認定番号
AI 0004-2502

サービス名称
Compliance Wizard
サービス概要
公知の規準に対する自社の規程類の適合状況を評価する、AIが監査手続の提案から監査調書のドラフトまで作成可能なサービス
事業者名称
株式会社X-Regulation
認定年月日
2025.02.03
サービスサイト
https://www.x-regulation.com/compliance-wizard
【審査対象項目】【記述内容】必須/
選択
情報開示内容
1開示情報の時点開示情報の日付
開示情報の年月日(西暦)
必須2025/1/10
事業所・事業
2事業所等の概要事業者名事業者の正式名称(商号)必須株式会社X-Regulation
法人番号2010001235328
3設立年月日事業者の設立年月日(西暦)必須2023/5/11
4事業所事業者の本店所在地必須東京都港区虎ノ門1-3-1 東京虎ノ門グローバルスクエア 5階(〒105-0001)
(登記上:東京都中央区日本橋茅場町2丁目12−10 PMO EX 日本橋茅場町(〒103-0025))
事業者ホームページhttps://www.x-regulation.com/
5事業の概要主な事業の概要事業者の主な事業の概要必須・コンプライアンス対応の自動化ツール(Compliance Wizard)の提供
・コンプライアンス・ガバナンス関連コンサルティングサービスの提供
人材
6経営者代表者代表者氏名必須小田切 洋介
代表者経歴(生年月日、学歴、業務履歴、資格等)選択大手監査法人を経て2023年5月にX-Regulationを創業し、代表取締役CEOに就任。多様な業態における内部統制監査、各種業法下の監督指針対応(システムリスク)、ISMAP監査、ITガバナンス構築等のコンサルティング業務に携わりながら、AIを組み込んだコンプライアンス対応システムを開発する。

