クライアントからお客様のノートパソコンにメールが届きます。「この契約書はエラーだらけです。」
ファイルを開いてみると、法務部門によるレビューや重要な条項の承認が行われる前の、36時間前のバージョンを送信してしまっていたことに気づきます。どのバージョンがどのような経緯で送信されたのか、誰も確実に説明できません。
それはバージョン管理の失敗です。監査、ヒヤリハット、顧客からの苦情、内部紛争といった情報漏洩の危機に直面した際、それは単に取引を失うこと以上の意味を持ちます。弁明の余地がないコンプライアンス違反、証明できない紛争、あるいは回復不能なクライアントとの関係悪化を意味することになります。
ドキュメントのバージョン管理は、誰が、いつ、何を変更したのか、そしてどのバージョンが手元から離れたのかを特定するのに役立ちます。契約書、コンプライアンス記録、社内ポリシーなど、組織内におけるドキュメントの流れに責任がある場合は、これについて理解しておく必要があります。
ドキュメントのバージョン管理とは？
ドキュメントのバージョン管理は、リビジョン管理やファイルバージョン管理とも呼ばれます。これは、進行中のファイルやプロジェクトに対するすべての変更を追跡するシステムです。以前の内容を上書きすることはありません。すべての変更がドキュメントの履歴に新しいエントリとして保存されるため、さまざまな共同作業者が下したすべての決定を確認し、必要に応じて以前のバージョンに戻すことができます。
バージョン管理は、ファイルを「v1」「v2」「FINAL」のように手動で保存して名前を変更することでも行えますが、これは全員が一貫して同じ規則に従うことに依存しているため、記録に漏れが生じる原因となります。
より信頼性の高いアプローチは、自動で行うビジネス向けクラウドストレージソフトウェアを使用することです。これにより、意識することなく、すべての変更がバックグラウンドで自動的にログに記録されます。バージョン番号を付けて手動でファイルを保存したり名前を変更したりする必要はなく、自動で行われるため、誰も管理することなく完全な変更履歴が得られます。
最適なソフトウェアを見つけるためのヒントについては、このブログの後半で詳しくご紹介します。
ドキュメント管理のベストプラクティスについて詳細を見る。
なぜコンプライアンスにおいてバージョン管理が重要なのでしょうか？
医療、法律、金融などの規制の厳しい業界では、ドキュメントの不備といったプロセスの失敗は深刻な事態を招きます。いつか釈明を求められるかもしれない記録の空白を生み出すことになるからです。
何が変更されたのか？
ドキュメントに問題が生じたとき — 記載されるべきではない条項がある、合意内容と一致しない数値がある、以前のバージョンと矛盾する条件があるなど — 誰もが最初に抱く疑問は、何がいつ変更されたのか、ということです。
規制環境下では、その疑問は社内だけの問題にとどまりません。金融規制当局は、顧客との合意文書において何がいつ修正されたのかを正確に把握したいと考える場合があります。裁判所は、ある条項が最初の下書きに存在していたのか、それとも後から追加されたのかを確認したい場合があります。コンプライアンス担当者は、承認後にポリシー文書が改ざんされていないことを証明する必要があるかもしれません。
完全なバージョン履歴がなければ、これらの疑問に対して信頼できる回答を得ることはできません。
誰がアクセスしたのか？
何が変更されたかを知ることは、記録の一部にすぎません。規制当局や監査人は、誰が、どの段階でドキュメントにアクセスしたのかについても把握したいと考えています。
プロジェクト終了後にアクセスが失効済みとならなかった請負業者。権限外でファイルを開いたチームメンバー。最終決定される前の下書きを閲覧した外部の第三者。これらの予定のいずれによってもドキュメントは変更されませんが、そのすべてが情報漏洩の予定であり、コンプライアンスの文脈において、これら漏洩の予定はログに記録される必要があります。
顧客のPIIデータを取り扱うSaaS企業は、大企業のクライアントから「誰が当社のデータにアクセスしたか、そしてそれを証明できるか」と尋ねられるたびに、この質問に直接直面することになります。SOC 2監査人も同様のことを求めます。そのアクセス履歴を提示できなければ、監査に合格することはできません。
どのバージョンが最終版か？
契約紛争、規制当局への提出、または社内調査において、この質問に対する答えは一つしかありません。
