BtoB通販の監査証跡｜取引先の監査で示すべき項目と整え方

◆監修・編集責任者　小園 将隆　2026年9月19日

B2B EC-COLUMN

監査証跡とは具体的に何を指すのか

取引先の監査で示すよう求められるのは、注文や取引先情報に対する操作が「誰が・いつ・何を・変更前後どうしたか」の形で後から追えることです。ログという言葉で漠然と依頼されても、監査側が確かめたいのはこの一組がそろっているかどうかで、ファイルの量ではありません。進め方は決まっています。求められる項目を書き出し、自社のBtoB通販サイトが実際に記録している操作と一つずつ突き合わせ、保存期間と閲覧制限が提出先の求めに届いているかを見る。そのうえで空欄が残った箇所を、設定の変更で埋まるのか、記録を残す仕組みを足す必要があるのかに仕分けます。自社に当てはめるときの起点は、管理画面の操作・取引先側の操作・基幹連携などの自動処理という区分で、どこまでが記録に残る作りになっているかを確かめることです。

四つの要素がそろって初めて証跡になる

監査証跡という言葉は広く使われますが、取引先の監査で実際に見られるのは、ひとつの操作について四つの要素がそろっているかどうかです。操作した人、操作した時刻、対象となったデータと操作の種類、そして変更前と変更後の値。このうちどれかが欠けると、記録は残っていても「誰の判断で何がどう変わったのか」を説明できません。

よくあるのは、変更前の値が残っていない状態です。掛率を書き換えた記録はあるが、書き換える前がいくらだったかが分からない。この形では、取引先から見て価格が正しく管理されていた証明になりません。

業務の記録と操作の記録は別物

受注一覧に表示される「最終更新日時」や「更新者」は業務の記録であり、次の更新で上書きされます。監査証跡として扱えるのは、上書きされず追記だけが積み上がる記録です。画面上に担当者名が出ているから大丈夫、と考えていると、監査の場で「前回の値は残っていますか」と問われて答えられなくなります。

自社のサイトを確認するときは、画面の表示ではなく、記録が別の場所に追記で蓄積されているかどうかを見てください。

誰に示すかで求められる粒度が変わる

同じ「証跡を出してほしい」でも、取引先の購買部門が確かめたいのは価格と注文まわりの操作、親会社の内部監査が確かめたいのは権限の付与と変更、外部の審査で問われるのは記録そのものの守り方、というように焦点が違います。

依頼を受けた時点で、どの取引にかかる監査か、いつからいつまでの分か、提出先が誰かを先に確かめておくと、用意する範囲が絞れます。範囲が決まったら、自社のサイトが今そこを記録しているかを並べる作業に移ります。

自社のサイトは何をログに残しているか

管理画面の操作

自社側の担当者が触る範囲です。ログインと失敗、取引先マスタの追加と変更、取引先ごとの価格や掛率の変更、注文の修正と取消、出荷情報の書き換え、そして管理者権限の付与と剥奪。監査で問われるのはこの区分が中心になります。

一覧を作るときは、機能名ではなく操作単位で書き出してください。「取引先管理」とまとめず、「与信限度額の変更」「担当者アカウントの停止」のように分けると、記録の有無を一行ずつ判定できます。

取引先側の操作

購入側の担当者が行う発注、承認、届け先の追加、自社アカウントの追加といった操作です。自社が記録していないことに後から気づきやすいのがこの区分で、監査で「先方が発注した事実をどう確認しますか」と問われて詰まる原因になります。

取引先ごとに複数の担当者がいる運用では、共有IDになっていないかも併せて確認します。共有IDでは「誰が」が特定できず、他の要素がそろっていても証跡として弱くなります。

自動処理

基幹システムとの連携による受注データの取込や送信、在庫の更新、定時のバッチ処理です。人が操作していないため見落とされますが、データが変わっている以上は監査の対象になります。

処理が失敗して再実行した場合に、その経緯が残るかどうかも見てください。ここまでを管理画面・取引先側・自動処理の区分で並べ終えたら、監査で先に問われやすい項目と照らし合わせます。

監査で問われやすい項目は何か

保存期間はどこまで求められるか

保存期間は一律に決まるものではなく、取引基本契約に定めがあればそれ、提出先の規程があればそれ、社内の文書管理規程があればそれ、という形で複数の基準が重なります。実務では、そのうち最も長い期間に合わせるのが安全です。