公認情報システム監査人(CISA)、応用情報技術者。Tokyo Startup Gateway2022 セミファイナリスト。大阪大学外国語学部総代、東京大学総合文化研究科修了。
7役員役員数選択3名
8従業員従業員数正社員数(単独ベース)必須8名
財務状況
9財務データ売上高事業者の売上高(単独ベース)必須64,847,589円(2024年4月期)
10経常利益事業者の経常利益額(単独ベース)選択10,334,478円(2024年4月期)
11資本金事業者の資本金(単独ベース)必須10,500,000円(2024年4月期)
12自己資本比率事業者の自己資本の比率(単独ベース)選択
13キャッシュフロー対有利子負債比率事業者のキャッシュフロー対有利子負債比率(単独ベース)選択
14インタレスト・カバレッジ・レシオ事業者のインタレスト・カバレッジ・レシオ(単独ベース)選択
15財務信頼性上場の有無株式上場の有無と、「有り」の場合は市場名選択
16財務監査・財務データの状況該当する財務監査・財務データの状況を、以下より選択する。
①会計監査人による会計監査、②会計参与による計算書類等の作成、③「中小会計要領」の適用に関するチェックリストの活用、④監査役による監査、⑤いずれでもない
選択③「中小会計要領」の適用に関するチェックリストの活用
17決算公告決算公告の実施の有無選択
資本関係・所属団体
18資本関係株主構成大株主の名称(上位5株主程度)、及び各々の株式保有比率選択小田切 洋介(56.28%)、得田健人(16.66%)、東海林 和広(16.66%)
19所属団体所属団体所属している業界団体、経済団体等の名称選択・一般社団法人日本クラウド産業協会(ASPIC)
・特定非営利活動法人日本セキュリティ監査協会(JASA)
・JASA クラウドセキュリティ推進協議会
・東京商工会議所
コンプライアンス
20組織体制コンプライアンス担当役員コンプライアンス担当役員の氏名選択有り:小田切 洋介(代表取締役)
21専担の部署・会議体コンプライアンスを担当する社内の部署・会議体の有無と、「有り」の場合は社内の部署名・会議名選択有り:ガバナンス・コンプライアンス・内部統制チーム
22情報セキュリティに関する組織体制の状況情報セキュリティに関する責任者の有無と、「有り」の場合は責任者名・役職必須有り:小田切 洋介(代表取締役)
情報セキュリティに関する組織体制の有無有り
23個人情報個人情報の取扱い個人情報の取扱いに関する規程等の有無と、「有り」の場合は記載箇所必須有り:プライバシーポリシー
24守秘義務守秘義務契約守秘義務に係る契約又は条項の有無必須有り
守秘義務違反があった場合のペナルティ条項の有無有り
25従業員教育等従業員に対するセキュリティ教育の実施状況従業員に対するセキュリティ教育実施に関する取組状況必須入社時及び年に1度の情報セキュリティ研修を実施している
26従業員に対する守秘義務等の状況従業員に対する守秘義務対応の取組状況必須就業規則・雇用契約書にて守秘義務への同意を求めている
27委託委託情報に関する開示サービス提供に係る委託先(再委託先)の情報開示の可否と、可能な場合の条件等必須可能:秘密保持契約の締結が条件
28委託先に対する管理状況自社の個人情報保護指針に対する遵守規定の有無必須有り
委託先(再委託先)の個人情報保護等の状況に関する情報提供の可否と、可能な場合の条件等可能:秘密保持契約の締結が条件
委託先(再委託先)との守秘義務対応状況有り
委託先(再委託先)の管理方法契約による管理及び定期的な報告による管理(委託先からの再委託は禁止しております)
29文書類情報セキュリティに関する規程等の整備情報セキュリティに関する基本方針・規程・マニュアル、リスクアセスメント結果等の状況と文書名必須〇有り:情報セキュリティポリシー、情報セキュリティ管理規程
30事業継続に関する規程の整備事業継続に関する基本方針・規程・マニュアル等の有無と、「有り」の場合は文書名必須無し(当社は基盤サービスとしてMicrosoft社のAzureを利用しており、事業継続のほとんどがMicrosoftに依存するため)
BCP対応計画及び運用手順等の開示の可否と、可能な場合の条件等無し(当社は基盤サービスとしてMicrosoft社のAzureを利用しており、事業継続のほとんどがMicrosoftに依存するため)
31リスク管理に関する規程等の整備リスク管理に関する基本方針・規程・マニュアル等の有無と、「有り」の場合は文書名必須無し
32勧誘・販売・係争に関する規程等の整備勧誘・販売に関する基本方針・規程・マニュアル等の有無と、「有り」の場合は文書名必須無し
係争に関する規程・管轄裁判所等、係争が生じた際の対応に関する情報を含む文書類の有無と、「有り」の場合は文書名有り:利用規約
33ASP・SaaSの苦情対応に関する規程等の整備ASP・SaaSの苦情処理に関する基本方針・規程・マニュアル等の有無と、「有り」の場合はそれらの文書名必須無し
ASP・SaaS事業者の事故責任の範囲と補償範囲が記述された文書の有無と、「有り」の場合は文書名有り:利用規約
サービス基本特性
34サービス内容サービス名称本ASP・SaaSのサービス名称必須Compliance Wizard
35サービス開始時期本ASP・SaaSのサービス開始年月日(西暦)必須2023/9/29
サービス開始から申請時までの間の大規模な改変等の有無と、「有り」の場合は改変年月日(西暦)無し
36サービスの内容・範囲本ASP・SaaSのサービスの内容・特徴(500文字以内)必須企業のリスク状況をリアルタイムで把握できるようにするSaaSプラットフォームです。公知の規準に対する自社の規程類の適合状況を評価する、AIが監査手続の提案から監査調書のドラフトまで作成する等、企業のコンプライアンス対応業務を強力に補佐します。ご担当者はレビューとリスク対応、ガバナンスの強化、不透明なリスクの管理に集中することによって、より信頼性の高い経営を実現することが可能です。
他の事業者との間で行っているサービス連携の有無と、「有り」の場合はその内容有り:「Microsoft AzureのAI関連サービス」※とAPI連携しています。

