Claudeで散在した書類をコンプライアンス監査向けに整理する方法

Coworkにフォルダを丸ごと渡すと、Claudeが各ファイルの中身を読んで文書種別を判定し、監査フレームワークの統制領域ごとに分類・リネームの案を作り、証跡が薄い領域を指摘します。事前に手作業で仕分けたり名前を変えたりする必要はありません。「コンプライアンス監査の書類整理」とは、SOC2やISO27001のような外部監査を受ける前に、ポリシー・手順書・契約書・証跡ログを、監査人がすぐ参照できる形に構造化する作業を指します。

Claudeは分類の結果を見せたあと、リネームや再編成に進んでよいかを尋ねてきます。公式の出力例にも「Want me to proceed with the reorganization?」という確認が入っており、進める前に判断する機会があります。

始める前に用意するもの

最初のプロンプトのあと、Claudeが監査の範囲や要件について質問を返し、作業計画をサイドバーに出すことがあります。計画は作業に入る前に見直せるので、統制領域の切り分けが自社の基準と違っていれば、この段階で直します。

ステップ1: 監査スコープを伝えて全件を読み込ませる

今度のSOC2監査に向けて、このフォルダに100件以上の書類があります。
「policy_v2_final.docx」「scan0042.pdf」のような名前で散らばっている状態です。
・文書の種類、発効日、対象の統制領域が分かる名前にリネームしてください
・統制カテゴリ(アクセス制御、変更管理、インシデント対応など)ごとにグループ化
・証跡が不足していそうな統制領域があればフラグを立ててください
監査範囲はセキュリティ・可用性・機密性、対象期間は2024年1月〜12月です。

「あとで整理する」と後回しにしてきた雑多なフォルダを、そのまま渡して構いません。名前が当てにならないファイルも、Claudeは中身から種類を読み取ります。

フレームワークは「SOC2 Type II」「ISO 27001」のように認証の種類まで書きます。統制フレームワークや監査スコープを渡す目的は、書類をその基準に照らして分類させることです。

ステップ2: 分類結果とギャップを読む

公式のユースケース例では、156件の書類を読み込んだ結果が次のように示されています。件数は例示の数値で、実際の内訳は書類の中身と量で変わります。

統制領域の側では、アクセス制御(28件)・変更管理(22件)・ベンダー管理(18件)が厚く、インシデント対応(8件)とバックアップ・復旧(6件)は注意が必要と判定されました。指摘されたギャップは3つです。

• インシデント対応: テストや机上演習を行った証跡がない
• バックアップ・復旧: 復元テストの証跡がない
• 事業継続: 棚卸しの対象に、そもそも事業継続の書類が入っていない

3つ目は書類が薄いのではなく、書類が1件も見当たらないという指摘です。証跡の補充で済むのか、文書の新規作成が要るのかが、ここで分かれます。

ステップ3: 統制マトリクスを作り、監査人向けの参照資料に仕上げる

Coworkはローカルのファイルを直接読み書きでき、成果物はフォルダの中に作られます。Excelの関数が生きたスプレッドシート、PowerPoint、体裁の整った文書まで作れるので、チャットの出力を貼り直す手間がありません。統制マトリクスはその代表例です。

このフォルダに、SOC2の統制ごとに裏付けとなる文書を紐づけたスプレッドシートを
作ってください。列は統制ID・説明・証跡文書・カバレッジ状況にしてください。

変更管理やインシデント対応の証跡がJiraやServiceNowのようなブラウザ上のツールにあるなら、Claude in Chromeを使います。公式の例文は、Jiraを開いた状態で「直近6か月分の変更リクエストを取り込み、変更管理の手順に従っている証拠となる要約文書を作る」という頼み方です。

監査人との面談に備えるには、ポリシーごとの早見資料を作らせます。

ポリシーフォルダを読んで、1ページの参照資料を作ってください。各ポリシーについて
「対象範囲・最終更新日・説明できるべき要点2〜3点」をまとめてください。

100件を超える書類に時間がかかるとき

Coworkは複雑な作業を小さなタスクに分け、並行して進めます。並行して進むため、フォルダ全体を渡しても、分類・リネーム・ギャップ検出を1件ずつ順に待つ形にはなりません。

ファイルの置き方と、Claudeが読めるファイルの大きさには決まりがあります。プロジェクトにファイルやフォルダをドラッグすると、個別のファイルはプロジェクトの最初のフォルダにコピーされ、フォルダはプロジェクトの追加フォルダとして取り付けられます。Claudeが読めるのは1ファイル50MBまでです。解像度の高いスキャンPDFが多い監査フォルダでは、この上限に近いファイルが混ざっていないかを先に見ておきます。

席を外して待ちたいときはDispatchに投げます。Dispatchは、高レベルの指示を受けて子タスクに分け、バックグラウンドで実行するエージェントです。前提はProまたはMaxプランと、macOSまたはWindowsの最新のClaude Desktopです。

各子タスクはサイドバーに状態(実行中、入力待ち、回答待ち、完了、エラー、アーカイブ)つきで並びます。選ぶと、Claudeの作業記録と作成されたファイルを開けます。