確かめるのは、いつまで遡って取り出せるか、古い記録がどこで削除されるか、削除の判断を誰が行うかの三点です。システムの設定で自動的に消える作りになっている場合、その設定値自体が監査で問われます。

改ざんされていないとどう示すか

記録が残っていることと、その記録が書き換えられていないことは別の話です。監査側が見るのは、記録を書き換えられる権限を持つ人が限られているか、記録が運用担当者の手の届かない場所に保全されているか、取り出す手順が決まっていて誰がやっても同じ結果になるかです。

記録を管理する人と、記録される操作をする人が同一だと、この点で説明が苦しくなります。権限の分け方を先に見直しておくと話が早くなります。

誰が記録を見られるか

閲覧の制限も証跡の一部です。記録を見られる人が絞られているか、そして記録を閲覧したり書き出したりした行為自体が記録されているか。後者が抜けていると、提出したログが手元で加工されていないことを示せません。

記録の中身、記録の範囲、記録の守り方という順で見てきました。次に、監査の場で先に確認を求められやすい項目を並べます。

ここまでで、監査証跡として問われるのは四つの要素がそろった記録であること、自社の記録は管理画面・取引先側・自動処理の区分で突き合わせること、そして保存期間と改ざん防止と閲覧制限が併せて見られることを確認しました。手元の一覧に空欄が残っているなら、それが今回の監査で埋めるべき箇所です。

どの操作が記録に残るか、保存期間や閲覧の制限をどこまで動かせるかは仕組みごとに作りが違い、自社の設定画面だけを見ていても監査の求めに届くかどうかの判断がつきにくいため、提出先から言われた条件を持ち込んで、仕組みの作りに詳しい相手と突き合わせる場が要ります。

どの操作が標準で記録され、どこからが設定変更や追加の仕組みになるのか、保存期間と閲覧制限を自社の提出条件に合わせてどこまで動かせるのかを、手元の一覧に当てはめて確かめられます。無料相談で要件を整理する

監査で先に確認を求められやすい項目

取引先の監査で提示を求められる場面が多く、有無をその場で答えられるかどうかという条件で並べています。

• 管理者権限を持つ人の一覧と、権限を付与・剥奪した記録

• 取引先ごとの価格や掛率を変更した記録（変更前と変更後の値を含む）

• 注文の修正と取消の記録、および修正理由の入力

• ログインの成功と失敗の記録（自社側・取引先側の双方）

• 基幹システムとの連携で取り込み・送信したデータの記録と、失敗時の再実行の経緯

• 記録を閲覧・書き出した人と、その日時

この並びに照らして空欄が残った項目は、埋め方を型で分けて考えると段取りが決まります。

不足をどう補うか——二つの型で分ける

型	向く場面	監査で示せること
設定で整える型	必要な操作が記録される作りにはなっており、記録の範囲や保存期間、閲覧の制限だけが求めに届いていない場面	標準で残る記録と、その設定内容を合わせて示せる
仕組みを足す型	記録そのものが残らない操作がある、または記録の書き換えを防げていない場面	記録の取得と保全を分けて示せる

標準の記録と設定で届く範囲を確かめる

記録する操作の範囲を広げる

初期設定のまま運用していると、記録の対象が絞られていることがあります。まず、対象外になっている操作があるか、外れている理由は何かを確認してください。容量の都合で絞っている場合は、監査で問われる項目だけでも対象に戻せないかを検討します。

設定を変えた場合、変える前の期間は記録がないままです。いつから範囲を広げたのかを控えておき、提出時に添えます。

保存期間と閲覧の制限を合わせる

保存期間は、提出先の求めと社内の取り決めのうち長い方に合わせます。併せて、記録を閲覧できるアカウントを絞り、運用担当者が記録を消せる状態になっていないかを見ます。

この二点は設定値そのものが監査の証拠になります。設定画面の内容を出力できるなら、記録と一緒に示せる形にしておきます。

仕組み側が備える対策と自社の設定を合わせて示す

監査では、自社の運用だけでなく、使っているBtoB通販の仕組みが何を備えているかも併せて問われます。BtoB通販パッケージの一例では、セキュリティ対策として5つの取り組み（ISMAP対応、ミドルウェアの最新化、不正アクセス対策、第三者による診断、ISMS認証）を掲げています¹。

