MENU
バックオフィスの常識に革命を
  1. ホーム
  2. AIセキュリティ コンプライアンス文書｜外部審査機関向け

AIセキュリティ コンプライアンス文書｜外部審査機関向け

AI Security Compliance Documentation — External Audit Authority

AIセキュリティ コンプライアンス文書
外部審査機関・認証機関向け

本資料は、Work Rules社会保険労務士法人（以下「当法人」）が実施するAIシステムのセキュリティ管理体制について、外部審査機関・監査法人・規制当局向けに準拠状況を体系的に開示するものです。

AI事業者ガイドライン 第1.2版（令和8年3月31日）準拠
ISO/IEC 42001 参照対応
個人情報保護法・マイナンバー法・社労士法 準拠
🏅
SRPⅡ認証 取得済み
全国社労士会連合会 個人情報保護 上位レベル
✅
AI事業者ガイドライン準拠
経済産業省・総務省 第1.2版（令和8年3月31日）
🔄
ISO/IEC 27001（ISMS）ギャップ分析クリア済み
2026年4月 ギャップ分析完了
文書番号：WR-SEC-COMP-2026-001
版：1.2
発行日：2026年4月20日
次回レビュー：2026年10月
分類：外部開示可（審査機関限定）
承認者：代表 蒲谷 良司（社会保険労務士）
1

AIセキュリティ ガバナンス体制

1-1. 責任体制

AIセキュリティ最高責任者（CAISO）
代表 蒲谷 良司（社会保険労務士）
セキュリティ方針の最終承認権限
↓
セキュリティ管理責任者
管理担当責任者
AIシステム技術責任者
ITシステム担当
業務品質責任者
社会保険労務士（有資格者）
↓
担当スタッフ全員
AIセキュリティ方針の遵守義務

1-2. セキュリティ委員会

会議体構成員開催頻度主要議題
AIセキュリティ委員会CAISO・管理責任者・技術責任者・業務品質責任者四半期（法改正時は随時）セキュリティ評価・インシデント報告・方針改訂・法改正対応
日常セキュリティ確認技術担当 + 担当スタッフ月次ログ確認・アラートレビュー・KPI確認
インシデント対応会議関係者全員（随時招集）インシデント発生時初動対応・被害範囲確認・顧客通知・根本対策

1-3. AIセキュリティ方針の適用範囲

適用対象内容
組織の範囲Work Rules社会保険労務士法人の全スタッフ・業務委託者・有資格者
システムの範囲WRAIAkyuuyoエンジン・Claude API・M365 Copilot・GWS Gemini・Box・Slack・その他承認済みAIツール
データの範囲クライアント企業から預かる全データ（給与・労務・人事・マイナンバー）
地理的範囲国内業務（海外データ転送は原則禁止）
2

リスクアセスメント

2-1. リスク評価方法論

当法人はリスクを「発生可能性（1〜5）× 影響度（1〜5）= リスクスコア」で評価し、スコアに応じた対応を決定します。

影響度 →
発生可能性 ↓
1 軽微
2 小
3 中
4 大
5 壊滅的
5 高
5
10
15
20
25
4 やや高
4
8
12
16
20
3 中
3
6
9
12
15
2 低
2
4
6
8
10
1 極低
1
2
3
4
5

スコア 1〜4: 低リスク（定期監視）　5〜9: 中リスク（対策実施）　10〜14: 高リスク（優先対策）　15〜25: 最高リスク（即時対策）

2-2. 主要リスク一覧（現状評価）

リスク発生可能性影響度スコア現状の対策残存リスク
マイナンバーのAI誤入力・漏洩1（技術的禁止）5（最高）5AIシステムからの完全分離・技術的制御低
プロンプトインジェクション攻撃3（外部データ処理時）4（大）12入力サニタイゼーション・出力バリデーション・HITL中
シャドーAI利用による情報漏洩3（啓発前は高）4（大）12承認済みツールリスト・定期研修・DLPポリシー中
サプライチェーン攻撃（AIツール・パッケージ）2（管理強化済み）4（大）8承認リスト管理・月次脆弱性スキャン・公式確認手順中
フィッシング・ディープフェイクによる情報詐取3（AI進化で増加傾向）3（中）9MFA・折り返し確認ルール・定期訓練中
AIの誤出力による計算ミス1（プログラム処理を使用）4（大）4計算はプログラム処理（AI使用禁止）・機械検証ゲート低
外部AIサービスの障害・停止2（クラウド障害）2（小）4ルールベースフォールバック設計・BCP策定低
法改正への未対応2（定期監視で低減）4（大）8法改正監視体制・四半期レビュー・社労士による確認中
3a

