あとから疑われない記録へ。クレーム・事故対応記録を「改ざん不能」に

TL;DR

宿泊・飲食・小売・商業施設では、食中毒やけがのクレームが起きたとき、いつ、どういう手順で対応したかを記録します。ただ、その記録は誰が読んでも「あとから書き換えられていないか」を確かめる手段がありません。対応した本人が正しく動いていても、記録が改ざんされていないと示せなければ、係争や行政対応の場で説明が弱くなります。

対応の内容を保存の時点で固定しておけば、本部は店舗から原本、つまり顧客情報や対応の詳細を含む記録そのものを取り寄せなくても、いま手元にある記録と、保存した時点で登録した値をその場で照合できます。確かめられるのは「正当な手順・権限で対応した」という一点だけで、中身は開きません。

対応した記録は、あとで書き換えられていないと言えるか

飲食店で食中毒の疑いのあるクレームが入ったとします。店舗は保健所への報告、返金対応、再発防止策の実施まで、手順通りに動きました。対応記録も残しています。

半年後、同じ顧客から損害賠償の申し立てがあったとき、店舗側は「記録の通りに対応した」と主張します。しかし相手からこう聞かれたら、どう答えるでしょうか。「その記録は、後から書き換えたものではないと、どう証明しますか」。

対応が正しかったかどうかとは別に、記録そのものの信頼性を示す手段がない。これが、ここでの本当の問題です。

今ある記録に足りないのは、書き換えられていないことの証明

クレーム・事故対応の記録は、たいてい社内システムやスプレッドシートに残っています。これ自体は珍しいことではありません。

問題は、記録を作った本人が、後から書き換えられることです。悪意を疑う話ではありません。書き換えが可能な仕組みである以上、「書き換えていない」ことを口頭以外の方法で示す手段がない、という構造上の問題です。

もうひとつ、顧客情報や対応の詳細を出さずに、正当性だけを示す手段もありません。係争や行政対応の場で記録を提出しようとすると、個人情報や機微な内容まで開示せざるを得なくなります。

この2つを埋める方法が、対応記録が確定した時点で、次の2点を行うことです。

• 記録の内容を、ひとまとまりに固定する
• その固定値を、作成者の側で書き換えられない登録先に登録する

こうしておけば、あとから「いまの記録」と「登録した時点の値」を照合するだけで、書き換えの有無を確かめられます。既存の記録を置き換える話ではありません。いま使っている現場の記録画面はそのままに、保存と同時に証明を1件足す、という形です。役割分担はシンプルで、現場は保存するだけ、本部は必要になったときに照合するだけです。

現場は、保存するだけ

現場の操作は変わりません。いつも通り、クレーム・事故対応の記録を入力して保存します。

保存と同時に、裏側で自動的に1回、証明の発行がリクエストされます。このとき送られるのは記録のハッシュ値、つまり元の内容から計算される決まった長さの値だけです。内容が1文字でも変われば別の値になります。顧客情報や対応の詳細を含む記録の本文は、送信も開示もされません。

現場側に増える作業は、この自動の発行リクエスト1回だけです。申請書の作成も、証明のための追加入力も発生しません。ここで登録した値が、あとで「いま手元にある記録」と突き合わせて照合するときの基準値になります。

本部は、照合するだけ

クレーム・事故対応の記録が後から問題になりそうなとき——係争に発展しそうなとき、行政への報告が必要なとき、あるいは日常のコンプライアンス確認のとき——本部のコンプライアンス部門やお客様対応部門は、その記録を照合します。

本部が本当に確かめたいのは、記録の中身そのものではなく、正当な手順・権限で対応したかどうかという一点です。これまでは、これを確認するために店舗へ電話で聞き取ったり、詳細な報告書の提出を求めたりする手間がかかっていました。

ここで言う「正当な手順・権限で対応した」とは、対応したスタッフが記録作成の時点で書き残した内容そのものです。いつ、どの手順で、誰が、どの権限で対応したか。Lemma が証明するのは、その記載内容が事実かどうかではなく、記録作成の時点から一切書き換えられていないことです。社内マニュアル通りに動いたかを外部から監査する仕組みではなく、現場が残した記録を、後から誰にも直せない状態で固定する仕組みです。

だから本部は、店舗から原本を取り寄せなくても、この記録が書き換えられていないことをその場で確認できます。いまの記録から計算したハッシュ値と、保存時点で Lemma に登録したハッシュ値を突き合わせるだけなので、次のことが数秒で分かります。

• 正当な手順・権限で対応したという、その時点での記載
• 記録が改ざんされていないこと（NOT TAMPERED）
• 店舗へ確認の電話をかける必要がないこと

照合にやり取りするデータはごくわずかです。証明そのもののサイズは約200バイト、短いテキストメッセージ数十文字分ほどで、店舗から原本のファイルをまるごと送ってもらうのに比べれば桁がいくつも違います。

照合の結果をどう出すかは選べます。ログインも統合も要らない共有リンクをその場で開く形でも、自社の管理画面やダッシュボードに API 経由で照合結果を表示する形でも構いません。突き合わせているものは、どちらも同じ2つの値です。

本部がこの場で確信を持てれば、その後の係争相手の代理人や行政の担当者への説明も、必要な書式・手続きに沿って進められます。Lemma の照合結果の画面をそのまま相手方への提出物として使うことは想定していません。社内で先に確信を持てていることが、外に向けた説明を支えます。

なぜ、アクセス制御や黒塗り提出では証明できないのか

「中身を開示せず渡す」「独立に検証できる」「書き換えを検知できる」の3つが同時に要る場面こそが、この仕組みの対象です。

手段	中身を開示せず渡す	独立検証	書き換えを検知
アクセス制御・権限管理	△	✗	✗
マスキング・黒塗りで提出	△	✗	✗
暗号化して保管・送付	✓	✗	✗
インシデント監視のみ	△	✗	✗
証明を発行して照合	✓	✓	✓

アクセス制御は社内の閲覧を制限しますが、「社内の誰かが書き換えられた」という疑いには答えられません。黒塗り提出は開示範囲を絞れますが、黒塗りの手間が増えるうえ、本部が手元で照合できる基準となる登録済みのハッシュ値がないため、元の記録が改ざんされていないことは示せません。表の右2列が揃って初めて、本部は店舗から原本を取り寄せずに照合できます。

複数店舗・複数業態でも、手順は変わらない

宿泊・飲食・小売・商業施設のように、拠点が複数にまたがる業態ほど、この仕組みは効きます。本部が全店舗の記録を1件ずつ確認しなくても、各店舗が保存した時点で証明が発行され、必要になったときだけ照合すればよいからです。

同じ考え方は、内部統制・承認フローの記録や、長期契約の記録・見積の証明にもそのまま当てはまります。店舗網の側から見た許認可・衛生・保険の確認は店舗コンプライアンス照合にまとめています。対象を1つ選び、まず1つのフローで試すところから始められます。

「対応は正しかった」ではなく、「記録は書き換えられていない」と言う

対応が正しかったかどうかは、最終的には人が判断することです。Lemma が示せるのは、その判断の材料となる記録が、記録された時点から変わっていないという事実だけです。

本部はこの事実を、店舗に確認の電話をかけることなく、その場で確かめられます。係争や行政対応の場面が来たときに問われるのは、対応の正しさを信じてもらうことではなく、記録の信頼性を確かめてもらうことです。社内であらかじめこの確信を持てていることが、いざというときの説明を支えます。

証明の発行は保存のたびに一度きり。照合は無料で、キーもアカウントも要らず、何度でも実行できます。個人情報の取扱いや保存期間など、適法な運用が前提であることは変わりません。