FOR LEGAL, COMPLIANCE & INTERNAL AUDIT
AC-02 / LEGAL CONSOLE
技術上の事実を、
契約と規程へ同期する。
契約書だけ、規程だけを読むのではなく、実際のデータフロー、ID、ログ、委託関係、障害対応と照合します。クラウド約款の変更、AI利用の例外、監査回答、サービス終了時のデータ返還・削除まで、運用可能な法務統制へ落とします。
LATEST CONTROL INTELLIGENCE
期限情報を、
設計変更へ変換する。
PRIMARY SOURCES CHECKED2026.08.29 公式情報で確認できた事実と、当事務所が実務上確認する統制項目を分けて掲載しています。適用範囲は個別の構成、契約、利用地域、役割によって異なります。
IAM-2026-09ACTION
MICROSOFT ENTRA
Conditional Accessカスタムコントロールの変更制限
- 確認済みの事実
- Microsoftは、Microsoft Entra Conditional Accessのカスタムコントロールについて、2026年9月から新規追加と既存設定の編集を不可とし、2027年初頭に完全廃止する予定と案内しています。
- 実務上の確認点
- 対象ポリシー、外部MFA事業者、適用ユーザー、緊急用アカウント、失敗時のサインイン経路を特定し、External MFA等への移行と並行テストを変更不能になる前に完了させます。
公式情報：Microsoft Learn SCS-0828REVIEW
IPA / SCS
SCS評価制度の基本規程等を公開
- 確認済みの事実
- IPAは2026年8月28日、サプライチェーン強化に向けたセキュリティ対策評価制度の基本規程等を公開しました。SCS-100基本規程は同日施行と明記されています。
- 実務上の確認点
- ID・権限、脆弱性、ログ、委託先、事故対応、教育、改善記録を要求事項へ対応付けます。規程の有無だけでなく、運用責任者、証跡の所在、対象期間、未達項目の改善期限まで管理します。
公式情報：IPA AI-OBS-0819REVIEW
MICROSOFT FOUNDRY / AGENTS
AIエージェントの評価・トレース・監視を統合
- 確認済みの事実
- MicrosoftはFoundry Agent Serviceの観測性として、エンドツーエンドのトレース、メトリック、評価、Application Insights連携を案内しています。Foundryの観測性資料では、品質、安全性、RAG、ツール呼出し精度、タスク完了などの評価項目が示されています。
- 実務上の確認点
- モデル応答だけでなく、検索、ツール呼出し、承認、再試行、失敗を同一トレースへ接続します。評価セット、品質しきい値、サンプリング、機微情報の記録範囲、保持期間、アラート、停止条件を本番移行前に決めます。
公式情報：Microsoft Learn AIGL-1.2REVIEW
METI / AI GOVERNANCE
AI事業者ガイドライン第1.2版
- 確認済みの事実
- 経済産業省はAI事業者ガイドラインの最新版として第1.2版を公開しています。
- 実務上の確認点
- AI提供者・開発者・利用者の立場、対象業務、入力データ、出力確認、自動実行、委託、事故、例外をサービス単位で整理し、規程・契約・設定・教育記録を同じ統制台帳で管理します。
公式情報：経済産業省 JP-AI-PLAN2WATCH
CABINET OFFICE / AI POLICY
第Ⅱ期人工知能基本計画を閣議決定
- 確認済みの事実
- 内閣府は2026年7月14日、第Ⅱ期の人工知能基本計画が閣議決定されたと公表しています。
- 実務上の確認点
- 自社のAI利用目的、推進体制、リスク管理、データ、セキュリティ、人材、事故対応を経営課題として整理します。法令・ガイドライン・契約・社内規程のどれを根拠にするかを分け、確認日と判断者を記録します。
公式情報：内閣府 EU-AIA-0802WATCH
EU AI ACT
AI Actの適用・執行フェーズが進行
- 確認済みの事実
- 欧州委員会は、AI Actが一部例外を除き2026年8月2日に適用され、AI Officeと加盟国当局が執行を担うと説明しています。高リスクAIの一部規則は2027年12月2日または2028年8月2日へ移行期間が延長されています。
- 実務上の確認点
- EUとの接点、provider・deployer等の立場、用途分類、透明性義務、GPAI、域外適用の該当性を確認し、対象外と判断する場合も根拠と確認日を残します。
公式情報：European Commission PROFESSIONAL FOCUS AREAS