こうした仕組み側の対策は提供元が公開している情報を引けば示せます。自社が答えるべきは、その上で誰に権限を与え、何を記録し、どこまで保存しているかという運用の部分です。両者を分けて整理すると、答える範囲がはっきりします。

確かめる設定	監査で示す内容
記録する操作の範囲	対象外にしている操作があるか、その理由
保存期間	いつまで遡れるか、削除の取り決めと実行者
閲覧できる人	誰に開いているか、変更したときの記録
書き出しの手順	同じ条件でもう一度取り出せるか

記録を残す場所と守り方を足す

記録を書き換えられない場所へ移す

記録が稼働中のシステムの中だけにあると、運用担当者が手を加えられる状態だと見なされます。書き出した記録を別の保管先へ移し、移した後は追記も削除もできない形にすると、改ざんされていないことを説明しやすくなります。

移す作業を人手で行うと、その作業自体が疑いの対象になります。決まった時刻に自動で移る形にし、移送の成否も記録に残します。

取得から提示までの手順を文書に残す

どの条件で抽出し、誰が承認し、どの形式で渡すかを手順として書いておきます。担当者が代わっても同じ結果が出せることが、記録の信頼につながります。

抽出に使った条件そのものも提出物に含めると、監査側が範囲を確認できます。

欠けていた期間は添えて示す

記録が取れていない期間があった場合、隠すと後で大きな指摘になります。どの操作がいつまで記録されていなかったか、いつから整えたか、その期間について他の資料で代替できるかを併せて示す方が通ります。

代替になるのは、基幹システム側の記録や、承認メール、紙の受注控えなどです。証跡の形は違っても、誰がいつ何を変えたかを補える資料であれば説明の材料になります。

足す仕組み	埋まる不足
記録を別の保管先へ書き出す仕組み	記録が上書きや削除をされ得る
閲覧と書き出しを記録する仕組み	誰が記録を扱ったか分からない
変更前後の値を残す仕組み	何がどう変わったかが分からない

要点の整理

軸	基準
記録の中身	誰が・いつ・何を・変更前後が一組で残っている
記録の範囲	管理画面の操作・取引先側の操作・自動処理の三つに抜けがない
保存期間	契約・提出先の規程・社内規程のうち最も長い期間に合わせている
改ざん防止	記録が書き換えられない場所に保全され、移した経緯を示せる
閲覧の制限	記録を見られる人が絞られ、閲覧と書き出し自体も記録される
提示の形	抽出の条件と範囲が決まっており、担当者が代わっても再現できる

監査の期日が決まっている場合、設定の変更で足りるのか記録を残す仕組みを足す必要があるのかで用意にかかる期間が大きく変わるため、型の見極めを早い段階で相談しておくと、提出後の差し戻しを避けやすくなります。 空欄のまま残った項目を挙げたうえで、設定で埋まる範囲と追加が要る範囲の切り分け、記録が欠けていた期間の示し方、提出物の形の作り方までを確かめられます。

よくある質問

監査担当者に、記録をそのまま渡してよいですか。

抽出した範囲と条件を添えて渡すのが基本です。取引先の監査であれば、他の取引先の情報が混ざらないよう条件を絞る必要があります。絞った場合は、どの条件で絞ったかを明記してください。加工の跡が説明できない状態で渡すと、かえって疑問を招きます。

記録が取れていない期間が見つかりました。監査は通らないでしょうか。

欠けている事実を伏せることの方が問題になります。どの操作がいつまで記録されていなかったか、いつから記録を始めたか、その期間を補える資料があるかを整理して示してください。基幹システム側の記録や承認のやり取りが代替の材料になります。

保存期間は何を基準に決めればよいですか。

取引基本契約の定め、提出先の規程、社内の文書管理規程を並べ、最も長い期間に合わせます。システムの設定で古い記録が自動的に消える作りになっている場合は、その設定値が求めに届いているかを先に確認してください。

クラウドのサービスを使っています。自社で示すものは何ですか。

サービス提供元が備える対策は提供元の公開情報で示せます。自社が答えるのは、誰に権限を与えているか、どの操作を記録する設定にしているか、記録をどこまで保存し誰が見られるかという運用の部分です。両者を分けて整理すると答えやすくなります。

1. 1　出典：株式会社フライトソリューションズ「5つの強力なセキュリティ対策（EC-Rider B2B Ⅱ 機能紹介）」（2026年）　経路