KPIとコンプライアンス指標

1）コンプライアンス指標の理由

• コンプライアンスのステータスを透明化し、時間の経過とともに比較可能にします。
• ビジネス結果への準拠（損失/罰金/リリースの遅延の削減）
• あなたは、感情ではなく、事実に基づいて優先順位とリソースを管理することができます。
• 監査を簡素化：追跡可能な数式、ソース、不変のアーティファクト（証拠）があります。

• KPI-パフォーマンス指標（プロセス効率）。
• KRI-リスク指標（イベントの確率/影響）。
• SLO/SLA-目標とするサービスレベル/期間のコミットメント。
• 先導vs遅れ：先導および遅れの表示器。

2）ドメイン別のメトリクスマップ（参照行列）

3）コンプライアンスノーススター

1.N時間で監査準備ができています（すべての証拠が自動的に収集されます）。
2.重大な違反をゼロにする。
3。自動化された制御（policy-as-code+CCM）の90％の適用範囲を≥して下さい。

4）メトリクスの分類

4.1カバレッジ

制御カバレッジ：制御システム/すべての重要なシステム。
証拠カバレッジ：監査チェックリストによって収集されたアーティファクト。
ポリシーの採用：要件が実装されているプロセス、/すべてのターゲットプロセス。

4.2有効性（制御の有効性）

パスコントロールテストのレート：合格/総期間テスト。
探偵ルールのFPR/TPR （false/true）。
Incidents Prevented：予防管理によって予防されたケース。

4.3効率（コスト/スピード）

MTTD/MTTR違反：検出/除去までの時間。
ケースあたりのコスト（AML/DSAR）：時間×レート+インフラストラクチャコスト。
自動化の比率：自動解決/すべての解決。

4.4タイムリーさ

実行SLA （DSAR/STR/training）：時間/合計。
リードタイムポリシー：トリガーから出版まで。
リードタイム（DevSecOpsゲート）をPRからコンプライアンスチェックのリリースに変更します。

4.5品質（データ/プロセス品質）

Evidence Integrity：ワーム内のアーティファクトの％とハッシュ要約。
データの欠陥：reg reporting/reportsのエラー。
トレーニングスコア：平均テストスコア、初回からの％。

4.6リスクインパクト

リスク低減指数：修復後の総リスク率の∆。
法令順守：クリティカルギャップとライセンス/認証要件のオープン。
$回避損失（推定）：ギャップを閉じることによって回避ペナルティ/損失。

5）数式と計算例

5.1 DSAR SLA

'DSAR_SLA=（30日間≤閉鎖されたアプリケーションの数）/（アプリケーションの合計数）'

目標： ≥ 98％；赤色<95％、黄色95-97。9.

5.2アクセス衛生

'AH=ovolete_rights （no owner/past due ）/all_rights'

しきい値：≤ 2％（レッドゾーン>5％）。

5.3ドリフトレート（IaC/クラウド）

'DR=ドリフト（IaC↔faktミスマッチ）/月'

トレンド：3ヶ月連続で着実に減少しています。

5.4修復するまでの時間（重症度）

高い：中央値≤ 30日；クリティカル：≤ 7日。遅延→自動エスカレーション。

5.5 AML FPR

'FPR=false-positive_alerts/all_alters'

TPRと処理損失とのバランス。

5.6証拠カバレッジ（監査）

'EC=collected_artifacts/必須_by_checklist'

目的：監査のD日付によって100％；運用目標-95％を継続的に≥します。

6）データと証拠のソース（証拠）

コンプライアンスDWHショーケース：DSAR、 Legal Hold、 TTL、監査ログ、アラート。
IAM/IGA：役割、所有者、証明キャンペーン。
CI/CD/DevSecOps： SAST/DAST/SCA、秘密スキャン、ライセンス、ゲート。
クラウド/IaC：構成のスナップショット、ドリフトレポート、KMS/HSMログ。
SIEM/SOAR/DLP/EDRM：相関、プレイブック、ロック。
GRC：要件、制御、免除、監査の登録。
WORM/オブジェクトロック：アーティファクト+ハッシュサマリーの変更不可アーカイブ。

7）ダッシュボード（最小セット）

1.コンプライアンスヒートマップ-システム×規制×ステータス。
2.SLAセンター-DSAR/STR/トレーニング：締め切り、非行、予測。
3.アクセス&SoD-有毒な役割、孤児のアカウント、証明の進捗状況。
4.保持と削除-TTL違反、リーガルホールドロック、トレンド。
5.Infra/Cloud Drift-IaCの矛盾、暗号化、セグメンテーション。
6.調査結果パイプライン-所有者と重大度によってオープン/期限切れ/閉鎖されます。
7.Audit Readiness-証拠のカバレッジと準備時間「on the button」。

• グリーンターゲットmet/stable。
• 黄色-偏差のリスク、必要な計画。
• 赤-重大な偏差、即時エスカレーション。

8） OKRリンク（四半期の例）

目的：リリースを遅らせることなく、規制および運用上のリスクを軽減します。

KR1：自動化されたコントロールのカバレッジを72％→88％から増加させます。

KR2： アクセス衛生を4。から削減します。5% → ≤ 2%.

