ISO／内部監査で発注記録を求められたときの提示範囲— サンプリングとマスキングの線引き

1. 監査が「発注記録」と言うときの中身

1-1. 台帳行・書面・メールの三層

監査側が見たいのは「いつ誰が何を発注し、いつ受領し、いつ支払ったか」の一連です。
実務では①台帳の行（キー項目）②交付した書面PDF③受領・検収の証跡（メールやシステムログ）の三層に分けて準備すると説明が通ります。
監査側が見たい列は発注台帳の運用実務と同じ並びにしておくと通ります。

1-2. ISOと取適法監査の目的差

ISO系はプロセスの一貫性と記録の完全性を見ることが多く、取適法の社内点検は60日・書面・減額などのコンプラ違反有無を見ることが多いです。
同じ「発注記録」でも、抽出条件と説明の軸が変わるため、監査の種類ごとに提示パッケージを分けてください。

1-3. 法的助言との境界

監査資料は「当社がどう記録しているか」の事実提示です。
「この取引は適用対象外」「この減額は適法」といった法的結論を監査資料に書くと、後から専門家見解と食い違ったときに説明コストが跳ね上がります。

2. 対象期間とサンプリング

2-1. 期間の決め方

よくあるのは「直近12ヶ月」「会計年度」「前回監査以降」です。
期間を口頭で曖昧にせず、抽出クエリの開始日・終了日を監査計画書に先に書いて合意します。
進行中案件は「監査日時点で未完了」と注記し、完了案件と混ぜて誤読されないようにします。

2-2. 全件かサンプルか

件数が少ない（例: 月数十件未満）なら全件提示が早いです。
多い場合は、①ランダム②高額上位③60日に近い行④書面不備フラグ、といった層別サンプルを先に提案します。
監査側が追加で「この取引先だけ」と指定したときは、そのサブセットを別ファイルで出します。

2-3. ウォークスルー用の抜けチェック

監査当日の説明前に、自社で一度ウォークスルーすると質問が減ります。
抜けチェックは発注コンプライアンスのチェックリストの一覧を監査前ウォークスルーに使います。

3. 列・個人情報・価格のマスキング

3-1. 出す列・出さない列

最低限、発注番号・取引先名・発注日・受領日・支払期日・支払日・金額帯・書面交付日・担当部署は監査に必要になりやすいです。
担当者の個人メール・携帯・社内人事評価コメントは原則マスクします。
個人名がプロセス説明に必要な場合は、姓のみや社員番号に置き換える運用もあります。

3-2. 価格・単価の扱い

外部審査員に単価明細まで出す必要がないケースでは、合計金額または金額帯に丸めます。
社内監査で減額の妥当性を見るときは、減額前後の金額と理由コードだけを別シートに切り出します。

3-3. 保存形式の説明

「PDFで何年保管」「CSVは誰がいつ出力したか」が質問されやすいです。
保存形式の説明は帳簿書類の保存形式に寄せると質問が減ります。

4. 書面サンプルと台帳の突合

4-1. サンプル書面の選び方

台帳から3〜5件を抜き、交付書面の記載事項が揃っているかを突合します。
サンプル書面は発注書面と3条の3条型から抜き出すと筋が通ります。

4-2. 電子契約・通知の自動補完

電子契約から台帳へ取り込みしている場合、監査では「取り込み漏れが起きない仕組み」を聞かれます。
取り込みルールは電子契約通知の自動補完で説明できると、手作業入力との差が明確になります。

4-3. CSV監査用エクスポート

提示物は「監査日・抽出条件・行数・ハッシュまたはファイル名」を表紙に書き、CSV本体とセットで保管します。
列定義の揃え方は発注台帳CSVの監査向け出力と同じ型にしておくと、次回以降の再現が楽です。

5. 提示パッケージの組み立て手順

5-1. 事前合意シート

監査計画の段階で、対象期間・サンプル件数・マスク方針・閲覧場所（会議室／画面共有のみ）を1枚にまとめます。
口頭合意だけだと当日に範囲が広がるため、メールまたは議事録で残します。

5-2. 当日の見せ方

まず台帳の抽出条件を画面で見せ、次にサンプル行、最後に書面PDFの順が分かりやすいです。
ファイルを事前に渡す場合は、閲覧期限付きストレージか印刷禁止PDFを使い、終了後に回収または失効させます。

