ガイド

コンプライアンス所見

要件カタログは、指令を検査可能な項目に変えます。Oloproof は、カナダ財務委員会の「自動意思決定に関する指令」のカタログを、法域のページが挙げるほかのカタログとともに同梱しています。oloproof init --example governance はそれらをプロジェクトの catalogues/ ディレクトリにコピーし、それらを読む governance.yaml を横に置くので、oloproof governance check はそこですぐに実行できます。oloproof governance check はそれをあなたのシステムに照らして読み、各要件について、充足、部分的に充足、未充足、該当なし、判定不能のいずれかを示します。各所見は、何に基づくかを明示します。ゲートの判定、氏名のある人物の表明、またはレビュー済みの草案です。

所見は読み手のための要約です。判定を変えることはなく、運用の許可になることもありません。法的助言ではありません。

ガバナンスファイル

governance.yaml は oloproof.yaml の隣に置きます。

catalogue: catalogues/dadm_catalogue_2025-06-24.yaml   # as `init --example governance` copies it
systems:
  - id: triage
    name: Benefits triage
    system: triage            # the oloproof system name its runs are recorded under
    in_scope: true
    scope_reason: assesses eligibility for a federal benefit
    environment: production
    production_since: 2026-06-01
    aia_level: II
    review_period_days: 365
    bindings:
      DADM-6.3.1: [accuracy-floor]      # the gate rules that decide a measured requirement
      DADM-6.3.3#1: [every-region]      # or one part of a composite
statements:
  - id: s1
    system: triage
    target: DADM-6.1.1
    says: met                 # met, not_met or not_applicable
    by: A. Officer
    role: CIO office
    on: 2026-10-01
    link: https://example.org/aia

所見の導き方

測定される要件は、それに紐づけられたゲートのルールを、システムの現在のバージョンの各スイートの最新の実行で、そのレビュー期間内に読みます。紐づいたルールがすべて PASS のときだけ充足、いずれかが FAIL なら未充足、それ以外は判定不能です。部分的に充足になることはありません。
表明による要件は、最新の有効な表明を読みます。表明はレビュー期間を過ぎるか、システムのバージョンが表明の示すバージョンから進むと失効します。
支援付きの要件はモデルの草案から始まります。oloproof governance draft --system triage --target DADM-6.2.1 --document notice.txt --model <model> の草案は、レビュアーが対応するまで所見にはなりません。oloproof governance review --action validate|reject|modify|annotate
複合要件は各部分を組み合わせます。判定できない部分が一つでもあれば充足にはなりません。

ルールは docs/engine/FINDING_RULES.md にあり、2026 年 11 月 2 日に監査で承認されました。

グループ間の公平性

DADM 6.3.3 と 6.3.8 は、結果がすべてのグループで成り立つかを問います。これらを worst_group メトリクスの min ルールに紐づけてください（設定リファレンス）。このルールは名前のある各グループを一度にしきい値に照らします。

封印、署名、再評価

oloproof governance check --seal は所見記録を書き出します。記録には番号が付き、前の記録に連鎖し、レビューログの先頭を含みます。--sign office.key --signer "CIO office" を加えると、oloproof runner keygen で作った鍵で署名します。誰でも oloproof governance verify RECORD --public-key KEY で検査できます。署名が示すのは誰が封印したかであり、所見が正しいことではありません。システムは、一度も評価されていない、レビュー期間が切れた、バージョンが変わった、カタログが変わった、のいずれかの場合に再評価の対象として示されます。

是正措置は oloproof governance ticket で追跡します。 oloproof governance export-tickets --to jira --project GOV は、まだエクスポートされていない未完了のチケットごとに、作成される Jira 課題（REST v3 /rest/api/3/issue、説明は Atlassian Document Format）を表示します。--to servicenow は incident 用、--table problem なら problem 用の Table API レコードを表示します。--send --by "A. Officer" を付けると作成します。OLOPROOF_JIRA_URL, OLOPROOF_JIRA_EMAIL, OLOPROOF_JIRA_TOKEN または OLOPROOF_SERVICENOW_URL, OLOPROOF_SERVICENOW_USER, OLOPROOF_SERVICENOW_PASSWORD を設定してください（保存も表示もされません）。各サービスが返すキーは、チケットの要件への注記としてログに書き込まれるため、所見に表示され、同じチケットが二度送られることはありません。実際の Jira や ServiceNow ではなく、記録した応答で検証しています。

