再審査手続き

TQS認証の更新、変更、復元のための再審査手続きを定義します。本章は再審査トリガー、再審査範囲、猶予期間、簡易審査、更新審査結果を含みます。

---

34.2.1. 再審査トリガー

再審査は以下の事由が発生した場合に実施されます。各トリガーに応じて再審査の範囲と所要期間が異なります。

事由	再審査範囲	所要期間
メジャーバージョンアップデート	全項目	1〜2週間
TQS規格変更	変更された項目のみ	3〜5日
セキュリティ事故発生	セキュリティ項目全体	1週間
認証一時停止後の復元要請	未充足項目	3〜5日

34.2.1.1. メジャーバージョンアップデート

プロジェクトのメジャーバージョンがアップデートされると（例：v1.x → v2.x）、既存の認証は満了します。メジャーバージョンではアーキテクチャ変更、技術スタック入れ替え、大規模コード書き換えが発生する可能性があるため、全チェックリスト項目に対する再検証が必要です。

メジャーバージョン更新審査の特徴は以下の通りです。

• 初回審査と同一の範囲で全項目を検証します。
• 前バージョンの審査結果は参考資料としてのみ活用され、項目免除は適用されません。
• 認証等級は再審査結果に基づき新たに決定されます。
• 更新審査はメジャーバージョンリリース前に事前に申請することを推奨します。

34.2.1.2. TQS規格変更

TQS規格が改定され、新たな必須項目が追加されたり既存項目の基準が変更された場合、当該項目に対する再審査が必要です。規格変更に伴う再審査は変更された項目のみを対象とするため、全体審査より範囲が縮小されます。

TQS委員会は規格変更時に以下の情報を告知します。

• 変更された項目リストおよび変更内容
• 猶予期間（基本3ヶ月）
• 再審査申請方法および期限

34.2.1.3. セキュリティ事故発生

プロジェクトでセキュリティ事故が発生した場合、セキュリティ関連の全項目に対する再審査が実施されます。セキュリティ再審査は事故の原因分析、対応措置の適切性、再発防止対策の実効性を重点的に検証します。

セキュリティ再審査で検証する項目は以下の通りです。

• Spring Security設定およびアクセス制御
• シークレット管理（環境変数、シークレットマネージャー）
• 依存関係セキュリティ（OWASP Dependency-Check結果）
• データ暗号化（At-Rest、In-Transit）
• 入力値検証ロジック
• 事故対応措置および再発防止対策

34.2.1.4. 認証一時停止後の復元要請

認証が一時停止されたプロジェクトが復元を要請する場合、一時停止事由に該当する未充足項目についてのみ再審査を実施します。復元再審査は未充足項目の補完状況を確認することに焦点を当てます。

---

34.2.2. 再審査範囲

各トリガー別の具体的な審査範囲は以下の通りです。

34.2.2.1. 全項目再審査

メジャーバージョンアップデート時に適用されます。初回審査と同一の範囲で全チェックリストを検証します。

領域	検証項目
コードコンベンション	フォーマッタ、ネーミング、パッケージ構造
フレームワーク	Spring Boot、Vue 3、Composition API
テスト	カバレッジ（ライン80%、ブランチ70%）、テスト品質
CI/CD	パイプライン構成、自動化検証
セキュリティ	アクセス制御、シークレット管理、依存関係セキュリティ
データ	jOOQ、Flyway、HikariCP設定
フロントエンド品質	Lighthouseスコア、アクセシビリティ、バンドルサイズ
API	RESTfulルール、エラーレスポンス形式

34.2.2.2. 部分項目再審査

TQS規格変更または認証復元時に適用されます。変更されたまたは未充足の項目のみを対象に検証します。

• 審査対象項目はTQS委員会が事前に通知します。
• 審査対象外の項目は前回の審査結果をそのまま認定します。
• 部分再審査でも自動検証ツールの全体実行結果を提出しなければなりません。

34.2.2.3. セキュリティ項目再審査

セキュリティ事故発生時に適用されます。セキュリティ関連の全項目を対象とし、事故対応措置の適切性を追加で検証します。

• セキュリティ設定全般を再検証します。
• 事故報告書（原因、影響範囲、対応措置、再発防止対策）を提出しなければなりません。
• OWASP Dependency-Checkを再実行し、最新のセキュリティスキャン結果を提出しなければなりません。

