004繊維商社、大阪 · 2026
3
一つの確認に三つの判定
GOTS認証、監査人の前で崩れないトラッカー
大阪の繊維商社が、GOTS バージョン7.0に基づく初めての監査を準備しました。そのための道具はありませんでした。Kuroko Labs が構築したトラッカーは、登録した SharePoint ライブラリを毎日読み、工程ごとにマスバランスを計算し、三つの判定を持ち、すべての変更を編集者IDと時刻付きで残します。
4
タブ
ダッシュボードから記録まで
3
判定
適合、違反、判定不能
13
編集者
他の権限なし
07:50
ソース確認
毎日、日本時間
11,700+
書類を読取
すべてのセルに元ファイル
01、課題
GOTS監査が求めるもの
GOTS（Global Organic Textile Standard）は一度受かれば終わる試験ではありません。「この生地はオーガニックコットンであり、途切れない管理の連鎖がここにある」という主張です。規格ではこれを Chain of Custody と呼びます。連鎖は最初の加工工程である紡績工場から始まり、畑からは始まりません。連鎖に連なる各社は、扱う素材と工程についてスコープ証明書（SC）を持ち、認証品の出荷一件ごとに取引証明書（TC）が付きます。認証機関の担当者が机に着き、書類を引き出し、従業員に聞き取りをしたとき、この主張が崩れないことが求められます。
大阪に商社機能を、タイに工場を二つ持つ繊維企業にとって、日程は決まっていました。2026年9月、GOTS バージョン7.0に基づく監査、範囲は商社です。商社が示すのは、認証品を分別管理し、正しく表示し、TC を付けて引き渡したことです。生地がどう作られたかを証明する必要はありません。
この準備のための道具はありませんでした。証拠は日々の業務で生まれる場所にありました。PDFの証明書、SharePoint 上のトレーサビリティ表と出荷請求書です。必要だったのは、一つの問いにいつでも答えられる場所でした。監査人が今日尋ねたら、何を見せられて、何を見せられないのか。
SC
スコープ証明書
連鎖に連なる各社
TC
取引証明書
認証品の出荷ごと
7.0
GOTSバージョン
範囲は商社
?
何を見せるか
監査人が今日尋ねたら
02、ソリューション
自分をごまかさずにGOTS監査に備えるには
トラッカーは証拠を保管しません。証拠のある場所で読み、データが許す範囲で正直に監査の問いに答えます。タブは四つ、監査当日に必要になる順に並びます。ダッシュボード、商流と証明書、トレーサビリティ、証拠と記録です。
01
スコープ証明書
収集、連鎖の整理
第1週
02
試作版
マネージャーに公開
第2週
03
ソース接続
ライブラリ登録、修正
第3週と第4週
04
四つのタブ
範囲の確定、タブ完成
第6週
まず、連鎖に連なる全社のスコープ証明書を、有効期限と認証素材とともに集めました。これで連鎖の起点が決まりました。紡績工場です。GOTSに農場の証明書はないため、トラッカーもそれを求めません。
次に、マネージャーがダッシュボードで試作版を見て、どの表を自動で追跡するかを決めました。まさにその SharePoint ライブラリを登録しました。トラッカーは Microsoft Graph の差分クエリでそれらを読みます。読むのは変更分だけで、全件走査はしません。細かな調整は最初の実運用から出てきました。
最後に、監査の範囲を認証機関と確定しました。監査対象は商社を通る生地ルートです。縫製工場を通る製品ルートは当面GOTSを主張せずに動かすため、今回の監査のクリティカルパスには入りません。こうして、監査当日に必要な順に並ぶ四つのタブができました。
03 · マスバランス · 例示データ
監査の行方を決める数字
受け取った認証品より多くを出荷することはできません。トラッカーは元ファイルの全行を読み、各工程を一度だけ数え、両側を天秤に載せます。ここに示す値は例であり、顧客データではありません。
| ロット | 工程 | 入荷 kg | 出荷 kg | 証憑 | 日付 |
|---|---|---|---|---|---|
| L-2607-01 | 紡績 | 312.5 | · | TC 61-0412 | 04.08. |
| L-2607-02 | 製織 | · | 188.0 | DN 4471 | 06.08. |
| L-2607-03 | 紡績 | 240.0 | · | TC 61-0418 | 08.08. |
| L-2607-04 | 商社 | · | 142.5 | INV 26-118 | 12.08. |
| L-2607-05 | 紡績 | 415.0 | · | TC 61-0431 | 15.08. |
