広告アカウントのアクションログ:代理店のためのコンプライアンス監査ユースケース

規制対象の広告主が代理店に対し、「過去90日間にキャンペーンへ加えられたすべての変更を、各変更を行った人物の名前とともに見せてほしい」と求めたとき、MetaやGoogle内部の標準の変更履歴はその問いに答えられません。期限が早く切れすぎ、変更を個人名ではなくアカウントレベルのアクセスに紐づけ、広告主が複数のプラットフォームを運用している場合には統一された記録として存在しないからです。広告アカウントのアクションログによるコンプライアンス監査ユースケースとは、規制業界に対応する代理店がこの課題を解決する方法であり、要請があれば監査担当者に提出できる、継続的で属性付きの検索可能な記録を維持することを指します。

本ガイドでは、何がアクションログをコンプライアンスレベルにするのか、代理店がワークフローをどう構築するのか、そして規制対象のクライアントが自社の広告アカウントを統制下に置いていることを示す必要があるとき、成果物がどのような姿になるのかを解説します。

標準の変更履歴がコンプライアンス要件を満たせない理由

ほとんどの代理店は、規制対象のクライアントから初めて文書の提出を求められたときに、「変更履歴」と「コンプライアンス監査証跡」の隔たりに気づきます。標準ツールには、構造的な3つの限界があります。

期限切れ。 Metaの標準の変更履歴は90日間利用できます。Google広告の履歴はもう少し遡れますが、管理画面上での実用的なアクセスは限られています。FCA(英国金融行為監督機構)のレビュー対象となる金融サービスの広告主は、12〜24か月遡る記録を提出する必要が生じることがあります。標準履歴ではその期間をカバーできません。

個人ではなくアカウントへの帰属。 代理店チームの3人がクライアントのMetaビジネスマネージャへのアクセス権を持ち、そのうちの1人がキャンペーンの入札を変更した場合、標準履歴はその変更を個人名ではなくビジネスマネージャのIDの下に記録します。標準ログからは、どのチームメンバーが変更を行ったかを判別できません。個人の説明責任が問われるコンプライアンス監査において、これは答えになっていません。

プラットフォーム間の分断。 MetaとGoogle広告を運用する規制対象の広告主は、変更履歴が2つの完全に別々のログに分かれており、スキーマが2種類、期限ポリシーが2種類あり、それらを統一された時系列の記録として閲覧する手段がありません。監査担当者が「第3四半期における広告アカウントへのすべての変更」を求めたとき、その答えには2か所からのエクスポート、2種類のスキーマの正規化、そして結合された記録の提示が伴います。ほとんどの代理店はこれを手作業で組み立てなければならず、エラーのリスクが高まります。

英国金融行為監督機構(FCA)による2025年の分析によれば、規制対象の金融企業によるデジタル広告は、英国の金融プロモーションに関する年次レビューにおいてコンプライアンス違反の上位3カテゴリーの1つでした。とりわけキャンペーンの修正に関する記録管理の不備が、レビューされた執行事例の31%で寄与要因として明示的に指摘されています。規制対象の広告主には、成果の記録以上のものが必要です。プロセスの記録が必要なのです。

何がアクションログをコンプライアンスレベルにするのか

すべてのアクションログがコンプライアンス監査証跡として認められるわけではありません。その違いは、3つの性質に帰着します。

個人名への帰属。 ログは、何が変更されたかだけでなく、誰が変更したかを記録しなければなりません。共有アカウントやグループの役割ではなく、実在する個人名のIDの下にです。これには、広告管理レイヤーにアクセスするすべてのチームメンバーが、それぞれ自分のIDと自分のシートで作業していることが求められます。共有ログインは、その構造上、コンプライアンス文書の作成を不可能にします。

改ざん不可能性。 記録は、後から誰かが遡って編集できるような出来事の一バージョンではなく、実際に起きたことを反映していなければなりません。コンプライアンス監査証跡は、後から記憶やメモを頼りに再構成するのではなく、各イベントの発生時点のシステム・オブ・レコードから生成されるべきです。

十分な保持期間。 ログは、コンプライアンス義務が要求する期間にわたって保持できなければなりません。規制対象の金融広告主では12か月が一般的な最低ラインであり、FCAやSEC(米国証券取引委員会)の定期レビュー対象となる企業では24か月が標準的です。システムは、必要に応じてこれらの記録をライブのダッシュボードの外でエクスポートし保存できる必要があります。

