今日の文書 — 監査報告書
監査報告書（内部監査報告書） — 内部監査部門が、ある業務の統制（決まりと仕組み）が有効に働いているかを確かめた結果を、経営者と監査を監督する機関（取締役会・監査等委員会・監査役会）に報告する文書。被監査部門の改善計画（経営側の回答）と、内部監査部門がいつ確かめ直すか（フォローアップ）までを含む。
| 比べる文書 | 書く人 | 読み手 | 本体 |
|---|---|---|---|
| 品質保証計画書（カテゴリ10の1本目、Day010） | 作る側 | 開発・判定する人 | これから何を、どう確かめるか |
| 監査報告書（今日） | 独立した監査人 | 経営者・監査等委員会 | 確かめた結果の評価、指摘の重要度、経営側の対応 |
| 是正措置報告書 CAPA（カテゴリ10の3本目、次の候補） | 指摘を受けた側 | 監査側・経営層 | 真因と、再発を止めた証拠 |
| 監査指摘への回答書（カテゴリ10の6本目） | 指摘を受けた側 | 監査側 | 対応・期限・責任者 |
世界で広く使われている基準に、内部監査人協会（IIA）の Global Internal Audit Standards（2024年公表、2025年1月発効）がある。指摘の評価（Standard 14.3）で指摘を重要度で順位づけること、最終報告（Standard 15.1）で対象の統制が有効かについての監査人の判断（結論）を示すことを求めている。指摘の中身は、実務では Criteria（規準：あるべき姿）／Condition（状況：実際）／Cause（原因）／Effect（影響） の4つで書くのが定番である。
この文書の勝負どころ: 指摘の重要度が区別されているか。 今日の題材では、もう一段深い問いがある。「重要度が高い」と「経営の判断が要る」は同じではない。 今も起こりうる問題は重要度が高いが、部門の手で数日で止められることがある。逆に、過去の記録の欠けは今は増えないが、直すと売上が減るので経営にしか決められないことがある。読み手（社長・監査等委員会）が知りたいのは「どれが一番悪いか」と「自分たちが何を決めるか」の両方で、その2つを1つの「高・中・低」に押し込むと、どちらも伝わらない。
シナリオ
今日の書き手は、これまでの宮田さんではない。監査報告書は被監査部門から独立した人が書く文書なので、宮田さん（販促システム部）が書くと文書の性質が壊れる。
あなたは株式会社ノヴァストア 内部監査室の監査担当・平田（新登場。前職は経理部で、販促システム部・CS部に所属したことはない）。上長は内部監査室長・坂本さん（新登場）。
7月、販促システム部 MOps が始めた確認メールの施策（T1、Day024・026）の陰で、委託先コンタクトセンターのオペレーターが CS管理画面の「メール受信」欄を確認待ちから「受け取る」へ手で変える操作が41件起きた（Day026。原因は記事の書き方で、個人の問題ではない）。CS部はこれを内部監査室に報告し、内部監査室は2029年度の監査計画にテーマ監査「広告メールの同意と記録の管理」を追加した。
| 日付（2029年） | 出来事（数字はシナリオ内の設定） |
|---|---|
| 8/27（月）〜9/14（金） | 実地の監査。対象期間は 4/1〜8/31。販促システム部（高梨部長・宮田さん）、CS部（江口部長、新登場。松本さんは Day009）、法務（小林さん、Day007）に聞き取り |
| 9/21（金） | 報告書の案を被監査部門へ。経営側の回答を 9/28（金）までに依頼 |
| 10/3（水） | 最終報告書を社長と監査等委員会へ提出（委員会の前日までに PDF で配付） |
| 10/10（水） | 監査等委員会。内部監査室の報告は3テーマで計45分、このテーマは15分 |
監査で分かったこと:
| 確かめたこと | 結果 |
|---|---|
| CS管理画面の「メール受信」欄を「受け取る」へ変えた操作（4/1〜8/31 の全件52件） | 7/1〜7/8 の41件（取消済み）。記事を直した7/12の後も 7/13〜8/31 に3件（委託先）。うち2件は通話の録音で本人の依頼を確認、1件は依頼を確認できない。残り8件は MOps 社員がチケットつきで行った正当な変更 |
| 欄を変えられる人 | 約70名（CS部の社員28名＋委託先42名）。変えるときに理由や本人の記録を残す欄はない。画面の改修は 7/11 に依頼済みで、予定は11/30 |
| 2027/10/8 の配信基盤の移行前に登録した会員 | 41.2万人（いまの配信先 約63万人の65%）。同意の日時が移行日の一括値（2027-10-08）になっていて、いつ・どの画面で同意したかを示せない。うち2022/3以前に登録した33.6万人は、登録画面の文言そのものも残っていない（旧基盤のベンダーとの契約終了で2028/3に消去） |
| 登録画面の文言を変えたときの記録 | 2022/4以降の変更5回のうち4回は開発チケットに画面がある。2028/3 の1回は手順がなく残っていなかったが、Git の履歴から文言と公開日を復元できた |
| 確認待ちの会員に確認前の広告メールが出ていないか | 無作為60件で 0件 |
| 配信停止が反映されているか | 無作為40件で全件、最長3時間12分で止まった（規程は24時間以内） |
確かめた規準（あるべき姿）:
- 特定電子メール法: 広告メールは同意した人にだけ送り（第3条第1項）、同意を受けた際の状況（時期と方法など）を示す記録を保存する（第3条第2項。保存期間は、その宛先に最後に送った日から1か月）
- 特定商取引法: 通信販売の電子メール広告は、請求・承諾があったことを示す記録を広告を行った日から3年保存する。定型の画面で承諾を得ている場合は、表示した定型的な内容と、それが表示された時期の記録で代えられる
- 社内規程「広告メール配信管理規程」（架空）第8条: 受信の設定は本人の操作か、本人の依頼の記録があるときに限り変更する
9/28 に届いた経営側の回答:
- 指摘1: CS部 江口部長が、欄を変えられる人を 10/12（金）までに MOps の3名に絞る（権限の設定だけで、画面の改修は要らない）。画面の改修（理由と本人の記録を必須に）は販促システム部 高梨部長が 11/30（金） に
- 指摘2: 高梨部長の案は、旧画面の文言を復元（社内の議事録・キャンペーンのメール・外部のアーカイブ）し、法務の意見を12/14（金）までに得る。記録として足りないと判断されたら、再同意（「これからもメールを受け取りますか」と確かめ、押した人にだけ送る）に切り替える。どちらにするかは12/20（木）の経営会議で決める
- 再同意をすぐ行うと、押さない会員には送れなくなる。メール経由の売上は年約13億円で、41.2万人分は単純に比例させると約8.5億円。再同意で戻るのが3〜5割なら、年4.3〜6.0億円が失われる（戻る割合は他社の例を聞いた MOps の見立てで、当社の実績はない）
坂本室長からの注文は2つ。「委員会は15分で、委員は前日に PDF を読む。最初の1ページで、委員が何を決めるのかが分かるように」「法令に違反しているかどうかは、内部監査室の判断ではない。そこを混ぜないこと」。
読み手プロファイル
| 項目 | 内容 |
|---|---|
| 誰が読むか | 代表取締役社長・飯島（新登場）と監査等委員会の3名: 委員長・久保（社外取締役、弁護士）、宇野（社外取締役、公認会計士）、吉川（常勤の監査等委員、元経理部長）。いずれも新登場 |
| 何を判断するために読むか | 社長: 経営として決めることがあるか（指摘2の進め方を12/20に決める）。監査等委員会: 経営側の対応が十分か、期限は妥当か、経営が「何もしない」を選んだ場合にどう扱うか。理解のためではなく、決める・監督するために読む |
| 何を知っているか | 会社の事業と業績、内部統制の一般論（宇野さん・吉川さん）、特定電子メール法・特定商取引法の一般論（久保さん）、メールが売上の柱の1つであること |
| 何を知らないか | T1（確認メール）、CS管理画面の欄、委託先の存在、2027年の配信基盤の移行、7月の41件、メール1通・会員1人あたりの売上 |
| 何を気にしているか | 法令違反と行政の命令、会社の評判（久保さん）。統制の不備が「重要」かどうか、直る見込み（宇野さん）。売上への影響（社長）。経営が知らないうちにリスクを抱えていないか（委員会全体） |
| 読む時間と場面 | 前日の夜に PDF で1ページ目だけ読み、当日は15分の報告を聞きながら質問を2〜3個する。 詳細（2ページ目以降）は質問が出たときに開く |
この読み手が変わると何が変わるか: 読み手が被監査部門（高梨部長・江口部長）なら、冒頭は総合評価ではなく指摘ごとの原因と、何を直せば指摘が閉じるかになり、サンプルの取り方や規程の条文まで本文に入れる。読み手が外部の監査法人なら、手続きと証跡（どの期間の何件を、どう選んだか）が先で、売上への影響は要らない。今日は決める・監督する立場の経営層なので、「どれが最も悪いか」と「誰が何を決めるか」を1ページ目で分けて見せる。
4段階で見る — 「冒頭の結論と指摘の要約」
同じ監査報告書の 「冒頭の結論と指摘の要約（委員が前日に読む1ページ目）」 を4段階で書き分けたもの。タブで精読、「横に並べる」で差を一望できる。
行数 16・16・17・17行、字数 Bad371→Good346→Better717→Best668字（空白を除く・実測）。BestはBetterと同じ行数で49字短い（ほぼ同量の入れ替わり型）。重要度の基準・指摘3・問題がなかった範囲を全文へ回し、案A〜Cと「社長に」「委員会に」を足した。BadがGoodより長いのは、外れようのない言葉が字数を食うため。
「概ね適切に運用されていたが、一部に改善を要する」。
重要度なし。「問題なし」が指摘の番号に混ざる。
原因は「注意不足」、対応は「協議の上」「努められたい」。目的・範囲・総合評価・指摘一覧・良好な点・回答。
指摘1も指摘2も「高」。基準がなく、件数に引っ張られる。
41.2万人が金額にならず、決めるべき分かれ道が見えない。総合評価に理由2行と「いつ外れるか」。重要度の基準を1行。
基準で付け直すと指摘2は「中」。事実・影響・対応を人と日付で。
「直した後も3件」と、問題がなかった範囲をサンプル数で。「最も重いのは指摘1、判断が要るのは指摘2。別のもの」。
社長に: 12/20に案A〜Cを決める（Bは年4.3〜6.0億円減）。
委員会に: Cなら取締役会へ。法令の判断は当室ではしない。"generally adequate".
