部門横断チェック

1）部門横断チェックとは

部門横断検証とは、複数の機能（例：Product→Engineering→SecOps→Legal/DPO→Payments→Support→Marketing）を通過するプロセスとコントロールの共同検証です。目標は、エンドツーエンドのスクリプトが正しく実行されていること、ポリシー要件が満たされていること、および監査準備ができている証拠を確認することです。

• 「バット」リスクとSoD競合の検出。
• 要件の統一された解釈と責任の「灰色の領域」の排除；
• CAPAの高速化と再試行の防止。

2）いつ起動するか（トリガー）

新しい/変更された規制要件または管轄区域。
重要なリリース/移行（アーキテクチャ、支払い、データ）。
インシデント（情報セキュリティ/プライバシー/支払い）および死後。
外部監査/認証の準備。
ハイリスクドメインによる定期カレンダー（四半期/半期）。

3）スクリプト（エンドツーエンド）-チェックするもの

• プライバシー/DSAR：サブジェクト要求→エクスポート/削除→通知→ログ。
• アクセス管理：request→right to update→provisioning→admin log→re-cert。
• チャージバック：トリガー→証拠収集→詐欺CAPA→プロバイダへの対応。
• 広告キャンペーン：資料の承認→ターゲティング→拒否/同意の追跡→証拠のアーカイブ。
• 安全事故：検出→分離→法的保持→通知→死後→CAPA。
• データの保持/削除：TTLの起動→サブプロセッサの破壊の確認→報告。

4）役割とRACI

（R-責任がある；A-説明責任がある；C-コンサルティング；I-Informed）

5）方法論： 実施方法

ウォークスルー：「政治からログへ」エンドツーエンドのケースのデモンストレーション。
ToD （Test of Design）-制御ステートメント、ロール、手順、メトリクスの可用性と品質を確認します。
ToE（動作有効性のテスト）：期間内の制御安定性の検証（30-90日間サンプリング）。
改革：操作の独立した繰り返し（例えば、DSARエクスポート、アクセスの取り消し、支払い手順）。
否定的なテスト：制御（SoD、限界、秘密スキャン）をバイパスする試み。

6）サンプリングおよび層別化

リスクベース：重要な管轄/役割/支払い方法のためのより多くのn。
層別：地域によって、顧客のタイプ、チャネル（網/app）、日時/負荷。
組み合わせ：ランダム+ターゲット（閾値境界、エッジケース）。

• クリティカル：ドメインあたりn ≥ 25+キーステップのリパフォーム。
• ハイ：n ≥ 15；媒体：n ≥ 8；Low： n ≥ 5。

7）依存性とSoD管理

依存関係マトリックス：サービス、ベンダー、キー、データ、ロール。
職務規則の分離（SoD）： 1人でUpruvと重要な行動を組み合わせることを禁止します。
クリティカル回路テストまたはクリアバージョニング時にフリーズを変更します。

8）証拠と不変性

すべてのアーティファクト（アップロード、構成、スクリーンキャスト、レポート）は、ハッシュレシート付きのWORM/オブジェクトロックに保存されます。
監護の連鎖：誰/いつ/なぜ証拠を収集/読むか。
時刻同期とトレースID （ 、 。
各ステップをControlステートメントとメトリックにバインドします。

9） CAPAとの統合と再監査

各検索-CAPA（是正/予防、用語、所有者、補償措置）。
重大な場合のために30-90日の必須の再監査。
ポリシーの更新-/assurance-as-code： CCMルール、CI/CDゲート、メートルしきい値。

10）メトリクスとKRI

適用範囲率： 四半期ごとにテストされた主要なエンドツーエンドのシナリオの％

First-Pass Close：重要な調査結果がないチェックの割合。
On-time CAPA：（重症度による）時間通りの測定の％完了。
繰り返し調査結果（12ヶ月）：ドメイン/管轄による繰り返しの傾向。
コントロールパスレート：スクリプトに関連付けられた緑色のCCMルールの割合。
証拠の完全性（Critical/Highの100％ターゲット）。
SoD違反：特定/解決された義務の競合。
Vendor Mirror SLA：重要なプロバイダからのミラー対策の確認。

