株式会社renue
renueについて
renueは、AIで業務を実装する会社です
AIコンサルティングから図面AI・広告運用エージェント・コールセンターAIまで、実際に動いているサービスをご覧いただけます。renueが何をしている会社か、まずはサービス一覧からご確認ください。
Claude CodeのSkill機能（Agent Skills）は、エージェントに「特定の業務を行うための手順書とツールの組み合わせ」を渡すための仕組みです。個人開発者が自分のSkillを書いて使うのは簡単ですが、企業がSkillを組織全体で運用しようとすると、「誰のSkillが優先されるか」「組織のポリシーをどう強制するか」「誰がいつどのSkillを使ったかをどう監査するか」という課題に直面します。本記事では、企業がClaude Code Skillを運用する際の階層解決・監査ログ・配布フローを整理します。Claude Code標準のSkill配置・優先順位と、組織が別途用意する管理・記録の仕組みを分けて説明します。
Claude Code Skillとは何か（簡単な復習）
Skillは、特定タスクのためにエージェントに渡す手順書（SKILL.md）と関連リソース（スクリプト・テンプレート・参考ドキュメント）の組み合わせです。エージェントはユーザーの要求に応じて関連するSkillを自動的に選択・適用し、Skillに記述された手順に沿って作業を進めます。
Anthropic公式の汎用Skill（PDF・PowerPoint・Excel・Word操作など）に加えて、社内独自のSkill（社内システム操作・業務テンプレート・社内ガイドライン適用など）を作って配布することで、企業特有の業務を高品質に自動化できます。
企業導入で直面する3つの構造的課題
課題1：Skillの「重複」と「衝突」
個人が自分の好みでSkillを書くと、組織内で似たようなSkillが複数生まれます。「議事録要約」のSkillが営業部門・人事部門・開発部門で別々に存在し、品質や出力フォーマットがバラバラになります。
課題2：組織ポリシーとの整合
個人が書いたSkillが、組織のセキュリティポリシー・ブランドガイドライン・コーディング規約に違反することがあります。特に「破壊的なツールを呼ぶSkill」「機密情報を外部APIに送るSkill」は、組織として強制的にブロックする必要があります。
課題3：監査対応
「誰がいつどのSkillを使ったか」が追跡できなければ、内部統制・コンプライアンス対応で破綻します。Skillが業務上の意思決定に関与した場合、その記録が必須要件になります。
Skillの階層解決：製品標準と組織の管理設計
これらの課題を整理する際は、まず同名Skillの製品標準の優先順位はEnterprise、Personal、Projectの順であることを押さえます。以下のorg/team/userは、組織の配布・管理責任を分ける設計上の区分です。標準の保存先や同名Skillの解決規則を置き換えるものではなく、各区分で作るSkillと配布先を対応付けて管理します。
3層モデルの基本ルール
- org（組織）：組織全体に配布される基本Skill。セキュリティ・ブランド・コンプライアンスの最低基準を満たす
- team（チーム）：チーム固有の業務に最適化されたSkill。組織の管理ルールの範囲で内容を調整し、製品のEnterprise Skillを上書きできるという意味ではない
- user（個人）：個人の作業効率を上げるSkill。個人向けの内容を持たせても、組織が別途設定したツール権限・実行環境の制限には従う
組織として「絶対に上書きさせない」項目（例：禁止コマンド、機密情報の送信制限、監査記録）は、orgの手順書に書くだけで強制されるものではありません。managed settingsによる権限のdenyルールや実行前フックを用い、ファイル・通信の制限はサンドボックス等の実行環境でも設けます。Skillのallowed-toolsはそのターンの事前承認であり、列挙外ツールの禁止ではないため、権限制御と取り違えないようにします。
renueのSkill運用と監査設計
renueでは自社でのSkill運用を進めています。企業運用で監査を設計する際は、配布・選択されたSkillの記録と、実際に呼び出された記録を区別します。Claude Codeでは、モデルによるSkill呼び出しのPreToolUseと、利用者が直接入力するコマンドのUserPromptExpansionは別の経路です。両方を対象に、実行単位・利用者・Skillの版を対応付けて保存する処理を用意し、記録の漏れを確認します。
適用Skillの監査ログの設計