※Microsoft AzureのAI関連サービスには、LLM((Large Language Models)とRAG(Retrieval Augmented Generation) を含みます。以降の項番でも同様の表記です。
37サービス提供時間サービスの提供時間帯必須24時間×365日(事前に合意された事由に基づく停止は除く)
38サービスのカスタマイズ範囲アプリケーションのカスタマイズの範囲(契約内容に依存する場合はその旨記述)必須個別のカスタマイズは実施していません。
39移行支援本サービスを利用する際における既存システムからの移行支援の有無(契約内容に依存する場合はその旨記述)必須有り:Compliance Wizardとセットのコンサルティングサービス
40AIクラウドサービス基本事項(AIポリシー)AIクラウドサービスに対する基本的な考え方。透明性、公平性、安全、セキュリティ、プライバシー保護、倫理など必須総務省によるAIを用いたクラウドサービスに関するガイドブックに従ったAIに対する考え方を踏襲しています。

https://www.soumu.go.jp/main_content/000792669.pdf
41責任分担AI機能に関連する責任分担人間の判断の有無、AIによる判断に基づく損害賠償責任など責任分担にかかわる事項必須Compliance WizardにおけるAIの出力結果は、すべてドラフト(下書き)として提供されます。実際の利用に際しては、利用者がその内容を確認・修正し、最終的な承認を行うことが必要です。AIの出力結果を利用者が適切に精査せず、それに起因する損害が発生した場合、当社はその責任を一切負いかねます。
42データおよび学習済みモデルの権利利用利用者が入力したデータの利用の有無、内容、同意の取得方法など必須利用者データは、Microsoft AzureのAI関連サービスに渡し処理結果を取得しますが、処理後はAI関連サービスに保存されることはありません。それ以外の当社目的には一切使用されません。
43権利関係利用者データに関する権利(所有権、使用権、著作権、肖像権など)
利用者データを使った追加学習後の学習済みモデルの権利
選択利用者データに関する権利は、全て利用者に帰属し、利用者データは暗号化し保護されています。利用者データを使った追加学習等はMicrosoft AzureのAI関連サービスの仕様上実施されません。
44サービスの変更・終了サービス(事業)変更・終了時等の事前告知利用者への告知時期(事前の告知時期を1ヶ月前、3ヶ月前、6ヶ月前、12ヶ月前等の単位で記述)必須〇原則3か月前
告知方法必須文書、メール、または別途個別に定めるコミュニケーションチャネルを通じてご連絡いたします。
45サービス(事業)変更・終了後の対応・代替措置対応・代替措置の基本方針の有無と、「有り」の場合はその概要必須代替可能なサービスがある場合は他社サービスを紹介いたします。
46契約の終了等情報の返却・削除・廃棄契約終了時等の情報資産(利用者データ等)の返却責任の有無と、受託情報の返還方法・ファイル形式・費用等必須Compliance Wizardの利用に関する契約が終了した場合、返却要求期間は、契約終了日から起算して30日間とし、お客様は返却要求期間中に利用者データおよび派生データの内、利用者に紐づけることができるデータ(氏名、メールアドレス、各機能で利用するデータ等)の返却を要求することができます。当社は、データの返却要求を受けた場合、これに速やかに従うものとします。
情報の削除又は廃棄方法の開示の可否と、可能な場合の条件等利用者データおよび派生データの内、利用者に紐づけることができるデータ(氏名、メールアドレス、各機能で利用するデータ等)の削除開始予定日を契約終了日から起算して30日後の日とし、削除開始予定日の属する当月、翌月、もしくは翌々月中に、当該データを消去します。なお、別途削除要望をご依頼の場合は、削除日等を協議し、協議結果に従って削除します。この時、当社はデータの破棄証明書や削除証明書を提供する義務を負いません。
お客様のご要望に応じて、当社はデータ削除にかかる報告を行います。データ削除報告では、削除実行日、削除対象、削除手順についてご報告差し上げます。
削除又は廃棄したことの証明書等の提供無し
47サービス料金料金体系初期費用額必須個別見積書による
月額利用額個別見積書による
最低利用契約期間個別見積書による
48解約時違約金支払いの有無解約時違約金(利用者側)の有無と、「有り」の場合はその額必須無し
49利用者からの解約事前受付期限利用者からのサービス解約の受付期限の有無と、「有り」の場合はその期限(何日・何ヶ月前かを記述)必須無し
継続契約の意思伝達がない場合、契約は更新されません。
50サービス品質サービス稼働設定値サービス稼働率の目標値必須99%
サービス稼働率の実績値期間:2024年1月1日~2024年12月31日
稼働率99.85%
サービス停止の事故歴ダウンタイムが過去に1度あり。

