← 概念解説に戻る

Concept Fable

コンプライアンスマッピング

先に結論:Compliance Mapping は、法規、標準、顧客要求、監査基準を企業の内部統制、プロセス、証拠、責任者にマッピングするプロセスである。重複構築を避け、統制の欠落も発見できる。Agent 製品が企業に入る時は、SOC 2、ISO 27001、顧客セキュリティ質問票、プライバシー要求、内部ポリシーに同時に対応することが多い。コンプライアンスマッピングはこれらの要求を具体的なアクセス制御、ログ、インシデント対応、データ処理、変更管理、文書証拠に接続し、各統制がどのコンプライアンス目標に資するかをチームが把握できるようにする。

Compliance Mapping · Compliance

まず物語を読む。ここでは急いで定義を示さず、まず問題そのものを立ち上がらせる。

寓話

三冊の律書が机に積まれ、本当に役立つのはあの対応図だった

三河鎮の商隊は塩関、木橋、辺城を同時に通過しなければならない。各所に章程がある。塩関は袋数を問い、木橋は車重を問い、辺城は荷主の氏名を問う。商隊は以前、老練な師匠の記憶に頼ってやり過ごしていたが、領隊が代わると混乱した。

新しい領隊は初めて出発するとき、すべての章程を丸写しして一冊の大きな本にした。隊員は厚い本を持っていれば安心だと思ったが、塩関に着いて初めてわかった。塩関が見る「袋数」は実は倉庫の「封包番号」に対応しており、両者の呼び方が違っていた。

彼は急いで章程の横に注釈を書き加えた。しかし次の駅でも問題が起きた。木橋が言う「重車」は車軸で数え、商隊の帳簿は貨物箱で数える。注釈は増える一方だが、それでも各外部要求が自社のどの記録、どの動作、どの担当者に落ちるのか、誰も分からなかった。

第二の修補は、各関所がそれぞれ材料を用意することだった。塩関に一袋、木橋に一袋、辺城に一袋。短期的には便利に見えるが、時間が経つと、同じ貨物の束が三つの袋で三通りの説明として現れ、調査はより危険になる。

老いた帳簿係は章程を長机に広げ、一本ずつ線を引いた。塩関の袋数は封包番号につながり、木橋の車重は積荷伝票につながり、辺境の荷主は契約簿につながる。それぞれの線の後ろには、誰が維持し、いつ更新し、証憑が欠けたらどうするかも書かれていた。

隊商はそこで気づいた。関所を通るのは規約を暗記することではなく、外からの問いを内部の実際の動きにつなげることだと。規約が変われば、影響を受ける線だけを確認すればよい。内部プロセスが変われば、どの関所に触れるかもわかる。

後に塩関は章程を改め、封口の蝋印も確認するよう求めた。旧来の方法なら、隊全体がまた学び直す必要があったが、連線冊があれば、経理係はそれが倉庫出庫前の封緘動作に対応するとすぐ分かり、その一箇所の記録を補うだけでよかった。老いた経理係はさらに、各線が抜き取り検査できることを求めた。塩関が袋数を問えば、商隊は対応する封包、積込票、受領者を出さなければならない。木橋が車重を疑えば、秤と当日の記録まで追跡できなければならない。連線は紙の上に描くだけでなく、現場で証明できなければならない。新しい領隊も後に新人を訓練できた:まず外部要求を見て、次に内部動作を探し、最後に証拠を探す。順序が合えば、厚い章程ももう怖くない。

後に新しい領隊が引き継ぎ、連線冊を見るだけで資料を準備できた。要求は減らなかったが、各要求に落とし所ができた。三河鎮の人々は言う。コンプライアンスの本当に厄介なところは、他人が何を求めているかを知ることではなく、自分がどの段階でそれに応えたかを証明することにある。

明らかにする

この物語が語るのは:コンプライアンスマッピング

Compliance Mapping は、法規、標準、顧客要求、監査基準を企業の内部統制、プロセス、証拠、責任者にマッピングするプロセスである。重複構築を避け、統制の欠落も発見できる。Agent 製品が企業に入る時は、SOC 2、ISO 27001、顧客セキュリティ質問票、プライバシー要求、内部ポリシーに同時に対応することが多い。コンプライアンスマッピングはこれらの要求を具体的なアクセス制御、ログ、インシデント対応、データ処理、変更管理、文書証拠に接続し、各統制がどのコンプライアンス目標に資するかをチームが把握できるようにする。

重要なのは、それが単なる用語ではなく、実際のAI/Agentシステムで繰り返し現れる構造的な問題だという点だ。これを理解して初めて、いつモデルを足すべきか、いつプロセスを変えるべきか、いつガバナンスを補うべきかを判断できる。

メタファーのマッピング

  • 王宮、軍営、商会の規則:異なる基準、法規制、顧客要件
  • それぞれが一冊を暗記する:コンプライアンス要件を孤立して処理する
  • さらに厚い一冊:テキストを統合しただけで関係を築いていない
  • 対応図:Compliance Mapping
  • 外部要求、内部統制、証拠、責任者:マッピングの基本構造
  • 同じ制御が複数の要件をカバー:重複構築を削減
  • ギャップが特定されました:補完が必要なコントロールの識別

Andy(任旭)判断

この概念の実戦的価値は、「賢く見えるAI機能」を納品可能、検収可能、ガバナンス可能な作業単位に分解する手助けをすることです。

統制フレームワークエビデンスSOC 2ISO 27001EU AI Act
京ICP备2026014272号