KR3：時間通りの99％ DSAR；応答の中央値≤ 10日です。
KR4：ドリフトレートの雲− 40％ QoQ。
KR5：監査準備時間≤ 8時間（ドライラン）。

9）メトリクスのためのRACI

10）測定の頻度およびプロシージャ

毎日：CCMアラート、ドリフト、秘密、重要な事件。
毎週：SLA DSAR/STR、 DevSecOpsゲート、アクセス衛生。
毎月：パス率コントロール、繰り返し調査結果、証拠カバレッジ。
四半期ごとに、OKR要約、リスク低減指数、監査リハーサル（ドライラン）。

しきい値レビュー手順：トレンド、コスト、リスク分析；変更、しきい値-ボード経由。

11）指標の質： 規則

統一された意味論：用語とSQLテンプレートの辞書。
数式バージョン管理：「metric as code」（リポジトリ+レビュー）。
再現性チェック：監査人のためのスクリプトのリパフォーム。
アーティファクトの不変性：WORM+ハッシュチェーン。
プライバシー：最小化、マスキング、KPIショーケースへのアクセス制御。

12）クエリの例（SQL/擬似）

12.1 DSAR SLA （30日）：

sql
SELECT
COUNTIF(closed_at <= created_at + INTERVAL 30 DAY) / COUNT() AS dsar_sla_rate
FROM dsar_requests
WHERE created_at BETWEEN @from AND @to;

12.2アクセス衛生：

sql
SELECT
SUM(CASE WHEN owner IS NULL OR expires_at < CURRENT_DATE THEN 1 END)
/ COUNT() AS access_hygiene
FROM iam_entitlements
WHERE system_critical = TRUE;

12.3ドリフト（テラフォームと事実）：

sql
SELECT COUNT() AS drifts
FROM drift_detections
WHERE detected_at BETWEEN @from AND @to
AND severity IN ('high','critical');

13）しきい値（参考例、適応）

14） Antipatterns

所有者とアクションプランのない「レポートのための」メトリック。
数式バージョン→異なるトレンドをミックスします。
効率のないカバレッジ：高いカバレッジ、しかし高いドリフトと繰り返しの結果。
AML/CCMにおける偽陽性（FPR）のコストを無視します。
リスクコンテキストのないメトリクス（KRIおよびライセンスとの関連はありません）。

15）チェックリスト

KPIシステムの起動

• メトリック辞書と単一の「metrics as code」リポジトリ。
• 割り当てられた所有者（RACI）とリフレッシュレート。
• ソースとコンプライアンスショーケースが接続されています。
• ダッシュボードとカラーゾーン、SLO/SLA、エスカレーションが設定されています。
• WORMアーカイブとレポートのハッシュ。
• レパフォーム付きの監査用のドライラン。

四半期報告前

• 数式の検証、異常制御。
• 規制に近いしきい値の更新。
• コスト/利益分析FPRとTPR。
• レッドゾーン改善計画。

16）メトリクス成熟度モデル（M0-M4）

M0手動会計：Excelテーブル、不規則なレポート。
M1カタログ：シングルショーケース、基本的なSLA、トレンド。
M2自動化：リアルタイムダッシュボード、エスカレーション。
M3オーケストレーション：policy-as-code、 CCM、 auto-evidence、 reperform。
M4継続的保証：「audit-ready by button」、 predictive （ML）リスクメトリクス。

17）関連するwiki記事

コンプライアンス継続監視（CCM）

コンプライアンスとレポート作成の自動化

リスクベースの監査

ポリシーとプロシージャのライフサイクル

法的保留とデータの凍結

DSAR： データのユーザー要求

データの保存と削除のスケジュール

合計

強力なコンプライアンスKPIは、明確な数式、信頼できるソース、所有者としきい値、自動ショーケース、偏差アクションです。これにより、コンプライアンスはビジネスリスクとスピードに測定可能な影響を与える予測可能なサービスとなります。