取引先のクラウドサービスから毎月届く英文のSOC 2報告書を読み取り、例外事項と利用者側の統制（CUEC）を委託先管理の台帳に載せて、自社で手当てが要るものを洗い出す

処理の起点を決める

受付フォルダ（Amazon S3）への保存を起点にします。 報告書は委託先のポータルから人がダウンロードするので、届く日は決まっていません。1本ずつ、入れたときに動かします。

保存の前に、人がNDAの条件を確かめます。 外部のサービスでの処理を認めない報告書は、受付フォルダに入れず、人が読む流れに回します。この確認を処理の手前に置くのは、入れてしまえば読み取りが始まるからです。

読み取りが終わると、Textract が SNS に完了を通知します。 通知を受けた Lambda が結果を集め、後段の処理に渡します。2段に分けるのは、長い報告書の読み取りに時間がかかるためで、Lambda が完了を待ち続ける形にしません。

加えて、月に1回、台帳の受領の予定を見ます。 前回の報告書の対象期間の終わりから、委託先ごとの発行の間隔を過ぎても次の報告書が無い委託先を一覧にし、ポータルを確かめるよう担当に知らせます。

入力データを集める

質を決めるのは、いちばん下の2つです。 自社の統制の一覧に短い説明が無ければ、CUEC の対応づけは統制の名前だけで行うことになり、「アクセス管理」のような広い名前に何でも寄ってしまいます。 決まり文句の一覧は、監査人ごとの言い回しを集めたもので、運用しながら足していきます。

前回の台帳の記録は、対象期間の空白と、例外の繰り返しを見るために持ちます。 前回が3月末までで今回が7月1日からなら、4月から6月は誰も監査していない期間です。 同じ統制で2回続けて例外が出ていれば、委託先の手当てが効いていないということです。

データの取得方法を決める

読み取りは、StartDocumentAnalysis に S3 の場所と FeatureTypes を渡して始めます。ClientRequestToken に報告書のファイルのハッシュを入れます。 同じトークンなら同じ JobId が返るので、二重に保存されても二重に読み取りません。JobTag に委託先のコードを入れておくと、完了の通知でどの報告書かが分かります。

結果は GetDocumentAnalysis で集めます。 1回に返るブロックは既定で最大1,000件で、続きがあれば NextToken が返ります。150ページの報告書では何十回も呼ぶことになるので、NextToken が無くなるまで繰り返します。 JobId は7日間だけ有効です。

問い合わせ（QUERIES）は、表紙と意見のページに絞ります。 たとえば「What is the period covered by this report?」「What is the name of the service auditor?」です。QueriesConfig では問い合わせごとに対象のページを指定でき、非同期の処理では1ページに30件までです。問い合わせは英語の文書でだけ使えます。

結果の列は、列見出しの文言で決めます。 見出しのセルの文字が「Results」「Test Results」「Results of Tests」のどれかに当たる列を結果の列とし、当たる列が無い表は、人に回します。 列の位置で決めると、監査人ごとに4列の表と5列の表があるため、ずれます。

AIへ渡す前に整形する

1. 形式とページ数の確認 … PDFであること、500MBと3,000ページを超えないことを確かめます
2. パスワードの確認 … Textract はパスワードで保護されたPDFを扱えません。保護されたものは読み取りに回さず、担当に知らせます
3. 章の切り出し … LAYOUT_SECTION_HEADER の文言から、意見（Independent Service Auditor's Report）、システムの記述、テストの結果、CUEC の範囲を決めます
4. ページをまたぐ表をつなぐ … 同じ列見出しの表が次のページの先頭に続いていれば、1つの表として扱います
5. 決まり文句で行を分ける … 結果の列の文言を小文字にし、空白をそろえてから、決まり文句の一覧と比べます。当たらない行をすべて例外の候補にします
6. CUEC の行を集める … CUEC の範囲の表か箇条書き（LAYOUT_LIST）から、1件ずつの文に分けます
7. 前回の記録を引く … 委託先のコードで前回の台帳の記録を読み、対象期間と例外事項を並べます

5番目で、例外の候補を広めに取るのが要です。 「No exceptions noted.」に句点があるか、「No exception noted」と単数形か。文言のわずかな違いで「例外なし」から外れた行は、人が見て数秒で片づきます。 逆に、例外を「例外なし」と取り違えるほうは、人の目に二度と戻りません。

4番目のつなぎ方を誤ると、ページの境目の行が二重に数えられるか、見出しの無い表として捨てられます。 第3章の（a）で人が見落としていたのと同じ場所です。同じ列数で、先頭に列見出しが無い表は、前のページの表の続きとして扱います。

AIに処理させる

AIの仕事は2つです。 例外の候補の行を分解することと、CUEC を自社の統制に対応づけることです。例外の候補を選ぶことはさせません。

2行目の「言い回しが違うだけの例外なし」の判定は、人の確認を軽くするためのものです。 AIが「例外なし」と判定しても、行は台帳の案から消さず、benign_wording の印を付けて残します。 人が一覧で確かめて消します。

「委託先の回答を言い換えない」も大事です。 委託先は例外に対して「影響は限定的」「補完する統制がある」と書きます。要約すると、その主張がAIの判断のように見えてしまいます。

指示内容を固定する

あなたは委託先管理の担当として、英文のSOC 2 Type 2 報告書から取り出した行を整理する係です。
渡された行と自社の統制の一覧だけを根拠にしてください。一般的な知識で補わないでください。

