コンプライアンスの成熟度

1）目的とエリア

• 関数による均一な基準とメトリック；
• スコアと成熟度のヒートマップ；
• ロードマップのリンク（イニシアチブ→効果→証拠）；
• 「audit-ready」進捗状況の確認。

2）成熟度モデル（M0-M4）

3）評価ドメインと基準

各ドメインを0-4 （M0-M4）のスケールでスコアします。

1.ガバナンス

M0： バージョンなしで散在するドキュメント

M1： リポジトリ、RACI、リビジョンカレンダー

M2： ノルム/管轄マッピング、changelog、 read-&-attest

M3： policy-as-code、 PRプロセス

M4： 自動ローカライズ、アドバイザリーアップデート

2.コントロールとCCM

M0： 「紙」チェック

M1： コントロールのリスト、手動テスト

M2： メトリック/パスフェイルレポート、ToD/ToE

M3： 連続制御監視、CI/CDゲート、自動アーティファクト

M4： 予測チェックと自己治癒ゲート

3.プライバシーとデータ（DSAR、保持、リーガルホールド、クロスボーダー）

4.VRM/ベンダー（デューデリジェンス、監査権、ミラー保持、ベンダー証拠）

5.ライセンス/認証（ISO/SOC/PCI；PBCの準備）

6.AML/KYC/Payments（ルール、モニタリング、チャージバック、不正防止）

7.インシデント/BCP/DR（プレイブック、ドリル、死後→CAPA、 RTO/RPO）

8.研修と倫理（役割/国のカリキュラム、再認証、内部通報）

9.法的変更の追跡（レーダー、アラート、実装）

10.レポートとダッシュボード（KPI/KRI、リスクヒートマップ、エビデンスの完全性）

（ドメインM0-M4.ごとに同じグラデーションを使用）

4）成熟度のスコアリング技術

4.1個々の評価

スケール：0。。4 （M0.。M4）。
評価属性：プロセス、ツール、証明（40/30/30重量）。

4.2サマリースコア

MaturityScore_total = Σ (Weight_domain × Score_domain) / Σ Weight_domain

推奨重量（例）： ガバナンス12％、 コントロール/CM 15％、プライバシー10％、 VRM 10％、ライセンス8％、 AML/KYC 10％、 インシデント/BCP 10％、トレーニング/倫理8％、法的更新7％、レポート10％

4.3準備クラス

1.5–2.5-「黄色」：プロセスとメトリックの安定化。

5）自己評価プロセス（SOP）

SOP-1： 準備

アーティファクト（ポリシー、指標、監査レポート、証拠）を収集する→ドメイン所有者を割り当てる→重みに同意する。

SOP-2： 評価

インタビュー+ToD/ToEサンプル→スコア0。。4 on attributes→fix sources（ハッシュレシート）。

SOP-3： キャリブレーション

機能横断セッション→不一致解像度→ファイナライゼーション。

SOP-4： 公開と計画

成熟度ヒートマップ→ギャップTop-5→2-3四半期ロードマップ（epics、 KPI、 DoD）。

SOP-5： サイクルの繰り返し

四半期ごと（または重大なインシデント/規制変更後）→進捗調整→ロードマップ更新。

6）成熟度ダッシュボード

成熟度ヒートマップ：ドメイン×レベル（色M0-M4）。
Δ進捗状況：Q-Qの変更、クローズドギャップ、達成された目標。
コントロール/証拠準備：CCMパスレートとパッケージの完全性。
規制時計：ドメインの現在のレベルに対する規範の期限。
ベンダーミラー：ターゲットレベルの重要なプロバイダのコンプライアンス。
Audit-Ready Index：「監査パック」を収集する時間（ターゲット-時間、日数ではありません）。

7）ロードマップリンク

• バージョンとローカライズを含むポリシーのリポジトリ。
• DSAR/保持-p95メトリック、アラート；
• 証拠のWORMアーカイブ；
• read-&-attest ≥ 95％のロールトレーニング。

• 制御ステートメント-YAML；
• Rego/SQL CCMルール；
• CI/CDのゲート；
• レポートおよび証拠のautocollectionを渡して下さい/失敗して下さい。