共有ドライブ、メールのスレッド、ダウンロードされたコピーなど、複数のバージョンのドキュメントが存在する場合、どれが正式なものであるかを確実に言うことは誰にもできません。曖昧さはリスクとなります。
適切なバージョン管理システムは、タイムスタンプが付いた単一の記録を最終版として指定し、それより前のすべての完全な履歴を保持するため、この質問に対する答えに疑いの余地はありません。
ビジネスにおけるバージョン管理を維持する7つの方法
- 常に共有ファイルで作業するようにしてください — 誰かがローカルコピーで作業している場合、コンプライアンス記録に漏れが生じます
- 編集時にはログインした状態にしてください — 匿名での編集は誰が行ったか特定できず、監査人は変更者の特定を求めているためです
- システムの外部で編集しない — ダウンロードされたコピーやメールの添付ファイルで行われた変更は、バージョン履歴には反映されません。共有ドキュメント上で行われなかった変更は、記録には残りません
- アクセス権を必要とする人とだけ共有する — 不要な共同作業者が増えるほど、ログに記録されない漏洩リスクが高まります
- 不要になった時点でアクセスを失効させる — 目的を果たした後もアクセスが残っていることは、単なる見落としではなくリスクとなります
- 最終版を指定して保護する — ドキュメントが承認されたら、それが最終版であることを明確に識別できるようにし、それ以上の編集から保護する必要があります。承認後の変更で溢れたバージョン履歴は、クリーンなコンプライアンス記録とは言えません
- やり直すためにドキュメントを削除しない — ファイルを削除すると、そのコンプライアンス記録が永久に失われます
ドキュメントツールに求めるべき機能
ビジネス用途において、重要なポイントは以下のとおりです：
- 自動バージョン管理：バージョン履歴を手動で管理する必要はありません。チームメンバーが自分でバージョン管理を行う必要があると、混乱が生じ、業務の妨げになる可能性が高くなります。実際には、編集を自動的に保存するリアルタイムな共同ドキュメントが必要です。
- 長期データ保持：30日間の編集ログでは、監査や紛争への対応に十分とは言えません。ビジネスドキュメントのバージョン管理では、数ヶ月、あるいは数年間記録を保持し、すべてのコンプライアンスチェックを確実に行えるようにする必要があります。
- 安全な復元オプション：以前のバージョンを復元することで、それ以降に行われた変更を上書きまたは削除してはなりません。履歴全体を完全に残しながら、過去のバージョンのコピーを作成したり、完全にロールバックしたりできるツールを探してください。これは、クライアントデータを保護し、チームの連携を維持するために不可欠です。
- 作成者の特定と管理：タイムスタンプだけでは不十分です。各変更を特定の個人に関連付ける必要があります。これにより、説明責任を果たす上でファイルリビジョン管理が有用になります。また、権限やリンク有効期限の機能は、別のツールで管理すべきではありません。バージョン管理と、チーム向けの安全なファイル共有は、同じワークフローの一部であるべきです。
- エンドツーエンド暗号化：バージョン履歴には機密情報が含まれる場合があります。サービスプロバイダーがすべての下書きバージョンにアクセスできる場合、お客様の情報もそのプロバイダーからアクセス可能になってしまいます。セキュリティを強化するために、完全なエンドツーエンド暗号化を提供するツールを探してください。
最初からお客様のドキュメントを保護しましょう
Protonでは、共同作業用のドキュメントと安全なスプレッドシートのためのオンラインソフトウェアとして、Proton DocsとProton Sheetsを開発しました。これにより、リモートチームがすべてのファイルとすべてのリビジョンに対して、自動バージョン管理機能とエンドツーエンド暗号化を備えたドキュメントを完全に制御できるようになります。そのため、お客様のドキュメント履歴はデフォルトで安全に保たれます。
バージョン管理の信頼性は、それを支えるツールにかかっています。Proton Driveは、手動でのチェックポイントを作成する必要なく、お客様のバージョン履歴を自動的に保存します。ドキュメント履歴は、ほとんどのデータ保持要件を満たすのに十分な期間である最大10年間保持され、必要なバージョンへと安全にロールバックすることができます。
まずは無料のProtonアカウントを作成するか、ビジネス向けクラウドストレージであるDrive for Businessをご検討ください。