法務部向けの、見落とせない論点。
一般論ではなく、設計・審査・投資判断の場で確認すべき対象と、計画を止めて再確認すべき兆候を対応付けています。
契約文書の階層
申込書、基本契約、個別条件、SLA、DPA、約款、オンライン条項の優先関係と変更通知を整理します。
RED FLAGS / 再確認の兆候- 参照約款の版が不明
- SLAと救済条件を混同
- 終了・移行条件が未確認
データ・AI入出力
入力情報、参照データ、生成物、ログ、学習利用、保存場所、削除、第三者提供を実データフローと照合します。
RED FLAGS / 再確認の兆候- 入力禁止情報が現場に伝わらない
- ログ保存を見落としている
- 削除対象と索引が不一致
責任分界・委託先
自社、クラウド事業者、開発・運用委託先、再委託先の実行・承認・確認責任を場面別に分けます。
RED FLAGS / 再確認の兆候- 障害時の窓口が複数
- 再委託の確認経路がない
- 終了時の権限剥奪が未定義
AI利用規程・役割分類
AI事業者ガイドライン第1.2版を踏まえ、提供者・開発者・利用者の立場、利用目的、入力制限、人による確認、自動実行、例外、事故、終了を定義します。
RED FLAGS / 再確認の兆候- 自社の役割分類がない
- 例外承認に期限がない
- AI出力と自動実行の責任者が不明
SCS・監査・出口
SCS評価要求、監査、事故通知、改善期限、移行、データ返還・削除証明を一つの証跡ライフサイクルで管理します。
RED FLAGS / 再確認の兆候- 回答と証跡の対象期間が違う
- 規程はあるが運用記録がない
- ベンダーロックインを未評価
FIELD INCIDENT TO RESOLUTION
現場の症状から、
解決経路を特定する。
以下は実績事例ではなく、相談で想定される代表的な場面です。原因を断定せず、まず事実と証跡を保全し、初動、恒久対策、再開条件へ分解します。
LEG-CASE-01 CONSULTATION SCENARIO
契約書は同じままなのに、参照先のオンライン条件が変わっている
現場で起きていること基本契約は保管されていても、申込書が参照する約款、SLA、データ処理条件、再委託先一覧の版が特定できません。現場は新機能を利用開始していますが、保存場所、ログ保持、終了時の返還・削除条件を法務が追えていない状態です。
- 放置した場合
- 契約審査時の前提と実際の利用がずれ、障害、監査、解約時に適用条件や責任分界を説明できません。変更通知を受け取っていても、社内判断へつながらないおそれがあります。
- 最初に行うこと
- 利用拡大と新規データ投入を一時保留し、契約主体、対象サービス、参照文書、現在の構成、データフロー、委託関係を同じ基準日で固定します。確認できない条件は未確認として分けます。
恒久対策・解決方法- 申込書、基本契約、個別条件、SLA、DPA、オンライン条項の優先関係を索引化する
- 約款・機能・保存場所・再委託先の変更を法務レビューへ連携する起点を設ける
- 契約条件と構成・データ・運用を定期照合し、差分と承認を記録する
相談時にあると確認が早い資料- 契約書、申込書、参照URL、確認できる適用版
- 利用サービス、構成図、データフロー
- 委託先、再委託先、社内承認・変更通知の記録
LEG-CASE-02 CONSULTATION SCENARIO
従業員が生成AIへ顧客資料を入力し、回答をそのまま外部へ送った
現場で起きていること利用規程はありますが、禁止情報、承認済みサービス、人による確認、自動実行、例外申請が業務手順へ落ちていません。誰が、何を、どの環境へ入力し、ログや履歴がどこまで残るか確認できない状態です。
- 放置した場合
- 影響範囲、通知要否、契約上の報告先を判断する事実が揃わず、利用停止だけが長期化します。個人の注意不足として処理すると、同じ業務経路で再発します。
- 最初に行うこと
- 対象利用を限定し、入力内容、出力、送信先、利用アカウント、発生時刻、保存・ログ設定、関係する契約と社内報告経路を保全します。法的評価が必要な事項は適切な専門家へ切り分けます。
恒久対策・解決方法- 用途、情報区分、承認済み環境、人の確認、自動実行可否を業務単位で定義する
- 例外承認に期限、対象データ、責任者、終了条件を設ける
- 事故時の利用停止、証跡保全、影響確認、報告、再開判定を手順化する
相談時にあると確認が早い資料- 入力・出力・外部送信の確認資料
- 利用サービス、アカウント、ログ・保持設定
- 利用規程、秘密保持・委託・顧客契約、社内報告記録
LEG-CASE-03 CONSULTATION SCENARIO
監査回答では実施済みだが、対象期間の証跡が出てこない