"certain areas for improvement".
"due to carelessness of some agents"."Overall Rating: Needs Improvement".
Finding 1 High / Finding 2 High.
"are considered adequate" (by whom?)."Needs Improvement (3 of 4) until Finding 1 is verified".
"Rating scale: High = ...; Medium = ...".
Condition / Effect / Action, owner by name."Bottom line: ... two different things."
"Decision for the CEO — choose one: A / B / C".
"Internal Audit does not opine on legal compliance."内部監査報告書（広告メール配信の同意管理について）
1. 監査の概要
2029年8月27日から9月14日まで、販促システム部およびCS部を対象に、
広告メール配信に係る同意管理の状況について監査を実施した。
2. 監査結果
監査の結果、概ね適切に運用されていたが、一部に改善を要する事項が認められた。
3. 指摘事項
(1) CS管理画面の権限設定について、見直しが望まれる。7月に一部の委託先
オペレーターの注意不足により、不適切な変更が41件発生していた。
(2) 旧基盤からの移行データについて、同意記録の一部に不備が見られる。
(3) 登録画面の変更管理手順を整備されたい。
(4) 配信停止についてはサンプル40件を確認し、問題はなかった。
4. 今後の対応
いずれも被監査部門と協議の上、改善を進めることで合意している。
引き続き関係部署と連携し、適切な運用に努められたい。Internal Audit Report – Email Marketing Consent Management
1. Overview
An audit of the consent management process for marketing emails was
conducted from August 27 to September 14, 2029.
2. Results
Overall, the process was found to be generally adequate; however,
certain areas for improvement were noted.
3. Findings
(1) Access rights in the CS admin screen should be reviewed. In July,
41 inappropriate changes were made due to carelessness of some
outsourced agents.
(2) Some consent records in the migrated data appear to be incomplete.
(3) Change management procedures for the sign-up page should be established.
(4) No issues were found in 40 sampled unsubscribe requests.
4. Next Steps
All items were discussed with the auditees, who agreed to improve.受動態（was conducted / were noted / were found）が続き、誰が何をするかが消えている。"generally adequate" "certain areas" "some ... appear to be" は、英文の監査報告では評価を避けている合図として読まれる。"carelessness of some outsourced agents" は個人に原因を置く書き方で、英語圏の監査委員会では「統制の設計を見ていない」と受け取られる。
内部監査報告書 IA-2029-07「広告メールの同意と記録の管理」
宛先: 代表取締役社長 飯島／監査等委員会 報告日: 2029年10月3日
1. 目的と範囲
広告メールが同意を得た会員にだけ送られ、同意の記録が保存されているかを
確かめた。対象期間 2029/4/1〜8/31。LINE の配信は対象外。
2. 総合評価: 一部改善が必要
3. 指摘事項一覧
No 指摘 重要度 期限 担当
1 受信欄を変更できる権限が広い 高 11/30 CS部
2 移行前に登録した会員の同意記録が不十分 高 12/20 販促システム部
3 登録画面の文言を保存する手順がない 低 12/20 販促システム部
4. 良好な点
確認メールによる配信の制御と、配信停止の反映は有効に機能していた。
5. 被監査部門の回答
全ての指摘について改善計画が提出され、内部監査室は妥当と判断した。Badから何が変わったか:
- ③事実と解釈の分離が動いた。目的・範囲・総合評価・指摘・良好な点・回答の型がそろい、「問題なし」が指摘から外れて「良好な点」に移った。IIA の最終報告の要素（目的・範囲・結論・指摘・経営の対応）をほぼ満たしている
- ④次の行動が動いた。指摘ごとに期限と担当部署が入った
- ②読み手適合が少し動いた。宛先が社長と監査等委員会になり、委員が監督する対象（指摘の一覧）が表になった。人を責める言葉も消えた
まだ足りないもの:
- 「高」に基準がない。 指摘1と指摘2がどちらも「高」だが、中身はまったく違う。指摘1は今も起こりうるが、権限の設定で数日で止められる。指摘2は過去の記録で今は増えないが、直すと売上が減る。委員は2つの「高」を同じ重さで聞き、どちらに時間を使えばよいか分からない
- 指摘1の期限11/30までの2か月、同じことが起きうるのに、それまでの手当てが書かれていない（経営側の回答には10/12の権限の絞り込みがあるのに、要約に出ていない）
- 規模と影響が書かれていない。 「同意記録が不十分」が41.2万人・配信先の65%・売上 年約8.5億円の宛先だと分からない
- 「妥当と判断した」が、決めるべきことを隠している。 指摘2の回答には「法務の意見しだいで再同意に切り替える」という分かれ道があり、どちらにするかは12/20の経営会議で決まる。要約からは、委員が監督すべき分かれ道が見えない
Internal Audit Report IA-2029-07: Marketing Email Consent and Records
To: Mr. Iijima, President & CEO; Audit and Supervisory Committee
Date: October 3, 2029
1. Objective and Scope
To assess whether marketing emails are sent only to consenting members and
whether consent records are retained. Period: Apr 1 – Aug 31, 2029.
LINE messaging is out of scope.
2. Overall Rating: Needs Improvement
3. Summary of Findings
# Finding Rating Due Owner
1 Too many users can change the email opt-in field High Nov 30 CS Dept.
2 Consent records for pre-migration members High Dec 20 Marketing Systems
3 No procedure to archive sign-up page wording Low Dec 20 Marketing Systems
4. Positive Observations
Confirmation-email controls and unsubscribe processing operated effectively.
