証拠の記録と変更の記録

記録に残る六つ

時刻

いつ入り、いつ処理されたか。

担当

AIが下書きしたのか、誰が承認したのか。

処理の内容

何を見て、何を実行したのか。

適用した基準

どの社内基準と例外に従ったのか。

結果

実行されたか、保留か、断られたか。

修正と撤回

誰が何をどう直し、なぜ直したのか。これがなければ記録は基準に育ちません。

何がこれを求めるのか

ログの保存

保存期間は国によって違います。日本の個人情報保護法はログの取得を求めますが期間を数字で定めていません。中国のサイバーセキュリティ法は六か月以上と定め、EUのGDPR第32条は期間を置きません。

記録を消すこと自体が承認の対象

監査の根拠を損ないうる作業は自動では行いません。記録の削除と修正、機微情報への到達は、人の確認のあとにだけ許します。

保存期間は決めるもの

無期限の保存は安全ではなく危険です。何をどれだけ置き、いつ消すのかを始めに書いておきます。

個人情報保護法 安全管理措置。比較: 中国サイバーセキュリティ法第21条、GDPR第32条

この仕組みにできないこと

記録は事故を防ぎません

防ぐのは承認の境界です。記録は事故のあとに原因を見つけ、それを基準に変えます。

人を監視するものではありません

何を直したかは残りますが、誰がどれだけ働いたかを測る道具ではありません。

読まなければ育ちません

毎週の失敗事例を読まなければ、記録はただ積もります。

よく聞かれること

従業員が監視されていると感じませんか

残るのは人の勤務ではなく、処理の根拠です。直した文言は翌週の基準になり、評価の材料にはなりません。

記録を私たちが見られますか

運用基準と処理の履歴は会社の資産です。返却の形式と時期は、契約の前に確かめる項目です。

どれくらい保管しますか

任せる業務と扱う情報によって違います。始めるときに保存期間と削除の手順を一緒に決めます。