無料リソース
大麻業界向けIT準備チェックリスト
Metrcを導入している州の販売店、栽培事業者、加工事業者が、自社のテクノロジーとコンプライアンスについて答えられるべき15の質問です。各質問にはグリーン、イエロー、レッドの回答と、次の一手が1つあります。所要時間は約15分です。
チェックリストの全文はこのページに掲載しています。印刷用の採点シートには、同じ質問とチェックボックスがあります。
約15分で完了
15の質問5つの分野にわたる
採点式最初に直すべき点がわかる
対象プラットフォーム
採点の仕組み
現在の自社の状況に合う回答をクリックしてください。現在のスコアは、「自己採点」のセクションに表示されます。
グリーン：良好な状態ですイエロー：早めの改善をお勧めしますレッド：最優先で対処してください
1. 大麻のラベル表示とコンプライアンス
ラベル、COA、州ごとのルールに関する3つの質問です。KawaConnectはMetrcの認定インテグレーターであり、Metrc導入州向けのラベルプラットフォームTagestryを開発しています。詳しくは、大麻事業者向けのITサービスをご覧ください。
Q1.Metrcのラベルは、誰が、いつ、どのテンプレートで何を印刷したかを記録する、検証済みの連携を通じて印刷していますか。
グリーンMetrc連携のあるラベルソフトウェア（当社のTagestryなど）を使い、印刷のたびにパッケージUIDへ記録し、誤ったラベルを復旧でき、保存期間の全体にわたって監査証跡を保持している。
イエロー汎用のラベルソフトウェアで、Metrcの項目を手入力している。誤印刷でときどき保留になる。
レッドラベルを手入力している、またはMetrcのスクリーンショットをWordに貼り付けている。
次の一手： ラベル印刷を、Metrc連携のあるソフトウェアに移行しましょう。TagestryはMetrcからパッケージデータを同期し、印刷ごとに監査ログを残します。
Q2.分析証明書（COA）は、特定のMetrcパッケージと、お客様が見るメニューに紐づけられていますか。
グリーンCOAのPDFは受け取り時に自動でパッケージに添付され、メニューのQRコードはバッチごとに正しいCOAに誘導し、ラベルを再印刷しても紐づけが維持される。
イエローCOAをGoogle Driveのフォルダーに保存している。パッケージごとに正しいCOAを探すには、マネージャーが調べる必要がある。
レッドお客様にCOAを求められても、スタッフが推測で答える。
次の一手： COAは、SKUではなくパッケージUIDに紐づけましょう。TagestryはCOAの参照情報を印刷ごとに保存するため、ラベルを貼り直しても紐づけが維持されます。
Q3.複数の州で事業を行っている場合、州ごとのコンプライアンス一覧表（タグのルール、保存期間、報告）を管理していますか。
グリーンライセンスを持つMetrc導入州ごとの違いを網羅した文書を維持している。スタッフ研修は州ごとに行っている。
イエロールールはどの州もほぼ同じだと思っている。監査で予想外の指摘を受けることがある。
レッド複数の州で事業を行っているのに、1つの州向けのSOPで運用している。
次の一手： タグの形式、保存期間、検査の日程を州ごとにまとめた一覧表を作りましょう。Tagestryは各州のラベル形式に対応しています。
2. 市場インテリジェンスと競合データ
自社のメニュー以外に、市場の何が見えているかについての3つの質問です。これらに答えるため、当社は市場データ製品のPryceHawkを開発しました。
Q4.複数の販売店にまたがる自社製品（および競合製品）を確認できますか。または、州全体のデータを取得できますか。
グリーン市場データのフィード（PryceHawk / CannQuest API、BDSA、Headset）に対し、州内の数百店舗を横断して、ブランド、SKU、製品単位で照会している。データは毎日更新される。
イエロー月曜日に、スタッフが競合のメニューをいくつか手作業で開き、メモを取っている。
レッド自社のメニューしか見ていない。
次の一手： PryceHawkは、オハイオ州とペンシルベニア州の400を超える販売店を、9つのプラットフォームにわたって追跡しています。読み取り専用のAPIキーがあれば、誰もメニューを手作業で開かなくても、店舗横断のデータを入手できます。
Q5.自社も扱っている製品で、競合が値下げしたり新しいプロモーションを始めたりしたことを把握できていますか。