5. Management Response
Action plans were provided for all findings and are considered adequate.Objective / Scope / Overall Rating / Findings / Management Response という英文監査報告の定番の見出しがそろった。それでも "High" "Needs Improvement" に定義がなく、英文の監査委員会では最初に "What does 'High' mean here?" と聞かれる。"are considered adequate" は誰が判断したのかが消えた受動態。
内部監査報告書 IA-2029-07 広告メールの同意と記録の管理（対象 2029/4/1〜8/31）
宛先: 代表取締役社長 飯島／監査等委員会 報告日: 2029年10月3日（水）
総合評価: 一部改善が必要（4段階の3番目。指摘1の改善が確かめられるまで）
同意した会員にだけ送る仕組み（確認メール・配信停止）は有効だった。ただし、
本人の記録を残さずに配信対象へ戻せる操作が、今も残っている。
重要度の基準: 高＝法令・規程に反する状態が今も起こりうる／中＝要件を満たす記録が
欠けているが、反する送信は確認されていない／低＝手順の欠落で、他の記録で補えた
指摘1【高】受信欄を本人の記録なしに「受け取る」へ変えられる（約70名が可能）
事実: 7月に41件（取消済み）。記事を直した後の7/13〜8/31にも3件、うち1件は本人の依頼を確認できない
影響: 特定商取引法は承諾の記録を3年保存することを求める。記録のない会員に広告を送ることになる
対応: 10/12までに変更できる人をMOpsの3名に（CS部 江口部長）。画面の改修は11/30（販促システム部 高梨部長）
指摘2【中】2027/10の基盤移行より前に登録した会員41.2万人（配信先の65%）の同意の記録が、
いつ・どの画面で同意したかを示せない。この宛先のメール売上は年約8.5億円〔仮定〕
対応: 旧画面の文言を復元し、法務の意見を12/14までに（高梨部長）。足りなければ再同意に切り替える
指摘3【低】登録画面の文言を変えるときに画面を保存する手順がない（2028/3の1回分はGit履歴から復元済み）
問題がなかった範囲: 確認待ちの会員60件で確認前の送信0件／配信停止40件は全件3時間12分以内に停止Goodから何が変わったか（ここが今日の学習の中心）:
- ①結論の位置が動いた。総合評価の直後に評価の理由を2行で書いた。「仕組みは有効だった。ただし1つの穴が今も開いている」。委員が前日の夜に読むのは1ページ目だけなので、評価のラベル（一部改善が必要）だけでは足りない。ラベルの理由と、いつ外れるか（指摘1の改善が確かめられるまで）を同じ場所に置いた。4段階のどこにいるかも書いた（「一部改善が必要」は、会社ごとに段階の数も名前も違うので、委員はそれが良いのか悪いのか分からない）
- ②読み手適合が動いた。読み手プロファイルの「何を気にしているか」に1つずつ答えた:
- 久保委員長（法令）には、影響を「特定商取引法は承諾の記録を3年保存することを求める」と規準で書いた。「違反である」とは書いていない（後述）
- 宇野さん（統制の不備が重要か）には、重要度の基準を1行で先に置いた。基準があると、委員は「なぜ指摘2は中なのか」を自分で確かめられる。Good の「高・高・低」は、ラベルだけで基準がなかった
- 社長（売上）には、指摘2の宛先の規模を、人数→配信先の割合→売上と、経営が使う単位まで直した。41.2万人と聞いても、それが大きいかどうかは配信先63万人と並べないと分からない
- 重要度の付け直しが起きた。基準を書いたら、指摘2は「高」ではなく「中」になった。指摘2は過去の記録の欠けで、今は増えておらず（2027/10以降の登録は記録がある）、同意のない会員に送った事実も見つかっていない。Good で「高」だったのは、41.2万人という数の大きさに引っ張られたから。重要度は件数ではなく、基準（今も起こりうるか・反する送信があったか）で決める
- ③事実と解釈の分離が動いた。指摘1を事実・影響・対応の3行に分けた。事実には「記事を直した後にも3件」を入れた。これがないと、委員は「7月の41件は記事の改訂で解決済み」と受け取り、指摘1を「高」とする理由が伝わらない。指摘の重さを決めている事実を、要約から落とさない
- ④次の行動が動いた。期限が部署名ではなく人（江口部長・高梨部長）になり、指摘1には11/30の改修までのつなぎ（10/12の権限の絞り込み）が入った。委員が監督できるのは、名前と日付がある約束だけである
- 「問題がなかった範囲」をサンプル数つきで書いた。 「良好な点: 有効に機能していた」では、どれだけ確かめたかが分からない。60件で0件、40件で全件3時間12分以内、と書けば、総合評価の「仕組みは有効だった」に根拠がつく。内部監査の報告は、悪いところを探す文書ではなく、どこまで安心してよいかを示す文書でもある
まだ足りないもの（Bestで足す）: 指摘2の対応に「足りなければ再同意に切り替える」とあるが、再同意は年4.3〜6.0億円の売上を失いうる判断で、部門では決められない。Better の要約からは、この分かれ道を誰がいつ決めるのか、委員会は何をすればよいのかが見えない。重要度の「中」は正しいが、「中だから部門に任せてよい」と読まれる危険がある。
Internal Audit Report IA-2029-07: Marketing Email Consent and Records (Apr 1 – Aug 31, 2029)
To: Mr. Iijima, President & CEO; Audit and Supervisory Committee | October 3, 2029
Overall rating: Needs Improvement (3 of 4) until Finding 1 is remediated and verified.
The controls that limit emails to consenting members (confirmation email, unsubscribe)
are effective. However, members can still be put back on the mailing list without
any record of their own consent.
Rating scale: High = a breach of law or policy can occur today; Medium = records needed
to show compliance are missing, but no non-compliant sends were found; Low = a missing
procedure, compensated by other records.
Finding 1 (High): The opt-in field can be set to "Subscribed" without the member's own record.
~70 users can do this.
Condition: 41 changes in July (reversed). 3 more between Jul 13 and Aug 31, after the
agent guidance was fixed; for 1 of them, no member request could be found.
Effect: Japan's Act on Specified Commercial Transactions requires consent records to be kept
for 3 years. Without them, we are emailing members we cannot show consented.
Action: Limit access to 3 MOps staff by Oct 12 (Mr. Eguchi, CS). Screen fix by Nov 30 (Mr. Takanashi).
Finding 2 (Medium): For 412,000 members who joined before the Oct 2027 migration (65% of
recipients), we cannot show when or on which page they consented. ~JPY 850M/yr email revenue [assumption].
Action: Reconstruct old page wording; Legal opinion by Dec 14 (Mr. Takanashi). If insufficient, re-permission.
Finding 3 (Low): No procedure to archive sign-up page wording (the Mar 2028 version was recovered from Git).
