Claudeで散在した書類をコンプライアンス監査向けに整理する方法

Coworkにフォルダを丸ごと渡すと、Claudeが各ファイルの中身を読んで文書種別を判定し、監査フレームワークの統制領域ごとに分類・リネームしたうえで、証跡が薄い領域を指摘します。事前に手作業で仕分けたり名前を変えたりする必要はありません。監査の直前になって「あの書類はどこだったか」を探し回る作業を、Coworkが1回のセッションで肩代わりする形です。「コンプライアンス監査の書類整理」とは、SOC2やISO27001のような外部監査を受ける前に、ポリシー・手順書・契約書・証跡ログを、監査人がすぐ参照できる形に構造化する作業を指します。

同じ作業を人手だけで行うと、まず全件に目を通して種類を把握し、それから統制表と突き合わせるという2段階の作業になりがちです。Coworkはこの2段階を1回のリクエストの中でまとめて処理します。

前提条件 — Coworkとフォルダアクセス

• Claude DesktopでCoworkのセッションを開始する
• 「Work in a folder」で監査書類フォルダを選択するか、+ボタンで個別ファイルを追加する
• 監査スコープと準拠すべき統制フレームワークをプロンプトに明記する。スコープを書かない と、Claudeが分類の軸を自分で判断できません。対象期間(例: 2024年1月〜12月)も 合わせて伝えておくと、期間外の古い文書との混同を避けられます

ステップ1: 監査スコープを伝えて全件を読み込ませる

今度のSOC2監査に向けて、このフォルダに100件以上の書類があります。
「policy_v2_final.docx」「scan0042.pdf」のような名前で散らばっている状態です。
・文書の種類、発効日、対象の統制領域が分かる名前にリネームしてください
・統制カテゴリ(アクセス制御、変更管理、インシデント対応など)ごとにグループ化
・証跡が不足していそうな統制領域があればフラグを立ててください
監査範囲はセキュリティ・可用性・機密性、対象期間は2024年1月〜12月です。

事前に名前を整えたり仕分けたりしてから渡す必要はありません。むしろ「あとで整理する」と後回しにしてきた雑多なフォルダをそのまま渡すほうが、Claudeが中身を読んで判断する分だけ手間が省けます。

プロンプトに書くフレームワーク名は具体的であるほど分類の精度が上がります。「SOC2 Type II」「ISO 27001」のように認証の種類まで指定すると、その基準にある統制カテゴリに沿って書類が仕分けられます。単に「コンプライアンス関連の書類」とだけ伝えると、Claudeは一般的な区分で分けるしかなく、実際の監査で使う統制領域とずれる可能性があります。

ステップ2: 統制領域ごとの分類とギャップを確認する

Claude公式のユースケース例では、156件の書類を読み込んだ結果として、ポリシー24件・手順書31件・契約書18件・証跡とログ67件・研修記録16件という内訳が示されました。アクセス制御(28件)・変更管理(22件)・ベンダー管理(18件)は証跡が厚い一方、インシデント対応(8件)とバックアップ・復旧(6件)は手薄と判定され、インシデント対応の訓練実施記録がない、バックアップの復元テスト記録がない、事業継続計画そのものが棚卸しの対象に含まれていない、という3つのギャップが具体的に指摘されています。

ステップ3: 統制マトリクスを作り、監査人向けの参照資料に仕上げる

分類とギャップの確認が終わったら、監査人と共有できる形に仕上げます。監査人に渡す前の最終確認としては、統制領域の分け方が実際に使う基準と一致しているか、ファイル名だけで中身が想像できる状態になっているかの2点を見ておくと、当日になって説明に詰まる場面を減らせます。

Coworkはローカルのファイルを直接読み書きできるため、アップロードとダウンロードを往復させずに、フォルダの中に成果物を書き足していけます。統制マトリクスの作成はその代表例です。

このフォルダに、SOC2の統制ごとに裏付けとなる文書を紐づけたスプレッドシートを
作ってください。列は統制ID・説明・証跡文書・カバレッジ状況にしてください。

• 変更管理やインシデント対応の証跡がJiraやServiceNowのようなブラウザ上のツールに 残っている場合は、Claude in Chromeと組み合わせて直近6か月分のチケットを取り込み、 手順どおりに運用している証拠として要約する
• 各ポリシーについて「対象範囲・最終更新日・監査人に説明できるべき要点2〜3点」を まとめた1枚のチートシートを作らせ、当日の質疑応答に備える

ポリシーフォルダを読んで、1ページの参照資料を作ってください。各ポリシーについて
「対象範囲・最終更新日・説明できるべき要点2〜3点」をまとめてください。

出来上がるのは、Excelの関数が生きたスプレッドシートやPowerPoint、体裁の整った文書など、そのまま使える成果物です。棚卸しの結果をチャットの中で終わらせず、監査人にそのまま渡せる形でフォルダに残せる点が、ファイルアップロード型の会話との違いです。作業が終わったあとにチャットのログだけが手元に残る、という状態を避けられます。

