coso-mcp

coso-mcp

**COSO 内部統制—統合フレームワーク（ICIF-2013）**に基づく内部統制レビューを支援する、オープンな Model Context Protocol サーバーです。フレームワークの5つの構成要素、17の原則、着眼点を基盤に、スコープ設定 → リスク評価 → 統制台帳 → 母集団 → サンプリング → テスト → ワークペーパー → レビュー承認 → 不備評価 → 報告まで、レビューのライフサイクル全体をカバーします。

• ローカル： stdio 経由で実行します（npx @simonmak-ascent/coso-mcp）。
• ホスト型： 公開エンドポイント https://internal-control.ascent-partners.com/mcp （参照ツールと読み取りツールに加え、書き込みを含むライフサイクル全体に対応するセッションごとの一時サンドボックスを提供します。データは永続化されません）。

監査または法律に関する助言ではありません。 このサーバーは、内部統制レビューの方法論を支援するものです。監査文書で使用する前に、すべてのワークペーパーと評価を有資格の専門家がレビューする必要があります。

これが存在する理由（競争優位性）

既存の MCP サーバーは、ベンダーの GRC 記録を公開するもの（主に読み取り専用、プロプライエタリで、製品の形に合わせたもの）か、ISO 27001／セキュリティ統制をカバーするもののどちらかです。追跡可能な COSO レビューを実行するものはありません。coso-mcp は、ライフサイクル全体に対応する、COSO／ICFR ネイティブで書き込み可能なオープン MCP として初のものです。

項目	coso-mcp	ベンダー GRC MCP（Workiva、Vanta、Drata、Optro、OpenPages、LogicGate など）	コミュニティ MCP（iso27001-mcp、unidoc/isms、mcp-server-scf など）	AI スキル（sox-testing／audit-support）
COSO ICIF-2013 ネイティブ（5つの構成要素／17の原則／着眼点）	✅ 中核エンジン	❌ 製品オブジェクト	❌ ISO／SCF に基づく	⚠️ テキストのみ
署名済みワークペーパーまでのライフサイクル全体	✅	❌ 情報取得のみ。Workiva の GRC ツールは読み取り専用	❌ 対応していても計画／指摘事項まで	⚠️ テンプレートのみで、実行不可
書き込み可能な状態管理ワークペーパー＋作成者／レビュー担当者の承認＋監査証跡	✅	❌ ほとんどが読み取り専用	❌	❌
フレームワークの有効性（原則／構成要素の存在と機能）	✅	❌	❌	❌
決定的で再現可能な計算（サンプルサイズ表、シード付き選定）	✅	一部対応	❌	❌（自由形式）
オープンソース＋オープンアクセス（MIT、公開エンドポイント、アカウント不要）	✅	❌ 有料プラットフォーム	⚠️ 一部は OSS	⚠️ サーバーではない

競争上の堀： これはデータ層ではなくライフサイクル層です。データを奪い合うのではなく、Workiva／Vanta／Drata の上に構築できます。サンプリングと不備の計算は即興ではなく、計算によって算出されます。また、オープンであるため、アクセスを制限するベンダーにはまねできない、導入の障壁がない配布を実現します。

ツール

ツール	種類	用途
get_server_info	読み取り	サーバーの識別情報、フレームワークの対象範囲、免責事項。
list_components	読み取り	COSO の5つの構成要素。
list_principles	読み取り	17の原則（構成要素による絞り込みも可能）。
get_principle	読み取り	番号またはスラッグで原則を取得し、重点項目を言い換えて表示します。
get_component	読み取り	ID で構成要素を取得し、その原則も表示します。
list_objective_categories	読み取り	業務／報告／コンプライアンス。
list_assertions	読み取り	統制目標の設定に使用する CEAVOP アサーション。
create_engagement	書き込み	レビュー案件を作成します。
get_engagement	読み取り	ID で案件を取得します。
list_engagements	読み取り	案件の一覧を表示します。
add_scope_item	書き込み	重要な勘定またはプロセスを対象範囲に追加します。
list_scope_items	読み取り	対象範囲項目の一覧を表示します。
register_risk	書き込み	目標に対するリスクを登録します（発生可能性、アサーション、原則、不正）。
list_risks	読み取り	登録済みリスクの一覧を表示します。
register_control	書き込み	統制を登録します（種類、頻度、関連リスク、アサーション）。
list_controls	読み取り	登録済み統制の一覧を表示します。
get_audit_log	読み取り	案件の追記専用監査イベント。
compute_sample_size	読み取り	頻度 × リスクに基づく推奨サンプルサイズと根拠。
create_population	書き込み	母集団を登録します（項目リストまたは宣言された件数、上限あり）。
list_populations	読み取り	母集団の一覧を表示します。
select_sample	書き込み	シード指定による再現可能なサンプル選定（ランダム／システマティック／ターゲット／無作為）。
record_test_result	書き込み	属性レベルの結果（合格／不合格／該当なし）と結論を記録します。
list_test_results	読み取り	テスト結果の一覧を表示します。
note_exception	書き込み	根本原因と影響を含む例外を記録します。
list_exceptions	読み取り	例外の一覧を表示します。
assemble_workpaper	書き込み	統制テストのワークペーパーを Markdown 形式で作成します。
list_workpapers	読み取り	ワークペーパーの一覧を表示します。
get_workpaper	読み取り	Markdown を含むワークペーパーを取得します。
add_review_note	書き込み	レビュアーノートを追加します。
resolve_review_note	書き込み	レビュアーノートを解決済みにします。
sign_off	書き込み	作成者／レビュアーの承認（同一人物による独立性に関する警告を表示）。
get_activity_log	読み取り	案件の追記専用アクティビティログ。
classify_deficiency	書き込み	不備を分類します（不備／重要な不備／重要な欠陥）。
list_deficiencies	読み取り	不備の一覧を表示します。
aggregate_deficiencies	読み取り	集約される可能性のある不備をグループ化してフラグを付けます。
assess_principle	読み取り	1つの COSO 原則に関するカバレッジ指標。
assess_component	読み取り	1つの COSO 構成要素に関するカバレッジ指標。
framework_integration_check	読み取り	5つすべての構成要素にカバレッジがあるか確認します。
generate_report	読み取り	Markdown 形式のレビュー報告書を生成します。

リソース：coso://framework/icif-2013（フレームワークのリファレンス）、 coso://engagement/{id}（案件のバンドル：対象範囲、リスク、統制）。 プロンプト：scope-review、assess-risk、build-control-matrix、 draft-test-workpaper、evaluate-deficiencies。

使用方法

ローカル（stdio）

npx -y @simonmak-ascent/coso-mcp

Claude Desktop／汎用 MCP クライアントの設定：

{
  "mcpServers": {
    "coso": {
      "command": "npx",
      "args": ["-y", "@simonmak-ascent/coso-mcp"]
    }
  }
}

ホスト型（ストリーム可能な HTTP）

https://internal-control.ascent-partners.com/mcp

ホスト型エンドポイントは公開されています。書き込み操作は一時的な分離済みサンドボックス内で実行され、セッションごとにレート制限が適用されます。また、データは保持されません。

開発

計算はローカルではなく、ボックス上で実行します：cs run "<cmd>"。

pnpm install
pnpm typecheck
pnpm test
pnpm test:coverage
pnpm build        # tsc

セキュリティ

SECURITY.md をご覧ください。脆弱性は非公開で報告してください。公開の Issue は作成しないでください。

貢献

CONTRIBUTING.md と 行動規範をご覧ください。

ライセンス

MIT © Simon Mak / Ascent Partners Group Limited.