2024/4/30 20:30 ~ 2024/5/1 9:30
証明書更新切れ
対応:自動更新に切り替え済み
51サービスパフォーマンスの管理システムリソース不足等による応答速度の低下の検知の有無と、「有り」の場合は、検知の場所、検知のインターバル、画面の表示チェック等の検知方法選択

ネットワーク・機器等の増強判断基準又は計画の有無、「有り」の場合は増強の技術的措置(負荷分散対策、ネットワークルーティング、圧縮等)の概要
52認証取得・監査実施プライバシーマーク(JIS Q 15001)等、ISMS(JIS Q 27001等)、ITSMS(JIS Q 20000-1等)の取得、監査基準委員会報告書第18号(米国監査基準SSAE16、国際監査基準ISAE3402)の作成の有無と、「有り」の場合は認証名又は監査の名称選択情報セキュリティサービス基準審査登録制度(情報セキュリティ監査サービス)
53脆弱性診断脆弱性診断の有無と、「有り」の場合は、診断の対象(アプリケーション、OS、ハードウェア等)と、対策の概要選択
54バックアップ対策利用者データのバックアップ実施インターバル必須1日

世代バックアップ(何世代前までかを記述)
7世代まで
55サービス継続サービスが停止しない仕組み(冗長化、負荷分散等)必須Azure App Serviceによる冗長化を実施しております。負荷分散は行っておりません。
DR(ディザスターリカバリー)対策の有無と、「有り」の場合はその概要Azureに準拠します。
56受賞・表彰歴ASP・SaaSに関連する各種アワード等の受賞歴選択
57SLA(サービスレベル・アグリーメント)本サービスに係るSLAが契約書に添付されるか否か必須無し
58契約者数契約者数本ASP・SaaSサービスの契約企業数等選択
アプリケーション、プラットフォーム、サーバ・ストレージ等
59品質AIの精度高い精度を実現するための環境条件など、AIの精度に関わる情報必須90%以上
個別の評価タスクに最適なインプットと処理、アウトプット様式を構造的に担保することで、プロフェッショナルサービスによる評価と同等の精度を実現しています。
60AIの精度向上策追加学習の有無(有りの場合は時期、頻度、役割分担、料金など)必須無し
61説明可能性のレベルAIの出力結果の根拠の説明可能性のレベル(ホワイトボックス型/ブラックボックス型)選択ホワイトボックス型
内部統制点検の根拠資料を明示しながら、AIが結果を出力します。
62連携他のサービス・事業との連携状況に関する情報提供他のサービスや事業との連携の有無と、「有り」の場合は情報提供の条件等必須有り:Microsoft AzureのAI関連サービス
情報提供条件は、項番42と同様です。また、Microsoft AzureのAI関連サービス以外に連携しているサービスはありません。
63AI関連の連携API等による他社のAI機能の活用の有無、フレームワークやライブラリなどオープンソースの利用有無必須有り:Microsoft AzureのAI関連サービスとAPI連携しています。
64セキュリティ死活監視死活監視の有無と、「有り」の場合は死活監視の対象必須〇アプリケーションの稼働状況、メモリ・CPU使用率を監視しております。
65時刻同期時刻同期への対応の有無と、「有り」の場合は時刻同期方法必須仮想化マシンは起動時にホストマシンのハードウェアクロックと同期され、ホストマシンの時刻はMicrosoftのNTPサーバーと同期されます。
66ウイルス対策ウイルス対策の有無必須〇有り
67管理者権限の運用管理システム運用部門の管理者権限の登録・登録削除の手順の有無必須〇有り
68ID・パスワードの運用管理事業者側にて、利用者のID・PWを付与する場合におけるIDやパスワードの運用管理方法の規程の状況必須〇有り
69記録(ログ等)利用者の利用状況の記録(ログ等)取得の状況と、その保存期間及び利用者への提供可否必須〇Compliance Wizardの利用状況(ログイン・ログアウト・ユーザ情報の更新・AI実行)に関してログを取得しています。ログの保存期間は最低6ヶ月です。利用者はログイン・ログアウト・ユーザ情報の更新に関するログを取得できます。
