監査可能な決定履歴のための調達イベントデータの定義

監査可能な調達の意思決定プロセスには何が含まれるか

米国の連邦調達契約は、範囲を検討する上で有用な参考となります。 FAR（連邦調達規則）の契約ファイル規則 は、政府の契約事務局に対し、取引の全履歴を構成するに足る十分な文書の保管を義務付けており、購入依頼や正当化書類から、調達公募（ソリシテーション）、提案、サプライヤー選定、落札承認、変更に至るまでの記録を列挙しています。これらの規則は企業の購買活動ではなく連邦機関自身のファイルに適用されるものであるため、このリストは自社の設計における網羅性のチェックとして活用してください。

証跡とは、購買のステータスを変更するイベントと、それぞれが依拠した証拠（承認されたリクエスト、確定したサプライヤーリスト、受領した提案、署名された評価、承認された落札、修正された契約、受領した物品、支払われた請求書）の集まりだと考えてください。各時点にはアクター、時刻、ドキュメントが存在し、レビュー担当者は三つのチームに受信トレイの検索を依頼することなく、それらの間を行き来できるべきです。

すべての調達イベントレコードに含めるべきフィールドとは？

プロセスマイニング手法に関する記事が、最小限の項目セットを簡潔に示しています。 Chiu, Brown-Liburd および Vasarhelyi は、プロセスインスタンス、アクティビティ、それを実行したリソース、およびタイムスタンプを保持するイベントログについて説明しています。発注書、署名、入庫、請求書受領、リリース、支払いといった彼らの例示的な調達から支払い（プロキュア・トゥ・ペイ）までのパスは、標準的なシーケンスと非標準的なシーケンスを区別します。これは各イベントがプロセスインスタンス、アクティビティ、タイムスタンプを保持していることに依存しており、一方で、リソースフィールドは職務分離などの他のテストを支えます。

調達イベントには、一般的なシステムログよりも少し多くの項目が必要です。これは、調達のレビュー担当者が権限や根拠についても確認するためです。レコード管理システムとその固有のレコード番号、適用された承認ルール、イベントによってコミットメントに変更が生じる場合の金額と通貨、および裏付けとなるドキュメントの保存バージョンへのリンクを追加します。担当者は、実名またはサービスアカウントに加え、その日に有効な役割と委任内容として記録し、職務分掌テストによって申請者が自身の申請を承認しているケースを発見できるようにします。

データがプロセス・マイニングや監査分析ツールに投入される場合、公開されたデータ交換フォーマットを採用しておけば、後日の変換作業の手間を省くことができます。 IEEE 1849-2023 XES規格 は、イベントログを生成するシステムとそれを分析するツールとの間で交換するためのXML形式を定義しており、その範囲には調達システムもそのようなソースの一つとして含まれています。スキーマをそこにマッピングすることで、データが移動する際に各フィールドの意味が明確に保たれますが、網羅性は依然として各システムが何を記録するかに依存します。

受付、ソーシング、契約、およびERPシステムの間で、記録はどのように連携すべきでしょうか？

監査証跡は複数のシステムにまたがる場合があります。リクエストは入力ツール、入札はeソーシングプラットフォーム、合意は契約管理、そしてコミットメントと支払いはERPで行われます。 オープン・コントラクティング・データ・スタンダード（OCDS）入門 は、契約プロセスごとに一つの識別子を用いることで、公共調達における同様の問題に対処しています。各変更は、公開されると変更できないリリースとして公開され、レコードがそれらのリリースをインデックス化し、各フィールドの最新値を保持するコンパイル済みリリースを含めることができます。

同様のパターンは企業内でも機能します。受付時に案件識別子を割り当て、それを調達イベント、契約、発注書、請求書に引き継ぎ、システムが独自の番号を発行した場合は必ずクロスリファレンスを保存します。基本契約の場合は、コールオフ注文、受領書、請求書が参照するアンカーとして契約を機能させます。履歴は追記専用とし、そこから現在のビューを構築します。これにより、修正されたサプライヤー名や価格は理由とともに新しいイベントとして記録され、一方で以前の値も閲覧可能な状態に保たれます。

最も厳格な管理を必要とする調達イベントは何ですか？

例外的な処理には最も厳格な管理が必要です。なぜなら、標準的なプロセスには文書があらかじめ組み込まれているのに対し、例外処理では独自の記録を作成しなければならないからです。 2016年のクック郡による特命随意契約（ソールソース）および緊急調達の監査 はそのギャップを示している。発注部門が一社特命調達（ソールソース調達）に対して十分な正当性を一貫して提示していないことが判明した。また、緊急購入申請書には、3者からの見積もりを取得しない正当性を説明する要件が設けられていなかったことも明らかになった。