グリーン重要なSKUについて、競合の値下げと割引を毎日アラートで受け取っている。お客様が気づく前に、バイヤーが価格を調整できる。
イエロー常連客から、近所の店のほうが5ドル安いと言われて初めて知る。
レッド競合の価格をまったく追跡していない。
次の一手： 小売の競合レポートを購読しましょう（PryceHawkは、値下げ分析、割引の内訳、店舗別のTHC比較をメールで配信します）。まずは、売れ筋上位50SKUの毎日のアラートから始めてください。
Q6.栽培部門や卸売部門について、どの販売店が新しいブランドを採用し、どの店が取り扱いをやめたかを把握していますか。
グリーン毎日更新される卸売トラッカー（店舗ごとのブランド在庫、新規取り扱いと取り扱い終了のアラート）が、営業チームの月曜の朝会で活用されている。
イエロー営業担当がバイヤーに直接聞き、その答えを信用している。
レッドチェーン店に取り扱いをやめられたことを、数か月後に知る。
次の一手： 卸売の取扱状況レポートを活用しましょう（PryceHawkは、ブランド企業ごとの新規取り扱い、取り扱い終了、棚の占有状況を追跡します）。取り扱い終了が起きたら、営業担当がすぐに把握できます。
3. 映像監視と物理的なセキュリティ
ライセンスを受けた大麻施設での映像の録画と保存の方法は、州の規則で定められています。ここでは、保存期間、障害、エクスポートについての3つの質問をします。
Q7.映像の保存期間は、保有するいずれかのライセンスに適用される最も厳しい州の規則を満たしていますか。
グリーン保有するライセンスのうち最長の保存期間に合わせてストレージの容量を確保しており、各州の最新の規則を文書で把握している。
イエローある州の規則は満たしているが、それより長い期間を求める州のライセンスも保有している。
レッド保存期間はレコーダーの初期設定のまま。
次の一手： 州のカメラ映像の保存に関する規則を確認し、それを満たすようストレージの容量を確保しましょう。複数の州でライセンスを保有している場合は、最長の期間に合わせてください。
Q8.カメラの障害は自動で検知されて通知され、検査に備えてログが保管されていますか。
グリーンNVRが運用担当にヘルスアラートを送信し、障害は開始と終了のタイムスタンプ付きで記録される。保守ログは少なくとも1年分ある。
イエロー誰かが映像を確認して空白に気づいて、初めて障害がわかる。
レッド監視していない。規制当局のほうが先に気づく。
次の一手： 現行のカメラプラットフォーム（Verkada、Eagle Eye、Hanwha Wisenetなど）の多くには、ヘルスアラート機能があります。有効にして、監視されている受信箱に通知が届くようにしましょう。
Q9.規制当局が示す期限内に、真正性を証明できる映像のエクスポートを提出できますか。
グリーンテスト済みのエクスポート手順がある。ハッシュ付きの認証済みMP4で、タイムスタンプも保持される。マネージャーが規制当局からの問い合わせで実際に1回対応したことがある。
イエロー理論上はエクスポートできるが、この1年間、実際に行った人はいない。
レッド規制当局から要求された当日に、レコーダーのエクスポート方法を調べることになる。
次の一手： エクスポートの訓練を四半期ごとに実施しましょう。手順書は、SOPと同じフォルダーに保存してください。
4. ネットワークの分離とサイバーセキュリティ
POS、コンプライアンス用のマシン、カメラは、ゲスト用Wi-Fiと同じネットワークに置くべきではありません。以下の質問では、ネットワークの分離、サインイン、エンドポイントの保護を取り上げます。
Q10.POS、カメラ、コンプライアンス用のマシン、ゲスト用Wi-Fiは、アクセス制御を備えた別々のVLANに分けていますか。
グリーン多層構成の設計：VLAN 10は社内、20はPOS、30はMetrcとコンプライアンス、40はカメラ、50はゲスト。VLAN間の通信は初期設定で拒否。
イエローゲスト用のSSIDはあるが、それ以外はすべて1つのフラットなLANにある。
レッドフラットなネットワークが1つだけ。Wi-Fiに接続したゲストが、POSにpingを送れる。
次の一手： 最新のファイアウォールとマネージドスイッチ（Ubiquiti UDM、pfSenseとUniFiの組み合わせ、Meraki MXなど）があれば、1店舗なら半日ほどで実施できます。
Q11.POSの管理者、Metrc、銀行、メール、規制当局のポータルのすべてのログインで、MFAを必須にしていますか。