大量の書類を1回のセッションで処理しきれないとき

100件を超える書類を一度に読み込ませる場合、Coworkは複雑な作業を複数のサブタスクに分けて並行して処理する仕組みを持っています。フォルダ全体をまとめて渡しても、内部的には分類・リネーム・ギャップ検出が並行して進み、1件ずつ順番に確認する場合より短時間で結果が返ってきます。監査フォルダをCoworkの「プロジェクト」として取り込む場合、個々のファイルは1件あたり50MBまで読み込める仕様なので、スキャンしたPDFのような重いファイルが混ざっていてもこの範囲なら問題になりません。

作業に時間がかかりそうな場合は、Dispatchに投げてスマートフォンから進捗を確認する運用も選べます。デスクトップ側のClaude Desktopを起動したままにしておけば、外出先からモバイルアプリで新しいDispatchの会話を始めて、結果だけ後で確認できます。

統制フレームワークをあらかじめ渡しておく

社内に統制マトリクスや監査チェックリスト、フレームワークのマッピング表がすでにあるなら、書類フォルダと同じ場所に入れておきます。Claudeはそれを分類の物差しとして使うため、フレームワークが手元にない状態で「それらしく」分類させるよりも精度が上がります。逆に、SOC2やISO27001の一般的な構成を伝えるだけでも大枠の分類は進みますが、自社独自の統制項目がある場合は反映されません。

ギャップが見つかったあとの動き方

証跡が薄い統制領域が見つかったら、そこで棚卸しを終わらせず、対応の優先順位付けまで同じ会話の流れの中で一気に進められます。「見つかったギャップごとに、対応の優先度と担当しそうな部署を一覧にしてください」と続けると、統制マトリクスと同じフォルダに、次のアクションが分かる一覧が残ります。監査までの残り日数が短いほど、どこから手を付けるかを先に決めておく価値は大きくなります。

コンプライアンス監査の書類整理でよくあるつまずき

• 機密文書の扱いを確認せずに始める: ファイル自体は自分のフォルダに置かれたまま で、Coworkのセッションはローカルマシン上で動きます。ただし、Claudeが応答を生成する ために文書の内容を読む処理そのものは、通常のClaudeの会話と同じくAnthropicのサーバー 側で行われます。極めて機密度の高い契約書や個人情報を含む証跡が混ざっている場合は、 対象範囲を絞ってから渡すか、社内のデータ取り扱い方針と照らして進め方を決めます
• ギャップ指摘をそのまま監査人に見せる: Claudeが挙げたギャップは一次確認の材料 であり、実際に証跡が存在しないと確定する前に、担当部署への確認を挟みます

監査サイクルのたびに繰り返すならどうするか

年次・四半期ごとに同じ監査サイクルが来るなら、毎回フォルダを渡すところから始めなくても済みます。前回の分類結果や指摘されたギャップへの対応状況を引き継げれば、今回の棚卸しは「前回からの差分だけ」に絞れる可能性もあります。Coworkの「プロジェクト」は、対象フォルダ・監査フレームワークの前提・過去のやり取りをまとめて保存できる機能で、次回のセッションを開いた時点でその文脈がすでに設定された状態から始まります。棚卸しに時間がかかる場合は、バックグラウンドで長時間タスクを進めるDispatchに投げて、結果だけ後で確認する方法もあります。

本記事が扱うのは、SOC2やISO27001のような外部の規制・認証フレームワークに向けた書類整理です。Cowork自体の操作履歴を追跡する監査ログ機能は別の話で、そちらはCowork監査ログと権限管理で扱っています。組織としてCoworkの利用状況そのものを可視化したい場合は、OpenTelemetryでの利用状況・アクティビティのモニタリング機能を別途有効にできます。書類の中身をどう整理したかとは別軸の話なので、両方を混同しないようにします。契約書の一次レビューなど法務のCowork活用全般はClaude Cowork法務活用、プロジェクトの作り方はCoworkプロジェクトの使い方にまとめています。

まとめ

コンプライアンス監査の書類整理は、フォルダをそのままCoworkに渡すところから始まります。分類・リネーム・ギャップ検出までを一度に進められますが、指摘されたギャップは一次確認の材料として扱い、確定は担当部署への確認を挟みます。毎年同じサイクルが来るなら、プロジェクトとして前提を保存しておくと次回の立ち上がりが速くなります。監査対応そのものを楽にするというより、監査前の手作業を減らして、本来の確認作業に時間を回せるようにする位置づけの使い方です。書類を探す作業に費やす時間が減れば、その分だけ証跡の中身そのものを見直す時間に充てられます。