5-3. 指摘への返し方

「この行の受領日が空」などの指摘には、修正期限と担当、再抽出日をその場で約束します。
法解釈が必要な指摘は「専門家確認中」と切り分け、プロセス欠陥と法的見解を混ぜないことが重要です。

6. 提示範囲の判断表（目安）

上表は目安です。
監査契約やNDAの範囲が広い場合は、法務・情報セキュリティと事前にすり合わせてください。

7. シナリオ別の提示パッケージ

7-1. ISO外部審査（半日）

時間制約が強いので、全件CSVではなく「層別サンプル10件＋書面3件＋操作ログ1画面」に絞ります。
審査員が追加要求した場合の予備セット（同条件の別10件）をUSBではなく閲覧専用フォルダに置き、当日中に失効させます。
「当社の標準列定義はこれ」と口頭で言い切れるよう、列辞書を1枚添付すると質問が短くなります。

7-2. 内部監査（プロセス監査）

内部監査は「プロセスが回っているか」が主眼なので、抽出条件の再現手順（誰が・どの画面で・どのフィルタか）を手順書化します。
担当者が休んでも同じパッケージが出せることが、内部監査の合格ラインになりやすいです。
是正指摘が出た場合は、再抽出日と担当をその場でカレンダー登録し、口頭約束だけにしないでください。

7-3. 取引先・親会社からの書面照会

社内監査より開示範囲が狭いのが通常です。
相手が求める条項（例: 支払期日遵守の証明）に合わせて、該当列だけを抜いたサマリーと、必要最小限のサンプル書面に留めます。
価格交渉メモや他社比較表は原則含めず、求められたら法務経由で範囲を再合意します。

8. 証跡の保管と再現テスト

8-1. 提示物のハッシュと表紙

CSVとPDFのセットには、監査日・抽出条件・行数・ファイル名を書いた表紙を付けます。
可能ならファイルのハッシュ値も記録し、「後から差し替えられていない」説明材料にします。

8-2. 四半期の再現テスト

監査が無い四半期でも、同じ抽出手順を空撃ちし、想定件数と乖離がないかを確認します。
乖離が大きいときは列定義変更・権限変更・マスタ除外の急増を疑い、監査前に直します。

8-3. マスキング手順の属人化防止

マスキングを手作業のExcel削除に頼ると、担当者ごとに範囲がぶれます。
出力テンプレ（列の出し分け）をシステム側で固定し、手作業マスクは例外扱いにしてください。

よくある質問

Q. 監査員に本番システムの全権限を渡すべきですか

原則として読み取り専用の限定アカウントか、抽出済みファイルの提示に留めます。
更新権限まで渡すと証跡改変リスクと説明責任が増えます。

Q. 個人情報を完全に消すと監査が通りませんか

プロセスの追跡に必要な識別子（発注番号・部署）が残っていれば足りることが多いです。
氏名が必須なら仮名化で足りるか、監査側に確認してください。

Q. サンプルで問題が出たら全件提出が必要ですか

問題の性質次第です。
系統的な入力漏れなら期間を広げ、偶発なら是正計画と再サンプルで足りることもあります。

Q. 取引先への開示と社内監査は同じ資料でよいですか

目的が違うため、同じ生データをそのまま渡さない方が安全です。
取引先向けは契約上の開示範囲に合わせた別パッケージを作ります。

Q. クラウドSaaSのログも見せるべきですか

「誰がいつ出力したか」が争点になる監査では、操作ログやエクスポート履歴があると説得力が増します。
ログの保持期間はサービス仕様を事前に確認してください。

まとめ

• 提示は台帳・書面・証跡の三層で組み立てる
• 期間・サンプル・マスク方針を事前合意する
• 個人連絡先と単価明細は原則マスク
• 法的結論とプロセス事実を資料上で混ぜない
• 抽出条件付きCSVを監査パッケージの正本にする

注意

監査対応の進め方や提示範囲の例示であり、ISO適合や法令適合を保証するものではありません。
トリカク（torikaku） の画面説明を含みますが、法的助言ではありません。個別の開示範囲・マスキング方針は社内規程と専門家の見解に従ってください。