← 概念解説に戻る

Concept Fable

制御措置

先に結論:Controls はリスクを低減し、ポリシーを満たし、または統制目標を達成するために設計された具体的な措置である。予防的、発見的、是正的であり得、例えばアクセス承認、最小権限、ログ監視、人的レビュー、構成ベースライン、変更承認、バックアップ、アラート、インシデント対応などがある。企業の Agent シーンでは、統制措置はモデル行動、ツール権限、データアクセス、出力審査、監査記録、異常処理をカバーする必要がある。統制はスローガンではなく、明確な目標、責任者、実行方法、証拠がなければならない。

Controls · Compliance/Security

まず物語を読む。ここでは急いで定義を示さず、まず問題そのものを立ち上がらせる。

寓話

井戸のそばの三つの小さな動作は、百の「気をつけて」より信頼できる

青石鎮の公井は毎日半城の人が水を汲んでいた。昔、井戸のそばには一言だけ掲げられていた。落ちないよう注意、汚い桶を使わないこと。皆うなずいたが、それでも夜に暗がりで滑る者があり、魚を洗った桶を井戸に入れる者があり、一度は井戸縄が擦り切れて水桶が底に沈んだ。

町長はまず数人を罰した。罰した翌日も、子供は依然として井戸の縁に伏せて水を見ており、井戸縄は相変わらず毛羽立っていた。老木匠は言った。注意喚起だけでは井戸は守れない。危険を動作の中に堰き止めねばならない。処罰は事後の不満を示せるだけで、次の汚れた桶を止めることはできない。

彼はまず井戸口に夜間木柵を加え、日没後に自動で錠が下り、人が暗闇で近づくのを防いだ。次に公桶掛けを作り、清潔な公桶だけが井戸に下りられ、私桶は引っかからないようにした。最後に井戸縄のそばに刻痕牌を打ち付け、毎日水を汲む者は摩耗がどの目盛りまで来たかを見て、赤線を超えたら交換するようにした。

数週間後、木の柵は酔漢を止め、掛け金は魚売りの汚い桶をせき止め、刻み牌は井戸縄が切れる前に交換させた。町長はそこで、三つのものが同じ管理方法ではないと見た。あるものは事前に防ぎ、あるものは適時に発見し、あるものは修正を助ける。

最初の補修でも一箇所漏れていた。雨季が来て、井戸端の泥地が滑り、木の柵、掛け金、刻み札はどれも足元を処理していなかった。老木匠はまた粗石を敷き、排水溝を掘り、朝市の後に誰かが清掃するよう指定した。統制は新しいリスクに応じて生えていかなければならず、一度付けて眠ってはいけない。

その後も井戸のそばには告示が貼られていたが、誰も告示を唯一の保障とは見なさなかった。新しいリスクが現れるたびに、町は問いかけた:まず阻止できるか、阻止できなければ早期に発見できるか、発見した後は誰が是正するのか。

共同井戸が安全になったのは、人が突然皆慎重になったからではなく、危険が具体的な欄、鉤、札、責任によって受け止められたからである。真の制御措置は現場の動作に落とし込まれなければならない。

後に隣鎮が告示テンプレートを借りに来て、老木匠は半枚の紙だけを渡し、そこにはこう書かれていた:まず危険動作を探し、それから欄、鉤、牌、責任者を決める。「ご注意ください」の四文字をより大きく貼るだけなら、井はあの井のままで、縄はあの切れそうな縄のままだ。後に鎮で橋を修し、倉を開き、灯会を催す時も、この問い方を踏襲した。

明らかにする

この物語が語っているのは:制御措置

Controls はリスクを低減し、ポリシーを満たし、または統制目標を達成するために設計された具体的な措置である。予防的、発見的、是正的であり得、例えばアクセス承認、最小権限、ログ監視、人的レビュー、構成ベースライン、変更承認、バックアップ、アラート、インシデント対応などがある。企業の Agent シーンでは、統制措置はモデル行動、ツール権限、データアクセス、出力審査、監査記録、異常処理をカバーする必要がある。統制はスローガンではなく、明確な目標、責任者、実行方法、証拠がなければならない。

重要なのは、それが単なる用語ではなく、実際のAI/Agentシステムで繰り返し現れる構造的な問題だという点だ。これを理解して初めて、いつモデルを足すべきか、いつプロセスを変えるべきか、いつガバナンスを補うべきかを判断できる。

メタファーのマッピング

  • 深井戸:企業システムにおける高リスクのリソースまたはプロセス
  • 相互リマインド:非公式な管理
  • 大きな警告板:抽象的なポリシー
  • 木柵、フック、刻み札:具体的な制御措置
  • 汚染と転落の予防:予防的コントロール
  • 日次チェック:発見的統制
  • 異常報告:是正統制と処理のクローズドループ

Andy(任旭)判断

この概念の実戦的価値は、「賢く見えるAI機能」を納品可能、検収可能、ガバナンス可能な作業単位に分解する手助けをすることです。

管理責任者control testing予防的統制detective controlcompensating control

関連する識別

この概念は隣接概念と混用されやすいので、対比ページを続けて見ることをおすすめする。

京ICP备2026014272号