Wevionのアクションログは、この3つすべてを満たします。プラットフォームに記録されるすべての変更は、それを行った個人名のチームメンバーに帰属し、変更時点のライブイベントから生成され、接続されたアカウントの履歴のあらゆる日付範囲を網羅するエクスポートとして保持できます。広告プラットフォームとの接続は公式OAuth APIを通じて行われ、約15分ごとに同期されます。つまりログは、Wevionの管理画面の外で行われた変更を含め、広告アカウント上で実際に起きたことを反映します。それらは属性付きの記録の中で外部変更として表示されます。

代理店がコンプライアンスワークフローをどう構築するか

規制対象のクライアントに対応する代理店は通常、コンプライアンスのユースケースを3つの構成要素からなる常設ワークフローとして組み込みます。

基盤としての個人名シート

コンプライアンス証跡の質は、その下にあるID層の質を超えることはありません。規制対象の広告主をオンボーディングする前に、代理店はアカウントに触れるすべてのチームメンバーに個人名のシートを設定します。各シートには役割(通常はバイヤー、レビュアー、アカウントマネージャーのいずれか)とスコープ付きの権限が割り当てられます。共有ログインも、複数人で使う「team@agency.com」のようなアカウントもありません。

これはコンプライアンスにおいて任意ではありません。前提条件です。役割ベースの権限を持つ個人名シートの設定方法については、共有ログインが代理店にもたらすコストに関するガイドをご覧ください。

運用記録としての継続的なログ

個人名シートが整えば、チームが作業を進めるにつれてアクションログがひとりでに構築されていきます。あらゆる公開、あらゆる編集、あらゆる予算変更、あらゆる停止が、タイムスタンプ、実行したチームメンバーの名前、変更されたフィールド、該当する場合は変更前後の値とともにログに記録されます。代理店が別途ログを維持する必要はありません。ログは、プラットフォームを通じて作業を行うことの副産物なのです。

これが、標準のプラットフォームを個別に使うのではなく、統合された運用レイヤーを運用することの構造的な利点です。チームがWevionを通じてキャンペーンを公開・管理しているなら、ログは自動的に包括的になります。チームがMeta、Google、TikTokに別々にログインしているなら、3つのソースからログを編纂する必要があり、その編纂の段階でエラーや抜け漏れが発生します。

成果物としての四半期エクスポート

ほとんどの規制対象の広告主は、四半期または年次のスケジュールで文書を要請します。多くの場合、特定のインシデントよりも、コンプライアンスレビューや規制当局の照会がきっかけになります。代理店はこれに備えて、常設の四半期エクスポート手順を確立します。各四半期の終わりに、規制対象の各クライアントのアカウント履歴をエクスポートし、該当するアカウントと日付範囲に絞り込み、安全なクライアントフォルダに保管するのです。

エクスポートの形式は、日付付きで属性付けされた一連の出来事として読み取れます。コンプライアンスエクスポートの各エントリには通常、次が含まれます。日時(分単位)、チームメンバーの名前と役割、影響を受けたアカウントとキャンペーン、アクションタイプ(編集、停止、公開、予算変更、アクセスイベント)、そして変更されたフィールドの変更前後の値です。

同じログをインシデント調査というより速く、より戦術的な用途で使う方法のウォークスルーについては、広告アカウントの変更を調査する方法をご覧ください。

コンプライアンス監査の成果物はどのような姿になるか

規制対象のクライアントが監査(社内または外部)用の文書を要請したとき、代理店の成果物は、表紙のサマリーと付録としての絞り込まれたログからなる整形済みの記録であるべきです。

表紙のサマリー(1ページ):

• クライアント名とアカウント識別子
• 対象プラットフォームと日付範囲
• 記録された変更の総数
• 当該期間にアカウントへアクセスまたは修正を行った、役割付きの個人名のチームメンバー
• 変更タイプの要約(予算編集X件、クリエイティブ変更Y件、入札戦略の調整Z件など)
• 異常なアクセスイベント(新規シートの追加、権限の変更、外部からのログイン)

付録 — 絞り込まれたログ: 当該期間に絞り込み、時系列に並べた生のログで、各エントリには次が表示されます。タイムスタンプ、チームメンバーの名前、変更タイプ、影響を受けたアカウント/キャンペーン、変更前後の値。