Tested with no exceptions: 60 pending members – 0 pre-confirmation sends; 40 unsubscribes – all within 3h 12m.英文では Condition / Effect / Action という見出し語をそのまま使うと、監査委員がどこを読めばよいか分かる（日本語版は「事実・影響・対応」）。評価尺度は "3 of 4" と位置で書く。金額は JPY 850M と通貨と桁（M＝百万）を明示し、"[assumption]" で出所を示す。人名に Mr. を付け、部署ではなく人を owner にするのが英文の慣行。
内部監査報告書 IA-2029-07 広告メールの同意と記録の管理（対象 2029/4/1〜8/31）
宛先: 代表取締役社長 飯島／監査等委員会（10/10 ご報告） 内部監査室 平田・坂本
結論: 一部改善が必要（4段階の3番目）。重要度が最も高いのは指摘1、
経営のご判断が要るのは指摘2です。この2つは別のものです
━ 指摘1【高・今も起こりうる】受信欄を、本人の記録なしに「受け取る」へ変えられる
7月に41件（取消済み）。記事を直した後も8月までに3件、うち1件は本人の依頼を確認できない
→ 部門で直せます。10/12に変更できる人を約70名→MOpsの3名へ（江口部長）。10/15に当室が確認
━ 指摘2【中・過去の記録】移行前の会員41.2万人（配信先の65%）の同意の記録が欠けている
反する送信は見つかっていないが、記録を求められたら示せない。宛先の売上は年約8.5億円〔仮定〕
社長に: 12/20の経営会議で次のどれかをお決めください
A 旧画面の文言を復元し、法務の意見（12/14）で足りなければ再同意 … 経営側の案。当室も妥当と考えます
B すぐに再同意を求める … 記録は確実になるが、戻らない会員の分 年4.3〜6.0億円減〔仮定〕
C 何もしない … 記録の欠けを受け入れることになります
委員会に: Cが選ばれた場合は、リスクの受け入れとして取締役会への報告をお願いします
━ 指摘3【低】画面の文言を保存する手順がない（復元済み）。問題なし: 確認メール60件・配信停止40件
法令に反するかどうかは当室では判断しません。法務の意見は1/15のフォローアップでご報告しますBetterから何が変わったか:
- ①結論の位置が動いた。結論の2行目に「重要度が最も高いのは指摘1、経営の判断が要るのは指摘2。この2つは別のもの」と書いた。これが今日の Best の核心である。重要度（どれが最も悪いか）と、判断の持ち主（誰が決めるか）を別の軸として見せた。委員は15分の報告で、指摘1には「直ったか」を、指摘2には「どう決めるか」を聞けばよいと分かる
- ②読み手適合が動いた。指摘ごとに誰に向けた行かを変えた。指摘1は「部門で直せます」と書き、委員の時間を使わせない（確認は当室が10/15に行う）。指摘2は「社長に」「委員会に」と宛先を分けて、それぞれがすることを1行で書いた。社長は12/20に A〜C を決める。委員会は C が選ばれたときに動く
- ⑤想定反論が動いた。3つの質問に先回りした:
- 「41件はもう取り消したのでは？」 → 記事を直した後も3件、うち1件は依頼を確認できない
- 「法令違反なのか？」（久保委員長） → 当室では判断しない。法務の意見を1/15に報告する。内部監査は規準に照らして事実と統制を評価する仕事で、法律の当てはめは法務・弁護士の仕事。ここを混ぜると、監査報告書が法的な意見として独り歩きする
- 「すぐ再同意すればよいのでは？」（安全側の意見） → B の行に代償（年4.3〜6.0億円減）を書いた。記録の確実さと売上の両方が見えないと、委員は安全側に倒れた案を「正しい」と思いやすい
- 選択肢の持ち主をはっきりさせた。 A〜C は経営側の案として並べ、当室の意見は「妥当と考えます」にとどめた。内部監査は経営の代わりに決めない（独立性）。ただし C（何もしない）を選ぶことはリスクの受け入れであり、それは経営が黙って抱えてはいけないので、委員会にその場合の扱い（取締役会への報告）を頼んだ。IIA の基準は、経営が受け入れたリスクが会社の許容を超えると監査部門の長が判断したら、まず経営と話し合い、解決しなければ取締役会に伝えることを求めている
- ④次の行動が動いた。日付が10/12（権限）→10/15（当室の確認）→12/14（法務の意見）→12/20（経営会議）→1/15（フォローアップ）と、指摘が閉じるまでの順でそろった
- 減らしたもの: 重要度の基準の2行、指摘3と問題がなかった範囲の説明を、全文の「5. 重要度と総合評価の基準」「4. 問題がなかった範囲」へ回した。基準は委員が「なぜ中なのか」と聞いたときに開けばよく、1ページ目には【高・今も起こりうる】【中・過去の記録】という基準の要点だけを残した
分量（実測）: JA Bad16・Good16・Better17・Best17行、字数（空白を除く）は Bad 371・Good 346・Better 717・Best 668字（EN: 17・18・22・20行）。行数は Better と Best が同じで、字数は Best が Better より49字短い（Day025・026 に続く3回連続の字数の逆転。ただし差は小さく、「ほぼ同量の入れ替わり型」）。 重要度の基準の2行・指摘3の説明・問題がなかった範囲を全文へ回した分と、A〜C の3行と「社長に」「委員会に」を足した分が、ほぼ釣り合った。Bestで新しく足りたのは「誰が何を決めるか」で、短くすること自体は狙っていない。 もう1つ、Bad（371字）が Good（346字）より長い。「概ね適切」「協議の上」「努められたい」のような外れようのない言葉が字数を食っている（Day013・023 と同じ「雑さ＝短さではない」型）。
今回はBestまで作るべきか: Best必要。監査報告書の要約は、ふつうは Better（重要度の基準・事実と影響・期限と担当・問題がなかった範囲）で十分である。指摘が部門の手で閉じるものだけなら、委員会は進み具合を監督すればよく、選択肢を並べる必要はない。今回 Best にするのは、指摘2の対応の中に部門では決められない分かれ道（年4.3〜6.0億円の売上と、記録の確実さの交換）があり、それを経営が決めないまま進むと、誰も決めていないリスクの受け入れが起きるからである。逆に、指摘がすべて「期限内に直せば閉じる」ものなら、Best の A〜C は過剰で、Better で止める。
Internal Audit Report IA-2029-07: Marketing Email Consent and Records (Apr 1 – Aug 31, 2029)
To: Mr. Iijima, President & CEO; Audit and Supervisory Committee (meeting Oct 10)
From: Internal Audit (Hirata, Sakamoto)
Bottom line: Needs Improvement (3 of 4). Finding 1 is the most severe; Finding 2 is the one
that needs a management decision. These are two different things.
— Finding 1 (High – can happen today): Members can be set to "Subscribed" with no record of their consent.
41 cases in July (reversed). 3 more by August after the guidance was fixed; 1 with no member request found.
→ Fixable by the department. Access cut from ~70 users to 3 by Oct 12 (Mr. Eguchi). We verify on Oct 15.
— Finding 2 (Medium – past records): Consent records are incomplete for 412,000 pre-migration members
(65% of recipients). No non-compliant sends found, but we could not produce the records if asked.
These members generate ~JPY 850M/yr in email revenue [assumption].
Decision for the CEO (management meeting, Dec 20) — choose one:
A. Reconstruct page wording; re-permission only if Legal (Dec 14) finds it insufficient
– management's proposal; Internal Audit considers it reasonable.
B. Re-permission now – certain records, but JPY 430–600M/yr lost from members who don't reply [assumption].
C. Do nothing – this means accepting the gap in records.
For the Committee: if C is chosen, we ask that it be reported to the Board as an accepted risk.
— Finding 3 (Low): No archiving procedure (recovered). No exceptions: 60 pending members, 40 unsubscribes.