---

34.2.3. 猶予期間

TQS規格が変更された場合、既存の認証プロジェクトに猶予期間を付与します。猶予期間中は既存の認証が有効に維持されます。

34.2.3.1. 基本猶予期間

基本猶予期間は3ヶ月です。猶予期間は規格変更告知日から起算します。

規格変更種別	猶予期間	備考
既存項目基準の強化	3ヶ月	基本猶予
新たな必須項目の追加	3ヶ月	基本猶予
技術スタック変更要求	6ヶ月	延長猶予
項目の削除または緩和	即時適用	猶予不要

34.2.3.2. 猶予期間延長条件

以下の条件を満たす場合、TQS委員会に猶予期間延長を申請することができます。

• 規格変更項目の適用に大規模コード書き換えが必要な場合
• プロジェクトのリリーススケジュールと猶予期間が衝突する場合
• 外部依存関係（サードパーティライブラリ、プラットフォームアップデートなど）への対応が必要な場合

延長期間はTQS委員会が案件ごとに決定し、最大3ヶ月まで延長することができます。延長は1回に限り申請することができます。

34.2.3.3. 猶予期間満了

猶予期間内に変更された規格項目を適用しなかった場合、以下の手続きが実施されます。

• TQS委員会がプロジェクトチームに猶予期間満了を通知します。
• 通知日から14日の追加対応期間を付与します。
• 追加対応期間内にも未適用の場合、認証が一時停止されます。

---

34.2.4. 簡易審査

前回の審査で高い水準の規格充足を証明したプロジェクトは、簡易審査の適用を受けることができます。簡易審査は変更事項のみを対象とし、全体審査より所要期間が短縮されます。

34.2.4.1. 簡易審査の資格条件

簡易審査の適用を受けるには、以下の条件をすべて満たさなければなりません。

条件	基準
前回の認証等級	優秀以上
CIビルド成功率	直近6ヶ月平均95%以上
定期報告書提出	該当期間内の四半期報告書を全量提出
セキュリティ事故履歴	なし
認証一時停止履歴	なし

34.2.4.2. 簡易審査手続き

簡易審査は以下のように進行します。

• プロジェクトチームが変更事項明細書を提出します。
• TQS委員会が変更事項の範囲を確認します。
• 自動検証ツールの全体実行結果を提出します。
• 変更された領域についてのみ手動レビューを実施します。
• 変更されていない領域は前回の審査結果と定期報告書に基づき検証に代えます。

34.2.4.3. 簡易審査の所要期間

簡易審査の所要期間は変更範囲に応じて異なります。

変更範囲	所要期間
軽微な変更（設定、依存関係アップデート）	1〜2日
中程度の変更（機能追加、モジュール変更）	3〜5日
大規模変更（アーキテクチャ変更）	簡易審査不適格 → 全体審査に切替

変更範囲がシステム全体に影響を及ぼす水準の場合、TQS委員会は簡易審査の代わりに全体審査への切替を要請する場合があります。

---

34.2.5. 更新審査結果

更新審査（再審査）の結果は以下の3つに区分されます。

判定	説明	後続措置
合格	全審査項目充足	認証更新、有効期間延長
条件付き合格	軽微な補完が必要	2週間以内に補完後再確認
不合格	必須項目未充足	認証取消、再認証が必要

34.2.5.1. 合格

全審査項目を充足した場合、認証が更新されます。更新された認証の有効期間は更新審査合格日から新たに起算されます。認証等級は再審査結果に応じて上方、維持、または下方修正される場合があります。

34.2.5.2. 条件付き合格

必須項目は充足したものの、軽微な補完が必要な場合に付与されます。プロジェクトチームは2週間以内に補完事項を解決し、再確認を要請しなければなりません。再確認は未充足項目についてのみ実施します。2週間以内に再確認を完了できなければ不合格に転換されます。

34.2.5.3. 不合格

必須項目を充足しなかった場合に付与されます。不合格時に既存の認証は取消され、TQSマークの使用を直ちに中止しなければなりません。認証を再び取得するには初回審査手続き（31章）を最初から進めなければなりません。更新審査の不合格は当該プロジェクトの認証履歴に記録されます。