各例外を独自のイベントタイプとして記録します。単独調達または単一入札の正当化、競争入札または見積もり要件の免除、その他のポリシー上のステップの免除、あるいは落札後の手動による価格や数量の変更などです。それぞれについて、逸脱元の規則、文書化された理由、承認者とその権限、およびコミットメント（発注や契約締結）に対して承認がいつ行われたかを記載する必要があります。権限委譲の限度額は台帳において免除不可のものとして扱い、個人の限度額を超える承認は、エスカレーションとして、または事後承認および違反記録を伴う無権限のコミットメントとして記録します。

評価記録も同様に取り扱われるべきです。南スーダンにおける現地調達に関する2024年の内部監査において、 国連監査官 は、技術的および財務的評価が、抽出された30件の事例のうち16件で入札公告の評価基準に従って行われていた一方、残りの14件については評価するのに十分な記録がなかったことを確認しました。また、同監査では、入札開封委員会が後にすべての提出物の受領時刻を記録していたことも判明しており、これは評価証跡の起点となり得るタイムスタンプ付きのイベントです。

調達イベントの記録はどのくらいの期間保管すべきですか？

保存期間は管轄区域や記録の種類によって異なるため、すべてを一律の数値にするのではなく、法務部門や財務部門と協議して設定してください。米国連邦契約の場合、 FARの保存期間表 は、採用された提案と不採用の提案を含む契約および関連記録が、最終支払いから6年間保管されることを示しています。同じサブパートでは、元のデータが改ざんされないよう保護するデータ転送、保管、および取得の手順が求められています。

税務規則も別の角度から同じ記録に対象を及ぼします。 内国歳入庁（IRS）の歳入手続（Revenue Procedure）98-25 は、対象範囲内の納税者に対し、税務行政において内容が重要となる可能性がある期間、機械判読可能な記録を保管することを義務付けています。また、それらの記録を作成および変更する業務プロセスの文書化、ならびに保管された記録、帳簿、および税務申告書の間の監査証跡の確立を求めているため、イベントスキーマとその変更履歴をデータと一緒に保管してください。

ログそのものについては、 NIST SP 800-92の改訂ドラフト は、ログ管理をログデータの生成、送信、保存、アクセス、および破棄と定義し、目的の一つとして必要期間にわたる記録の保持を挙げています。これはサイバーセキュリティログを対象としているため、どの調達イベントが重要かを決定するためではなく、保存、アクセス、および破棄の管理徹底のために活用してください。

チームは、監査の前にどのように証跡をテストできますか？

監査人が実施するようなテストを実行してください。各ケースのイベントを時系列に並べ、商品受領後に署名が記録されているなど、ルールに違反するパスを探します。 チウ（Chiu）および共同研究者らの例では、そのパスは非標準的なパスとみなされ、同じ著者らは、不完全なイベントログからは監査人が使用できない情報しか得られないと警告しています。次に、競争入札の基準額を超えているにもかかわらず調達イベントが実施されていない発注や、発注日よりも前の日付が記載された請求書など、誰も申告していない例外がないかを確認し、申告されたすべての例外についてその理由と承認者が記録されているかを点検します。

項目（フィールド）の品質には、義務付けられたシステムであっても独自のチェックが必要です。連邦調達データに関する2025年のレビューにおいて、 GAO は、連邦調達データシステムに報告している70機関のうち36機関が2023会計年度のデータ品質報告書の完了を確認した一方、残りの機関が契約債務額の約0.26パーセントを占めていたことを明らかにしました。また、二つの機関が、低い精度が繰り返されるデータ要素に対する是正措置計画を文書化していなかったことも明らかにしました。毎期主要項目をサンプリングし、繰り返されるエラーの原因を特定する役割を担当者に割り当ててください。

調達イベント台帳には何を含めるべきか？

以下の登録簿を使用して、どのイベントが存在し、それぞれに何が必要であり、誰が欠落している項目の責任を持つかについて、システムごとに合意を形成する。1つのカテゴリと最近の調達イベントから始めて、リクエストから支払いまで追跡し、記録を読む代わりに人に尋ねなければならなかった箇所をすべてマークする。もしあなたの調達イベントがすでに 構造化されたRFQワークフローに従う場合、そのステージは調達の各行に対応します。

サプライヤーの記録には2つの別個の履歴が必要です。新しいサプライヤーが 段階的なサプライヤーリスク評価を通過する場合は、評価バージョン、結果、およびレビュー担当者をそのサプライヤーのイベントとして記録します。すべてのサプライヤーについて、階層に関わらず、銀行口座情報の変更はすべてハイリスクなマスターデータ変更イベントとして扱い、誰が変更を依頼したか、ファイルにすでに登録されている連絡先を通じてどのように確認されたか、誰が検証・承認したか、いつ実行されたかを記録することで、支払いのレビュー時に送金前に何がチェックされたかを確認できるようにします。

AIエージェントはどのように調達の意思決定プロセスを変更するのか