グリーンMFAを必須にしており、プラットフォームが対応している場合は、管理者とMetrcのアカウントにフィッシング耐性のあるMFAを使っている。
イエローメールにはMFAがあるが、POSの管理者とMetrcはパスワードのみ。
レッドバックヤードの壁にパスワードを貼り出し、バッドテンダーが共有のログインを使っている。
次の一手： 従業員ごとにPOSの個別アカウントを発行し、すべての管理者ロールでMFAを必須にしましょう。
Q12.POS端末とMetrc用のワークステーションで、EDRとパッチ適用を徹底していますか。
グリーンすべてのPOS端末に、マネージドEDR（Huntress、SentinelOne、SOC付きのDefender for Businessなど）を導入している。OSとPOSソフトウェアのパッチは、リリースから14日以内に適用している。
イエローウイルス対策ソフトはあるが、パッチ適用は手作業で、Metrc用のマシンは数か月間再起動していない。
レッドOS標準のウイルス対策のみ。パッチは、POSベンダーが配信したときだけ適用される。
次の一手： すべてのPOS端末とMetrc用のワークステーションにマネージドEDRを導入し、担当者がアラートを確認する体制にして、パッチ適用のスケジュールを決めましょう。
5. 運用、研修、検査への備え
最後の3つの質問では、検査の訓練、スタッフの研修、退職時の対応を取り上げます。
Q13.規制当局が求めるMetrcの完全なエクスポート、ラボのCOA、カメラ映像を、期限内に提出できますか。
グリーン年2回テストしている検査対応の手順書がある。コンプライアンス担当者が、直近90日以内に模擬訓練を実施した。
イエロー対応はできるが、運用チーム全員が丸1日かかりきりになる。
レッド弁護士に連絡して、とにかくやってみる。
次の一手： 四半期ごとに模擬検査を実施し、所要時間を計測しましょう。時間がかかった点は、次の検査までに改善してください。
Q14.バッドテンダー、栽培担当者、加工担当者は、過去12か月以内にフィッシング対策の研修を受けましたか。
グリーン5分間の月次モジュールと、四半期ごとの模擬フィッシングを実施している。研修の受講状況は、HRで従業員ごとに管理している。
イエロー入社時に1回だけ研修を行っている。
レッド研修を行っていない。コンプライアンス担当者が、この1年以内に本物のフィッシングメールをクリックしている。
次の一手： 5分間の月次研修を始め、四半期ごとに模擬フィッシングを実施し、従業員ごとに受講状況を記録しましょう。
Q15.POS、Metrc、銀行、物理的なアクセスの権限を、1営業日以内に取り消す退職手続きが文書化されていますか。
グリーン従業員ごとのPOS、Metrcのユーザー、銀行の署名者、警報コード、キーフォブ、M365/Googleを網羅したチェックリストがある。
イエローメールとPOSはすぐに無効化されるが、Metrcのユーザーは何週間も残っている。
レッド元バッドテンダーのログインが、まだ使える可能性がある。
次の一手： 今週中に1ページの退職手続きチェックリストを作り、最上部にMetrcのユーザー削除を入れましょう。
自己採点
15問に対するグリーン、イエロー、レッドの回答数は、クリックするたびにここに集計されます。
15問中0問に回答済みです。上の各質問で、自社に当てはまる回答をクリックしてください。
0グリーン
0イエロー
0レッド
0/15回答済み
グリーンが13以上：良好な状態です。四半期ごとのエクスポート訓練、年1回のポリシー見直し、毎週の市場データの確認で、その状態を維持しましょう。
グリーンが8～12：基本はおおむね整っています。イエローのうち特に深刻な3つを選び、90日以内に解消しましょう。
グリーンが8未満、またはQ1、Q7、Q10、Q11のいずれかがレッド：まずこの4問のレッドを解消し、次に残りのレッド、最後にイエローに取り組みましょう。
セカンドオピニオンを受ける
KawaConnectは、大麻事業者向けのITとデータのツールを開発しています。Metrc導入州向けのラベルプラットフォームTagestryと、オハイオ州とペンシルベニア州の400を超える販売店を追跡するPryceHawkです。30分の準備状況の相談は無料です。回答の内容をお聞かせいただければ、最初に何を直すべきかをお伝えします。詳しくは、大麻事業者向けのITサービスをご覧ください。
無料の準備状況の相談を予約する採点シートをダウンロード0 / 15 回答済みスコアを見る
