Claude Codeの監査ログと利用状況の可視化 — 「誰が・どれだけ・何をしたか」を追える法人運用

可視化は「統制」と「定着」の両方に効く

監査ログというと情報システム部門の統制の話に聞こえますが、実務では可視化の目的は2つあります。1つはガバナンス——「誰が・いつ・何をしたか」を後から追える体制を作り、万一のときに事実確認できるようにすること。もう1つは定着支援とROI測定——導入したツールが実際に使われているかを把握し、費用対効果を経営層に説明できるようにすることです。

特に後者は見落とされがちです。せっかく法人契約したのに、利用状況を見る仕組みがないまま「使われている気がする」で止まっているのは、ライセンス費用の面でも、活用が進んでいない部署を放置してしまう面でも、もったいない状態です。可視化は取り締まりのためではなく、活用を広げるための基礎データとして整えるのが本筋です。

「どこまで記録するか」は3段階で考える

Claude Codeの利用状況の可視化は、深さによって3つのレベルに整理できます。すべての企業がレベル3まで必要なわけではありません。自社の要件に合うレベルを選ぶのが出発点です。

レベル1: 標準ダッシュボードで見る（Team/Enterprise）

Claude for Team / Enterpriseで契約している場合、管理者（AdminまたはOwner）は追加設定なしでClaude Code専用のアナリティクスダッシュボードを見られます。見える主な指標は次のとおりです。

• 日次アクティブユーザー数・セッション数 — 誰がどのくらいの頻度で使っているかの把握
• 受け入れコード行数・提案受け入れ率 — Claude Codeの提案がどれだけ採用されているか
• リーダーボード — 利用量の多い上位ユーザー。社内展開の推進役（パワーユーザー）を見つける手がかりになる
• CSVエクスポート — 全ユーザー分のデータを出力し、自社のレポートに組み込める

さらにGitHub連携を有効にすると、マージされたプルリクエストのうちClaude Codeが関与した割合など、開発成果への貢献度（コントリビューション指標）も測定できます。「AIツールへの投資が成果につながっているか」を、自社のデータで説明しやすくなります。

レベル2: OpenTelemetryでメトリクスを自社基盤に集める

Claude Code本体には、業界標準の計測仕様であるOpenTelemetry（OTel）でのメトリクス送信機能が組み込まれています。契約プランを問わず使え、Datadog・Grafana・New Relicなど自社で使っている監視基盤にそのまま送れます。有効化は環境変数だけで完了します。

# テレメトリを有効化
export CLAUDE_CODE_ENABLE_TELEMETRY=1

# 送信先（自社のOTelコレクター）を指定
export OTEL_METRICS_EXPORTER=otlp
export OTEL_LOGS_EXPORTER=otlp
export OTEL_EXPORTER_OTLP_PROTOCOL=grpc
export OTEL_EXPORTER_OTLP_ENDPOINT=http://collector.example.com:4317

# 部署・チーム別に集計するためのタグ付け
export OTEL_RESOURCE_ATTRIBUTES="department=sales,team.id=team-a"

収集できる主なメトリクスは、セッション数・コード行数（追加/削除）・コミット数・プルリクエスト数・コスト（USD）・トークン使用量・アクティブ時間です。部署タグを付けておけば、部署別のコスト配賦や活用度の比較がダッシュボード側で組めます。

この設定を社員各自に依頼すると徹底されないため、法人運用では管理者が配布する設定ファイル（managed settings）で全端末に一括適用するのが定石です。設定の強制配布の考え方はpermissions設定の解説でも触れています。

レベル3: 操作イベントまで記録する（監査要件がある場合）

メトリクスはあくまで集計値です。「このファイル操作は誰の指示で実行されたのか」まで遡りたい場合は、OpenTelemetryのイベントログを使います。プロンプト送信（user_prompt）、ツール実行の結果（tool_result）、ツール実行の許可/拒否の判断（tool_decision）、API呼び出し（api_request）などが個別のイベントとして記録され、SIEMに転送すれば監査対応の証跡として使えます。

プロンプトの本文やAIの応答本文は、既定では記録されません。OTEL_LOG_USER_PROMPTS などの環境変数を明示的に有効にした場合のみ記録されるため、「操作の事実だけ残す」か「内容まで残す」かを組織として選択できます。

Enterpriseプランの管理機能 — 監査ログ・SSO・Analytics API

組織の管理操作そのもの（メンバーの追加・権限変更など）の記録が必要な場合は、Claude for Enterpriseの管理機能が該当します。Enterpriseでは監査ログに加えてSSO・SCIMによるアカウント統制が使え、Analytics APIでユーザー別の利用・コストデータをプログラムから取得して自社の内部レポートに組み込むこともできます。TeamとEnterpriseのどちらが自社に合うかは、法人導入の契約ルート比較で解説しています。

ログは「設定」と「ルール」とセットで初めて機能する

可視化だけ整えても、防ぐ仕組みと判断基準がなければ「事後に分かるだけ」になってしまいます。当社が法人導入を支援するときは、次の3点セットで設計します。

1. 1設定で防ぐ — 秘密情報ファイルへのアクセス禁止など、permissionsによる機械的な強制
2. 2文書で線引きする — 入力してよい情報の基準など、禁止事項と社内ルールの明文化
3. 3ログで追える — 本記事の3段階から自社要件に合うレベルを選び、記録の目的を周知する

進め方としては、Team以上の契約であればまず標準ダッシュボードで現状を把握し、監視基盤があればOpenTelemetryを管理者配布で有効化、監査要件が強ければイベントログまで──と段階的に広げるのが現実的です。セキュリティ設定からログ設計・利用ガイドライン整備までを一体で進める支援は、Claude Code法人研修・導入伴走支援で行っています。