チケットを送る前に、ログはエクスポートを保留中として記録します。クラッシュ後の再実行は、サービス内でそのチケットを探し(Jira ではラベル、ServiceNow では correlation_id)、2 件目を作らずに既存のキーを記録します。これらの注記は oloproof-export: で始まり、レビュアー自身のメモはこの接頭辞を使えません。組織外に出るもの:チケットのメモ、要件とシステム、ログに書かれた起票者の名前、日付とダイジェスト。ケースの内容は含まれません。

oloproof governance mlflow は MLflow のモデルレジストリを読みます。MLFLOW_TRACKING_URI と、サーバーが求める場合は MLFLOW_TRACKING_TOKEN を設定してください（どちらも保存も表示もされません）。登録された各モデルは、system または id がモデル名と一致するシステムに対応します。どのシステムにも対応しないモデルは governance.yaml に追加すべきシステムとして表示され、人が判断するまでは対象外です。各バージョンの番号、実行 ID、ソースは .oloproof/governance/mlflow/ に保存されます。--tag を付けると、最後に封印された記録の所見が、対応する各モデルの最新バージョンに oloproof.findings, oloproof.findings_digest, oloproof.assessed_on, oloproof.catalogue タグとして書き込まれます。記録した応答と、2026 年 11 月 4 日にローカルで動かした実際の MLflow 3.18.0 サーバーで検証し、タグを読み戻しています。

oloproof governance azureml, oloproof governance sagemaker は、Azure Machine Learning ワークスペースと Amazon SageMaker Model Registry に対して同じことを行います。Azure ML は AZURE_SUBSCRIPTION_ID, AZURE_RESOURCE_GROUP, AZURE_ML_WORKSPACE で指定したワークスペースを管理 API で読み、トークンは AZURE_ACCESS_TOKEN (az account get-access-token) から取ります。--tag は最新バージョンのタグに 4 つのタグを追加します。SageMaker はモデルパッケージグループをモデルとして、そのパッケージバージョンをバージョンとして読み、各リクエストを標準の AWS_ACCESS_KEY_ID, AWS_SECRET_ACCESS_KEY, AWS_SESSION_TOKEN, AWS_REGION で署名します。--tag は 4 つの値を最新パッケージの顧客メタデータとして設定します。認証情報は保存も表示もされず、取り込み結果は .oloproof/governance/azureml/, .oloproof/governance/sagemaker/ に保存されます。どちらも各サービスの文書化された形式で記録した応答に対して検証しており、実際の Azure や AWS のアカウントは使っていません。

保持、アクセス、データ所在地

ホスト型ワークスペースでは、Owner が設定で、実行のケース内容、トレース、閲覧ログを何日保持するかを決めます。ワーカーはそれより古いものを削除し、Owner と Admin がダウンロードできる受領記録を書き込みます。判定、承認、封印、ガバナンス記録は常に保持されます。実行、所見、封印を開くたびに、アカウントと時刻が監査ログに記録されます。データはデプロイメントの単一リージョン（oloproof.com: トロント、バックアップはトロント、暗号化されたコピーはシカゴ）に置かれます。所在地の要件はリージョンごとのデプロイメントで満たします。

複数のカタログ、ワークスペースでのレビュー、API

プロジェクトは catalogues: [dadm.yaml, ethics.yaml] で複数のカタログを指定できます。各システムは、自身が挙げるカタログ（システムの catalogues:）、自身を含むグループのカタログ（groups: {public: {catalogues: [ethics.yaml], systems: [chatbot]}}）、どちらもなければ宣言されたすべてのカタログに照らして読まれ、各所見はそのカタログを示します。カタログの新しい版は、要件を削除する代わりに retired: "2027-01-01" と replaced_by: <id> で印を付けます。その日以降は所見を生まず、記録にはその要件が示されます。

ホストされたワークスペースでは、Owner または Admin が Governance ページで所見を承認、却下、変更、または注記します。各操作はそのアカウントでワークスペース独自のハッシュ連鎖のレビューログに記録され、プッシュされたログの後に読まれ、封印は両方のログを書き出します。

読み取りスコープを持つトークンは、自身のプロジェクトについて同じオブジェクトを読みます：GET /api/governance/findings, /seal, /statements, /reviews, /approvals。/api/openapi.json に OpenAPI 3.1 で記述されています。いずれもケースの内容を含みません。

これでは分からないこと

表明は人の言葉です。Oloproof は誰がいつ何を言ったかを記録しますが、その内容は検査しません。所見の強さは、紐づけられたルールの強さまでです。ホスト型ワークスペースでは、同じ所見がプロジェクトのガバナンスページに表示されます。