AI事業者ガイドライン 第1.2版 準拠マッピング

📋 参照文書
総務省・経済産業省「AI事業者ガイドライン」第1.2版（令和8年3月31日）
URL: https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/20260331_report.html
原則・項目ガイドラインの要求事項（概要）当法人の対応エビデンス準拠状況
人間中心の原則 AIは人間の意思決定を支援するものであり、最終判断は人間が行う HITL（Human-in-the-Loop）を全処理フローに組み込み。社会保険労務士による最終承認を必須化 HITLチェックポイント仕様書・社労士承認ログ ✓ 準拠
透明性の原則 AIシステムの動作・判断根拠をステークホルダーが理解できるよう説明する 判定根拠出力機能（特許請求項8）によりAIの全判断根拠を記録・開示可能 判定根拠レポートサンプル ✓ 準拠
プライバシー保護の原則 個人情報を適切に取り扱い、プライバシーを侵害しない データ分類体系・L3/L4のAI非入力ルール・アクセス制御・マイナンバーの完全分離 データ分類ポリシー文書・技術設計書 ✓ 準拠
セキュリティ確保の原則 AIシステムのセキュリティを確保し、悪用・攻撃への対策を講じる 多層防御設計・プロンプトインジェクション対策・サプライチェーン管理・インシデント対応体制 セキュリティ実装仕様書・インシデントRunbook ✓ 準拠
公正性の原則 AIが不当な差別・偏見を生まないよう設計・運用する 給与計算・社会保険は法令定義の計算式をプログラムで実装。AIは文章生成補助のみに限定 計算処理設計書 ✓ 準拠
説明責任の原則 AIの利用に関する説明責任を担う体制を構築する CAISO（代表）を責任者とするガバナンス体制・全処理ログの保管・クライアントへの開示体制 本資料・監査証跡体制 ✓ 準拠
AIエージェントの安全管理
（第1.2版で強化）		 自律的なAIエージェントが外部アクションを実行する場合のリスク管理を強化 AIが単独で外部操作を完結させない設計。全外部アクション前に人間の承認が必要 WRAIAkyuuyoフロー設計書・機械検証ゲート仕様 ✓ 準拠
Human-in-the-Loop
（第1.2版で明示的要求）		 高リスク判断における人間の介在を明示的に要求 5段階のHITLチェックポイントを設計（一次確認・月次レビュー・届出前最終確認・四半期総点検・法改正時） HITLチェックポイント実装記録 ✓ 準拠
3b

個人情報保護法 対応状況

法律の要件条文当法人の対応準拠状況
個人情報の適正な取得第17条クライアントとの業務委託契約に基づく適正取得。利用目的を明示✓
利用目的による制限第18条給与計算・社会保険手続きの目的のみに使用。目的外利用なし✓
安全管理措置第23条データ分類・暗号化・アクセス制御・ログ管理・社員教育を実施✓
第三者提供の制限第27条原則禁止。法令上の義務がある場合のみ、クライアント事前連絡の上で対応✓
漏洩等の報告・通知（改正）第26条速報（72時間以内）・確報（30日以内）の手順を整備。インシデントRunbookに記載✓
外国への第三者提供の制限（改正）第28条外部AIサービスへの個人情報（L3以上）の入力を禁止することで対応✓
委託先の監督第25条承認済みAIツールのデータポリシーを事前確認・定期審査✓
3c

マイナンバー法 安全管理措置

🔴 最重要管理事項
特定個人情報（マイナンバー）はAIシステムから完全分離し、技術的にAIへの入力を禁止する設計を採用。これはAIツールの種別・設定に依存しない絶対的な制御です。
安全管理措置の種別法律・ガイドラインの要求当法人の実施内容準拠状況
基本方針の策定マイナンバー法・特定個人情報の適正な取り扱いに関するガイドラインマイナンバー取扱規程の整備・全スタッフへの周知✓
組織的安全管理措置取扱担当者の限定・責任者設置・定期点検担当者を最小限に限定・責任者をCAISOとして設置・四半期点検を実施✓
人的安全管理措置教育・訓練・誓約書入社時・定期（年1回以上）のマイナンバー取扱研修。守秘義務誓約書の取得✓
物理的安全管理措置取扱区域の管理・媒体の施錠・廃棄マイナンバー取扱専用端末の設定・鍵付き保管庫・シュレッダー廃棄の記録✓
技術的安全管理措置アクセス制御・暗号化・不正アクセス対策AIシステムとの論理分離・専用処理プログラム・アクセスログ取得・通信暗号化✓
委託先の監督委託先への安全管理措置の担保処理をAI外部サービスに委託しない設計（技術的に不可能な状態）✓（技術的制御）
3d

