← 概念解説に戻る

Concept Fable

監査証拠

先に結論:Audit Evidenceとは、監査において結論を支持するために用いられる検査可能な資料であり、例えば承認記録、設定のスクリーンショット、ログ、テスト結果、チケット、アクセスレビュー、研修記録、インシデントレポート、第三者による証明などである。企業Agentの導入において、安全とコンプライアンスは口頭の約束やアーキテクチャの主張だけに頼るのではなく、統制が設計され、実行され、監視され、例外発生時に対処されたことを証明する証拠を示せなければならない。良い監査証拠は具体的で、追跡可能で、統制目標に関連し、監査期間をカバーできるものでなければならない。

Audit Evidence · Auditability

まず物語を読む。ここでは急いで定義を示さず、まず問題そのものを立ち上がらせる。

寓話

話す帳簿は、切符のない遠征隊を救えない

山道の隊商は毎月末に城主へ糧秣がどこへ行ったかを説明しなければならない。老帳簿係は話し上手で、毎回の買い付け、宿泊、馬の乗り換えをまるで目の前で再現するかのように語り、城主も長年その通りに信じてきた。

後に隊商はますます遠くへ行き、同行する者は何度か入れ替わったが、会計は依然として流暢に語った。しかし問題が増え始めた。ある食糧価格は高すぎ、ある馬は駅に着かず、ある護衛はその銀を受け取ったことがないと言った。

若い管事は手間を省く方法を考え、帰城後に各自へ保証文を書かせた。紙には良い言葉ばかりが並び、字も整っていたが、いざ「いつ、どの店、誰が検収したか」と問われると、保証書はひどく軽くなった。

ある暴雨の後、城主は紛失した薬材の調査を命じた。経理係はおおよその経緯は語れたが、領収書、受領印、路引、棚卸記録、異常説明を出せなかった。そこで皆は、いわゆる記録の多くが後付けの物語にすぎないと気づいた。

新しい管事は、経理係にもっと暗記するよう求めることはしなかった。彼は各購買を、必ず残すべきいくつかの要素に分解した。誰が承認したか、誰から買ったか、いつ納品されたか、誰が検収したか、例外はあったか、例外を誰が受け入れたか。

当初、商隊は面倒がった。しかし次に争議が起きたとき、管事は十人を召集して思い出させる必要はなく、票根、署名、計量票、夜巡記録を机に並べるだけで、責任と欠落が自ずと現れた。

ある票根は事が行われたことを証明し、ある記録は統制が本当に機能したことを証明し、ある異常票は問題が発見され処理されたことを証明する。それらが合わさることで、どんな立派な報告よりも外部者を納得させられる。

年配の経理係は最後に認めた。城主が必要としているのはより耳に心地よい説明ではなく、語り手がその場にいなくても裏付けとして通用する資料なのだと。後に城主は審査官を替えた。新しい審査官は年配の経理係を知らず、商隊の昔の名声も聞いたことがなかった。彼はただ三つのことを尋ねた:この支出を当時誰が承認したのか、貨物は後に誰が受け取ったのか、異常に対処した記録が残っているか。これらに答えられる紙だけが机の上に置かれ、記憶だけで補われた物語は一律に脇に置かれた。商隊はそれ以来理解した。証拠は見知らぬ者が再検証できるものでなければならない。後に商隊は出発のたびに空白の証憑が足りるかを先に確認し、事後に書き足すのを避けた。道中で少し手間をかければ、城に戻ってからの口論を一つ減らせる。肝心な紙が一枚少なければ、信頼できる連鎖が一段少なくなる。

明らかにする

この物語が語るのは:監査証拠

Audit Evidenceとは、監査において結論を支持するために用いられる検査可能な資料であり、例えば承認記録、設定のスクリーンショット、ログ、テスト結果、チケット、アクセスレビュー、研修記録、インシデントレポート、第三者による証明などである。企業Agentの導入において、安全とコンプライアンスは口頭の約束やアーキテクチャの主張だけに頼るのではなく、統制が設計され、実行され、監視され、例外発生時に対処されたことを証明する証拠を示せなければならない。良い監査証拠は具体的で、追跡可能で、統制目標に関連し、監査期間をカバーできるものでなければならない。

重要なのは、それが単なる用語ではなく、実際のAI/Agentシステムで繰り返し現れる構造的な問題だという点だ。これを理解して初めて、いつモデルを足すべきか、いつプロセスを変えるべきか、いつガバナンスを補うべきかを判断できる。

メタファーのマッピング

  • 山道の商隊:稼働中の企業 Agent または SaaS サービス
  • 老経理係の口才:サプライヤーによるセキュリティ能力の口頭説明
  • 保証書:裏付け資料を欠く自己申告
  • 領収書、受領確認、通行証:再確認可能な監査証拠
  • 誰が承認し、誰が検収するか:実行チェーンの制御
  • 異常伝票:例外処理と補救の証跡
  • 語り手を離れても成立:証拠が独立して監査判断を支えられる

Andy(任旭)判断

この概念の実戦的価値は、「賢く見えるAI機能」を納品可能、検収可能、ガバナンス可能な作業単位に分解する手助けをすることです。

監査ログevidence collectioncontrol testingトレーサビリティ
京ICP备2026014272号