エージェントの実行ごとにSkillの選択・呼び出しと、その後のツール実行を記録します。以下は組織が設計する監査項目であり、Agent Skills標準のメタデータやClaude Codeが同じ項目名で自動出力するログの仕様ではありません。フック等で得たイベントを保存・集計する仕組みを用意することで、次のような問いを調べられるようにします。
- 誰がどのSkillを最も使っているか
- 特定のSkillはどの部門で使われているか
- 禁止すべきSkillが実際に使われていないか
- 失敗したRunで共通して使われているSkillはあるか
- 監査時に「このRunの判断根拠は何か」を遡及できるか
監査ログに含めるべき項目
- skill_name：Skill名
- skill_version：バージョン番号
- scope：user / team / org のいずれか
- 宣言したツール一覧：組織の管理用にSkillごとに記録する予定ツール。標準のallowed-toolsとは意味を分け、宣言だけで実行を制限しない
- actual_tools_used：実際のツール呼び出しイベントとの対応を別途保存する。Skillやサブエージェントが重なる場合、時刻が近いだけで帰属を断定しない
- resolution_decision：階層解決でなぜこのSkillが選ばれたか
Skill配布フローの設計
orgとして管理するSkillは、配布先と更新責任をそろえて運用します。Claude Codeの標準の配置先・プラグイン等の配布方法を踏まえ、以下では別途用意する同期・取得処理を整理します。3パターンは標準搭載の自動配布機能の一覧ではありません。
パターン1：CLIによる手動同期
社員が組織で用意した同期処理を実行し、個人用の~/.claude/skills/やプロジェクト用の.claude/skills/など、対象の配置先へSkillを保存します。CLIを使う場合は、そのツールが何を同期するかを確認します。手軽に始められますが、社員ごとにバージョンがずれやすいのが弱点です。
パターン2：自動同期（フック型）
SessionStartフックに自作の同期処理を登録し、Skillの差分を保存した後にreloadSkillsを返すことで、そのセッションで再検出させます。同期自体は別途実装が必要です。バージョンずれを抑えられる一方、同期処理に応じて起動後の待ち時間が伸びる可能性があります。
パターン3：中央サーバ参照型
中央サーバをSkillの配布元とし、実行時に必要な版を取得する構成です。標準のディレクトリ読込を使う場合は取得後に配置・再読込する処理が必要で、URLを指定するだけで標準Skillとして実行できるわけではありません。独自ランナーで読み込む場合も別途実装が必要です。バージョン管理を集約できますが、オフライン時や取得失敗時の扱いを決めておきます。
多くの企業では、パターン1（手動同期）から始めて、利用が広がった段階でパターン2（自動同期）に進化させるのが現実的です。
Skill品質を担保する5つの実務ルール
- SKILL.mdは1ページに収める：長すぎるSKILL.mdはエージェントが要点を選びにくい
- 説明文に「いつ使うか」を明示する：エージェントはSkill選択時に「いつ使うか」を判断するため、ここの品質が選択精度を決める
- 使用予定のツールを記録する：組織の監査項目として実際の用途に合わせて記載し、呼び出しログと照合する。宣言の記載と、権限設定による禁止・承認は別に管理する
- Skill間の依存を最小化する：Skill同士が依存し合うと、更新・テスト・配布が困難になる
- 変更履歴を残す：誰がいつ何を変えたかを記録することが、組織展開の前提になる
Skill運用で陥りやすい4つの落とし穴
- 落とし穴1：個人がSkillを自由に書ける状態を放置する。重複・衝突・品質ばらつきが量産されます。
- 落とし穴2：標準の優先順位と配布ルールを確認せずSkillを増やす。どのSkillが優先されるかが不明確になり、デバッグ困難になります。
- 落とし穴3：監査ログを取らない。本番化フェーズで監査要件を満たせず、稼働停止になります。
- 落とし穴4：org層のSkillに「最低基準」だけでなく「具体業務」まで詰め込む。orgが肥大化し、team/userの自由度が失われます。orgは最低基準、team/userは具体業務、と役割分担します。
Skill階層運用のチェックリスト
- 優先順位と配布ルールを最初に確認する：標準のEnterprise・Personal・Projectの優先順位に、組織の管理区分と配布先を対応付ける
- Skillの利用記録を監査ログに残す：選択・呼び出し・版の記録を実行単位に紐付けて保存し、収集漏れを確認する
- 組織の最低基準と業務手順を分ける：禁止事項・必須項目は組織で管理し、手順書の配布に加えて権限設定・実行制御でも反映する。具体業務はteam/userが担う