8）クイックウィン（クイックウィン）レベル別

M0からM1へ：ポリシーインベントリ、オーナー割り当て、基本RACI、リビジョンカレンダー。
M1からM2：鍵管理のためのメトリックとKRI、 WORM-evidence、計画されたリビジョン、VRMアンケート。
M2からM3へ：ポリシー/保証コード、CCMからIAM/保持/マーケティング、 CI/CDゲートのリリース。
M3からM4まで：予測KRI、シナリオ分析、推奨検査計画、自動更新コース。

9）例チェックリスト（フラグメント）

• バージョンとローカライズによるポリシー登録
• 規制との関係（管轄、基準）
• RACI/DoA/SoDをクリア
• 委員会と会議カレンダー+分
• Policy-as-code （ID、コントロールマッピング）

• コントロールディレクトリ+ToD/ToE
• メトリクス/KRI、ターゲットしきい値
• CCMルールと合格/失敗レポート
• CI/CDゲート
• ≤ 4時間の「監査パック」

（残りのドメインの構造を複製します。）

10）指標と成熟度のしきい値

ドメイン別にMaturityScore_totalします。
証拠の完全性（高リスク領域の100％ターゲット）。
パスレート（目標≥ 95％）を制御します。
規制オンタイム（≥ 95％）。
オンタイムCAPA （≥ 90-95％クリティカル/ハイ）。
ベンダー証明書の鮮度（クリティカルな場合は100％）。
トレーニングの完了（カバレッジの≥ 98％、遅延の≤ 5％）。
監査の準備ができている時間。

11）役割と責任（高レベルRACI）

12） Antipatterns

証拠とToD/ToEなしの「目による評価」。
コントロール/メトリックのないポリシー（またはその逆）。
四半期サイクルなしの1回限りの運動。
VRMとベンダーミラーを無視します。
期間および補償措置なしで免除されます。
残留リスクを減らす代わりに「緑の絵」を追いかける。

13）リスクと監査との関係

ヒートリスクマップはドメインの成熟度レベルを参照する必要があります。
外部/内部監査計画は、サンプリングフォーカスに成熟度レベルを使用します。
成熟度の進捗状況は、監査準備パッケージに記録されています。ポリシー拡散、CCMレポート、メトリック、委員会プロトコル、トレーニング証明書、ベンダー確認。

14）12ヶ月のターゲットモデルの例（断片）

15）アーティファクトパターン

15.1ドメインカード（YAML）

yaml domain: "Privacy"
owner: "Head of Privacy"
level_current: 2 level_target: 3 evidence:
- "hash://policy/privacy-v2. 1. pdf"
- "hash://metrics/dsar_sla_q3. csv"
gaps: ["No CCM by retention," "No automatic Legal Hold"]
initiatives:
- id: EP-PRIV-CCM-01 name: "CCM Retention & Deletion"
due: "2025-04-30"
dod: ["Rego rules", "Pass-rate ≥95%", "WORM exports"]
kpi:
- key: "dsar_response_p95_days"
target: 20

15.2満期報告書（ワンページャー）

サマリースコアとトレンド

トップ5のギャップとロードマップ

ライセンス/PII/ファイナンスに対するリスクと影響

「マネジメントに必要なもの」（ソリューション/リソース）

16）成熟度モデルと投資

M0→M1：低コスト、ペナルティリスクへの迅速な影響。
M1→M2：平均投資、予測可能性、および「可視性」。
M2→M3：自動化への設備投資→TCO監査/インシデントの削減。
M3→M4： アナリティクス/ML/KRI→リーディングリスク管理。

17）関連するwiki記事

コンプライアンスロードマップ

ヒートリスクマップ/リスクスコアリングと優先順位付け

コンプライアンス継続監視（CCM）

ポリシーとコンプライアンスリポジトリ

リスクベース監査（RBA）

規制変更アラート/法的更新トラッキング

パートナー・コンプライアンス・ガイド（VRM）

修復計画（CAPA）および再監査

合計

コンプライアンスの成熟度レベルは「、何らかの形で作業」を管理可能な改善プログラムに変えます。合意された基準、測定可能なステップ、検証可能なエビデンス。これにより、意思決定をスピードアップし、残留リスクを軽減し、監査の準備を継続的に行います。