ADR-0038: 統制の弱化は検知者が許容可否を判断せず、引き渡し先が不明でも抱え込ませない
採用(2026-08-13)
コンテキスト
Section titled “コンテキスト”案件 P-001 で、出荷判定者が統制の弱化を検知したにもかかわらず、引き渡す先が分からずコメントに留めた事象が起きました(#224)。
対象は、強制層(.claude/guard.json および .claude/settings.json の permissions.deny)の全廃を含む変更です。検知は働きました。引き渡しが働きませんでした。
経路は標準にあった
Section titled “経路は標準にあった”第5章 4.3 は次を定めています。
強制層の変更が必要になった場合は
state:needs-ownerではなくstate:needs-platformを付与する。不可逆4操作に該当する場合のみ、あわせてstate:needs-ownerを付与する。
第3章 3.11.2 は、AI維持管理者の承認権限に「指示資産の変更」を置いています。また第5章 4.2 原則4 は、不可逆4操作の1つに「削除(検証ゲート、ガード、重要テストの削除を含む)」を挙げています。
この事象に対する標準の答えは、state:needs-platform と state:needs-owner の併記でした。経路は存在し、公開もされていました。
実装マークの規約の冒頭は、同じ形の申し立てを既に記録しています。「強制層の変更が事業決裁者へ直行してしまう → state:needs-platform という経路があった」。同じ事象が繰り返しました。これは#223で扱った逆流ではなく、#216と同型の「降りていない」破れです。
それでも欠けていたもの
Section titled “それでも欠けていたもの”経路の存在と、経路へ乗せる判断は別です。標準は次を定めていませんでした。
| 欠けていたもの | 帰結 |
|---|---|
| 何を統制の弱化として扱うか | 検知の対象が人によって変わる |
| 検知者が許容可否まで判断してよいか | 出荷判定者が統制の設計判断を持ちうる |
| 引き渡し先が分からないときの既定 | 判断を抱え込む。記録に残らない |
受け皿が無いことは、検知が無いことと実質的に同じです。第5章 5.6.1 は、稀にしか現れない対象を探す作業で見逃しが構造的に増えることを規定しています。統制の弱化は、まさに稀にしか現れない対象です。検知しても回せない状態が続くと、次からは検知そのものが止まります。
1. 統制の弱化を性質で定義する。パスで定義しない
Section titled “1. 統制の弱化を性質で定義する。パスで定義しない”対象は「統制・認証認可・不可逆な運用ルールに関わる変更」であり、遮断の解除・閾値の緩和・強制層の縮小がこれに当たります。
パスの列挙で定義しません。パスは変更のたびに規定の改訂を要し、列挙の漏れが検知の漏れになります。案件 P-001 では、保護対象のパスの記述そのものを誤り、修復を長く滞留させた前例があります。
2. 検知者は事実確認までに留め、許容可否を判断しない
Section titled “2. 検知者は事実確認までに留め、許容可否を判断しない”検知者が確認するのは、差分が変更の主張と一致するかまでです。その弱化を受け入れてよいかは判断しません。
出荷判定者が許容可否まで判断すると、出荷の判定者が統制の設計判断を持つことになります。第3章 3.11.2 が指示資産の承認権限を AI維持管理者へ集約した意味が失われます。
3. 引き渡し先は AI維持管理者とし、不可逆4操作に該当する場合は事業決裁者を併記する
Section titled “3. 引き渡し先は AI維持管理者とし、不可逆4操作に該当する場合は事業決裁者を併記する”強制層の変更の承認者は AI維持管理者です(3.11.2)。ガードの削除は不可逆4操作に該当するため、事業決裁者への経路を併せて開きます。
監査担当を引き渡し先にしません。監査は、プロセスが標準に適合しているかを事後に検証する職務です。個別の変更の許容可否を決める場にすると、監査が実行の当事者になり、次の監査で自らの判断を監査することになります。第3章 3.5 が「標準所管 × 適合性監査の判定者」を禁止したのと同じ構造の崩れです。
4. 引き渡し先が分からないことを、自分で決める理由にしない
Section titled “4. 引き渡し先が分からないことを、自分で決める理由にしない”引き渡し先を特定できない場合の既定を価値責任者とします。「回す先が無い」は、判断を抱え込む理由になりません。
価値責任者は、受け取った事項の引き渡し先を決めます。標準の語彙に経路が無いと判明した場合は、第5章 4.2 原則5 の後段により語彙の追加を検討します。
5. 兼務していても、引き渡しの記録は残す
Section titled “5. 兼務していても、引き渡しの記録は残す”D-0 で兼務を記録している案件では、検知者と承認者が同一人物になることがあります。それでも引き渡しは記録します。
同一人物であっても、どの職務で判断したかが記録に残ります。第3章 3.5.3 が兼務を人と実行主体の文脈という2つの単位で判定する以上、判断の帰属も記録によってしか追えません。ADR-0036が判定を記録の作成で成立させたのと同じ考え方です。
検討した選択肢
Section titled “検討した選択肢”| 案 | 却下の理由 |
|---|---|
| 引き渡し先を監査担当とする | 監査が実行の当事者になる。事後検証の独立性が崩れる |
| 検知者が許容可否まで判断してよいとする | 出荷判定者が統制の設計判断を持つ。3.11.2 の権限集約が無効になる |
| 保護対象のパスを標準が列挙する | 列挙の漏れが検知の漏れになる。案件ごとの構成差に追随できない |
| 統制の弱化専用のラベルを追加する | 経路は state:needs-platform に既にある。語彙を増やす条件(4.2 原則5)を満たさない |
| 既定の引き渡し先を事業決裁者とする | 判断の要らない事項まで決裁へ集まる。第7章 7.6 の段階を飛ばす |
- 出荷判定者は、統制の弱化を検知したら許容可否を判断せず引き渡す。判断しないことが職務である
- 引き渡しの記録は、兼務していても残す
- 準拠テンプレートの出荷判定のスキルへ、検知の対象と引き渡し先を降ろす
- 標準の経路が既に存在していたにもかかわらず使われなかった事実は、実装マークの規約が扱う網羅性の限界にあたる。本 ADR はこの限界を解消しない