現場で起きていること手順書と設定画面のスクリーンショットはある一方、当該期間のアクセスレビュー、例外承認、ログ欠損、改善完了を示す記録がありません。回答者、システム担当、委託先で対象範囲も異なっています。
- 放置した場合
- 実施の有無ではなく、いつ、誰が、何を確認したかを説明できず、回答の修正や追加調査が必要になります。推測で回答を補うと、後続証跡との不一致が拡大します。
- 最初に行うこと
- 回答文、要求事項、対象期間、対象システム、証跡、保管者を一行ずつ対応付けます。存在しない証跡は不足として明示し、代替統制と改善期限を分けます。
恒久対策・解決方法- 監査要求を設定・運用・承認・例外・改善へ分解する
- 証跡ごとに対象期間、取得元、保管場所、責任者、更新周期を付ける
- 回答と証跡の不一致を定期点検し、改善完了まで追跡する
相談時にあると確認が早い資料- 監査質問票、回答案、指摘事項
- 規程・手順・設定・ログ・承認記録
- 対象期間、対象システム、委託範囲、改善期限
FIRST CONTACT / 事前整理原因が分からなくても、発生時刻・影響業務・直前の変更・分かる範囲の資料から確認できます。
問い合わせフォームを開く DECISION CONTROL MATRIX
問いを、制御と証跡へ接続する。
判断時の問い、実装・運用上の制御、確認に使う証跡、説明責任を負う主体を一行で結びます。
| THEME | 判断時の問い | 制御・判断基準 | 確認する証跡 | OWNER |
|---|
| DOCUMENT | 適用文書と優先順位を特定したか | 契約索引、版管理、変更通知、法務レビュー起点 | 文書一覧、適用版、差分記録 | LEGAL |
|---|
| DATA | 入力から削除までのデータ経路を確認したか | 分類、利用目的、保存、所在、第三者、削除 | データフロー、台帳、削除記録 | LEGAL / DATA |
|---|
| SLA | 可用性指標と業務影響を対応付けたか | 測定点、除外、通知、救済、BCPとの整合 | SLA照合表、障害報告、復旧試験 | LEGAL / OPS |
|---|
| RACI | 平時・変更時・障害時の責任者がいるか | 実行・承認・確認・連絡・再委託の役割 | RACI、連絡網、委託先台帳 | BUSINESS |
|---|
| AI POLICY | 役割、用途、リスクに応じた利用基準があるか | 提供・開発・利用の役割、入力制限、透明性、人の確認、自動実行、例外期限 | 適用整理、規程版、承認票、評価・例外台帳 | LEGAL / AI |
|---|
| ASSURANCE | SCS等の要求と実運用の証跡を対応付けたか | 要求、対象範囲、担当、対象期間、代替統制、改善期限 | 監査回答、証跡索引、改善台帳 | LEGAL / CISO |
|---|
| EXIT | 終了時に移行・返還・削除を実行できるか | データ形式、移行期間、権限剥奪、削除証明 | 出口計画、作業記録、削除確認 | LEGAL / IT |
|---|
PHASE GATE PLAYBOOK
次へ進める条件を、先に決める。
検討を作業の完了で区切らず、判断に必要な情報と残存課題が揃ったかを完了条件で判定します。
事実関係を固定
契約主体、対象サービス、構成、データ、利用部門、委託関係、適用文書を確定します。
EXIT CRITERIA契約対象と実際の利用範囲の差が可視化されている
責任と判断基準を設計
SLA、責任分界、利用可否、承認、例外、事故、終了条件を場面別に定義します。
EXIT CRITERIA誰が何を根拠に判断するか説明できる
文書と運用を接続
契約、規程、台帳、手順、設定、ログ、監査回答を共通の証跡索引でつなぎます。
EXIT CRITERIA主要な要求事項に根拠文書と運用記録がある
変更へ追随
約款、サービス、構成、組織、委託先の変更を文書更新へ反映する起点と期限を設けます。
EXIT CRITERIA変更検知から承認・施行・周知まで追跡できる
DECISION ARTIFACTS
会議と運用で使える成果物。
説明資料だけで終わらせず、変更・審査・運用・監査・経営判断で更新し続けられる管理単位にします。
契約・約款索引
適用文書、優先順位、版、変更通知、確認責任者を管理
契約・構成照合表
契約条件と実際のサービス、データ、運用の不一致を検出
責任分界表・RACI
平時、変更時、障害時、終了時の役割を明確化
AI・クラウド利用規程
利用可否、入力制限、承認、例外、事故対応を運用化
監査回答・証跡索引
要求、回答、根拠、対象期間、不足、改善期限を接続
出口・削除確認計画
移行、データ返還、権限剥奪、削除証明を事前設計
AI CLOUD CONTROL CENTERMISSION STATUS / ONLINE