社会保険労務士法 準拠状況

条文規定内容当法人の対応準拠状況
第2条1項1号・2号 社会・労働保険の申請書類作成・提出代行、法定帳簿作成は社会保険労務士の独占業務 AIは計算補助・下書き作成のみ。最終確認・署名・提出は有資格の社会保険労務士が実施 ✓ 完全準拠
第21条 業務上知り得た秘密を正当な理由なく漏らすことを禁ずる守秘義務 機密情報のAI非入力ルール・匿名化処理・AIツールのデータポリシー事前確認 ✓ 完全準拠
第27条 非社会保険労務士（AI含む）による独占業務の禁止 AIが独占業務を単独で完結させない設計。HITL必須化・技術的制御 ✓ 完全準拠
第32条の2 第27条違反の罰則（1年以下の拘禁刑又は100万円以下の罰金 ／ 令和7年6月1日施行の改正刑法により「懲役」は「拘禁刑」に統一） 上記設計により違反リスクをゼロに近いレベルに制御 ✓ リスク管理済み
3e

ISO/IEC 42001（AIマネジメントシステム）参照対応

当法人はISO/IEC 42001の認証取得は現時点では未取得ですが、同標準を参照し主要な要求事項との整合性を確認しています。

ISO/IEC 42001 箇条要求事項（概要）当法人の対応状況ステータス
箇条4 組織の状況AIシステムの内外部の課題・ステークホルダーの特定クライアント・規制当局・スタッフ等のステークホルダー分析実施済み対応済み
箇条5 リーダーシップトップマネジメントのコミットメント・方針策定代表（CAISO）によるセキュリティ方針の承認・推進対応済み
箇条6 計画リスクアセスメント・対策計画リスクマトリクスによる定期評価・対応計画の策定対応済み
箇条7 支援資源・力量・教育・コミュニケーションスタッフへの定期研修・社内セキュリティ文書の整備対応済み
箇条8 運用AI固有リスクの管理・導入プロセスの管理承認済みツールリスト・HITL実装・機械検証ゲート・監査ログ対応済み
箇条9 パフォーマンス評価監視・測定・内部監査・マネジメントレビュー四半期セキュリティ委員会・月次ログレビュー・KPI管理一部対応
箇条10 改善不適合の是正・継続的改善インシデント後のRCA・法改正対応プロセス対応済み
附属書A AIシステム固有のリスクAIの公平性・説明可能性・信頼性・安全性の確保計算精度（プログラム処理）・説明可能AI（請求項8）・自動検証（請求項1,3,4）対応済み

※ 「一部対応」項目については、2026年度内に正式なKPI定義と測定記録の整備を予定しています。

4

技術的管理策

ISO/IEC 27001 附属書Aを参考に、当法人のAIシステムに適用する技術的管理策の実施状況を示します。

管理策 ID管理策名称実施内容実施状況
A.5.15アクセス制御RBAC（役割ベースアクセス制御）・最小権限原則・定期的な権限レビュー（四半期）✓
A.5.16識別情報の管理SSO（Microsoft Entra ID）・ユーザーIDの一意割り当て・退職時の即時無効化✓
A.5.17認証情報MFA必須化・APIキーローテーション（90〜180日）・.env管理による平文禁止✓
A.8.7マルウェアからの保護エンドポイント保護・承認済みパッケージリスト・月次脆弱性スキャン✓
A.8.8技術的な脆弱性の管理pip-audit / GitHub Secret Scanning / CVEモニタリング✓
A.8.15ログ取得統一ログスキーマによる全処理記録・5年間保管・改ざん防止設定✓
A.8.16監視活動リアルタイムアラート・月次ログレビュー・異常検知ルール設定✓
A.8.24暗号の使用TLS 1.2以上（通信）・AES-256（保存）・クラウドプロバイダー標準暗号化✓
A.8.28セキュアなコーディングコーディングガイドライン・コードレビューチェックリスト・git pre-commit hook✓
AI固有 — HITLHuman-in-the-Loop5段階のHITLチェックポイント・全AIアクションに人間確認を必須化✓
AI固有 — 検証ゲートAI出力の自動検証機械検証ゲート（特許請求項1）・クロスチェック（請求項3）・三方照合（請求項6）✓
AI固有 — 説明可能性AIの判断根拠記録判定根拠出力機能（特許請求項8）による自動記録✓
5