この2部構成の形式は、異常な事態が起きていないことを確認する必要がある社内のコンプライアンス担当者にも、キャンペーンのパフォーマンスデータや広告主の承認ワークフローと相互参照できる完全な記録を必要とする外部監査担当者にも、両方に役立ちます。

金融サービスの事例:90日間のレビュー

このパターンは、金融サービスの文脈で具体的になります。Meta上で退職後の金融商品キャンペーンを運用する規制対象の金融広告主は、デジタルプロモーションについてFCAの監督下にあります。FCAは、レビュー期間中のキャンペーン変更に関する文書を要請することがあります。通常は苦情への対応として、または定期的な監督サイクルの一環としてです。

コンプライアンスレベルのアクションログがなければ、代理店の選択肢はこうなります。Metaの標準変更履歴を引き出す(90日で消失、個人名の帰属なし)、記憶と社内メッセージから再構成する(コンプライアンス記録としては不適格)、あるいは文書を提出できないと認めるか。

コンプライアンスレベルのログがあれば、代理店はレビュー期間の絞り込んだ記録をエクスポートし、重要な変更にそれを承認した承認文書を注記し、パッケージを提出します。FCAの審査担当者は、すべてのキャンペーン修正について、チームメンバーが名前付きで、役割が文書化された、整然とした属性付きのタイムラインを目にします。レビューはエスカレーションなしに終結します。

この事例は理論上のものではありません。ISBAの2025年代理店透明性レポート(2026年1月公開)によれば、規制対象カテゴリーの広告主の44%が、直近12か月以内にデジタル広告の変更に関連するコンプライアンス照会を少なくとも1回経験していました。属性付きの文書を提出できた代理店は、それらの照会を平均3.1日で解決しましたが、提出できなかった代理店は平均19日を要し、正式な警告に至る可能性が高くなっていました。

新規クライアントのオンボーディングにコンプライアンスのユースケースを組み込む

これを実装する最も効率的な方法は、監査が来たときに後付けで対応することではなく、規制対象カテゴリーのあらゆるアカウントについて、クライアントオンボーディングのチェックリストの標準要素として組み込むことです。

チェックリストは3項目です。

1. 作業開始前に個人名シートを設定 — 共有ログインなし、すべてのチームメンバーがスコープ付きの役割を持つ自分のIDの下に
2. 公式APIを通じたプラットフォーム接続の認可 — OAuth接続が、API経由のすべての変更に適切な帰属を発行する
3. 四半期エクスポートのリズムを確立 — コンプライアンスイベントの発生を待つことなく、各四半期の終わりにアクションログを引き出して保管する、代理店のプロジェクト管理システム上の常設タスク

これにより、コンプライアンス文書は受動的な緊急対応から、常設の運用習慣へと変わります。複数の規制対象クライアントを管理する代理店にとって、ワークフローが一度確立されれば、クライアントを1社追加するごとの限界コストはほぼゼロです。同じエクスポート手順がすべてのアカウントに適用されるからです。

規制対象でない文脈における監査証跡のより広い視点(保持ツールおよび社内の説明責任システムとしての機能)については、関連記事の代理店のクライアントアカウント監査証跡をご覧ください。代理店ツールの完全なプレイブックについては、代理店ツールクラスターが運用スタック全体を扱っています。

重要なポイント

規制対象の広告主が必要とするのは、より良いキャンペーン成果だけではありません。自社の広告運用を統制下に置いていることを実証できる状態が必要なのです。すべての変更を個人名に帰属させ、90日という標準の期限を超えて履歴を保持し、複数のプラットフォームを統一された記録としてまたぐ広告アカウントのアクションログは、その統制を監査可能な形で提供します。

代理店にとって、すでに運用目的(インシデント調査、チームの説明責任、クライアントとのコミュニケーション)で使っているアクションログの上にコンプライアンスのユースケースを構築すれば、コンプライアンスの成果物はほぼ無償で作成できるようになります。ログは常にオンです。エクスポートは数分で済みます。そして、誰がいつ何をなぜ変更したかの整然とした属性付きの記録を監査担当者に手渡せること、それこそが規制対象のクライアントが手放さない種類の運用上の厳格さなのです。