| L-2607-06 | 製織 | · | 260.0 | DN 4498 | 19.08. |
| L-2607-07 | 商社 | · | 199.5 | INV 26-127 | 22.08. |
| L-2607-08 | 紡績 | 532.5 | · | TC 61-0447 | 26.08. |
| L-2607-09 | 製織 | · | 330.0 | DN 4512 | 02.09. |
| L-2607-10 | 紡績 | 500.0 | 120.0 | TC 61-0455 | 09.09. |
| 合計 | 2,000.0 | 1,240.0 | |||
結果は「範囲内」。入荷2,000 kgに対し出荷1,240 kg。重量が欠けていたり読めなかったりすれば、天秤は緑に傾かず「判定不能」を示します。
04、アーキテクチャ
数字ごとの三つの規則
01ダッシュボード
未解決の問題を順位付け
主要数値、監査のマイルストーン、そして未解決の問題を順に並べます。アラートは処理済みにでき、その判断は取り消し可能で編集者IDが付きます。原因がすでに解消していれば、消えずにそう表示します。
1
順位
02商流
履歴付きのスコープ証明書
管理の連鎖に連なる各社を順に、スコープ証明書の状態、認証素材、有効期限とともに示します。更新は二行目として追加し、旧行は履歴として残ります。新しいSCはPDFで届き、システムが下書きを読み、人がPDFと照合して確定します。
2
更新ごとの行
03トレーサビリティ
工程ごとのマスバランス
認証品の出荷が入荷を超えてはなりません。取引先ごとに継続記録を持ち、各セルは元ファイルにたどれます。取引先横断の一覧は各工程を固有の識別子で一度だけ数え、適合、要確認、判定不能のいずれかを示します。
3
判定
04証拠と記録
何が欠け、なぜか
期限付きの主要書類を監査チェックリストと並べ、承認サプライヤーリストや年次マスバランス締めも含みます。SharePoint の各証拠ソースには到達可否を記します。どのパーサーも読めなかった書類は理由付きで並びます。そして監査証跡。
84,000
ファイル検索
05権限
全権なしで編集
トラッカー専用の役割が二つ、閲覧者と編集者です。どちらも設定やデータ出力など他の機能を開きません。13人が編集し、他の権限は持たず、すべての変更にその人のIDが付きます。
13
編集者
マスバランスは監査の行方を決める計算です。工程ごとに、認証品の出荷量が入荷量を超えてはなりません。裁断ロスや不良分も含めて数えます。この数字はトレーサビリティのタブに取引先ごとの継続記録として載り、すべてのセルに元ファイルが付きます。監査人の前で崩れないよう、すべてのパーサーが三つの規則に従います。
一つ目、判定は三つ。適合、違反、判定不能。空の一覧は判定不能として扱います。行がないことは、すべて正しいことを意味しません。二つ目、列は見出しで探し、位置では探さない。同じトレーサビリティ表でも版が違えば一列ずれることがあり、位置で読めば糸番手をキログラムとして数えてしまいます。
三つ目、一意に読めない数量は推測せず拒否する。「980,5」のコンマは小数点にも桁区切りにも読め、十倍の差になります。コードには「読める重量とは何か」の定義が一つだけあり、文書種別ごとにテストが付いています。試作版の例示データが数に入ることはありません。
05、成果
トラッカーが自分でやること、やらないこと
7秒
取引先横断の概要画面
11,700+
読み取った書類ファイル
3
確認ごとの判定
0
第三者へのデータ提供
要件証拠トラッカーでは
管理の連鎖各社の有効なスコープ証明書商流タブ、有効期限を監視
取引証明書認証品の出荷ごとTC申請が可能になれば通知
マスバランス工程ごとに出荷は入荷以下トレーサビリティ、三つの判定
証憑管理すべての数字に出典各セルから元ファイルへ
変更の記録誰がいつ何を変えたかCSVパック内の監査証跡
毎朝7時50分（日本時間）、登録した SharePoint の証拠ソースがすべて到達可能かを確認します。平日は毎時アラートを再計算します。トレーサビリティ表と、研修、内部監査、承認を記録したマスターブックは毎日読み直します。各実行は冪等で、もう一度実行しても正しいものは変わりません。開けないファイルはそのソースを赤にし、0行の取り込みは成功とみなしません。
それ以外は人がやります。事実の入力と修正、書類を完了と宣言すること、アラートの処理、そして認証機関に送るものすべて。トラッカーはどこにも何も送りません。これらの操作はすべて、編集者IDと時刻を持つ表である監査証跡に残ります。証跡は監査人向けのCSVパックに含まれます。