人的・組織的管理策

5-1. 教育・研修体制

研修種別対象実施頻度内容記録
AIセキュリティ基礎研修全スタッフ入社時 + 年1回以上シャドーAI・プロンプトインジェクション・フィッシング・ディープフェイク対策受講記録・確認テスト
マイナンバー取扱研修マイナンバー取扱担当者入社時 + 年1回マイナンバー法・安全管理措置・AIへの非入力ルール受講記録・誓約書
社労士向けAI補助ツール研修社会保険労務士新ツール導入時 + 法改正時AIツールの適切な使い方・HITL実施方法・独占業務での注意点受講記録
フィッシング訓練全スタッフ年2回模擬フィッシングメール・ディープフェイク音声の識別演習訓練結果・フォローアップ記録
インシデント対応訓練IT担当・責任者年1回インシデント対応Runbookに基づく演習演習記録・改善事項

5-2. 職務分掌（Segregation of Duties）

重要業務申請・実行者確認者最終承認者
給与計算の確定プログラム（自動）+ 担当スタッフ社会保険労務士社会保険労務士（署名）
社会保険届出の提出担当スタッフ（書類作成）社会保険労務士（内容確認）社会保険労務士（独占業務・署名）
新規AIツールの導入担当スタッフ（提案）IT管理者（セキュリティレビュー）責任者（承認）
ルールDB（法令ルール）の変更技術担当（提案）社会保険労務士（法的確認）責任者（承認・適用）
クライアントデータの一括エクスポート担当スタッフ（申請）IT管理者責任者
6

監査証跡・エビデンス体制

6-1. エビデンス一覧

カテゴリエビデンス種別内容保管期間提供形式
AI処理記録統一処理ログ全処理の日時・担当者・クライアント・データ分類5年CSV・PDF
機械検証ゲート判定記録全ゲートの判定結果・根拠Rule ID5年CSV・PDF
判定根拠レポート（請求項8）AIの判断理由・参照法令・ルールID5年PDF（電子署名付き）
三方照合結果（請求項6）元データ・履歴・計算値の照合結果5年CSV・PDF
人間確認記録HITL実施記録各チェックポイントの確認日時・担当者5年ログ・PDF
社労士承認記録有資格者による最終確認日時・署名5年PDF（電子署名）
法定書類の作成・提出記録各種届出書類と提出証跡法定期間（2〜5年）原本・PDF
セキュリティ記録アクセスログクライアントデータへの全アクセス記録5年CSV
インシデント対応記録インシデントレポート・対応記録・再発防止策10年PDF
ガバナンス記録セキュリティ委員会議事録四半期委員会の決定事項・評価結果5年PDF
ルールDB変更履歴法令ルールの更新内容・承認者・日時10年Gitログ・変更記録
教育記録研修受講記録全スタッフの受講履歴・テスト結果5年CSV・PDF
守秘義務誓約書全スタッフのマイナンバー取扱誓約退職後3年原本

6-2. エビデンス提供手順

審査・調査の種類対応フロー提供目標時間
外部監査法人による確認担当者窓口で受付 → 必要エビデンスの特定 → IT管理者がログ抽出 → 責任者が確認 → 提供要請から5営業日以内
行政機関（労基署・年金事務所等）の調査責任者が対応。法定書類・処理記録を準備 → 担当社労士が同席要請に従う（速やかに）
個人情報保護委員会の報告要求責任者主導で対応。顧問弁護士に連絡・相談 → 提出期限内（法定通り）
クライアントからのセキュリティ審査本資料および関連エビデンスを提供 → 必要に応じて説明会を実施要請から10営業日以内
7

PDCA・継続的改善

P — 計画

セキュリティ方針・計画策定

  • 年次セキュリティ計画の策定（10月）
  • リスクアセスメントの実施（四半期）
  • 法改正スケジュールの把握・対応計画
  • 教育・訓練計画の立案
D — 実施

セキュリティ管理策の運用

  • 日常的なログ監視・アラート対応
  • 月次セキュリティ確認会議
  • 研修・フィッシング訓練の実施
  • 法改正発令時のルールDB更新・テスト
C — 評価