システム運用に関するログの取得の有無と、「有り」の場合は保存期間必須Compliance Wizardのシステム運用に関しても、クラウドインフラのすべてのリソースについてログを取得しており、最低6ヶ月の保存期間を有しています。
ログの改ざん防止措置の有無必須無し
70セキュリティパッチ管理パッチ管理の状況とパッチ更新間隔等、パッチ適用方針必須〇クラウドインフラは、自動的にセキュリティパッチが適用されます。アプリケーションレイヤーについては、月1回を目安に確認・適用を行います。
71暗号化対策暗号化措置(データベース)への対応の有無と、「有り」の場合はその概要必須対応済(Microsoft Azureの暗号化機能を用いて対応しております。)
72AI関連セキュリティ対策AIに特化したセキュリティ対策の有無(データによる攻撃への対策など)選択プロンプトインジェクション対策を行っています。
73性能AI性能学習時間、推論時間(利用者の操作に係わるもの)選択推論時間、1件あたり1~5秒
ネットワーク
74センター側ネットワーク回線専用線(VPNを含む)、インターネット等の回線の種類必須センターとの接続にはVPNを使用している。
75帯域データ通信速度の範囲、帯域保証の有無必須センターとのVPN接続の帯域は650Mbps
76セキュリティファイアウォールファイアウォール設置等の不正アクセスを防止する措置の有無必須〇有り
77不正侵入検知不正パケット、非権限者による不正なサーバ侵入に対する検知等の有無と、「有り」の場合は対応方法必須不正パケットの検知をAzure Firewallのホワイトリストによって行っております。
78ネットワーク監視
事業者とエンドユーザとの間のネットワーク(専用線等)において障害が発生した際の通報時間
選択監視対象外(責任範囲外のインターネット回線のため)
79ユーザ認証
ユーザ(利用者)のアクセスを管理するための認証方法、特定の場所及び装置からの接続を認証する方法等
必須〇メールアドレス・パスワード認証と選択式で多要素認証をご利用いただけます。
80なりすまし対策(事業者サイド)
第三者によるなりすましサイトに関する対策の実施の有無と、「有り」の場合は認証の方法
必須SSL/TLS証明書によるなりすまし対策を行っております。
81暗号化対策暗号化措置(ネットワーク)への対応の有無と、「有り」の場合はその概要必須Compliance Wizardへのアクセスをhttpsに限ることによって対応しております。
82その他セキュリティ対策
その他特筆すべきセキュリティ対策を記述(情報漏洩対策等)
選択
83PC側ネットワーク推奨回線専用線(VPNを含む)、インターネット等の回線の種類必須無し
ユーザ接続回線について、ASP・SaaS事業者が負う責任範囲当社は、ユーザ回線に関する責任を負いません。
84推奨帯域推奨帯域の有無と、「有り」の場合はそのデータ通信速度の範囲必須無し
端末
85端末PC等
(操作端末)
パソコン、スマホ、タブレット、シンクライアント等の端末の種類、OS等必須端末: PC
OS: Windows, Mac
利用するブラウザの種類Google Chrome,Microsoft Edge
ハウジング(サーバ設置場所)データセンターを複数使用している場合は、データセンターごとに記述する
86施設建築物建物形態
データセンター専用建物か否か
必須基盤サービスとしてMicrosoft社のAzureを利用しております。
87所在地国名、日本の場合は地域ブロック名(例:関東、東北)必須データの保管場所やサーバ等は日本国内(Japan East)
特筆すべき立地上の優位性があれば記述(例:標高、地盤等)選択基盤サービスとしてMicrosoft社のAzureを利用しております。
88耐震・免震構造
耐震数値
必須基盤サービスとしてMicrosoft社のAzureを利用しております。

