Assessment Plan を書く

ミナト精機の年次内部監査を Assessment Plan にします。2026 年度の監査対象は受発注システム、実施は 9 月の第 2 週、確かめるのはこのシステムに適用される管理策のすべてです。文書の名前は「ミナト精機 受発注システム 内部監査計画（2026 年度）」、ファイル名は mk-audit-plan.yaml とします。

監査対象の宣言：import-ssp

外枠は 8 モデル共通です。metadata の次に、評価対象のシステムを import-ssp で宣言します。

assessment-plan:
  uuid: cc7fa4af-cd47-43c1-b831-1bfe53c5afde
  metadata:
    title: ミナト精機 受発注システム 内部監査計画（2026 年度）
    last-modified: "2026-08-05T09:00:00+09:00"
    version: "1.0.0"
    oscal-version: "1.2.2"

参照の連なりを確かめておきます。この監査計画は SSP を指し、SSP は Profile を指し、Profile は Catalog を指しています。監査人がこの計画を受け取れば、対象システムの実装の記述も、適用されるルールの本文も、参照をたどるだけで読めます。

確かめる範囲：reviewed-controls

今回の監査では、受発注システムに適用される管理策のすべてを確かめることにします。「適用される管理策」が何かは、SSP が参照する受発注システム基準プロファイルで決まっていました。

  reviewed-controls:
    control-selections:
      - include-controls:

なお、「適用される全部」を確かめるなら include-all でも書けます。あえて id を列挙したのは、監査報告書を読む人が計画単体でも範囲を確認できるようにするためです。絞った監査（今年はアクセス管理だけ、など）にしたければ、この列挙を減らすだけで済みます。

調べる対象物：assessment-subjects

確かめる管理策の次は、何を調べるかです。今回は、SSP に載っている部品のすべて（受発注システム本体、アオバドライブ、入退室管理システム）を調査の対象にします。IFA の実物と同じ書き方です。

  assessment-subjects:
    - type: component
      description: 受発注システムの SSP に載っている部品すべてを対象とする。
      include-all: {}

type: component で「部品を対象にする」と宣言し、include-all で全部を選びます。include-all が空の項目 {} になるのは、Profile の include-all と同じ書き方です。

監査の日程：tasks

最後に、監査の作業を日程に割り当てます。2026 年度の内部監査は、次の 2 つの作業で構成することにします。

task の 1 件には、uuid、type、title が必須です。type には、実際の作業を表す action と、節目を表す milestone があり、どちらも監査の予定表なら action です。日程は timing の within-date-range（この期間内に行う）に、start と end で書きます。

  tasks:
    - uuid: 0e6c0a6a-331a-4bb0-8cae-caf2e239864f
      type: action
      title: 記録の確認
      description: SSP の実装の記述と、バックアップの記録、アカウント棚卸しの記録、入退室の記録を突き合わせる。
      timing:
        within-date-range:
          start: "2026-09-07T09:00:00+09:00"
          end: "2026-09-09T17:00:00+09:00"
    - uuid: ede5ea73-1277-4f70-abe5-b118147e5f5c
      type: action
      title: サーバー室の現地確認

なお、timing の書き方は within-date-range だけではありません。特定の日に行う on-date と、繰り返す周期を書く at-frequency もあります。毎月の自動点検なら、次のように書きます。

      timing:
        at-frequency:
          period: 1
          unit: months

unit には days や hours なども選べます。年 1 回の内部監査でも、月次の継続的な点検でも、tasks という同じ枠に載せられます。

これで「ミナト精機 受発注システム 内部監査計画（2026 年度）」の版 1.0.0 が揃いました。import-ssp、reviewed-controls、assessment-subjects、tasks。Word の監査計画書に書いてきた対象、範囲、日程が、すべて参照と一覧の形になっています。

理解の確認

次へ

監査の計画ができました。次のセクションは、監査を実施した後の話です。監査で見つけたことを記録する Assessment Results というモデルを、観察（observation）、所見（finding）、リスク（risk）という 3 つの単位に分けて書きます。監査報告書の「指摘事項」の 1 件が、この 3 層にどう分解されるかが中心です。