POA&M を書く

8 つ目、最後のモデルです。POA&M（Plan of Action and Milestones、ポアム）は、見つかった問題を「いつまでに、どう直すか」の一覧として管理する文書です。ミナト精機の手元の文書では、指摘事項管理台帳がこれにあたります。監査や審査で指摘を受けるたびに 1 行増え、対応が済むと消し込まれていく、あの Excel の台帳です。

前のセクションの監査結果には、not-satisfied の所見が 1 件ありました。不要になったアカウントの削除が期限を超えていた、という指摘です。この 1 件を台帳に載せるところから始めます。文書の名前は「ミナト精機 受発注システム 是正計画」、ファイル名は mk-poam.yaml です。

台帳の 1 行：poam-item

POA&M の必須ブロックは、uuid、metadata、poam-items の 3 つです。加えてこの文書では、対象システムを示す import-ssp（order-system-ssp.yaml への参照）と system-id（mk-sys-001）も書いておきます。是正の台帳が、どのシステムの話かを機械が判別できるようにするためです。

poam-item が、台帳の 1 行にあたります。必須項目は title と description だけ、そこに 3 種類の参照を添えられます。

是正の項目は「アカウント削除の担当と手順の明確化」とします。参照でつなぐ相手は、監査結果に書いた次の 2 件の所見のうち、是正が必要な方です。

  poam-items:
    - uuid: a92bafda-13ee-45aa-8248-15491658bc83
      title: アカウント削除の担当と手順の明確化
      description: 棚卸しで不要と判定したアカウントについて、削除作業の担当者と期限の管理方法を決め、次回の棚卸しから適用する。

この参照の効き目を確かめてください。Excel の台帳では、指摘の詳しい経緯を知りたければ、監査報告書のファイルを開いて該当ページを目で探すことになります。この poam-item からは、finding-uuid で監査結果の所見へ、そこから observation-uuid で「いつ、何を確かめて、何を見たか」の記録へ、参照をたどるだけで着きます。台帳の 1 行から観察の事実まで、全部が機械のたどれる線でつながっています。

期限と進捗：risk の status と milestone

是正には期限が要ります。POA&M では、期限と対応方針は risk の側に書きます。

監査結果に書いた risk を、この文書に引き継ぎます。uuid は同じまま（b583b652-…）です。同じ uuid を使うことで、監査結果のリスクと是正計画のリスクが同一のものだと機械が判別できます。一方で status は進めます。監査結果の時点では open（未対応）でしたが、是正計画を立てたので remediating（是正中）です。

対応方針は risk の remediations に書きます。1 件には uuid、lifecycle（対応の段階。計画段階なら planned）、title、description が必須です。そして期限は、remediation の下の tasks に type: milestone の 1 件として書きます。milestone は「節目」を表す task で、Assessment Plan の日程で使った within-date-range がここでも使えます。是正の期限は、次回の棚卸しがある 2026 年 10 月末とします。

  risks:
    - uuid: b583b652-a361-4975-a733-1b96f1857896
      title: 不要になったアカウントの残存
      description: 退職や異動で不要になったアカウントが、削除されないまま残ることがある。
      statement: 不要なアカウントが残っている間は、本人以外がそのアカウントを使っても気付きにくく、受発注データへの不正なアクセスの経路になりうる。
      status: remediating
      remediations:
        - uuid: 4f91c3bd-cee2-469c-9133-8c1e8eb9435b
          lifecycle: planned
          title: 削除作業の担当と期限管理の導入
          description: アカウント削除の担当者を情報システム部内で定め、棚卸しの判定から削除完了までを記録で管理する。
          tasks:
            - uuid: e9a6d600-dba4-4ad0-97ef-252ac99cc5f4
              type: milestone
              title: 次回棚卸し（2026 年 10 月）までに手順を整備する

これで「ミナト精機 受発注システム 是正計画」の版 1.0.0 が完成です。poam-item が台帳の行、risk の status が進捗、milestone が期限。Excel の台帳で列に分かれていた情報が、参照つきの構造になりました。

是正の完了から次の評価へ

是正が終わったら、どうなるか。一周の閉じ方を確かめます。

10 月末、削除の担当者が決まり、手順が整備されたとします。まず risk の status を remediating から closed（解消済み）に進めます。それから、忘れてはいけない更新が 1 つあります。SSP です。mk-ac-02 の実装の記述（by-components の description）に「削除作業の担当者と期限の管理」の運用が加わったので、SSP の該当箇所を書き直し、版を 1.1.0 に進めます。もちろん、ルートの uuid も新しく発番します。

そして翌年、2027 年度の内部監査は、更新された SSP を import-ssp で指す新しい Assessment Plan から始まります。監査人が最初に確かめるのは、前年の POA&M で closed になった項目が、本当に運用されているかです。

理解の確認

次へ

8 つのモデルをすべて書きました。残りは 2 セクションです。次のセクションで、8 モデルの役割と参照関係を一枚に整理し、自分の組織で最初に書くならどのモデルか、という実践の入り口を考えます。