散らばった監査書類を、監査人が来る前に:Claude CoworkでSOC 2監査の準備を整える
「policy_v2_final.docx」「scan0042.pdf」——コンプライアンス監査の準備で一番憂鬱なのは、こういう名前のファイルが100個以上転がったフォルダを、監査人が来る前に意味のある形に整えることではないでしょうか。Claude公式のユースケース紹介に、この監査書類の整理をCoworkに丸ごと任せる方法が載っていたので、整理します。SOC 2を例にしていますが、ISMSなど他のフレームワークの準備にも同じ型が使えます。
何ができるのか
Coworkは、ポリシー、手順書、契約書、エビデンス、スキャン画像——監査フォルダの中身を一括で処理します。各ファイルの中身を読んで「これが何なのか」を理解するので、事前のリネームや仕分けは不要。プロンプトに書くのは監査のフレームワークとスコープだけです。あとはClaudeが全書類を分類し、ファイル名を付け直し、ドキュメントの不足領域にフラグを立てます。その間、あなたは別の仕事に移れます。
実際のプロンプト例
今度のSOC 2監査用の書類が100件以上このフォルダにあります。今は「policy_v2_final.docx」「scan0042.pdf」みたいな名前で散らばっています。監査人が来る前に整理したい:
文書の種類・発効日・対象のコントロール領域が分かる明確なタイトルにリネーム
コントロールカテゴリ別にグループ化(アクセス制御、変更管理、インシデント対応など)
ドキュメントに不足がありそうなコントロール領域にフラグ
監査スコープはセキュリティ、可用性、機密性。監査期間は2024年1月〜12月。
セットアップ
必須は3つ
①Claude Desktopをダウンロードし、Coworkセッションを開始
②チャットバーの「Work in a folder」で監査書類のフォルダを選択(または「+」で個別ファイルを追加)
③監査スコープまたはコントロールフレームワークをプロンプトに含める(Coworkはこれを基準に書類を分類します)。
任意で、コントロールマトリクスやチェックリスト、好みの命名規則、そしてWebツールからエビデンスを引くためのClaude in Chromeを用意しておくとさらに強力です。使用モデルはSonnet 4.5。CoworkはPDF、Word、スプレッドシート、スキャンまで読めます。
なお、最初のプロンプトの後、Claudeはスコープや要件についていくつか質問し、サイドバーで確認できる計画を作ってから動き始めます。この確認があるからこそ、以降は自律的に、完成に近い結果まで進められます。
返ってくるアウトプット
紹介例では、フォルダ内の156文書すべてをレビューした結果がこう返ってきます。
文書インベントリ:ポリシー24件、手順書31件、契約・合意書18件、エビデンス・ログ67件、研修記録16件。
コントロール領域別のカバレッジ:充実——アクセス制御(28)、変更管理(22)、ベンダー管理(18)。要注意——インシデント対応(8)、バックアップ&リカバリ(6)。
特定されたギャップ:
インシデント対応:テストや机上演習(tabletop exercise)のエビデンスがない
バックアップ&リカバリ:リストアテストのエビデンスがない
事業継続(BCP):インベントリに存在しない
そして最後に「リネームと再編成を実行していい?」と確認してきます。整理そのものより価値があるのは、このギャップ検出です。監査人に指摘される前に、自分たちで穴を見つけられます。
フォローアップで広げる3つの使い方
① コントロールマトリクスをExcelで作らせる。Coworkはフォルダに直接ファイルを書き込めます。チャットからコピペする代わりに、「このフォルダに、各SOC 2コントロールと裏付け文書をマッピングしたスプレッドシートを作って。列はコントロールID、説明、エビデンス文書、カバレッジ状況」——監査人にそのまま渡せる形式で出てきます。
② チケットシステムからエビデンスを引く。変更管理やインシデント対応のエビデンスがJiraやServiceNowにあるなら、Claude in Chromeでブラウザから直接読めます。「Jiraで変更管理チケットを開いています。直近6ヶ月の変更リクエストを取得して、変更管理手順に従っていることを示すサマリー文書を作って」。
③ ウォークスルー用のポリシー早見表を作る。監査人との対話に備えて、「ポリシーフォルダを読んで、1ページのリファレンスを作って。各ポリシーについて:カバー範囲、最終更新日、私が説明できるべき2〜3の重要要件」——質問された瞬間に答えられるチートシートが手に入ります。
うまく使うためのコツ
書類はマシンから出ない。Coworkはローカルで動くため、機密性の高いポリシー・契約書・エビデンスがPCの外に出ることはありません。
「きれいなファイル」ではなく「散らかったフォルダ」を渡す。「あとで整理する」フォルダに溜まった雑多なスキャンやダウンロードこそ、Coworkの出番です。ファイル名がひどくても、中身から意味を読み取ります。
既存のフレームワークをガイドに使う。コントロールマトリクス、監査チェックリスト、フレームワークのマッピングを持っているなら、フォルダに同梱しましょう。それを基準に、分類の精度が上がります。
まとめ
SOC 2やISMSの監査準備は、「書類を作る仕事」と同じくらい「書類を探して並べる仕事」に時間を取られます。このユースケースは後者を丸ごとCoworkに渡し、さらにギャップの早期発見というおまけまで付いてくる構成です。実務では、Vantaのようなコンプライアンス自動化ツールでエビデンス収集を仕組み化しつつ、ツールの外に散らばった書類の整理をCoworkに任せる、という組み合わせも効果的でしょう。監査を控えているチームは、まず「あとで整理する」フォルダから試してみてください。
INNOOV株式会社について
この記事は、AtlassianやIntercomなどのSaaS導入支援と、AIを活用した業務プロセス改善を行うINNOOV株式会社がお届けしました。SOC 2・ISMS対応を効率化するコンプライアンス自動化ツール「Vanta」の導入支援も行っています。「自社でもこんな仕組みを作ってみたい」「ツール導入を相談したい」という方は、お気軽にお問い合わせください。