パフォーマンス評価・監査

  • 四半期セキュリティ委員会での評価
  • KPI（AIエラー率・インシデント数・ゲートFAIL率）の測定
  • クライアントからのフィードバック収集
  • 外部監査・審査への対応
A — 改善

是正・予防・継続的改善

  • インシデント後の根本原因分析（RCA）
  • KPI未達成項目の是正計画策定
  • 新たな脅威への対策強化
  • セキュリティ方針の年次改訂

7-1. KPI（重要業績評価指標）

KPI目標値測定頻度責任者
機械検証ゲートFAIL率全処理の5%未満（FAILはブロック・確認済み）月次IT管理者
二重ループ検証の3回以内収束率99%以上（POC実証値：99.2%）月次IT管理者
HITL完了率100%（スキップゼロ）月次業務品質責任者
P1以上インシデント発生数0件/四半期四半期セキュリティ管理責任者
スタッフセキュリティ研修受講率100%（全員受講）年次セキュリティ管理責任者
APIキーローテーション実施率100%（期限内に全キー更新）四半期IT管理者
法改正対応（ルールDB更新）のタイムリー率施行日前日までに100%対応随時技術責任者 + 業務品質責任者
8

事業継続計画（BCP / DR）

ℹ 設計思想
当法人のAIシステムは「AIに依存しない」設計を基本としています。コア業務（給与計算・社会保険届出）はAIが使えない状態でも継続できるルールベースプログラム処理と手動処理手順により、業務停止を回避します。

8-1. RTO / RPO 目標

システム・サービスRTO（目標復旧時間）RPO（目標復旧時点）
コア給与計算処理（ルールベース）即時（AI停止時に自動切替）処理時点のデータ（損失ゼロ）
AI補助機能（文書作成・Q&A等）代替手段で即時継続（影響小）N/A（補助機能のため）
クライアントデータへのアクセス2〜4時間以内最新バックアップ時点（24時間以内）
監査ログ・証跡24時間以内最新バックアップ時点

8-2. 障害シナリオ別対応計画

障害シナリオ影響範囲対応計画クライアント通知
外部AIサービス（Claude API等）停止AI補助機能のみ自動でルールベース処理に切替。影響なし不要（自動切替のため）
M365 / GWS 広域障害クライアントデータへのアクセス不可WR指定バックアップ環境への切替・手動処理発生後2時間以内に連絡
WR社内ネットワーク・システム障害自動処理の停止手動処理に切替・業務スケジュールの調整発生後2時間以内に連絡
ランサムウェア・大規模サイバー攻撃全システムに影響の可能性①システム遮断②被害範囲確認③バックアップからの復旧④クライアント通知検知後1時間以内に第一報
大規模災害（地震・火災等）オフィス・システムに影響リモートワーク体制での最低限の業務継続・手順書に従った対応翌営業日以内に状況連絡
宣

宣言・承認署名

Work Rules社会保険労務士法人は、本文書に記載するAIセキュリティ管理体制を誠実に運用し、 総務省・経済産業省「AI事業者ガイドライン（第1.2版）」（令和8年3月31日）の趣旨に沿い、 個人情報保護法・マイナンバー法・社会保険労務士法その他関連法令を遵守して AI技術を活用することを宣言します。

本宣言は四半期ごとに見直しを行い、法改正・新たな脅威・業務変化に応じて継続的に改善します。

承認者（CAISO）
代表 蒲谷 良司
Work Rules社会保険労務士法人
発行日
2026年4月20日
次回レビュー予定
2026年10月
（署名・押印欄）
Work Rules社会保険労務士法人
〒141-0031 東京都品川区西五反田2-24-9 五反田Nビル9F ｜ Tel: 03-6421-7911 ｜ nara@workrules.jp

参照法令・規格：
AI事業者ガイドライン 第1.2版（経済産業省・総務省、令和8年3月31日）｜ 行政手続における特定の個人を識別するための番号の利用等に関する法律（マイナンバー法）｜ 個人情報の保護に関する法律（個人情報保護法）｜ 社会保険労務士法 第2条・第21条・第27条・第32条の2｜ ISO/IEC 42001:2023（AIマネジメントシステム、参照）｜ ISO/IEC 27001:2022（情報セキュリティマネジメント、参照）

文書番号：WR-SEC-COMP-2026-001 ｜ Rev. 1.2 ｜ 分類：外部審査機関向け