個人データを扱う箇所は一つだけです。変更した編集者のIDと時刻で、根拠はGDPR第6条1項(f)の追跡可能な認証への正当な利益、保存期間は認証サイクルの間です。アクセスは顧客の Microsoft 365 テナント経由で、Microsoft Graph のアプリ権限は登録ライブラリの読み取りに限ります。トラッカーは顧客のサーバーで動き、第三者にデータを渡しません。PDF から証明書の下書きを読む言語モデルはスイッチで無効にしてあり、人の承認なしには書き込みません。法的助言の代わりにはなりませんが、個人情報保護担当者の確認は短く済みます。
取引先横断の概要画面は7秒で表示されます。取引先ごとに約11,700件の書類ファイルを読みました。出荷書類、輸出書類、納品書、確認書、契約書、ロット票です。監査に向けて一つの問いに決着をつけるため、SharePoint 上の約84,000ファイルを検索しました。年次のマスバランス締めはそこにありません。トラッカーには期限付きの未解決項目として載っています。
“
元ファイルは毎日確認され、台帳はマスター表から自動的に読み直されます。内容は名前の分かる担当者が保守し、すべての変更は編集者IDと時刻付きで記録に残ります。監査人向けに、トラッカーの手引きに書かれている文言
技術スタック
Node.js
バックエンド
Express
API
SQLite
WALモード、ファイル一つ、バックアップ一つ
Microsoft Graph
SharePoint、差分クエリ、読み取りのみ
PM2
クラスター、cronはワーカー0のみ
Vanilla JS
フロントエンド
CSV
証跡付き監査パック
今後の展望
ソフトウェアでは片付かないことが残っています。取引先が決める農場と紡績工場の選定、そして社内文書への署名です。トラッカーはこれらを期限付きで一覧にします。完了させるのは組織です。
次のステップ
同様のプロジェクトをお考えですか？
お問い合わせ すべてのケーススタディよくある質問、GOTSトラッカーの事例
GOTS監査の準備に、なぜトラッカーが必要なのですか。+
証拠は日々の業務のさまざまな場所で、PDF、表、請求書として生まれます。トラッカーはそれを毎日 SharePoint から読み、マスバランスを計算し、すべての数値について、どのファイルのどの列から来たかを示します。ソースが読めなくなれば、日付付きでそれを知らせます。
スコープ証明書と取引証明書は何が違いますか。+
スコープ証明書（SC）は、ある会社が特定の素材と工程をGOTSに従って扱えることを期限付きで証明します。取引証明書（TC）は、二社間の認証品の出荷一件を証明します。管理の連鎖には両方が要ります。関係各社の有効なSCと、出荷ごとのTCです。トラッカーはSCの有効期限を監視し、出荷がTCを申請できる状態になったら知らせます。
マスバランスはどう機能し、なぜ判定が三つなのですか。+
工程ごとに、認証品の出荷量が入荷量を超えてはなりません。トラッカーは各工程を固有の識別子で一度だけ数えて比較します。重量が欠けていたり曖昧だったりすれば、緑にはならず「判定不能」になります。それは監査人が納得できる答えであり、誰かが見るべき場所を示します。
トラッカーはどの個人データを扱いますか。+
監査証跡の編集者IDと時刻だけです。根拠はGDPR第6条1項(f)の追跡可能な認証への正当な利益です。証拠ファイルは業務文書です。アクセスは顧客の Microsoft 365 テナント経由で、登録ライブラリに対する読み取り専用のアプリ権限を使い、データは顧客のサーバーに留まり、第三者には渡りません。法的助言の代わりにはなりません。
トラッカーは技術的にどう書類を読みますか。+
登録した SharePoint ライブラリに対して Microsoft Graph の差分クエリを使います。文書種別ごとのパーサーが見出しで列を探し、共通の関数一つが重量を読めるかを判断します。結果はWALモードの SQLite に入り、cronジョブは PM2 クラスターの一つのワーカーだけで動き、各実行は冪等です。規則はテスト付きの決定的なコードにあり、言語モデルには置きません。
他の認証にも応用できますか。+
部品はGOTSに依存しません。登録したソースを毎日読む、列を見出しで探す、読めない値を拒否する、三つの判定、編集者IDと時刻付きの記録。別の連鎖を証明する必要がある人に要るのは別の規則です。道具は同じで済みます。初回相談と可能性分析は無料です。
使用している技術
基盤は SQLite と自社開発の Node.js バックエンドで、SharePoint は Microsoft Graph 経由で読みます。他の担当者が引き継げるよう、標準的な部品で組んでいます。
各リンクはそれぞれの技術資料に飛びます。