書類の整理のような知識作業の子タスクは、指定したCoworkプロジェクト(指定がなければ既定のプロジェクト)で動きます。監査フォルダを取り付けたプロジェクトを作っておき、依頼文でそのプロジェクトを指定すると、作業の対象がぶれません。プロジェクトの説明文はDispatchが投げ先を選ぶときに読むので、「SOC2監査の書類」のように用途が分かる書き方にします。

許可が要る操作(コマンドの実行やワークスペース外へのファイル書き込みなど)は、通知があなたへ転送されます。10分応答しないと自動で拒否され、タスクはその操作なしで続きます。席を外す前に、自分の許可が要りそうな作業を依頼文から外しておくと、拒否で結果が欠けることを避けられます。

スマートフォンからも起動できます。Claude Desktopが動いているコンピューターは、Dispatchの実行先として登録されます。

統制フレームワークをあらかじめ渡しておく

社内に統制マトリクスや監査チェックリスト、フレームワークのマッピング表があるなら、書類フォルダに同梱します。Claudeはそれを物差しにして書類を分類するので、一般的な構成だけを伝えるより、より正確に分類します。

ギャップが見つかったあとの動き方

証跡が薄い領域が見つかったら、同じ会話の中で対応の優先順位付けまで続けられます。

見つかったギャップごとに、対応の優先度と担当しそうな部署を一覧にしてください。

統制マトリクスと同じフォルダに、次のアクションの一覧が残ります。

コンプライアンス監査の書類整理でよくあるつまずき

• 機密文書の扱いを決めずに始める: 公式は、機密性の高いポリシー・契約書・証跡ファイルについて、セッションをローカルで実行するよう案内しています。書類は自分のフォルダに置かれたままで、Claudeの作業はお使いのマシン上で動きます。ただし、応答を生成するために読んだ内容はAnthropicのサーバーで処理されます。個人情報を含む証跡が混ざるなら、対象範囲を絞ってから渡すか、社内のデータ取り扱い方針と照らして進め方を決めます
• ギャップ指摘をそのまま監査人に見せる: 公式の出力例も、指摘を「potential gaps」(ギャップの可能性)としています。証跡が存在しないと確定する前に、担当部署への確認を挟みます
• Coworkの設定を同僚と共有できると思い込む: プロジェクトガイドでは、Coworkのプロジェクトは自分のコンピューターの中にあり、同期も共有もされないとされています。ただしchangelogには、アカウントによってローカルのプロジェクトのclaude.aiへの移行が始まっているとの記載もあります。詳しくは次の節に書きました

監査サイクルのたびに繰り返すなら、プロジェクトに何を残すか

年次や四半期ごとに同じ監査が来るなら、Coworkのプロジェクトに前提を保存できます。プロジェクトが持つのは、説明・フォルダ・指示・リンク・Chatのプロジェクト・メモリーの6項目です。

指示(Instructions)はセッションごとに適用される常設のガイドです。ここに「SOC2 Type IIの統制カテゴリで分類する」「ファイル名は文書種別_発効日_統制領域にする」といった規則を書いておけば、次回のセッションから毎回プロンプトに書かずに済みます。メモリーはセッション中にClaudeが学んだことが保存され、次のセッションに引き継がれる領域です。前回の結果を確実に残したいときは、統制マトリクスのスプレッドシートをプロジェクトのフォルダに置いておきます。次回は「前回のマトリクスと照らして、新しく増えた書類だけを分類して」と頼めます。

では、監査チームで準備を分担するときはどうするか。Coworkのプロジェクトと、claude.aiのプロジェクトでは、できることが違います。

claude.aiのプロジェクトをCoworkのプロジェクトにリンクすると、Coworkのセッションからその知識を参照できます。リンクしても2つが統合されるわけではなく、claude.aiのプロジェクトは元の場所に残ります。分類の手順そのものをチームで共通にしたいときは、スキルやプラグインにまとめる方法があります。Coworkは、claude.aiのアカウントで有効にしたスキル・コネクター・プラグインを読み込みますが、CLIの~/.claudeディレクトリは読みません。~/.claudeにしかないスキルは、サイドバーのCustomizeから追加します。

プロジェクトを不要になった時点でアーカイブすると、名前・指示・リンク・メモリーが削除されます。取り付けたローカルフォルダは削除されません。

本記事が扱うのは、SOC2やISO27001のような外部の規制・認証フレームワークに向けた書類整理です。Cowork自体の操作履歴を追跡する監査ログ機能は別の話で、そちらはCowork監査ログと権限管理で扱っています。組織としてCoworkの利用状況を可視化したい場合は、OpenTelemetryによるモニタリングを使います。TeamとEnterpriseのプランが対象で、管理画面の「Admin settings > Cowork」で設定し、既定ではユーザーのプロンプト本文や応答テキストは含まれません。書類の中身の整理とは別軸なので、両方を混同しないようにします。契約書の一次レビューなど法務のCowork活用全般はClaude Cowork法務活用、プロジェクトの作り方はCoworkプロジェクトの使い方にまとめています。

まとめ

ギャップのうち、証跡が薄い領域は集め直せば足ります。書類が1件もない領域は、文書を新しく作る工数が別に要ります。監査までの日程を組むときは、この2種類を分けて数えると見積もりがぶれません。