Internal Audit does not opine on legal compliance. Legal's opinion will be reported at our Jan 15 follow-up.BLUF（"Bottom line:"）で結論と「2つは別のもの」を1行目に置いた。選択肢は "Decision for the CEO — choose one:" と、決める人と求める行動を見出しにする定型。"Internal Audit considers it reasonable" は意見の強さを抑えた定型（"recommends" だと監査が経営の代わりに決めたように読める）。"does not opine on legal compliance" は英文の監査報告で範囲を限る定番表現。
日英差分ノート
1. 「概ね適切」と "generally adequate" — どちらも評価を避けている合図
日本語の監査報告では「概ね適切」「一部に改善を要する」がよく使われ、社内では角が立たない言い方として受け入れられやすい。英語の "generally adequate" "certain areas for improvement" も同じ響きを持つが、英文の監査委員会では「評価を言っていない」と読まれ、すぐに "So, is it effective or not?" と聞かれる。どちらの言語でも、評価の尺度（何段階のうちどこか）と、その段階にいる理由を書くのが Better 以上の条件である。尺度の名前（Satisfactory / Needs Improvement / Unsatisfactory など）は会社ごとに違うので、名前だけでは読み手に伝わらない。
2. 「〜が望まれる」「〜されたい」と "should" / "Management will"
日本語の監査報告は、指摘の最後を「見直しが望まれる」「整備されたい」と依頼の形で結ぶのが慣行で、強さが分かりにくい。英文の監査報告では、監査人の勧告は "Management should ..."、経営の約束は "Management will ... by [date]" と書き分ける。誰の言葉か（監査人の勧告か、経営の約束か）を動詞で区別する。日本語版でも「（江口部長）10/12までに」と、約束の主語と期限を書けば同じ効果が出る。
3. 「違反」と "non-compliance" — 監査人は法的な結論を書かない
日本語の社内文書では、規準から外れた状態を「法令違反のおそれ」と気軽に書くことがある。英文の監査報告では "violation" は法的な結論に聞こえるので避け、"does not meet the requirement of ..." や、範囲を限る "Internal Audit does not opine on legal compliance" を使う。今日の Best は日英どちらでも「当室では判断しません」と書いた。久保委員長（弁護士）のような読み手には、監査人が自分の仕事の範囲を言えることが、報告全体の信頼につながる。
4. 受動態と、主語を消す日本語
英文の Bad は "was conducted" "were noted" "are considered adequate" と受動態が続き、誰が判断したかが消えている。日本語の Bad も「認められた」「合意している」と主語がない。日本語は主語を省くのが自然なので、主語を全部書く必要はないが、判断と約束の文だけは主語を書く（「当室は妥当と考えます」「江口部長が10/12までに」）。英語は能動態に直すだけで、主語が戻る。
頻出表現
| 日本語 | English | トーンの強さ |
|---|---|---|
| 概ね適切に運用されていた | generally adequate | 危険。評価を避けている。尺度と理由を添える |
| 一部改善が必要（4段階の3番目） | Needs Improvement (3 of 4) | 中立。尺度の位置を書く |
| 〜が望まれる／〜されたい | Management should ... | 監査人の勧告。日本語は弱く聞こえる |
| 〜が〜までに行う | Management will ... by [date] (owner) | 経営の約束。期限と人がそろう |
| 当室は妥当と考えます | Internal Audit considers it reasonable | 抑えた意見。経営の代わりに決めない |
| 当室では（法令違反かどうかを）判断しません | Internal Audit does not opine on legal compliance | 範囲の限定。監査報告の定番 |
| 例外なし（問題がなかった） | Tested with no exceptions | 中立。件数とセットで |
| リスクの受け入れ | risk acceptance / accepted risk | 強い。取締役会に上がる言葉 |
| 注意不足により | due to carelessness | 危険。原因を人に置いている |
| 記録を求められたら示せない | we could not produce the records if asked | 強い。事実として言い切る |
差分5軸まとめ
| 軸 | Bad | Good | Better | Best |
|---|---|---|---|---|
| ① 結論の位置 | 「概ね適切」が2番目。意味が決まっていない | 総合評価が2番目。ラベルだけ | 総合評価と理由2行、いつ外れるかが冒頭 | 冒頭に「最も重いのは指摘1、判断が要るのは指摘2。別のもの」 |
| ② 読み手適合 | 被監査部門との報告のよう。規模なし | 宛先が経営層、指摘一覧の表 | 委員ごとの関心（法令の規準・重要度の基準・売上）に答える | 指摘ごとに宛先（部門で直せる／社長に／委員会に）を分ける |
| ③ 事実と解釈の分離 | 「問題なし」が指摘に混ざる。原因を人に置く | 指摘・良好な点・回答を分離。重要度に基準なし | 重要度の基準、事実・影響・対応、問題がなかった範囲をサンプル数で | 法令の判断は当室の範囲外と明記。金額に〔仮定〕 |
| ④ 次の行動 | 「協議の上」「努められたい」 | 期限と担当部署 | 期限と人、11/30までのつなぎ（10/12） | 10/12→10/15→12/14→12/20→1/15 の順で、確認する人まで |
| ⑤ 想定反論 | 無視 | なし | 「直した後も3件」で「解決済みでは」に答える | 「法令違反か」「すぐ再同意すれば」に先回り、C を選んだ場合の扱い |
Best版・全文
日本語版 全文を見る
内部監査報告書 IA-2029-07 広告メールの同意と記録の管理
宛先: 代表取締役社長 飯島 様／監査等委員会 委員長 久保 様・委員 宇野 様・吉川 様 写し: EC事業本部長 西村 様、販促システム部長 高梨 様、CS部長 江口 様、法務 小林 様 作成: 内部監査室 平田（監査担当）／承認: 内部監査室長 坂本 ｜ 提出: 2029年10月3日（水） ｜ ご報告: 10月10日（水）監査等委員会
1. 結論と、ご判断いただきたいこと（この1ページで足ります）
総合評価は 「一部改善が必要」（4段階の3番目。基準は5章）。同意した会員にだけ広告メールを送る仕組み（確認メール・配信停止）は有効でした。ただし、本人の記録を残さずに配信対象へ戻せる操作が今も残っています（指摘1）。
重要度が最も高いのは指摘1、経営のご判断が要るのは指摘2です。この2つは別のものです。
| 指摘 | 重要度 | 誰が何をするか | 期限 |
|---|---|---|---|
| 1. 受信欄を本人の記録なしに「受け取る」へ変えられる | 高（今も起こりうる） | 部門で直せます。江口部長が変更できる人を約70名→3名に。当室が確認 | 10/12（確認 10/15）、画面の改修 11/30 |
| 2. 移行前の会員41.2万人の同意の記録が欠けている | 中（過去の記録） | 社長: A〜C をお決めください（下表）。委員会: C の場合の扱い | 12/20 経営会議 |
| 3. 登録画面の文言を保存する手順がない | 低 | 高梨部長が手順を定める | 12/20 |
指摘2の進め方（経営側の案。12/20の経営会議でお決めください）
| 案 | 中身 | 記録の確実さ | 売上への影響 |
|---|---|---|---|
| A（経営側の案） | 旧画面の文言を復元し、法務の意見（12/14）で足りなければ再同意 | 法務の意見しだい | 意見が足りるなら0。足りなければ B と同じ（2030/1以降） |
| B | すぐに再同意を求める（「これからも受け取りますか」に押した人だけに送る） | 確実 | 戻らない会員の分 年4.3〜6.0億円減〔仮定〕 |
| C | 何もしない | 欠けたまま | 0 |
当室は A を妥当と考えます。期限（12/14・12/20）と、足りなかったときの次の手（再同意）が決まっているためです。C を選ぶことは、記録の欠けを会社として受け入れることです。 その場合は、リスクの受け入れとして取締役会へご報告いただくよう、監査等委員会にお願いします。
法令に反するかどうかは、当室では判断しません。 当室は、法令と社内規程を規準として事実と仕組みを確かめました。法的な評価は法務（必要に応じて外部の弁護士）の意見を12/14までに得て、2030年1月15日（火）のフォローアップでご報告します。
2. 監査の目的・範囲・方法
- 目的: 広告メールが同意した会員にだけ送られ、同意を受けた際の状況を示す記録が保存されているかを確かめる
- 対象期間: 2029年4月1日〜8月31日（実地の監査 8/27〜9/14）
- 対象部署: 販促システム部（MOps）、CS部、委託先コンタクトセンター（CS部を通じて）
- 規準: 特定電子メール法 第3条第1項・第2項、特定商取引法（通信販売の電子メール広告の承諾の記録、3年保存）、広告メール配信管理規程 第8条
- 方法: CS管理画面の変更ログの全件確認（「受け取る」への変更 52件）、通話録音の照合（3件）、確認待ちの会員の無作為抽出（60件）、配信停止の無作為抽出（40件）、会員データの集計（登録日・同意日時）、関係者への聞き取り（7名）
- 対象外: LINE の配信（特定電子メール法の対象は電子メール。LINE は別の規約で扱う）、取引に付随するメール（注文確認など）、財務報告に係る内部統制の評価
3. 指摘
指摘1【高】受信欄を、本人の記録なしに「受け取る」へ変えられる
- 状況: CS管理画面の「メール受信」欄は、CS部の社員28名と委託先42名の約70名が変更できる。変更時に理由や本人の依頼の記録を残す欄はない。4/1〜8/31 に「受け取る」へ変えた52件のうち、7/1〜7/8 の41件は確認メールの施策を始めた直後の記事の書き方が原因で、7/9に取り消された。記事を直した7/12の後も、7/13〜8/31 に委託先で3件あり、2件は通話録音で本人の依頼を確認できたが、1件は確認できなかった。残り8件は MOps 社員がチケットつきで行った正当な変更
- 規準: 規程 第8条（本人の操作か、本人の依頼の記録があるときに限る）。特定商取引法は承諾の記録を広告を行った日から3年保存することを求める