免震構造や制震構造の有無
基盤サービスとしてMicrosoft社のAzureを利用しております。
89非常用電源設備無停電電源
無停電電源装置(UPS)の有無と、「有り」の場合は電力供給時間
必須基盤サービスとしてMicrosoft社のAzureを利用しております。
90給電ルート異なる変電所を経由した給電ルート(系統)で2ルート以上が確保されているか否か(自家発電機、UPSを除く)必須基盤サービスとしてMicrosoft社のAzureを利用しております。
91非常用電源
非常用電源(自家発電機)の有無と、「有り」の場合は連続稼働時間の数値
必須基盤サービスとしてMicrosoft社のAzureを利用しております。
92消火設備サーバルーム内消火設備
自動消火設備の有無と、「有り」の場合はガス系消火設備か否か
必須基盤サービスとしてMicrosoft社のAzureを利用しております。
93火災感知・報知システム
火災検知システムの有無
必須基盤サービスとしてMicrosoft社のAzureを利用しております。
94避雷対策設備直撃雷対策
直撃雷対策の有無
必須基盤サービスとしてMicrosoft社のAzureを利用しております。
95誘導雷対策誘導雷対策の有無必須基盤サービスとしてMicrosoft社のAzureを利用しております。
96空調設備空調設備
空調設備(床吹き上げ空調、コンピュータ専用個別空調等)の内容
必須基盤サービスとしてMicrosoft社のAzureを利用しております。
97セキュリティ入退室管理等入退室記録の有無と、「有り」の場合はその保存期間必須基盤サービスとしてMicrosoft社のAzureを利用しております。
監視カメラの有無基盤サービスとしてMicrosoft社のAzureを利用しております。
個人認証システムの有無基盤サービスとしてMicrosoft社のAzureを利用しております。
98媒体の保管紙、磁気テープ、光メディア等の媒体の保管のための鍵付きキャビネットの有無選択基盤サービスとしてMicrosoft社のAzureを利用しております。
保管管理手順書の有無基盤サービスとしてMicrosoft社のAzureを利用しております。
99その他セキュリティ対策その他特筆すべきセキュリティ対策を記述(破壊侵入防止対策、防犯監視対策等)選択基盤サービスとしてMicrosoft社のAzureを利用しております。
サービスサポート
100サービス窓口
(苦情受付・問合せ)
連絡先電話/FAX、Web、電子メール等の連絡先必須〇電話:03-3528-8809
電子メール:info@x-regulation.com
Web:https://www.x-regulation.com/contact
その他:別途個別に定めるコミュニケーションチャネル(Slack、Microsoft Teamsなど)
代理店連絡先の有無と、「有り」の場合は代理店名称、代理店の本店の所在地と連絡先必須代理店連絡先なし
101営業日・時間
営業曜日、営業時間(受付時間)
必須9:00-17:00(土曜、日曜、祝祭日を除く)
102サポート範囲・手段
サポート範囲
必須サービス利用開始に係るサポートと利用開始後の質問等に答える運用サポートを実施します。

サポート手段(電話、電子メールの返信等)
電子メール、電話、オンライン会議、または別途個別に定めるコミュニケーションチャネル(Slack、Microsoft Teamsなど)
103サービス通知・報告・インシデント対応メンテナンス等の一時的サービス停止時の事前告知
利用者への告知時期(1ヵ月前、3ヵ月前、6ヵ月前、12ヵ月前等の単位で記述)
必須〇〇計画停止予定の告知
3営業日前まで

〇緊急停止の告知
即時

告知方法
必須ヘルプセンターに掲示いたします。

ヘルプセンター:https://www.x-regulation.com/compliancewizardhelp
104障害・災害発生時の通知
障害発生時通知の有無と、「有り」の場合は通知方法及び利用者への通知時間
必須〇障害が発生した場合、即時にヘルプセンターに掲示いたします。

ヘルプセンター:https://www.x-regulation.com/compliancewizardhelp
105セキュリティ・インシデント対応セキュリティに関するインシデントが発生した場合の対応(通知、被害の拡大防止、暫定対処、本格対処など)必須セキュリティ・インシデントが発生した場合、発生した内容について即時に、電子メール、Web、および別途個別に定めるコミュニケーションチャネルにおいて報告いたします。

また、発生したインシデントによる被害の拡大防止のために実施した、暫定対処および本格対処について、対応次第報告いたします。
106定期報告
利用者への定期報告の有無(アプリケーション、サーバ、プラットフォーム、その他機器の監視結果、サービス稼働率、SLAの実施結果等)
必須利用者への定期報告なし
本資料のダウンロードはこちら

本資料について本資料は一般社団法人日本クラウド産業協会から公開しております。私的利用・社内利用以外での本資料及び記載情報の転載、複製はご遠慮願います。

ダウンロードする

(注)必須/選択欄の「必須〇」とは、一定の水準を考慮すべき必須開示項目となります。
※本資料は一般社団法人日本クラウド産業協会から公開しております。私的利用・社内利用以外での本資料及び記載情報の転載、複製はご遠慮願います。