11）ダッシュボード（最小）

シナリオパイプライン：計画→進行中→調査結果→CAPA→再監査。
クロスドメインヒートマップ：機能別リスク/所見（IAM、プライバシー、支払い、マーケティング、サポート）。
依存関係マップ：ノード/ベンダー/コントロール、「赤い」ゾーン。
証拠準備：ケースごとにWORM/ハッシュ/スクリーンキャストの存在。
CAPA&ドリフト：対策のステータス、ドリフトの観察30-90日。

12） SOP（標準的なプロシージャ）

SOP-1： プランニング

ハイリスクなトピックを定義する→四半期ごとに2〜4のエンドツーエンドのシナリオを選択する→所有者を割り当てる→カレンダーに同意してウィンドウを凍結する。

SOP-2： 行動

キックオフ→ウォークスルー→ToD/ToE→リフォーム→ネガティブテスト→証拠収集→毎日同期更新。

SOP-3： レポートとソリューション

Criteria→Fact→Impact→Recommendation Framework→Close/Extend/Escalate→Report and Metrics Publication。

SOP-4： CAPAとフォローアップ

GRC→補償措置（必要な場合）→締め切りとRACI→実行ダッシュボードでCAPAを記録します。

SOP-5： 再監査と監視

30-90日後-再サンプリングとサニティチェック→JMAルール/ポリシーの更新→サイクルを終了します。

13）アーティファクトパターン

13.1検査プラン（ワンページャー）

シナリオ、目的、管轄区域

検査コントロール/ポリシー

サンプルとメソッド

リスク/依存関係/SoD

タイムライン、役割、コミュニケーションチャネル

13.2カード検索

基準（ポリシー/コントロール）→実際→インパクト→推奨

重症度、残留リスク

証拠（リンク/ハッシュ）

CAPAs： 対策、所有者、期限、KPI、補償制御

13.3証拠パック

1.ポリシー/規格/SOP（バージョン、拡散）

2.ログ/構成サンプル（CSV/JSON、ハッシュレシート）

3.スクリーンキャスト/タイムスタンプ付きスクリーンショット

4.JMA/メトリクスおよびテストレポート

5.最終報告と委員会の決定

14）コミュニケーションと文化

リクエスト番号付けとレスポンスSLAを備えたシングルチャネル（ポータル/GRC）。
外部セッション/監査の「一つの声」、複雑な問題のスクリプト。
料金なし：プロセスに集中し、リプレイを防止します。
ベストプラクティスとパターンの共有、内部ケースライブラリ。

15） Antipatterns

エンドツーエンドのトレースなしで「部署内」をチェックします。
ログ/ハッシュ/WORMなしの「紙」証明。
制御ステートメント/メトリックへのバインディングはありません（計り知れません）。
SoDと1人への依存を無視します。
CAPA予防/補償措置なし、再監査なし。
カレンダーなしでのワンタイムチェックとリスクによる優先順位付け。

16）成熟度モデル（M0-M4）

M0アドホック：時折チェック、メソッド/メトリックなし。
M1四半期ごとの予定カレンダー、基本的なテンプレートと役割。
M2管理：リスクベースのサンプリング、WORM証拠、ダッシュボード、CAPAリンク。
M3統合：ポリシー/保証コード、CI/CDゲート、自動レポート。
M4継続保証：予測KRI、推奨シナリオ、継続的な健全性チェック、およびドリフトモニタリング。

17）関連するwiki記事

再監査とフォローアップ

修復計画（CAPA）

コンプライアンス継続監視（CCM）

ポリシーとコンプライアンスリポジトリ

法的更新の追跡/規制変更アラート

ロギングと監査証跡

外部監査人による外部監査

パートナーコンプライアンスガイド

合計

部門横断チェックでは、機能間の「インタフェース」をリスクエリアからコントロールエリアに変換します。エンドツーエンドのシナリオ、測定可能なコントロール、変更できないエビデンス、クローズドループCAPA→再監査です。このアプローチは、コンプライアンスを予測可能にし、外部監査を迅速化し、違反を繰り返す可能性を低減します。