- 原因: 欄の意味（同意の記録）は MOps が決め、画面と権限は CS部が持つ。権限を見直す持ち主が決まっていなかった。 7/11 の画面の改修依頼は優先度「中」で11/30予定とされ、それまでのつなぎが記事の注意書きだけだった
- 影響: 記録のない会員に広告メールを送りうる。記事による注意だけでは、7/12以降も月に1〜2件のペースで起きている
- 経営の回答: 江口部長が 10/12（金）までに変更できる人を MOps の3名に絞る（権限の設定のみ。委託先が受けた依頼は、確認メールの再送で対応する。Day026 の記事どおり）。高梨部長が 11/30（金）までに画面を改修し、変更時に理由と本人の記録（録音ID・依頼メール）を必須にする。7/13〜8/31 の3件は 10/5 に確認待ちへ戻し済み
- 当室の確認: 10/15（月）に権限の設定を確認し、12/7（金）に改修後の画面を確認する
指摘2【中】移行前に登録した会員41.2万人の同意の記録が欠けている
- 状況: 2027/10/8 の配信基盤の移行より前に登録した会員 41.2万人（いまの配信先 約63万人の65%）は、同意の日時が移行日の一括値（2027-10-08）になっており、いつ・どの画面で同意したかを示せない。うち2022/3以前に登録した 33.6万人は、登録画面の文言も残っていない（旧基盤のベンダーとの契約終了に伴い、2028/3に消去された）。2027/10以降の登録は、日時と画面の版が個別に記録されている
- 規準: 特定電子メール法（同意を受けた際の状況を示す記録の保存）。特定商取引法（請求・承諾の記録。定型の画面で得た場合は、表示した定型的な内容と表示の時期の記録で代えられる）
- 原因: 移行時の要件に「同意の日時と取得画面の版を移す」が入っていなかった。旧基盤のデータ消去の前に、法令上の記録が含まれるかを確かめる手順がなかった
- 影響: 同意のない会員に送った事実は見つかっていない（41.2万人からの苦情・迷惑メール報告の率は、2027/10以降の登録者と差がない）。ただし、行政や会員から記録を求められたときに示せない。この宛先のメール売上は年約8.5億円〔仮定: メール売上 年約13億円×65%。単純に比例させた値〕
- 経営の回答: 高梨部長が、旧画面の文言を社内の議事録・キャンペーンのメール・外部のアーカイブから復元し、12/14（金）までに法務の意見を得る。足りないと判断された場合は再同意に切り替える。どちらにするかは12/20（木）の経営会議で決める（1章の案 A〜C）
- 当室の意見: A は、期限と次の手が決まっているので妥当と考える。B は記録が確実になるが、戻る割合（3〜5割〔仮定〕。他社の例を聞いた MOps の見立てで、当社の実績はない）によって年4.3〜6.0億円の売上を失う。C は記録の欠けを受け入れることになり、経営が決める場合は取締役会への報告が要る
- 重要度を「中」とした理由: 5章の基準で、反する送信は確認されておらず、欠けは増えていない（2027/10以降は記録がある）。ただし、行政からの照会や、記録を求める会員の申し出が1件でもあれば「高」に上げる
指摘3【低】登録画面の文言を保存する手順がない
- 状況: 2022/4以降の登録画面の変更5回のうち4回は開発チケットに画面が残っていたが、2028/3 の1回は残っていなかった。Git の履歴から文言と公開日を復元できた
- 規準: 特定商取引法（定型的な内容と表示の時期の記録で代える場合）
- 影響: 今回は他の記録で補えた。手順がないままだと、指摘2と同じ欠けが将来また起きうる
- 経営の回答: 高梨部長が 12/20 までに、画面の文言を変えるときに「画面・文言・公開日時」を保存する手順を規程に加える
4. 問題がなかった範囲
| 確かめたこと | 件数 | 結果 | この結果が示すこと |
|---|---|---|---|
| 確認待ちの会員に、確認前の広告メールが出ていないか | 無作為60件 | 0件 | 確認前の送信が5%以上起きている状態ではない（0件のときの上限の目安 3÷60） |
| 配信停止が反映されているか | 無作為40件 | 全件、最長3時間12分で停止 | 規程の24時間以内を満たしている |
| 2027/10以降に登録した会員の同意の記録 | 無作為40件 | 全件、日時と画面の版がある | 移行後の記録の仕組みは有効 |
5. 重要度と総合評価の基準
- 高: 法令・規程に反する状態が今も起こりうる、または反する事実を確認した
- 中: 要件を満たすことを示す記録が欠けているが、反する送信は確認されていない
- 低: 手順の欠落で、今回は他の記録で補えた
- 総合評価（4段階）: 有効／概ね有効（低のみ）／一部改善が必要（高が1件以上、期限つきの改善計画がある）／重大な改善が必要（高があり、改善計画がない、または期限を過ぎている）
- 指摘1の改善を当室が確かめた時点で、総合評価を「概ね有効」に見直す
6. フォローアップ
| 日付 | 当室が確かめること |
|---|---|
| 10/15（月） | 指摘1: 変更できる人が3名になっているか |
| 12/7（金） | 指摘1: 改修後の画面で、理由と本人の記録が必須になっているか |
| 2030/1/15（火） | 指摘2: 法務の意見と、12/20の経営会議の決定、決定どおりに進んでいるか。指摘3: 規程の改定 |
English 全文を見る
Internal Audit Report IA-2029-07: Marketing Email Consent and Records
To: Mr. Iijima, President & CEO; Audit and Supervisory Committee (Mr. Kubo, Chair; Mr. Uno; Ms. Yoshikawa) Cc: Mr. Nishimura (EC Division), Mr. Takanashi (Marketing Systems), Mr. Eguchi (Customer Service), Mr. Kobayashi (Legal) From: Internal Audit — Hirata (auditor); approved by Sakamoto (Head of Internal Audit) | Issued: October 3, 2029 | Committee meeting: October 10, 2029
1. Bottom Line and Decisions Requested
Overall rating: Needs Improvement (3 of 4; scale in Section 5). Controls that limit marketing emails to consenting members (confirmation email, unsubscribe) are effective. However, members can still be put back on the mailing list without any record of their own consent (Finding 1).
Finding 1 is the most severe. Finding 2 is the one that needs a management decision. These are two different things.
| Finding | Rating | Who does what | Due |
|---|---|---|---|
| 1. Opt-in field can be set to "Subscribed" without the member's record | High (can happen today) | Fixable by the department. Mr. Eguchi limits access from ~70 users to 3. We verify. | Oct 12 (verified Oct 15); screen fix Nov 30 |
| 2. Consent records incomplete for 412,000 pre-migration members | Medium (past records) | CEO: choose A–C below. Committee: handling if C is chosen | Dec 20 management meeting |
| 3. No procedure to archive sign-up page wording | Low | Mr. Takanashi adds the procedure | Dec 20 |
Options for Finding 2 (management's options; decision on Dec 20)
| Option | What it means | Certainty of records | Revenue impact |
|---|---|---|---|
| A (management's proposal) | Reconstruct old page wording; re-permission only if Legal (Dec 14) finds it insufficient | Depends on Legal's opinion | None if sufficient; otherwise same as B (from Jan 2030) |
| B | Re-permission now (email only those who confirm) | Certain | JPY 430–600M/yr lost from members who don't confirm [assumption] |
| C | Do nothing | Gap remains | None |
Internal Audit considers Option A reasonable, because it has fixed dates (Dec 14, Dec 20) and a defined next step if the records prove insufficient. Choosing C means the company accepts the gap in its records. If C is chosen, we ask the Committee to ensure it is reported to the Board as an accepted risk.
Internal Audit does not opine on legal compliance. We assessed facts and controls against the law and internal policy as criteria. Legal (with outside counsel as needed) will give its opinion by Dec 14, and we will report it at our follow-up on January 15, 2030.