【作業1：例外の候補の行】{exception_candidates}
それぞれの行について、次を英文の原文のまま書き出してください。
- control_id / control_description / test_performed / result_text / management_response
- result_text に件数・対象の母集団・期間が書かれていれば、count / population / period に分けて写す
- 言い回しが違うだけで例外が無いと読める場合は benign_wording を true にし、理由を1文で書く

【作業2：CUEC の一覧】{cuecs}
【自社の統制の一覧】{internal_controls}
CUEC 1件ごとに、自社の統制から対応するものを最大3つ選び、
根拠にした語（CUEC の語と自社の統制の説明の語）を evidence に書いてください。
対応するものが無ければ match を no_match にしてください。

【厳守事項】
- 例外が許容できるか、影響が大きいか小さいかを書かないでください。
- management_response を要約・言い換えしないでください。原文をそのまま写してください。
- 件数や期間が書かれていなければ「不明」とし、推測で埋めないでください。
- 自社でその統制が実施されているかを書かないでください。
- 対応の無い CUEC に、新しい統制を提案しないでください。
- benign_wording を true にしても、行を省かないでください。

「行を省かない」を明記しないと、AIは例外なしと判断した行を出力から落とします。 落ちた行は、人が一覧で確かめる機会を失います。省かせずに印を付けさせ、消すのは人です。

「影響が大きいか小さいかを書かない」も外せません。 委託先の回答に「影響は限定的」と書かれていると、AIはそれを根拠に「軽微」と書きたがります。その一語が台帳に残ると、誰も評価していないのに評価済みに見えます。

出力形式を固定する

Claude API の構造化出力で、次の形のJSONを受け取ります。 output_config.format に json_schema を指定すると、スキーマに沿ったJSONが返ります。スキーマは additionalProperties: false で閉じます。

{
  "vendor_code": "V-0412",
  "report_meta": {
    "period_from": "2025-10-01", "period_to": "2026-09-30",
    "auditor": "", "opinion_text": "", "carve_out_subservice": ["" ],
    "query_confidence": 0
  },
  "exceptions": [
    { "control_id": "CC6.2", "control_description": "", "test_performed": "",
      "result_text": "", "count": "2", "population": "25", "period": "不明",
      "management_response": "", "benign_wording": false,
      "page": 87, "ocr_confidence": 0 }
  ],
  "cuecs": [
    { "cuec_text": "", "page": 34,
      "match": "matched | no_match",
      "internal_controls": [ { "id": "IC-HR-07", "evidence": "" } ] }
  ],
  "flags": ["period_gap", "repeat_exception", "no_results_column"]
}

1つ目の理由は、page で原本のページへすぐ戻れることです。 人の確認は、台帳の案の1行と原本のページを並べて見る作業です。ページ番号が無いと、150ページの中を探し直すことになります。

2つ目は、flags を Python が付けることです。 対象期間の空白（period_gap）、前回と同じ統制での例外（repeat_exception）、結果の列が見つからない表（no_results_column）は、前回の記録と表の構造から機械的に決まります。 AIには付けさせません。

3つ目は、opinion_text を原文で持つことです。 意見の種類を「適正」「限定付き」に分けるのは人で、台帳には監査人の文言をそのまま残します。

システムへ連携する

台帳には「確認待ち」の状態で載せます。 確定の操作は人だけが行えるようにし、確定していない案が顧客への回答や監査の資料に使われないようにします。 自社の統制の一覧には書き込みません。

人が確認する

この構成の確認は、必須です。 委託先管理の記録は、自社の顧客や監査人に示すものです。

1. 報告書の基本を確かめる … 対象期間、監査人、意見の文言を原本の表紙と意見のページで見ます。意見に限定が付いていないかは、ここで人が読みます
2. 例外事項を原本で確かめる … exceptions の各行を page で開き、取り出した文言が合っているかを見ます。benign_wording の行は一覧で確かめて消します
3. CUEC を担当部署に回す … 対応づけの下書きを、対応先の統制の担当部署に送り、実施しているかを答えてもらいます
4. 手当てを決める … 担当と法務が、例外事項と回答の無い CUEC について、委託先への質問、自社の統制の追加、契約の見直しのどれが要るかを決めます

2番目で、件数と母集団を必ず原本で見てください。 「2 of 25」と「2 of 250」では意味が違い、読み取りの1文字の誤りで評価が変わります。

1件あたり30分を目安にします。 例外事項が無い報告書は10分ほどで終わり、例外や回答の無い CUEC が多い報告書は1時間を超えます。

例外に対処する

6行目のブリッジレターは、報告書の対象期間の終わりから次の報告書までをつなぐ書簡です。 AWS は継続運用の書簡（Bridge Letter）を毎月更新して公開しているとしています。空白の期間の手当てとして、委託先に求める材料になります。

記録を残す

• 報告書の原本、ダウンロードした日、NDAの確認の記録
• Textract の読み取り結果の全文（S3 に KMS で暗号化して保存）
• 例外の候補として取り出した行と、決まり文句の一覧のその時点の版
• Claude の出力の全文と、人が直した箇所
• CUEC ごとの担当部署の回答と回答日
• 手当ての決定、委託先への質問と回答、台帳の確定日と確定した人

3つ目で決まり文句の一覧の版を残すのは、一覧に文言を足すと過去の判定の意味が変わるためです。 ある時点で「例外なし」に足した文言が、実は例外を含む言い回しだったと後で分かったとき、どの報告書の判定をやり直すかが決まります。

最後の行は、自社の監査や顧客からの質問への回答の材料です。 委託先の例外に、いつ気づき、何をしたかを示せます。