外部の監査人は、Drata Audit Portalという監査人向けの画面で、監査を受ける側のコントロール、証跡、監査の進み具合を確かめます。Audit Portalは、監査を受ける側が見ているものと同じデータをもとにしているため、双方が同じ証跡と依頼事項を見ながら監査を進められます。このページでは、監査人が使うDrata Audit Portalとして、監査人が見られる情報と見られない情報、監査人のアカウントの扱い、監査人と画面の見え方をそろえて打ち合わせる方法を説明します。
Drata Audit Portalとは
Drata Audit Portalは、外部の監査人が、監査を受ける側のDrataのアカウントに全面的にアクセスすることなく、コントロール、証跡、監査の活動を確かめられる、閲覧を中心にした安全な作業の場所です。
- 監査人の画面は、監査を受ける側の画面と同じ見え方になるように作られており、同じ証跡、依頼事項、状態をもとに作業できる
- 監査を受ける側の設定に応じて、監査人は、証跡や監査のパッケージを確かめる、サンプルを設定して調整する、依頼事項を作って管理する、項目を完了にする、といったことができる
- 監査前の証跡パッケージやコントロールの証跡パッケージなどのダウンロードは、監査人と監査を受ける側の双方に、同じデータから作られる
監査人の側と監査を受ける側の違いは、主にロールに応じてできる操作（証跡の依頼や依頼事項の状態の変更など）で、どの証跡があるかではありません。
監査人が見られる範囲
監査人が見られるのは、監査を受ける側が明示的に共有した監査、証跡、ワークスペースだけです。監査のフレームワーク、監査対象期間、監査人の割り当ては、監査を受ける側が決めます。
| 範囲を決めるもの | 内容 |
|---|---|
| 監査人の割り当て | 監査人は、割り当てられた監査にアクセスできる。割り当ての手順は監査を作成して監査人を招待するで説明している |
| 監査対象期間とサンプリング | 監査人が見られる証跡は、監査対象期間に入っていて、サンプリングされたものだけ。詳しくは監査対象期間とサンプリングで説明している |
| 読み取り専用のアクセス | 読み取り専用のアクセスを与えると、監査人が見られる範囲が広がる。ただし、編集はできない |
監査人が見る画面の流れ
監査人がAudit Portalにサインインすると、割り当てられた顧客の一覧が表示されます。顧客を選ぶと、その顧客の監査の一覧が表示され、確かめる監査を開きます。
Audit Portalにサインインした監査人に表示される顧客の一覧。顧客を選ぶと、その顧客の監査の一覧が開く
監査人が顧客を選んだ後に表示される監査の一覧。右上に読み取り専用で見るためのボタンがある
監査を開くと、監査のメインのページが表示されます。監査人は、主に次の情報を確かめられます。
- 監査の名前
- 監査対象期間
- 完了の状態
- 割り当てられた監査人
- 依頼事項の集計
- 依頼事項の一覧
Audit Resources
監査人に表示される監査のメインのページ。割り当てられた監査人、依頼事項の集計、依頼事項の一覧が並ぶ
Audit Resourcesからは、監査前の証跡パッケージとコントロールの証跡パッケージをダウンロードできます。ダウンロードに失敗した場合や、想定より時間がかかる場合は、Audit Resourcesからやり直します。問題が続く場合は、Drataのサポートに連絡します。
依頼事項ごとのメッセージの欄では、監査を受ける側が証跡をアップロードしたり依頼事項の状態を更新したりすると、システムのメッセージが作られます。監査人は、そこに含まれるリンクから依頼事項に移って証跡をダウンロードできます。
監査人のアカウントの扱い
招待のメール
監査を受ける側が監査人を監査に加えると、監査人にDrataから招待のメールが届きます。メールには、監査の名前とフレームワーク、Audit Portalにアクセスするための安全なリンクが含まれます。
| 招待の性質 | 内容 |
|---|---|
| メールアドレスごと | リンクは、招待に使ったメールアドレスに結び付く |
| 仕事用のメールアドレス | 無料のウェブメールなどの個人のアカウントや、監査を受ける側のテナントのドメインと重なるアドレスには招待しない |
招待が届かない場合は、監査人に伝えたメールアドレスが正しいか、監査人の側の迷惑メールの設定などでDrataのメールが止められていないかを確かめます。
監査人が招待を受ける流れ
- 監査人が、Drataから届いた招待のメールを開きます。
- メールのアクセス用のリンクを選びます。監査人専用のサインインのページが開きます。
- 招待を受けたメールアドレスを入力します。
- 画面の案内に沿って進みます。確認のコードが届く場合と、監査法人がSSOを使っていて監査を受ける側がそのように設定している場合はSSOに移る場合があります。
- 確認が済むと、監査人向けの画面にサインインした状態になります。
サインインした後、監査人は右上のアバターのアイコンからSettingsを開き、名前、監査法人の名前、使う言語を変えられます。
招待がうまくいかないとき
| 状況 | 対応 |
|---|---|
| リンクが使えない | 監査人が、招待を受けたのと同じメールアドレスを使っているかを確かめる |
| リンクの期限が切れた、既に使われた | 監査人の依頼を受けて、新しい招待を送る |
| 招待のリンクを選ぶとエラーになる | 監査人に画面のキャプチャーと、おおよその日時とタイムゾーンを送ってもらう。必要なら、それを添えてDrataのサポートに問い合わせる |
監査人が技術的な問題に当たった場合は、監査を受ける側がテナントの状況を把握したうえでDrataのサポートとやり取りできるため、監査を受ける側を通して問い合わせてもらうのが基本です。
監査法人のツールとの連携
監査法人は、Drataの監査人向けのAPI（Auditor API）を使って、自分たちの監査のツールと連携させられます。FieldguideとDrataの連携も、このAPIを使った既製の連携です。監査人は、監査に加えられた後に自分でAPIキーを作り、監査、コントロール、サンプル、証跡などの情報をDrataから取り出せます。APIキーはいつでも取り消せます。Fieldguideとの連携の設定は、監査を作成して監査人を招待するで説明しています。
監査人と画面の見え方をそろえて打ち合わせる
監査人と監査を受ける側は同じ監査のデータとパッケージの元になるデータで作業するため、打ち合わせでは、双方が同じ情報を見ながら話を進められます。監査の詳細の画面も、監査人がAudit Portalで見ている内容と同じ見え方になるように作られています。見え方がそろっていることで、次のような手間を減らせます。
- 証跡の組み合わせが双方で食い違うおそれ
- ある時点でどの添付や対応付けが範囲に入っていたかについての混乱
- 打ち合わせで、監査人が見ているものと監査を受ける側が見ているものを突き合わせる時間
【運用のポイント】 監査の早い段階で、範囲に入るフレームワーク、日付の範囲、母集団を監査人と確かめ、いつサンプルを固め、パッケージを確定させるかを決めておくと、不要な作り直しを避けられます。監査人に招待を送るときは、ヘルプセンターの監査人向けの記事（Using the Drata Audit Portal (New Experience)）を一緒に共有すると、監査人がAudit Portalでの作業の流れを前もって把握できます。