2. Objective, Scope and Approach
- Objective: To assess whether marketing emails are sent only to consenting members and whether records showing how consent was obtained are retained
- Period: April 1 – August 31, 2029 (fieldwork Aug 27 – Sep 14)
- Units: Marketing Systems (MOps), Customer Service, and the outsourced contact center (through Customer Service)
- Criteria: Act on Regulation of Transmission of Specified Electronic Mail, Art. 3(1)–(2); Act on Specified Commercial Transactions (records of requests/consent for email advertising, retained for 3 years); Marketing Email Policy, Sec. 8
- Approach: Full review of opt-in changes in the CS admin log (52 changes to "Subscribed"); call-recording match (3 cases); random samples of pending members (60) and unsubscribes (40); analysis of member data (sign-up and consent dates); interviews (7 people)
- Out of scope: LINE messaging; transactional emails (e.g., order confirmations); internal control over financial reporting
3. Findings
Finding 1 (High): Opt-in field can be set to "Subscribed" without the member's own record
- Condition: About 70 users (28 CS staff, 42 contractor staff) can change the opt-in field. There is no field to record a reason or the member's request. Of 52 changes to "Subscribed" between Apr 1 and Aug 31, 41 (Jul 1–8) were caused by unclear agent guidance and reversed on Jul 9. After the guidance was fixed on Jul 12, 3 more changes occurred (Jul 13 – Aug 31). Call recordings confirmed the member's request for 2; for 1, no request could be found. The other 8 were legitimate, ticketed changes by MOps staff.
- Criteria: Policy Sec. 8 (changes only by the member or with a record of the member's request). Consent records must be kept for 3 years under the Act on Specified Commercial Transactions.
- Cause: MOps defines what the field means (a consent record); Customer Service owns the screen and access rights. No one owned the access review. The screen fix requested on Jul 11 was prioritized "Medium" for Nov 30, leaving only written guidance in between.
- Effect: Marketing emails can go to members whose consent we cannot show. Written guidance alone has not stopped it (1–2 cases per month after Jul 12).
- Management action: Mr. Eguchi will limit access to 3 MOps staff by Oct 12 (configuration only; agents will resend the confirmation email instead). Mr. Takanashi will fix the screen by Nov 30, making a reason and the member's record (recording ID or request email) mandatory. The 3 cases were reset to "Pending" on Oct 5.
- Internal Audit verification: access on Oct 15; the fixed screen on Dec 7.
Finding 2 (Medium): Consent records incomplete for 412,000 pre-migration members
- Condition: For 412,000 members who joined before the Oct 8, 2027 platform migration (65% of ~630,000 recipients), the consent date is the migration date (2027-10-08), so we cannot show when or on which page they consented. For 336,000 of them who joined before April 2022, the sign-up page wording is also missing (deleted in March 2028 when the old vendor contract ended). Members who joined after Oct 2027 have individual dates and page versions.
- Criteria: Specified Electronic Mail Act (records showing how consent was obtained). Act on Specified Commercial Transactions (records of consent; for standard web forms, the standard wording and the period it was displayed may be kept instead).
- Cause: Migration requirements did not include consent dates and page versions. There was no step to check for legally required records before the old data was deleted.
- Effect: No non-compliant sends were found (complaint and spam-report rates for these members match post-2027 members). However, we could not produce the records if asked by regulators or members. These members generate ~JPY 850M/yr in email revenue [assumption: JPY 1.3B/yr email revenue × 65%, simple proportion].
- Management action: Mr. Takanashi will reconstruct the old wording from internal minutes, campaign emails and external archives, and obtain Legal's opinion by Dec 14. If insufficient, the company will move to re-permission. The decision will be made at the Dec 20 management meeting (Options A–C in Section 1).
- Internal Audit view: Option A is reasonable given its dates and fallback. Option B gives certain records but may cost JPY 430–600M/yr depending on the return rate (30–50% [assumption]; MOps's estimate from other companies, no internal data). Option C accepts the gap and, if chosen by management, should be reported to the Board.
- Why Medium: Under Section 5, no non-compliant sends were found and the gap is not growing. We will raise this to High if a single regulatory inquiry or member request for records is received.
Finding 3 (Low): No procedure to archive sign-up page wording
- Condition: Of 5 sign-up page changes since April 2022, 4 had screenshots in development tickets; the March 2028 change did not. Wording and release date were recovered from Git history.
- Effect: Compensated this time. Without a procedure, the Finding 2 gap could recur.
- Management action: Mr. Takanashi will add a procedure to archive "screen, wording and release time" for every change by Dec 20.
4. Areas Tested With No Exceptions
| Test | Sample | Result | What it shows |
|---|---|---|---|
| No marketing email sent to pending members before confirmation | 60 random | 0 | The rate is not 5% or higher (rule of three: 3 ÷ 60) |
| Unsubscribes take effect | 40 random | All, within 3h 12m | Meets the 24-hour policy |
| Consent records for post-Oct 2027 members | 40 random | All have date and page version | Post-migration recording works |
5. Rating Scale
- High: A breach of law or policy can occur today, or a breach was found
