できますが、何が是正策かを決め、完了を確認するのは担当者です。

始める前に

The Everything は、権限を厳密に絞った形でお客様の Microsoft 365 テナント内で動作しますが、AI 処理のためにデータはテナントの外に送られます。プライバシーポリシーでは、AI プロバイダーとして Microsoft（Azure OpenAI）と OpenAI を挙げ、プロバイダーがお客様の国外で情報を処理する場合があるとしています。公開サイトでは SOC 2 や ISO 27001（情報セキュリティの規格）などの認証を主張しておらず、ホスティング国も明示していません。

監査フォルダーには、人事ファイル、インシデント報告書、顧客との契約書など、機微な資料が集まりがちです。始める前に、自社のプライバシーと記録保管の義務、顧客や認証機関との守秘義務条件を確認し、AI が検索してよいサイトとフォルダーを決めてください。The Everything 自体はいかなる認証も主張していないため、これを使うことがいずれかの規格への適合の証拠になることはありません。

よくある質問