- Medium: Records needed to show compliance are missing, but no non-compliant sends were found
- Low: A missing procedure, compensated by other records
- Overall (4 levels): Effective / Generally Effective (Low only) / Needs Improvement (one or more High, with a dated action plan) / Unsatisfactory (High without a plan, or past due)
- We will revise the overall rating to Generally Effective once Finding 1 is verified.
6. Follow-up
| Date | What we will verify |
|---|---|
| Oct 15 | Finding 1: access limited to 3 users |
| Dec 7 | Finding 1: fixed screen requires reason and member record |
| Jan 15, 2030 | Finding 2: Legal's opinion, the Dec 20 decision, and progress. Finding 3: policy updated |
完成の定義チェックリスト
監査報告書を提出する前に必ず確認する。「雑・妥協」を防ぐための外部基準。1つでも未チェックがあれば、まだ出さない。
今日の演習
Bad の「(2) 旧基盤からの移行データについて、同意記録の一部に不備が見られる。」の1行だけを、指摘として書き直す。 手順: ①「一部」を数字にする（41.2万人、配信先の65%）。②状況・規準・影響を1行ずつ書く（規準は「特定商取引法は〜を求める」の形で、違反とは書かない）。③今日の基準（高・中・低）で重要度を付け、なぜ高ではないのかを1文で書く。④最後に、「誰が何を決めるか」を1行足す。部門で済むなら「部門で直せます」、経営が決めるなら「社長に: 〜をお決めください」。
2030/1/15 のフォローアップ報告（1ページ）を、同じ読み手（社長・監査等委員会）向けに書く。 設定: ①指摘1は 10/15 に権限が3名になったことを確認、12/7 に改修後の画面を確認済み。②指摘2は 12/14 の法務の意見が「2022/4〜2027/10 登録の7.6万人は、復元した文言と会員登録日で足りる。2022/3以前の33.6万人は、文言の復元が一部（3種類の画面のうち1つ）にとどまり、足りない」だった。12/20 の経営会議は「33.6万人に再同意（2030/2/1〜3/31）、7.6万人は記録を整えて継続」と決めた。③指摘3は規程を改定済み。条件: 総合評価をどう見直すか（5章の基準に照らして）を書く。指摘を閉じたもの・閉じていないもの・新しく決まったことを分ける。 再同意の進み具合を、委員会が次にいつ・何の数字で確かめるかを決める（戻った割合の見込み3〜5割と比べる日を置く）。Best で書くか、Better で止めるかも決める。
取り組む前のヒント
- フォローアップ報告の冒頭は「何が閉じたか」ではなく、「委員が次に何をすればよいか」。全部閉じたなら「ご判断いただくことはありません」と1行目に書く
- 指摘2は「閉じた」のではなく、「経営が決め、実行中」という別の状態になる。閉じた・閉じていないの2択にすると、この状態が書けない
- 総合評価の見直しは5章の基準で機械的に決まる（指摘1が閉じれば「概ね有効」）。基準を書いておいたから、ここで迷わない——今日の Better の効き目が分かるはず
- 罠: 再同意の結果（戻った割合）を3/31以降に報告すると書くだけでは、途中で戻りが悪いときに誰も止められない。2/15 など途中の日と、「何%を下回ったら経営会議に戻す」を置く。ここは監査室が決めることではなく、経営側の回答として書かせる
- 罠: 33.6万人という数字は、41.2万人の中の内訳である。読み手が前回の41.2万人と今回の33.6万人を同じ表で見比べられるように書く
実務での使いどころ
監査報告書は、内部監査の年間計画のテーマ監査と、何かが起きた後に追加されるテーマ監査（今日）の2つの場面で書かれる。後者は、起きた出来事（41件）に引っ張られて、出来事の周りだけを調べて終わりやすい。今日の監査は、41件をきっかけに「同意の記録」全体を範囲にしたから、移行前の41.2万人（指摘2）が見つかった。範囲の決め方が、報告書の価値を決める。
隣接する文書との関係:
- 品質保証計画書（カテゴリ10の1本目、Day010）: 作る側が「何を、どう確かめるか」を事前に決める文書。監査報告書は、独立した人が「決めたとおりに働いているか」を事後に確かめる文書。Day010 の「測定可能の5点」と「0件のときの上限（3÷n）」は、今日の「問題がなかった範囲」でそのまま使った
- 是正措置報告書 CAPA（カテゴリ10の3本目）: 指摘1を受けた側（江口部長・高梨部長）が、真因と再発を止めた証拠を書く文書。今日の「原因: 権限を見直す持ち主が決まっていなかった」を、CAPA では表層で止めずに掘る
- 監査指摘への回答書（カテゴリ10の6本目）: 9/28 に経営側が出した回答そのもの。今日の報告書の「経営の回答」欄の元になる
- ナレッジベース記事（Day026）: 指摘1の「記事による注意だけでは止まらない」は、Day026 の設計メモの「記事で防ぐのはシステムで防ぐまでのつなぎ」が、実際につなぎにしかならなかったことを示している
- リスクアセスメント資料（危機管理#2）: 指摘2の案 C（何もしない）を選ぶなら、リスクの受け入れを記録する場所になる
この回の設計メモ（迷った他案・扱わなかった範囲・出所）
迷った他案と採らなかった理由
- 書き手を宮田さんのままにする案（販促システム部の自主点検の報告として書く） — シナリオの連続性は保てる。ただし監査報告書の本体は独立した評価で、被監査部門の人が書くと「自己評価の報告書」という別の文書になる。カタログの勝負どころ（重要度の区別）も、書き手が自部門の指摘を軽く書く動機を持つと練習にならない。書き手を内部監査室の平田さん（新登場）に替えた。 宮田さんは被監査部門の側に置いた
- 指摘2を「高」にする案（41.2万人・配信先の65%・年8.5億円の宛先という規模を重く見る） — 実務でもこう付ける監査部門は多い。ただし今日は、重要度の基準を「今も起こりうるか・反する送信があったか」で書いたので、基準に照らすと「中」になる。規模の大きさは「重要度」ではなく「経営の判断が要る」という別の軸で1ページ目に出した。前提が変われば判断も変わる: 行政からの照会や、記録を求める会員の申し出が1件でもあれば「高」に上げる（全文の指摘2に明記）。また、基準を「影響の大きさ×起こりやすさ」の掛け算で作る会社なら、指摘2は「高」になりうる。どちらの基準を採るかは会社が決めることで、大事なのは基準を書いてから付けること
- Best で内部監査室が A〜C のどれかを「推奨」する案 — 読み手は決めやすくなる。ただし内部監査が経営の選択肢を推すと、経営の判断を監査が代わりにしたことになり、後でその判断を監査できなくなる（独立性・客観性）。A〜C は経営側の案として並べ、当室の意見は「妥当と考えます」にとどめた
- 比較セクションを指摘1の詳細（状況・規準・原因・影響）にする案 — 5C の書き方の差は詳細の方が大きく出る。ただし勝負どころ（重要度の区別）が効くのは複数の指摘を並べる要約で、読み手（委員）が前日に読むのも1ページ目。要約を比べ、詳細は全文で見せた
- 重要度を4段階（重大・高・中・低）にする案 — 大きな会社ではよくある。ただし今日の指摘は3件で、4段階にすると「重大」を使うかどうかの議論が増える。3段階＋総合評価4段階にした
扱わなかった範囲
- 特定電子メール法・特定商取引法の当てはめ（指摘2の記録が法令上足りるか、指摘1の3件が違反に当たるか）。監査報告書の中でも「当室では判断しない」と書いた。法務の意見の中身は60分版の設定として置いただけで、法的な評価ではない
- LINE の配信（友だち追加の同意、LINE の規約）。範囲外と報告書に明記した
- 財務報告に係る内部統制（J-SOX）の「開示すべき重要な不備」の判定。今日の総合評価は内部監査室の独自の尺度で、J-SOX の評価とは別物
- 再同意キャンペーンの設計（文面・回数・戻る割合の見込みの根拠）。年4.3〜6.0億円は単純な掛け算で、戻る割合は仮定
- 内部監査の品質評価（IIA の外部評価）、監査調書の書き方、サンプルサイズの統計的な決め方（今日の60件・40件は監査の慣行に近い数として置いた）
数字と概念の出所
- 会社・人物・日付・数字はすべて架空。宮田・高梨部長・西村本部長は既出、松本さん（CS部）は Day009、小林さん（法務）は Day007、T1・確認メール・41件は Day024・026、配信先約63万人は Day023、配信基盤の移行（2027/10/8）は Day009・010。新登場: 内部監査室の平田・坂本室長、CS部長 江口、社長 飯島、監査等委員会の久保委員長・宇野・吉川
- 〔実測: シナリオ内〕変更ログ52件（41＋3＋8）、7/13〜8/31の3件と録音の照合結果、権限を持つ約70名（28＋42）、移行前の会員41.2万人・うち33.6万人、登録画面の変更5回、確認待ち60件で0件、配信停止40件で最長3時間12分
- 〔導出〕41.2÷63＝65.4%（本文は65%）。年約8.5億円＝13億円×65.4%＝8.50億円。年4.3〜6.0億円＝8.5億円×（1−0.5）〜8.5億円×（1−0.3）＝4.25〜5.95億円。0件のときの上限の目安 3÷60＝5%（rule of three、Day010 と同じ）。7.6万人＝41.2万−33.6万（60分版）。曜日（2029/8/27月・9/14金・9/21金・9/28金・10/3水・10/5金・10/10水・10/12金・10/15月・11/30金・12/7金・12/14金・12/20木、2030/1/15火）は作成時に計算で確認した。行数は各コードブロックの実測、字数は空白を除いてスクリプトで数えた
- 〔仮定〕メール経由の売上 年約13億円（Day008 の FY2026上期の自社配信経由6.2億円から、年に直して少し伸ばした値として置いた）、41.2万人の売上が人数に比例すること（実際には古い会員ほど購入が多い可能性があり、8.5億円は下振れも上振れもしうる）、再同意で戻る割合3〜5割
- IIA Global Internal Audit Standards（2024年公表、2025年1月発効） の Standard 14.3（指摘の評価・重要度による順位づけ）と 15.1（最終報告に、対象の統制の有効性についての監査人の判断を含める）は、検索結果の要約で確認（https://www.bakertilly.com/insights/domain-v-performing-internal-audit-services 、参照日 2026-10-12。基準の原文は読んでいない）。経営が受け入れたリスクが許容を超える場合に監査部門の長が経営と話し、解決しなければ取締役会に伝える、という部分は旧基準（IPPF 2017）の Standard 2600 の記憶による記述で、2024年版での番号は確認していない
- 指摘の 4要素（Criteria／Condition／Cause／Effect）は内部監査の実務で広く使われる型として記憶による（特定の出典ページは取得していない）。総合評価の4段階の名前（Effective／Generally Effective／Needs Improvement／Unsatisfactory）は各社で違う一例として置いた
- 特定電子メール法の同意の記録（保存するもの＝同意を受けた際の状況を示す記録〔時期と方法など〕、定型的な事項での代替、保存期間＝最後に送信した日から1か月〔措置命令を受けた場合は1年〕）と、特定商取引法の請求・承諾の記録（通信販売電子メール広告などを行った日から3年、定型的な内容と表示の時期で代えられる条件）、記録義務違反の罰則（特電法は命令に従わない場合100万円以下の罰金、特商法は記録保存義務違反で100万円以下の罰金） は、総務省・消費者庁のパンフレット「特定電子メール法・特定商取引法」のPDF本文を取得して該当箇所を読んで確認した（https://www.soumu.go.jp/main_sosiki/joho_tsusin/d_syohi/pdf/m_mail_pamphlet.pdf 、参照日 2026-10-12）。Day026 で未確認だった保存期間はこれで埋まった。施行規則の条番号は確認していないので本文に書いていない
- blameless の考え方（原因を人ではなく仕組みに置く）は Day011・026 と同じ
何が起きているか: